* 6 8 5 3 3 - - ~E 2019 ( ·2 9NOV 2019) RESOLUCION NUMERO VERSl6N PUBLICA "Par media de la cual se impane una sanci6n y se imparte una arden" Radicaci6n 17-290406 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas par la Ley 1581de2012, articulos 19 y 21; el Decreto 4886 de 2011, articulo 17, numerales 5 y 9; y,
CONSIDERANDO
PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violaci6n de las normas de protecci6n de dates personales contenidas en la Ley 1581 de 2012 par parte de la sociedad RAPPi S.A.S., con Numero de ldentificaci6n Tributaria 900.843.898-9, par lo que decidi6 iniciar investigaci6n administrativa en consideraci6n a las siguientes hechos: 1.1.
Manifiesta;el senor I del contrato laboral que suscribi6 su poderdante, el senor con RAPPi S.A.S., le fueron tomadas unas fotograflas sin autorizaci6n expresa de-este, las cuales fueron posteriormente utilizadas por la sociedad para una campana publicitaria, la cual le represent6 un provecho econ6mlco a la sociedlad investigada. 1.2. lndica que nunca le fue informado al Titular para que iban a ser tomadas dichas fotograflas asi como tampoco le fue ~econocida alguna contrapres:taci6n economica par ello. 1.3.
Sefiala qu~.. lica~!611 _lrre ular de las fotografias ha afe. ctad.o el espectro so.·cial y moral del senor _.. _.., toda vez que la campa.M publicitaria sugiere que el Titular tiene la calidad de "rapitendero" (domiclliario), lo cual considera que hace inducir en error y perjudica su profesionaHsmo. 1.4. Por ultimo sefllala que el senor.. present6 una reclamaci6n directa ante la sociedad, no obstante, le fue contestado que et habia dado la autorizaci6n para la toma de dichas fotograflas y que las mismas no fueron utilizadas en ninguna campaf'la publicitaria: todo lo cual consideran falto a la realidad come quiera que a traves del enlace "littps:l/r,1ppitendero.rappi.comf' se evidencia pubiicada 1una de las fotografias tomadas, no obstante, anota que a la fecha en 1la pagina web ya no se encuentra la fotografl.a, lo cua'I demueslra la mala fe de la socledad.
En el mismo sentido. inform6 que las fotograrilas tambien estuvieron circulando par la red social Facebook y en los monitores de RAPPi S.A.S.
SEGUNDO: Que, con base en las hechos anotados, a partir de las cuales se advierte la presunta violaci6n de las normas sabre protecci6n de dates personales, y en particular las disposiciones contenidas en: (i) (ii) La Ley 1581de2012, articulo 17 literal b), en concordancia con su articulo 4, literal c). La Ley 1581 de 2012, articulo 17 literal c), en concordancia con su articulo 4, literal b).
Se inici6 la presente investigaci6n administrativa mediante la expedici6n de la Resoluci6n numero 87598 de 30 de noviembre de 2018 1, par media de la cual se formularon cargos a la sociedad RAPPi S.A.S. La mencionada resoluci6n le fue notificada a la sociedad RAPPi S.A.S. mediante aviso numero 68518 el dia 20 de diciembre de 2018 2, para que se pronunciara sabre las hechos materia de investigaci6n y aportara las pruebas que pretendiera hacer valer dentro del referido 1 Expediente, folios 43 a 45. 2 Constancia secretarial.
Expediente, folios 40 y
55. RESOLUCION NUME "Par media de la cua/ se impone una sanci6n y se imparte una Ofi~d_e_n'_'- - - - - -.. ( VERSJ6N PUBLICA tramite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicci6n. lgualmente se comunic6 de la misma actuaci6n al denunciante.
TERCERO: Que mediante escrito radicado el dla 14 de enero de 2019 3, la sociedad RAPPi S.A.S., mediante Representante Legal, dio respuesta a la formulaci6n de cargos precisando lo siguiente: 3.1. 3.2. 3.3. 3.4. 3.5. 3.6. 3.7. Manifesto que denunciante "firm6 un contrato laboral a termino indefinido con la sociedad Rappi S.A.S. el dia 18 de marzo de 2018, para desempenarel cargo de Gerente de Zona y, con base en lo anterior, se oblig6 a [ ] '[C/ausu/a Primera.
Obligaciones def Trabajador]. El [Empleador] contrata las servicios persona/es def [Trabajador] para que desempene el cargo senalado en la tabla de datos ubicada al inicio de este contrato, y adicionalmente el [Trabajador] se compromete a: (1) lncorporar a su servicio toda su capacidad normal de trabajo, en forma exc/usiva, en el desempeno de todas las funciones propias def empleo y cargo contratado, asi coma las conexas y complementarias que se originen def mismo cargo, todo de conformidad con las normas e instrucciones que en forma verbal o escrita le imparta el [Empleador] o sus representantes"' 4.
Puntualiz6 que "es claro que el senor se oblig6 a desempeflar todas las funciones propias def empleo y cargo contratado, asi coma las conexas v complementarias [ ] pudiendo ser esto cualquier actividad que fuera necesaria para el correcto desarrollo de sus funciones y su cargo, entre estas, tomarse unas fotografias que fueran usadas par la~·" s. Dijo que "[e]/ senor ~ mediante la firma de su contrato de trabajo a termino indefinido para ejercer el cargo de "Gerente de Zona", otorg6 autorizaci6n a la sociedad Rappi S.A.S. para hacer tratamiento de todos sus datos persona/es de la siguiente manera, a traves de la firma de su contrato de trabajo: '[Clausula Decima Septima.
Datos Persona/es). El [Trabajador] autoriza expresamente al [Empleador] de manera irrevocable, escrita, expresa, concreta, suficiente, voluntaria e informada, para que toda la informaci6n personal actual y la que se genere en el futuro fruto de las relaciones comerciales ylo contractua/es establecidas con [el Empleador] o con sus afiliados, referente las datos Persona/es, de caracter sensible o no, def [Trabajador], sean recolectados, tratados, depositados, usados o puestos en circu/aci6n y consultados en la base de datos de propiedad exc/usiva def [Empleador]." 6.
Sostuvo qu~nte afirmar par parte de esta Direcci6n y menos par parte def quejoso ~ que nunca existi6 autorizaci6n para que la sociedad Rappi S.A. S. realizara tratamiento de sus datos persona/es y mas, que se encuentre vulnerando el articulo 17 de la Ley 1581 de 2012 en sus literates b) y c), par cuanto (i), es evidente que existi6 autorizaci6n par parte def titular (ver anexo 1) y dos, al titular tambien se le informaron las finalidades de la recolecci6n y tratamiento de sus datos persona/es inc/uyendo aquel/os de caracter sensible." 7.
Determin6 que "en virtud de la misma c/ausu/a def contrato laboral el senor con Rappi S.A.S., este acept6 lo siguiente: 'lgua/mente el [Trabajador] autoriza al [Empleador] a entregar informaci6n de forma verbal, escrita o puesta a disposici6n de terceras personas, a las autoridades administrativas y judicia/es que lo requieran, a las 6rganos de control y demas dependencias de investigaci6n disciplinaria, fiscal o administrativa cuando sea solicitada en desarrollo de una investigaci6n, o a otros operadores cuando tengan una finalidad similar a la que tiene el operador que entrega las datos.
"' 8. Advirti6 "que el titular de /os datos sf conocfa la finalidad para la cual se iba a hacer tratamiento de sus datos persona/es y, con base en esto, no resulta procedente afirmar par pa rte de esta direcci6n ni par el quejoso que no se conocfa la finalidad def tratamiento de /os datos y, par lo tan to, no se encuentran vulnerados /os preceptos estab/ecidos en el artfcu/o 4, literal b) de la Ley 1581 de 2012 y de esta manera no habria nin un ti o de derecho vulnerado par parte de Rappi S.A. S. en detrimento def senor "9 Solicit6 "[q]ue no hubo ninguna violaci6n de derechos de habeas data def senor con base en las pruebas aportadas mediante estos descargos. [ ] Que se proceda 3 Consecutivo numero 00013-0001.
Expediente, folios 46 a 54. 4 Expediente, folios 46 a 47. 5 Expediente, folio 47. 6 lbfdem. 7 lbfdem. 8 lbfdem. 9 lbfdem. RESOLUCION NUMERO 6 8 5 3oa 2o'l'9~ "Por media de la cual se impone una sanci6n y se imparte una orden",----------.. [ con el archivo de la investigaci6n y el pliego de cargos toda vez que no existen motivos par las cua/es se pueda aplicar una sanci6n administrativa a Rappi S.A. S. con base en las descargos y las pruebas aquf aportadas." 10.
CUARTO: Que mediante Resoluci6n numero 4820 de 28 de febrero de 2019 11, esta Direcci6n ampli6 la Formulaci6n de Cargos efectuada mediante Resoluci6n numero 87598 de 30 de noviembre de 2018 12, de dos (2) a tres (3) cargos; este ultimo tercer cargo, per presunta vulneraci6n de lo establecido en las siguientes disposiciones: (iii) La Ley 1581 de 2012 artlculo 17 literal k); en concordancia con su artfculo 4, literal g), y el Decreto Unico Reglamentario 1074 de 2015, artfculo 2.2.2.25.2.8.
La citada Resoluci6n le fue notificada a la sociedad RAPPi S.A.S. mediante aviso numero 2827 el dfa 13 de marzo de 2019 13, para que, en relaci6n con la formulaci6n ampliada de este ultimo cargo, se pronunciara sabre los hechos materia de investigaci6n y aportara las pruebas que pretendiera hacer valer dentro del referido tramite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicci6n. lgualmente se comunic6 de la misma actuaci6n al denunciante.
QUINTO: Que mediante escrito radicado el dfa 3 de abril de 2019 14, la sociedad RAPPi S.A.S., mediante Representante Legal, die respuesta a la ampliaci6n de la formulaci6n de cargos, reiterando lo manifestado en escrito de 14 de enero de 2019 15, y adicionando lo siguiente: 5.1. Arguy6 en relaci6n con "el numeral 2.6 de/ Condiserando (sic) [Segundo] de la Reso/uci6n 4820 de 2019 emitida par la Superintendencia de lndustria y Comercio refiere a que Rappi no cuenta con un Manual de Manejo de Bases de Datos, a lo cual Rappi se permite rectificar que dicho manual sf existe el cual nos permitimos anexar en estos descargos coma el Anexo no. 2.
Con base en lo anterior, no es posible afirmar par esta Superintendencia que Rappi no cumple con el literal k). def artfcu/o 17 de la Ley 1581de2012 toda vez que sf cuenta con un Manual de Manejo de Bases de Datos el cua/, coma se mencion6 anteriormente, se anexa a la presente respuesta e, igualm<?nte, se ~ncuent~a publicado y disp9nible en el_ siguiente enlace: https://l~l:.lllppi.<;Qfil~.QlQ!P..lli'1Lpolitic.ll..-.!k..J.2W.tfcci@_y- tratamient9 dt;_~to.§..R~~o_f!~les rappiL!l '§1. 5.2. 5.3. 5.4.
Adujo "[q]ue el numeral 2. 7 def Considerando [Segundo] de la Resoluci6n 4820 de 2019 emitida par esta Superintendencia establece que existe una 'presunta violaci6n al literal b) def artfculo 17 de la Ley 1581de2012 que se encuentra en concordancia con el literal c) def Artfculo 4° de la referida fey y; el literal c) def artfculo 17 de la Ley 1581 de 2012 en concordancia con el literal b) def artfculo 4 de la misma'.
No es cierto coma lo expone esta superintendencia, en la medida que [ ] Rappi conserva en las condiciones previstas en la fey 1581 de 2012, copia de la respectiva autorizaci6n otorgada par el Titular, conforme a lo ref/ejado en el Anexo no. 1 a esta respuesta y, asf mismo, con base en lo expuesto en las [ ] descargos. Par lo anterior, no es posible afirmar que Rappi este violando el literal b) def artfculo 17 de la Ley 1581 de 2012." 17.
Reiter6 que "tampoco es posible afirmar par esta Superintendencia que Rappi este violando el literal c) def Artfcu/o 4° de la Ley 1581 de 2012 ni tampoco, coma lo expone esta misma entidad, el literal c) def artfcu/o 4 ° de la misma fey, par cu an to al titular de las datos le fueron comunicadas las razones para las cuales se le darfa tratamiento a sus datos persona/es, conforme lo refleja lo expuesto en [ ] estos descargos que se basan en las (sic) reflejado en el Anexo 1 que se adjunta a esta respuesta." 18. lndic6 "que Rappi comunic6 la finalidad /egitima def tratamiento de las datos persona/es al titular de las datos, la cua/ fue consentido (sic) y aceptada par este conforme obra en el documento firmado que se aporta coma Anexo 1 de esta respuesta." 19. 10 Expediente, folio 48. 11 Expediente, folios 56 a 58. 12 Expediente, folios 43 a 45. 13 Constancia secretarial.
Expediente, folios 64 y 83. 14 Consecutive numero 00021-0001. Expediente, folios 67 a 82. 15 Consecutive numero 00013-0001. Expediente, folios 46 a 54. 16 Expediente, folio 68. 17 Expediente, folio 69. 18 Ibidem. 19 Ibidem. RESOLUCION NUME --- DE 2019 "Por media de la cua/ se impone una sanci6n y se imparte una or.rd,;.,:e.:;n_"-----~ [ 5.5.
Precise que "/os cargos imputados a Rappi S.A.S. [ ] no deben prosperar toda vez que Rappi, coma lo ha venido exponiendo en estos descargos, sf cuenta con un Manual de manejo de bases de datos (ver Anexo 2) y no vulner6 ningun derecho def titular de los datos, toda vez que obtuvo el consentimiento de este para tratar sus datos conforme a las finalidades a/If acordadas ta/ coma obra en el Anexo 1 de esta respuesta.
"20.
SEXTO: Que mediante Resoluci6n numero 9821 de 26 de abril de 201921, esta Direcci6n incorpor6 las pruebas obrantes en la totalidad del expediente radicado bajo el numero 17-290406, folios 1 a 83, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusion respectivos.
Resoluci6n que fue comunicada a la sociedad investigada el dia 30 de abril de 2019 22.
SEPTIMO: Que mediante escrito radicado el dia 16 de mayo de 2019 23, la sociedad RAPPi S.A.S., mediante Representante Legal, present6 su escrito de alegatos de conclusion, en el que reitera con exactitud lo manifestado en sus escritos de descargos de fechas 14 de enero de 201924 y 3 de abril de 201925.
OCTAVO: Competencia de la Superintendencia de lndustria y Comercio La Ley 1581 de 2012, articulo 19, establece la funci6n de vigilancia que le corresponde a la Superintendencia de lndustria y Comercio para garantizar que en el Tratamiento de dates personales se respeten los principios, derechos, garantias y procedimientos previstos en la Ley.
NOVENO: Analisis del caso 9.1. Adecuaci6n tipica La Corte Constitucional mediante sentencia C-748 de 2011 de 6 de octubre de 2011, Magistrado Ponente Doctor Jorge Ignacio Pretelt Chaljub, estableci6 lo siguiente en relaci6n con el principio de tipicidad en el derecho administrative sancionatorio: "En relaci6n con el principio de tipicidad, encuentra la Sa/a que pese a la generalidad de la fey, es determinable la infracci6n administrativa en la medida en que se sefiafa que la constituye el incumplimiento de las disposiciones de la ley, esto es, en terminos especfficos, la regulaci6n que hacen los artfculos 17 y 18 def proyecto de fey, en /os que se sefia/an los deberes de los responsables y encargados def tratamiento def dato".
(Negrilla fuera de texto original). Atendiendo los parametros serialados per la citada jurisprudencia, para el case especifico se tiene que: (i) La Ley 1581 de 2012, articulo 17, establece los deberes que les asisten a los responsables del Tratamiento respecto del manejo de los dates personales de los Titulares. El incumplimiento de tales requisites dara lugar a la aplicaci6n de las sanciones definidas especificamente en el articulo 23 ibidem.
(ii) De conformidad con los hechos aducidos per el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada per la investigada se concreta en la posible vulneraci6n de las disposiciones contenidas en: - La Ley 1581 de 2012 articulo 17 literal b), en concordancia con su articulo 4 literal c). - La Ley 1581 de 2012 articulo 17 literal c), en concordancia con su articulo 4 literal b). - La Ley 1581 de 2012 articulo 17 literal k); en concordancia con su articulo 4 literal g), y el Decreto Unico Reglamentario 1074 de 2015, articulo 2.2.2.25.2.8.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada per la investigada dara lugar o no a la imposici6n de una sanci6n para lo cual se deberan tener en cuenta las razones de hecho y de derecho aducidas per la investigada en los escritos de descargos y 20 Ibidem. 21 Expediente, folios 84 a 85. 22 Constancia Secretarial;
Expediente, folio 90. 23 Consecutive numero 00025-0001. Expediente, folios 88 a 89. 24 Consecutive numero 00013-0001. Expediente, folios 46 a 54. 25 Consecutive numero 00021-0001. Expediente, folios 67 a
82. RESOLUCION NUMERB 8 5 3 llE: 2~~ "Por media de la cua/ se impone una sanci6n y se imparte una orden" [,, _V_E_R-Sl-ON-PU-.8-L-IC-A~ alegatos de conclusion, y el conjunto de pruebas allegadas al Expediente. 9.2. Valoraci6n probatoria y conclusiones 9.2.1. Respecto de/ deber de Solicitar y conservar, en las condiciones previstas en la Ley, copia de la respectiva autorizaci6n otorgada por el Titular con lo estab/ecido en la Ley 1581 de 2012, articulo 17, literal b), en concordancia con el articulo 4, literal c) de la mismanorma La Ley 1581 de 2012 en su articulo 17 literal b), establece el deber de los Responsables de la lnformaci6n, de "[s]olicitar y consetVar, en las condiciones previstas en la [ ] fey, copia de la respectiva autorizaci6n otorgada por el Titular".
Lo anterior, con fundamento en el Principio de Libertad, establecido en la misma Ley articulo 4 literal c), que determina: "ARTiCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretaci6n y aplicaci6n de la presente fey, se aplicaran, de manera arm6nica e integral, los siguientes principios: [ ] c) Principia de /ibertad: El Tratamiento s6/o puede ejercerse con el consentimiento, previo, expreso e informado def Titular.
Los datos persona/es no podran ser obtenidos o divu/gados sin previa autorizaci6n, o en ausencia de mandato legal o judicial que re/eve el consentimiento". Respecto de la disertaci6n normativa expuesta, la Corte Constitucional en la antecitada Sentencia, sostuvo: "En raz6n de/ principio de libertad, el Titular tiene la garantia de comprobar que los datos que circulen sobre el, han sido previamente autorizados, solicitar prueba de ello y tambien puede revocar su autorizaci6n".
Asi, de conformidad con la Ley 1581 de 2012 articulos 4 literal c) y 17 literal b), el Tratamiento de Dates Personales (recolecci6n, almacenamiento, uso, circulaci6n o supresi6n, entre otros aspectos) s61o puede ejercerse con el consentimiento, previo, expreso e informado de su Titular, mediante autorizaci6n documentada de consulta disponible; salvo las excepciones legales establecidas26.
La prueba de la autorizaci6n otorgada por los Titulares de la lnformaci6n, resulta indispensable en su Tratamiento, y debera ser conservada por los Responsables de las bases de dates, mientras se mantenga vigente el tratamiento de los dates. El cumplimiento del deber objeto de estudio no se limita unicamente a solicitar la autorizaci6n, sine que se extiende a conservar copia de esta, en un medic que permita su consulta posteriormente.
En el presente case, esta Direcci6n, mediante Resoluci6n numero 87598 de 30 de noviembre de 2018 27 concluy6 sobre el primer cargo, de manera preliminar, que "/a sociedad RAPP/ S.A.S. recolect6 y trat6 datos def Titular de naturaleza privada, no obstante, no obtuvo la autorizaci6n pre via, expreso e informada def mismo. "28. En relaci6n con el cargo formulado, la sociedad RAPPi S.A.S. mediante sus escritos de descargos29 y alegatos de conclusi6n 30, segun el detalle transcrito en la presente Resoluci6n, sostuvo que "[e]/ senor mediante la firma de su contrato de trabajo [ ] otorg6 autorizaci6n a la sociedad Rappi S.A. S. para hacer tratamiento de todos sus datos personales" 31. \. 26 Ley 1581 de 2012, artfculo 10. 27 Expediente, folios 43 a 45. 28 Expediente, folio 44. 29 Consecutivo numero 00013-0001;
Expediente, folios 46 a 54. Consecutivo numero 00021-0001; Expediente, folios 67 a 82. 30 Consecutivo numero 00025-0001. Expediente, folios 88 a 89. 31 Expediente, folios 47, 68 y 88 (reverso). RESOLUCION NUMER§ "Por media de la cual se impone una sanci6n y se imparte una orden" [, -V-E-RS-IO_N_P_U_B_Ll_CA--. Esta Direcci6n encuentra y lee que la autorizaci6n otorgada por el Titular a la sociedad RAPPi S.A.S., en relaci6n con su lnformaci6n, incluida en su "[Contrato Individual de Trabajo a Termino lndefinido]" 32 para desemperiar el cargo de Gerente de Zona, suscrito el dia 18 de marzo de 201633, comprende: "CLAUSULA DEC/MA SEPT/MA.
DATOS PERSONALES. El TRABAJADOR autoriza expresamente al EMPLEADOR de manera irrevocable, escrita, expresa, concreta, suficiente, voluntaria e informada, para que toda la informaci6n personal actual y la que se genere en el futuro fruto de /as relaciones comercia/es y/o contractuales estab/ecidas con EL EMPLEADOR o con sus afiliados, referente /os datos Persona/es, de caracter sensible o no, de/ TRABAJADOR, sean recolectados, tratados, depositados, usados o puestos en circu/aci6n y consultados en la base de datos de propiedad exc/usiva de/ EMPLEADOR. /gualmente el TRABAJADOR autoriza al EMPLEADOR a entregar lnformaci6n de forma verbal, escrita o puesta a disposici6n de terceras personas, a /as autoridades administrativas y judiciales que lo requieran, a /os 6rganos de control y demas dependencias de investigaci6n disciplinaria, fiscal o administrativa cuando sea solicitada en desarrollo de una investigaci6n, o a otros operadores cuando tengan una finalidad similar a la que tiene el operador que entrega /os datos.
Baja la gravedad de juramento el TRABAJADOR certifica que /os datos persona/es suministrados son veraces, comp/etas, exactos, actualizados y comprobables, Por tanto, cualquier error en la informaci6n suministrada sera de (mica y exclusiva responsabi/idad de/ TRABAJADOR, lo que exonera al EMPLEADOR de responsabilidad ante /as autoridades judiciales y/o administrativas por la lnformaci6n consignada." 34.
De acuerdo con lo ex uesto anteriormente, esta Direcci6n determina que la autorizaci6n otorgada a la sociedad RAPPi S.A.S. con ocasi6n de la suscripci6n por el Titular del "[Contrato Individual de Trabajo a Termino lndefinido]" 35, nose extiende a la toma de fotografias que sobre aquel fueron difundidas promocionando el cargo de rappitendero (inclusive en redes sociales)36, pues como vemos el Titular autoriz6 estrictamente a la sociedad RAPPi S.A.S. a circular y consultar sus dates personales "en la base de datos de propiedad exclusiva def EMPLEADOR" 37 (subraya fuera de texto original) y/o "a entregar lnformaci6n de forma [ ] escrita o puesta a disposici6n de terceras personas [ ] cuando sea solicitada en desarrollo de una investigaci6n. o a otros operadores cuando tengan una finalidad similar a la que tiene el operador que entrega los datos'IJ 8 (subraya fuera de texto original). lgualmente, esta Direcci6n encuentra que el formate de autorizaci6n utilizado por la sociedad RAPPi S.A.S. resulta general, abierto, ampllsimo, indeterminado y ambiguo, induciendo en error a los Titulares que la conceden, pues confunde sobre el objetivo del Tratamiento de datos que se autoriza, y limita la protecci6n de datos personales del Titular; por cuanto dicho formate no explica al Titular, duerio de sus dates personales, las dates que recolecta y las finalidades del Tratamiento.
Para esta Direcci6n no es de recibo que la sociedad investigada utilice clausulas de ese tipo para amparar, de manera ilegal, el tratamiento que a los dates de sus Titulares subordinados imparte, en desarrollo de las obligaciones "conexas y complementarias" 39, igualmente indeterminadas, de sus contratos de trabajo, en la medida en que de la autorizaci6n solicitada, carece desde el punto de vista legal, de claridad y determinaci6n, por lo que el Titular al memento de otorgar la autorizaci6n, desconoce especificamente el Tratamiento de los datos que autoriza, porque se reitera, la clausula no lo explica, yen consecuencia la sociedad investigada restringe el derecho de habeas data y de autodeterminaci6n informatica del Titular.
De manera que esta Direcci6n encuentra probado el actuar negligente e ile S.A.S., al impartir Tratamiento de las datos personales del Titular, difundiendo sus fotografias en redes sociales con fines publicitarios sin contar con su consentimiento y/o autorizaci6n previa y expresa para ese efecto; hecho que restringi6 injustificadamente su derecho a la autodeterminaci6n informatica respecto de la su lnformaci6n personal y que le impidi6 como duerio y/o Titular de sus dates, decidir sobre su Tratamiento. 32 Expediente, folios 49 a 54 y 71 a 76. y 76.
Expediente, folios 53 y 75. 35 Expediente, folios 49 a 54 y 71 a 76. 36 Expediente, folios 7 a 11. 37 Expediente, folios 53 y 75. 38 Ibidem. 39 Expediente, folios 47, 68 y 88 (reverse). 33 Expediente, folios 54 RESOLUCION NUMER06 8 5 3 aE-~tni "Por media de la cual se impone una sanci6n y se imparte una orden" [,---V-E-RS-16_N_P_U_B_Ll_CA--..
Situaci6n que configura el incumplimiento del deber legal establecido en la Ley 1581 de 2012, articulo 17 literal b}, en concordancia con el articulo 4 literal c) de la misma norma. Razon per la cual esta Direcci6n impondra la sanci6n a que haya lugar e impartira la orden administrativa que corresponda, con la finalidad de que la sociedad RAPPi S.A.S. solicite la autorizaci6n previa y expresa a los Titulares de la informaci6n para el Tratamiento de sus dates personales en los terminos indicados per la normativa vigente. 9.2.2.
Respecto de/ deber de lnformar debidamente al Titular sobre la finalidad de la recoleccion y /os derechos que le asisten por virtud de la autorizacion otorgada: Ley 1581 de 2012 articulo 17 literal c), en concordancia con el articulo 4 literal b) de la mismanorma La Ley 1581 de 2012, articulo 17, literal c, establece el deber de los Responsables de la lnformaci6n, de "[1]nformar debidamente al Titular sabre la finalidad de la recolecci6n y las derechos que le asisten par virtud de la autorizaci6n otorgada".
Lo anterior con fundamento en el principio de finalidad, establecido para el Tratamiento de dates personales en la Ley 1581de2012, articulo 4, literal c, que seriala 'le]/ Tratamiento debe obedecer a una finalidad /egitima de acuerdo con la Constituci6n y la Ley, la cual debe ser informada al Titular''. Sabre el particular, la Corte Constitucional en la mencionada Sentencia C-748 de 2011, serial6 que en virtud del principio de finalidad las dates personales deben ser procesados con un prop6sito especifico y explicito, raz6n per la cual se impone el deber de informar clara, suficiente y previamente al titular acerca de la finalidad de la informaci6n suministrada, prohibiendo asi la recopilaci6n de dates sin la especificaci6n clara acerca de su finalidad, al precisar: "La libertad en la administraci6n de datos persona/es significa que el sujeto concernido mantenga, en todo momenta, las facultades de conocimiento, actualizaci6n y rectificaci6n de la informaci6n personal contenida en las bases de datos.
Si ello es asf, es evidente que la libertad def individuo ante el poder informatico se concreta, entre otros aspectos, en la posibilidad de controlar la informaci6n personal que sabre sf reposa en las bases de datos, competencia que esta supeditada a que exprese su consentimiento para la incorporaci6n de la informaci6n en el banco de datos o archivo correspondiente.
Este ejercicio de la libertad en los procesos informaticos, a juicio de la Corte, se concreta en la exigencia de autorizaci6n previa, expresa y suficiente por parte def titular de la informaci6n, requisito predicable de los actos de administraci6n de datos persona/es de contenido comercial y crediticio. La eliminaci6n def consentimiento def titular, adicionalmente, genera una desnaturalizaci6n def data financiero, comercial y crediticio, que viola el derecho fundamental al habeas data, en tanto restringe injustificadamente la autodeterminaci6n def sujeto respecto de su informaci6n personal.
Para la Constituci6n, la libertad def sujeto concernido significa que la administraci6n de datos persona/es no pueda reafizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momenta y lugar pueda conocer en d6nde esta su informaci6n personal, para que prop6sitos ha sido recolectada y que mecanismos tiene a su disposici6n para su actualizaci6n y rectificaci6n.
La eliminaci6n de la autorizaci6n previa, expresa y suficiente para la incorporaci6n def data en los archivos y bancos de datos administrados por los operadores permite, en ultimas, la ejecuci6n de actos ocultos de acopio, tratamiento y divulgaci6n de informaci6n, operaciones def todo incompatibles con los derechos y garantfas propios def habeas data." El principio rector, que para el cargo objeto de analisis es el de finalidad, se materializa en el acto de informar debidamente al Titular sabre la finalidad de la recolecci6n y los derechos que le asisten en virtud de la autorizaci6n.
De manera que el consentimiento es un elemento esencial en el manejo de la administraci6n de las dates, y que el mismo es calificado, per cuanto debe ser previo, expreso e informado, asi pues, el Titular antes de expresar su consentimiento debe conocer las finalidades para las cuales seran tratados sus dates, con el fin de autorizar su conservaci6n, use y circulaci6n segun lo informado per el Responsable del Tratamiento, y asi poder hacer use de la libertad y autodeterminaci6n informatica.
RESOLUCION NUME£8 5 3 3D-E -20~9 "Por media de la cual se impone una sanci6n y se imparte una orden" [,--V-E-RS-IO_N_P_U_B_Ll_CA---, En el presente caso, esta Direcci6n, mediante Resoluci6n numero 87598 de 30 de noviembre de 201840 concluy6 sobre el segundo cargo "que la sociedad RAPPi S.A.S. presuntamente no inform6 al Titular sabre la finalidad para el tratamiento de su informaci6n, conforme lo indica la /ey"41.
En relaci6n con el cargo formulado, la sociedad RAPPi S.A.S. mediante sus escritos de descargos42 y alegatos de conclusi6n 43, segun el detalle transcrito en la presente Resoluci6n, sostuvo "que el senor se oblig6 a desempefiar todas las funciones propias def emp/eo y cargo contratado, asi coma las conexas y complementarias [ ] pudiendo ser esto cua/quier actividad que fuera necesaria para el correcto desarrollo de sus funciones y su cargo, entre estas, tomarse unas fotografias que fueran usadas par la sociedad Rappi S.A. S. "44, agregando, entre otros aspectos que en desarrollo de la Autorizaci6n concedida mediante la suscripci6n del citado "[Contrato Individual de Trabajo a Termino lndefinido]"4 5 "el titular de las datos sf conocia la finalidad para la cual se iba a hacer tratamiento de sus datos persona/es y, con base en esto, no resulta procedente afirmar por parte de esta direcci6n ni par el quejoso que no se conocia la finalidad def tratamiento de las datos" 46.
Al respecto, la sociedad investigada aport6 documento de "[Politica de Protecci6n y Tratamiento de Oatos Persona/es Rappi S.A.S.]"47, cuya "[Vigencia]" 48 es definida asi: "Estas Politicas son una modificaci6n de /as Politicas de Tratamiento de datos persona/es que rigieron desde mayo de 2016. La presente Politica empezara a regir a partir de mavo de 2017' 49 (Subraya fuera de texto original).
Y que si bien su "Anexo 2 [ ] [Manual de Manejo de Datos Persona/es de Rappi S.A. S.] [ ] dirigido a personas trabajadoras o contratistas de Rappi que tengan acceso a informaci6n de usuarios, clientes, proveedores y en general terceros que tengan cualquier vinculo contractual con Rappt 50 aportado mediante escritos radicados los dias 14 de diciembre de 2017 51 y 14 de enero de 2019 52, determina: "[Tratamiento al cual seran sometidos /os Oatos] [ ] Rappi podra con la informaci6n reco/ectada de usuarios, clientes, contratistas, proveedores y, en general, terceros, de /os cua/es Rappi, en virtud de sus relaciones contractua/es y comerciales obtenga, almacene y administre informaci6n personal, realizar /as siguientes acciones: [ ] (iii) Utilizar /os datos suministrados en campanas de comunicaci6n, divulgaci6n y promoci6n u oferta de productos, actividades o servicios desarrol/ados coma parte de estrategias internas de la compania" 53. ~al Tratamiento de los Dates Personales impartido respecto del Titular - - - · pues el. periodo de tiempo en el que se presentaron los hechos objeto de la denuncia, esto es la toma de fotografias personales difundidas en canales de "publicidad' 54, se desarrollaron en el periodo de tiempo comprendido "entre el 18 de [m]arzo de 2016 y el 31 de fj]ulio de 2016" 55, difundidas inclusive hasta el dia 25 de mayo de 2017 56.
De manera que la fecha de entrada en vigencia de la finalidad publicitaria en la recolecci6n de dates personales, posterior a la captura y difusi6n de fotografias personales del Titular 40 Expediente, folios 43 a 45. 41 Expediente, folio 44 (reverse). 42 Consecutive numero 00013-0001; Expediente, folios 46 a 54. Consecutive numero 00021-0001;
Expediente, folios 67 a 82. 43 Consecutive numero 00025-0001. Expediente, folios 88 a 89. 44 Expediente, folios 47, 68 y 88 (reverse). 45 Expediente, folios 49 a 54 y 71 a 76. 46 Expediente, folios 47, 68 y 89. 47 Expediente, folios 19 a 34. 48 Expediente, folio 31 (reverse). 49 lbfdem. 50 Expediente, folios 32 y 78. 51 Expediente, folios 17 a 34. 52 Expediente, folios 46 a 54. 53 Expediente, folios 32 (reverse) y 79. 54 Expediente, folios 9 a 11. 55 Expediente, folio 2. 56 Expediente, folio
8. RESOLUCION NUMERB 8 5 3 1E 'Z0,.9 "Por media de la cua/ se impone una sanci6n y se imparte una orden" [, -V-E-RS-IO_N_P_U_B_Ll_CA----. por parte de la sociedad RAPPi S.A.S., no acredita, y a su turno desvirtua, la afirmacien referida a que "el titular de las datos sf conocia la finalidad" 57. Ahora bien, de otra parte, en el texto del " Contrato Individual de Trabajo a Termino lndefinido]"5 8 suscrito por parte del Titular, no se advierte como funcien conexa y complementaria originada en su cargo de Gerente de Zona, o como finalidad expresa de su trabajo, el disponer de sus fotografias personales para efectos de promocien publicitaria del cargo de Rappitendero 59; reiterando que esta Direccien ha concluido que el formate de autorizacien utilizado por la sociedad RAPPi S.A.S., general, amplisimo e indeterminado, induce en error a los Titulares que la conceden, pues confunde sobre el objetivo del Tratamiento de datos que se autoriza, y limita la proteccien de datos personales del Titular, toda vez que no explica al Titular, duerio de sus dates personales, los datos que recolecta y las finalidades del Tratamiento, restringiendo su derecho de habeas data y de autodeterminacien informatica.
Asi, esta Direccien encuentra demostrado ue la sociedad RAPPi S.A.S. realize Tratamiento de mediante la difusien de sus fotografias con datos personales del Titular fines publicitarios, sin ue revio a dicha difusien la sociedad RAPPi S.A.S. hubiese informado al Titular sobre esta finalidad de Tratamiento de sus datos personales; situacien que no acredite como sociedad investigada en el transcurso de la presente actuacien administrativa, pues aporte: (i) una Politica que expresamente contiene dicha finalidad, posterior al tratamiento impartido sobre las fotografias del Titular, y (ii) un contrato que no informa el Tratamiento al cual seran sometidos los datos personales del Titular y la finalidad del mismo60.
Por lo anteriormente ex uesto, la sociedad RAPPi S.A.S. realize Tratamiento de los datos personales del Titular, sin informar previamente la finalidad del mismo, situacien que de forma negligente le impidie conocer el objetivo especifico para el cual fueron tomadas las fotografias de su persona, vulnerando de esta manera el principio de libertad, estamento fundamental de la administracien de dates personales que permite al Titular elegir voluntariamente si desea o no que sus datos sean utilizados en una base de datos determinada y para unos fines especificos.
Asi, esta Direccien encuentra robado el actuar ne Ii ente e ilegal de la sociedad RAPPi S.A.S., en tanto no informe al Titular sobre la finalidad de la recoleccien de sus datos personales y sobre sus derechos al respecto, mediante la toma de fotografias de su persona para fines publicitarios, incumplimiento asi lo dispuesto en la Ley 1581 de 2012, articulo 17, literal c, en concordancia con el articulo 4, literal b de la misma norma; razen por la cual esta Direccien impondra la sancien a que haya lugar e impartira la orden administrativa que corresponda. 9.2.3.
Respecto de/ deber de adoptar un manual interno de politicas y procedimientos para garantizar el adecuado cump/imiento de la Ley y en especial, para la atenci6n de consultas y rec/amos, conforme lo establece la Ley 1581de2012 articu/o 17 literal k), en concordancia con el articulo 4 literal g) de la misma norma, y el Decreto Onico Reglamentario 1074 de 2015 articulo 2.2.2.25.2.8 La Ley 1581de2012, articulo 17, literal k, incorpora la obligacien en cabeza de los Responsables del Tratamiento de "[a]doptar un manual interno de politicas y procedimientos para garantizar el adecuado cumplimiento de la[ ] Ley yen especial, para la atenci6n de consu/tas y reclamos".
Obligacien respecto de la cual es dable aplicar el "Principia de seguridad'' establecido en el articulo 4 literal g) de la misma Ley y que determina "La informaci6n sujeta a Tratamiento pore/ Responsable def Tratamiento o Encargado def Tratamiento a que se refiere la presente fey, se debera manejar con las medidas tecnicas, humanas y administrativas que sean necesarias para otorgar seguridad 57 Expediente, folios 47, 68 y 89. 58 Expediente, folios 49 a 54 y 71 a 76. 59 Expediente, folios 7 a 11. 60 Ley 1581 de 2012.
"ARTfCULO
12. DEBER DE INFORMAR AL TITULAR. El Responsable def Tratamiento, ~ momenta de solicitar al Titular la autorizaci6n, debera informarle de manera clara y expresa lo siguiente: [] a) El Tratamiento al cual seran sometidos sus datos persona/es v la finalidad def mismo; [] b) El caracter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las nifias, nifios y adolescentes; c) Los derechos que le asisten como Titular; d) La identificaci6n, direcci6n fisica o e/ectr6nica y teletono de/ Responsable def Tratamiento." (Subraya fuera de texto original).
RESOLUCION NUMERO 8 5 3 ~E- 201g; "Por media de la cual se impone una sanci6n y se imparte una orden" [,--V-E-RS-16_N_P_U_B_Ll_CA--.. a los registros evitando su adulteraci6n, perdida, consu/ta, uso o acceso no autorizado o fraudulento". Normativa que encuentra su desarrollo en el Decreto Onico Reglamentario 1074 de 2015, articulo 2.2.2.26.2.8., que determina la obligaci6n para los Responsables y Encargados del Tratamiento de "documentar los procedimientos para el Tratamiento, conservaci6n y supresi6n de los datos persona/es de conformidad con las disposiciones aplicables a la materia de que se trate, asi como las instrucciones que al respecto imparta la Superintendencia de lndustria y Comercio." N6tese como las disposiciones normativas previamente citadas hacen referencia expresa del deber que tiene el Responsable de Tratamiento de datos de documentar e implementar unos procedimientos para la recolecci6n, almacenamiento, uso, circulaci6n y supresi6n de informaci6n, con el fin de que a lo largo del ciclo de vida del dato se garanticen y respeten los preceptos legales enmarcados desde la recolecci6n de la informaci6n hasta la disposici6n final de la misma, de tal suerte que no se empleen medics engariosos o fraudulentos para recolectar y tratar los datos personales y que siempre se utilicen para las finalidades que fueron autorizadas en su memento por el Titular, en el entendido de que la informaci6n se utilice unicamente para la finalidad que fue informada, lo que adicionalmente implica la supresi6n segura de la informaci6n y la correspondiente documentaci6n de este procedimiento.
Asi mismo, establecen la necesidad de que las medidas y procedimiento de seguridad (que deben ser apropiadas y proporcionales al tamario y operaciones de tratamiento de la informaci6n de la organizaci6n) se encuentren documentados a efectos de demostrar a esta Superintendencia, cuando a ello haya lugar, la implementaci6n del principio de responsabilidad demostrada, de tal suerte que la organizaci6n sea capaz de evidenciar que ha adoptado medidas proporcionales con: (i) su naturaleza juridica y dimension, (ii) la naturaleza de los datos que son objeto de tratamiento, (iii) el tipo de tratamiento y, sobre todo, (iv) que ha implementado un mecanismo para la medici6n y control de los riegos que puedan presentarse frente al derecho de los Titulares.
Existe entonces un deber del Responsable del Tratamiento de implementar controles de seguridad conforme al tipo de base de datos que se trate - fisica o automatizada -, de tal manera que permitan garantizar los estandares minimos de protecci6n establecidos en la Ley 1581 de 2012. Asi igualmente, el principio legal citado comprende la necesidad de garantizar al Titular que, si decide entregar su autorizaci6n para que determinada organizaci6n lleve a cabo el Tratamiento de la informaci6n por el suministrada, sus datos personales se mantendran almacenados de forma tal que se impedira la circulaci6n irrestricta y que no sea filtrada por las personas que intervienen en el tratamiento, de tal manera que el sujeto obligado implemente mecanismos y controles proporcionales y conformes a cada case en particular.
Consecuentemente, se hace necesario que esas politicas y procedimientos no sean simplemente contemplados o vislumbrados de manera quimerica por parte de la organizaci6n, sine que por el contrario, la Ley 1581 de 2012 exige que los procedimientos y politicas se encuentren documentados e implementados por la entidad; no otra interpretaci6n puede darse a la lectura del articulo 17 literal k) antecitado, que establece que corresponde al Responsable del tratamiento de la informaci6n adoptar un manual interno de politicas y procedimientos para garantizar el adecuado cumplimiento de sus disposiciones.
En el presente case, esta Direcci6n, mediante Resoluci6n numero 4820 de 28 de febrero de 201961 concluy6 en relaci6n con el tercer cargo, de manera preliminar, que la sociedad RAPPi S.A.S. "[q]ue [ ] los documentos aportados por la investigada [ ] no cumplen con lo establecido [ ] en la medida en que relaciona las politicas de tratamiento de datos como si fuera el manual inferno de procedimientos de seguridad y cic/o def dato''6 2.
En relaci6n con el cargo formulado, la sociedad RAPPi S.A.S., mediante sus escritos de descargos 63 y alegatos de conclusi6n 64, segun el detalle transcrito en la presente Resoluci6n, sostuvo "/a Superintendencia de lndustria y Comercio refiere a que Rappi no cuenta con un Manual 61 Expediente, folios 56 a 58. Expediente, folio 56 (reverse). 63 Consecutive numero 00021-0001;
Expediente, folios 67 a 82. 64 Consecutivo numero 00025-0001. Expediente, folios 88 a 89. RESOLUCION NUMER& 8 5 3 le 2Qfg "Por media de la cual se impone una sanci6n y se imparte una orden" ~--------- ( VERSl6N POBLICA de Manejo de Bases de Oatos, a lo cual Rappi se permite rectificar que dicho manual sf existe el cual nos permitimos anexar en estos descargos coma el Anexo no. 2. '~ 5; allegando el documento titulado "[Manual de Manejo de Oatos Persona/es de Rapp1] S.A.S." 66 Asi revisado el documento "[Manual de Manejo de Datos Persona/es de Rapp1] S.A.S." 67, que desarrolla los siguientes puntos a saber: "lc~A quienes esta dirigido este manual? [,] Normatividad[,] Definiciones[,] Deberes de las personas responsables de la custodia de la informaci6n a las cuales esta dirigido este Manua~,] Deberes de las personas encargadas de las personas a las cuales esta dirigido este Manual[,] Procedimiento[,] Tratamiento al cual seran sometidos las datos[,] Oerechos de/ Titular{,] Procedimiento para ejercitar Jos derechos de los usuarios[,] Del registro de las Bases de Datos ante la SIC]" 68, encuentra esta Direcci6n que los unicos elementos referidos al procedimiento inferno para garantizar el adecuado cumplimiento de la Ley 1581 de 2012, se desarrollan en los puntos "[Deberes de las personas responsables de la custodia de la informaci6n a las cua/es esta dirigido este Manual[,] Deberes de las personas encargadas de las personas a las cua/es esta dirigido este ManuaW 69, en donde se determina coma obligaciones para empleados, contratistas y/o colaboradores de la sociedad RAPPi S.A.S., los siguientes: "(i) Leery conocer las politicas instituidas para el manejo de informaci6n personal. [] (ii) Poner en conocimiento de usuarios, clientes, contratistas, proveedores y en general terceros con los cuales Rappi en virtud de sus relaciones contractuales y comerciales obtenga, almacene y administre informaci6n personal, la polftica y aviso de manejo de datos persona/es. [] (iii) Guardar /as constancias de aceptac16n de las polfticas de habeas data de Rappi [ ] (iv) Guardar estricta confidencialidad de toda la informaci6n personal que conozca de usuarios, clientes, contratistas, proveedores yen general terceros de los cuales Rappi en virtud de sus relaciones contractuales y comerciales obtenga, almacene y administre informaci6n personal. [ ] (v) lnformar a sus superiores sabre temas relacionados con tratamiento de informaci6n personal. [ ] (i) Registrar las bases de datos que posea ante la Superintendencia de industria y Comercio 'SIC'; [ ] (ii) Designar una persona responsable de la custodia y administraci6n de la Base de datos ante la S/C; [ ] (iii) Designar una persona o area que reciba, tramite y se haga responsable de la administraci6n de los datos persona/es; [ ] (iv) Velar por que se de estricto cumplimiento a lo consign ado en las politicas de manejo de datos persona/es de Rappt70.
Por tanto, el documento aportado no desarrolla la exigencia normativa en cita, en tanto no determina el procedimiento de medidas tecnicas, humanas y administrativas necesarias para otorgar seguridad a los registros evitando su adulteraci6n, perdida, consulta, uso o acceso no autorizado o fraudulento. Por otra parte, tampoco seriala el procedimiento para el Tratamiento, conservaci6n y supresi6n de los dates personales de conformidad con las disposiciones aplicables a la materia de que se trate.
En consecuencia, en tanto la sociedad RAPPi S.A.S., no acredit6 ante esta Superintendencia el cumplimiento de su deber como Responsable de la lnformaci6n de adoptar un Manual lnterno de Politicas y Procedimientos para garantizar el adecuado cumplimiento de la Ley, que desarrollara en especial, la seguridad y ciclo del dato al interior de la Compariia, en los terminos de la Ley 1581 de 2012 articulo 17 literal k); en concordancia con su articulo 4, literal g), y el Decreto Onico Reglamentario 1074 de 2015, articulo 2.2.2.25.2.8., esta Direcci6n procedera a impartir la orden administrativa a que haya lugar, a fin de que la sociedad garantice el adecuado cumplimiento del Regimen de Protecci6n de Datos Personales, y cuente con el respective Manual. 9.2.4.
Conc/usiones En el presente Acto Administrative, esta Direcci6n en relaci6n con la sociedad RAPPi S.A.S., efectu6 lo siguiente: (i) Encontr6 probado que la autorizaci6n suscrita por el Titular es restrictiva de sus derechos de habeas data y autodeterminaci6n informatica, y que no contiene su consentimiento previo y expreso para el Tratamiento de sus dates personales, coma tampoco la difusi6n de su 65 Expediente, folio 68 y 89. 66 Expediente, folios 32 a 34 y 78 a 82. 67 Ibidem. 68 Expediente, folios 32 a 33 y 78 a 81. 69 Expediente, folios 32 (reverse) 70 Ibidem. y
79. RESOLUCION NUMER - -.. DE 20~· "Par media de la cua/ se impone una sanci6n y se imparte una orden" [,__V_E_R_S-16_N_P_U_BL-IC-A---.. imagen/fotografias para fines publicitarios. Encontr6 probado que no inform6 al Titular sabre la finalidad y Tratamiento que iba a impartir sabre la recolecci6n de sus dates personales, esto es fotografias y/o captura de imagenes, y sabre sus derechos al respecto.
Encontr6 probado que carece de una Manual lnterno de Polfticas y Procedimientos para garantizar el adecuado cumplimiento de la Ley, que desarrolle en especial, la seguridad y ciclo del data al interior de la Compafiia. (ii) (iii) 9.2.5. Respecto de la Responsabilidad de los Administradores en materia de Datos Persona/es En este punto, resulta oportuno citar la Resoluci6n numero 83882 de 15 de noviembre de 2018, 1proferida par el Superintendente Delegado para la Protecci6n de Dates Personales, respecto de la responsabilidad de las administradores, que determina: "6. 1 Responsabilidad de /os Administradores en materia de tratamiento de datos persona/es.
El artfculo 2 de la Constituci6n de la Repub/ica de Colombia de 1991 sefla/a que son fines esenciales de/ Estado, entre otros, "garantizar la efectividad de las principios, derechos y deberes consagrados en la Constituci6n". N6tese coma la disposici6n constitucional reclama que se obtengan resultados positivos y concretos respecto de, entre otros, las derechos constitucionales como, par ejemplo, el debido tratamiento de datos persona/es o la protecci6n de datos previsto en el artfcu/o 15 de la Carta Po/ftica.
La efectividad de las derechos humanos es un asunto de gran importancia en la sociedad a ta/ punto que es una exigencia de natura/eza constitucional y def mas alto nivel en el ordenamiento jurfdico. Par eso, el citado artfcu/o ordena que las "autoridades de la Republica estan instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demas derechos y libertades, y para asegurar el cumplimiento de las deberes sociales de/ Estado y de las particu/ares".
Como es sabido, la Constituci6n Polftica de Colombia establece en el artfculo 333 que "la actividad econ6mica y la iniciativa privada son fibres, dentro de las Ifmites de/ bien comun". Dicho "bien comun" se refiere a cuestiones relevantes para una sociedad coma, entre otros, la protecci6n de las derechos humanos porque son imprescindibles para que cua/quier ser humano sea tratado coma una "persona" y no coma un objeto o cosa.
En lfnea con lo anterior, nuestra Carta Polftica reca/ca que la "fibre competencia econ6mica es un derecho de todos que supone responsabilidades" y que la "empresa, coma base de/ desarrollo, tiene una funci6n social que implica obligaciones". Como se observa, la actividad empresarial no puede rea/izarse de cua/quier manera yen el mundo empresarial no tiene cabida jurfdica la afirmaci6n segun la cual el "fin justifica las medias".
En efecto, no se trata de una libertad ilimitada, sino de una actividad "restringida" porque no s6/o debe ser respetuosa de/ bien comun, sino que demanda el cumplimiento de obligaciones constitucionales y legates. El bien comun a que se refiere el precitado artfculo 333 exige que, entre otras, la realizaci6n de cualquier actividad econ6mica garantice, entre otras, las derechos fundamentales de las personas.
Es par eso que la Constituci6n pone de presente que la participaci6n en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la fey. Ahora bien, segun el artfcu/o 22 de la fey 222 de 1995/a expresi6n administradores comprende al "representante legal, el liquidador, el factor, las miembros de juntas o consejos directivos y quienes de acuerdo con las estatutos ejerzan o detenten esas funciones".
Cualquiera de el/as tiene la obligaci6n legal de garantizar las derechos de las titulares de las datos y de cumplir la fey 1581 de 2012 y cualquier otra norma. Es par eso que el artfculo 23 de la fey en menci6n estab/ece que las administradores no s6/o deben "obrar de buena fe, con /ea/tad y con la diligencia de un buen hombre de negocios", sino que en el cumplimiento de sus funciones deben "velar par el estricto cumplimiento de las disposiciones legates o estatutarias" (subrayamos) Observese que la regu/aci6n no exige cualquier tipo de cumplimiento de la fey, sino uno ca/ificado, es decir, estricto o ajustado con exactitud a lo estab/ecido en la norma.
Velar par el estricto cumplimiento de la fey exige que las administradores actUen de manera muy profesional, diligente y proactiva para que en su organizaci6n la regu/aci6n se cumpla de manera real (no RESOLUCION NUMERa6 8 5 3 ae-21Jf§ "Por media de la cua/ se impone una sanci6n y se imparte una orden" [,__V_E_R_S-16_N_P_U_B_LIC-A---. formal), efectiva y rigurosa.
Por eso, /os administradores deben cuidar con esmero este aspecto y no s6/o ser guardianes sino promotores de la correcta y precisa aplicaci6n de la fey. Esto, desde luego, implica que los administradores deben verificar permanentemente si ta fey se esta cumpliendo en todas las actividades que rea/iza su empresa u organizaci6n. N6tese que el artfculo 24 de la fey en comento presume la culpa def administrador "en /os casos de incumplimiento o extralimitaci6n de sus funciones, violaci6n de la fey ode /os estatutos".
Dicha presunci6n de responsabilidad exige que los administradores esten en capacidad de probar que han obrado con lea/tad y la diligencia de un experto, es decir, como un "buen hombre de negocios" tat y como lo seflala el precitado artfculo 23. Adicionalmente, no debe perderse de vista que los administradores jurfdicamente responden "solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a /os socios o a terceros" Todo lo anterior pone de presente no s6/o el alto nivel de responsabilidad jurfdica y econ6mica en cabeza de /os administradores, sino el enorme profesionalismo y diligencia que debe rodear su gesti6n en el tratamiento de datos persona/es." En este sentido es de suma importancia resaltar la responsabilidad jurfdica y econ6mica, que radica no s6/o en las personas jurfdicas, sino tambien en cabeza de sus administradores, de suerte que este Despacho es enfatico en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gesti6n para tratamiento de datos persona/es." Por lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad RAPPi S.A.S., para que se adopten las medidas pertinentes, utiles, efectivas y verificables con el prop6sito de: 1) Evitar que se repitan hechos come los que dieron origen a la presente investigaci6n. 2) Respetar y garantizar los derechos de los Titulares de los dates. 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sabre el Tratamiento de dates personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de lndustria y Comercio incorporadas en la "Gula para implementaci6n def principio de responsabilidad demostrada (accountability)" 71, con especial enfasis en adoptar politicas y procedimientos internos ajustados a la normativa vigente para la Protecci6n de Dates Personales, que permitan a los Titulares ejercer su derecho de habeas data a conformidad. 5) Hacer efectivo el pleno respeto del derecho fundamental a la protecci6n de dates de las personas.
NOVENO: En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y de conformidad con lo establecido en la Ley 1581 de 2012, articulo 21, literal e, que asigna, entre otras funciones, a esta Superintendencia el l.. ] lmpartir instrucciones sabre las medidas y procedimientos necesarios para la adecuaci6n de las operaciones de las Responsables def Tratamiento y Encargados def Tratamiento a las disipaciones previstas en la presente Ley[ ]", esta lnstancia procedera a impartir la siguiente instrucci6n: • La sociedad RAPPi S.A.S. debera abstenerse inmediatamente de seguir utilizando el formate de autorizaci6n conocido por esta Superintendencia e incluido en los Contratos de Trabajo que suscribe 72, y de impartir Tratamiento sabre dates personales de Titulares 71 Disponible en http://www.sic.gov.co/sites/default/files/fileslPublicaciones/Guia-Accountability.pdf Se cita de los folios 53 y 75 del Expediente: "CLAUSULA DEC/MA SEPT/MA.
DATOS PERSONALES. El TRABAJADOR autoriza expresamente al EMPLEADOR de manera irrevocable, escrita, expresa, concreta, suficiente, voluntaria e informada, para que toda la informaci6n personal actual y la que se genere en el futuro fruto de las re/aciones comerciales ylo contractuales establecidas con EL EMPLEADOR o con sus afiliados, referente los datos Persona/es, de caracter sensible o no, def TRABAJADOR, sean recolectados, tratados, depositados, usados o puestos en circulaci6n y consultados en la base de datos de propiedad exclusiva def EMPLEADOR. lgualmente el TRABAJADOR autoriza al EMPLEADOR a entregar lnformaci6n de forma verbal, escrita o puesta a disposici6n de terceras personas, a las autoridades administrativas y judiciales que lo requieran, a /os 6rganos de control y demas dependencias de investigaci6n disciplinaria, fiscal o administrativa cuando sea so/icitada en desarrollo de una investigaci6n, o a otros operadores cuando tengan una finalidad similar a la que tiene el operador que entrega los datos.
RESOLUCION NUMER 8 5 3 3DE 2o~ "Par media de la cual se impone una sanci6n y se imparte una orden" [, _V_E_R_S-16_N_P_U_B_LIC-A---.. recolectados con base en la citada autorizaci6n hasta tanto adecue la misma. Asi, debera adecuar los modelos de autorizaci6n que utiliza en la totalidad de sus relaciones contractuales, en los terminos establecidos en la Ley 1581 de 2012 artf culo 3 literal a) en concordancia con el Decreto 1074 de 2015 artfculo 2.2.2.25.2.2., y establecer con precision que la autorizaci6n solicitada contenga el consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus dates personales, informando en relaci6n con aquellos dates que recolectara el Tratamiento que le impartira, y todas las finalidades especificas para las cuales obtiene el consentimiento. • La sociedad RAPPi S.A.S. debera adoptar un Manual lnterno de Politica y Procedimiento que garantice la adecuada seguridad, al detalle, en la recolecci6n, almacenamiento, uso, circulaci6n y supresi6n del date, come tambien la descripci6n de las finalidades para las cuales la informaci6n es recolectada, y la explicaci6n sobre la necesidad de recolectar los dates en cada case.
De lo anteriormente ordenado la sociedad RAPPi S.A.S. debera acreditar ante este Despacho, las acciones correctivas adoptadas, de la forma y dentro del termino serialado en la parte resolutiva del presente acto administrative.
DECIMO: lmposici6n y graduaci6n de la sanci6n 10.1. Facultad sancionatoria La Ley 1581 de 2012 le confiri6 a la Superintendencia de lndustria y Comercio una potestad sancionatoria que se concreta en el articulo 23 de la misma norma. Esta potestad sancionatoria, que es una manifestaci6n del poder punitive del Estado, derivado de los artfculos 273, 474 y 675 de la Constituci6n, debe respetar las garantf as constitucionales fijadas en el articulo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo 76.
La Corte Constitucional serial6 sobre este asunto: "La sanci6n administrativa, como respuesta def Estado a la inobservancia por parte de /os administrados de las obligaciones, deberes y mandatos genera/es o especificos que se han ideado para el adecuado funcionamiento y marcha de la administraci6n entre otros, y consecuencia concreta de/ poder punitivo de/ Estado, no debe ser ajena a las principios que rigen el derecho al debido proceso."77 (Negrilla fuera de texto original).
Dentro del marco de la Ley 1581 de 2012, con relaci6n a la imposici6n de la sanci6n, el articulo 24 ibidem establece unos criterios de graduaci6n que permiten garantizar el respeto de las garantias del artf culo 29 Constitucional 78 y que, por lo tanto, esta Direcci6n debera analizar para el ca so concrete y asi determinar cuales debe tener en cuenta.
Esos criterios, segun la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravaci6n, entre los literales a) y e), y a una circunstancia de atenuaci6n o disminuci6n de la sanci6n, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracci6n al Regimen de Protecci6n de Dates, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho [ ] Baja la gravedad de juramento el TRABAJADOR certifica que los datos persona/es suministrados son veraces, completos, exactos, actualizados y comprobables, Por tanto, cualquier error en la informaci6n suministrada sera de (mica y exclusiva responsabilidad def TRABAJADOR, lo que exonera al EMPLEADOR de responsabilidad ante las autoridades judiciales ylo administrativas por la lnformaci6n consignada.". 73 Articulo 2. [ ] Las autoridades de la Republica estan instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demas derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.
(Negrilla fuera de texto original). 74 Articulo 4. La Constitucion es norma de normas. [ ] Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitucion y las leyes, y respetar y obedecer a las autoridades. (Negrilla fuera de texto original). 75 Articulo 6. Los particulares solo son responsables ante las autoridades por infringir la Constitucion y las leyes.
Los servidores publicos lo son por la misma causa y por omision o extralimitacion en el ejercicio de sus funciones. (Negrilla fuera de texto original). 76 Al respecto ver Sentencias Corte Constitucional: Sala Plena, C-564 de 17 de mayo de 2000, Magistrado Ponente Doctor Alfredo Beltran Sierra; Sala Octava de Revision, T-010 de 20 de enero de 2017, Magistrado Ponente Doctor Alberto Rojas Rios;
Sala Plena, C-034 de 29 de enero de 2014, Magistrada Ponente Doctora Maria Victoria Calle. 77 Corte Constitucional, Magistrado Ponente Doctor Alfredo Beltran Sierra, 17 de mayo de 2000; Considerando 5.5.2. 78 Articulo 29. El debido proceso se aplicara a toda clase de actuaciones judiciales y administrativas. [ ] (Negrilla fuera de texto original).
RESOLUCION NUMER06 8 5 3Jc2mg· "Por medio de la cua/ se impone una sanci6n y se imparte una orden" ~~~~~~~~ [ VERSl6N PUBLICA administrative sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanci6n y la finalidad que la norma vulnerada que establezca, asi como la proporcionalidad entre la gravedad de la infracci6n y la sanci6n aplicada.
Sobre la aplicaci6n de este principio, la Corte Constitucional ha serialado: "En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, este exige que tanto la fa/ta descrita como la sanci6n correspondiente a las mismas que resulten adecuadas a /os fines de la norma, esto es, a la realizaci6n de los principios que gobieman la funci6n publica.
Respecto de la sanci6n administrativa, la proporcionalidad implica tambien que el/a no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad'79 Siendo asi, para la correcta adecuaci6n de los hechos y la sanci6n aplicable, el operador juridico en materia de protecci6n de dates personales debe analizar todos los criterios de graduaci6n establecidos en la Ley 1581 de 2012 articulo 24, con la finalidad de establecer c6mo se aplican al caso concrete y, de esa forma, seleccionar y graduar la sanci6n que se impondra. Para esta finalidad, tambien se puede tener en cuenta para la dosificaci6n de la sanci6n, el tamario de la empresa, sus ingresos operacionales, patrimonio y, en general, su informaci6n financiera, como tambien su rol dentro del cumplimiento del Regimen General de Protecci6n de Datos Personales, de tal forma que la sanci6n resulte disuasoria mas no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificaci6n de perjuicios materiales o morales, es decir no se trata de la cuantificaci6n de un dario subjetivo, coma sucede en el regimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, conforme lo precisa la Ley 1581 de 2012 en sus articulos 22 y siguientes, son una consecuencia negativa impuesta en contra de la persona natural o jurldica que viole las disposiciones de la Ley 1581 de 2012 80.
Esta consecuencia negativa tiene coma finalidad promover y garantizar el cumplimiento del Regimen General de Protecci6n de Dates Personales y, de esa forma, proteger el derecho fundamental a la protecci6n de datos personales, entre otros 81. La imposici6n de sanciones par violaci6n de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protecci6n de datos personales, derecho humane (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en la Constituci6n de 1991 artlculo 15, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional coma la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneraci6n del derecho fundamental a la protecci6n de dates personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, coma una cuesti6n insignificante o de poca manta.
La transgresi6n flagrante a las derechos humanos de un ciudadano es, por sl s61o, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuerdese que, segun la Declaraci6n Universal de las Derechos Humanos, "el desconocimiento y el menosprecio de las derechos humanos han originado actos de barbarie ultrajantes para la 79 Corte Constitucional, Sala Plena, Sentencia C-125 de 18 de febrero de 2003, Magistrado Ponente Doctor Marco Gerardo Monroy Cabra. 80 El articulo 22 de la Ley 1581 de 2012 define que la Superintendencia de lndustria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptara las medidas o impondra las sanciones correspondientes.
(Negrilla fuera de texto original). Al respecto dijo la Corte Constitucional en Sentencia C-748 de 2011: "Esta norma [el articulo 23] cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el articulo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley.
En este sentido, el supuesto de hecho que completa la norma juridica sancionatoria esta constituido por la infracci6n de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protecci6n de datos personales." (Negrilla fuera de texto original). 81 Las sanciones impuestas en funci6n del derecho administrative sancionatorio pretenden asegurar el orden publico y el correcto funcionamiento de la administraci6n.
Al respecto ver: Corte Constitucional, Sala Plena, Sentencia C-703 de 2010 Magistrado Ponente Doctor Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, Sentencia C-010-03 Magistrada Ponente Doctora Clara Ines Vargas. - RESOLUCION NUMER06.. d 8 5 3 E-20"'1~ "Por medio de la cua/ se impone una sanci6n y se imparte una Ofi~d e_n_"_ _ _ _ __ [ canciencia de la humanidad' 82.
Por eso, segun dicho documento, se considera "esencial que las derechas humanos sean protegidas par un regimen de Derecha". No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia 83. 10.1.1. La dimension de/ daflo o peligro a los intereses juridicos tutelados por la Ley De la lectura de la Ley 1581 de 2012 articulo 24, resulta claro que para que haya lugar a la imposici6n de una sanci6n por parte de esta Direcci6n, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses juridicos tutelados por la Ley 1581 de 2012.
La norma, pues, hace una distinci6n entre el dario concretado y el peligro o riesgo a los intereses juridicos tutelados por la Ley 1581 de 2012, entre otros, la protecci6n del derecho fundamental a la protecci6n de dates personales y habeas data. 10.1.1.1. Respecta de la Ley 1581 de 2012 artfcula 23 literal a) En el caso sub-examine, con base en la Ley 1581 de 2012, articulo 24 literal a, esta Direcci6n evidencia que los cargos comprobados en contra de la sociedad RAPPi S.A.S. afectaron de forma real y concreta los derechos fundamentales del Titular, denunciante.
En primer lugar, frente al cargo primero, en relaci6n con el incumplimiento del deber establecido en la Ley 1581 de 2012 articulo 17 literal b), en concordancia con el articulo 4 literal c) de la misma norma; configurado por cuanto se encontr6 probado ue la sociedad RAPPi S.A.S. imparti6, difundiendo sus Tratamiento de los dates personales del Titular fotografias en redes sociales con fines publicitarios sin contar con su consentimiento y/o autorizaci6n previa y expresa para ese efecto, por cuanto se encontr6 demostrado que la sociedad investigada solicit6 el consentimiento del titular haciendo uso de un formate de autorizaci6n general, abierto, amplisimo, indeterminado y ambiguo; hecho que, como se explic6, restringi6 injustificadamente su derecho a la autodeterminaci6n informatica respecto de la su lnformaci6n personal y que le impidi6 como duerio y/o Titular de sus dates, decidir sobre su Tratamiento, esto es definir la calidad de los dates personales que otorga y el uso que permitira sobre los mismos a quien concede la autorizaci6n; esta Direcci6n impondra, dentro del margen que le otorga la Ley 1581 de 2012 articulo 23 literal a, que varia entre unos (1) y dos mil (2000) Salaries Minimos Legales Mensuales Vigentes, una multa de TREINTA Y TRES MILLONES CIENTO VEINTICUATRO MIL SEISCIENTOS CUARENTA PESOS (COP$33.124.640), correspondiente a CUARTENTA (40) Salaries Minimos Legales Mensuales Vigentes.
Y, en segundo lugar, frente al cargo segundo, en relaci6n con el incumplimiento del deber establecido en la Ley 1581 de 2012 articulo 17 literal c), en concordancia con el articulo 4 literal b) de la misma norma; confi urado or cuanto se encontr6 probado que la sociedad RAPPi S.A.S. no, la finalidad especifica del Tratamiento de sus dates de inform6 al Titular manera previa al tomar las fotografias para difundirlas en publicidad no relacionada con su cargo desemperiado mediante contrato de trabajo; situaci6n que como qued6 explicado en la presente Resoluci6n vulner6 su derecho de habeas data; esta Direcci6n impondra, dentro del margen que le otorga la Ley 1581 de 2012 articulo 23 literal a, que varia entre unos (1) y dos mil (2000) Salaries Minimos Legales Mensuales Vigentes, una multa de TREINTA Y TRES MILLONES CIENTO VEINTICUATRO MIL SEISCIENTOS CUARENTA PESOS (COP$33.124.640), correspondiente a CUARTENTA (40) Salaries Minimos Legales Mensuales Vigentes. 10.1.2.
Otros criterios de graduacion Por ultimo, se aclara que frente a la sociedad investigada los criterios de graduaci6n de la sanci6n serialados en la Ley 1581 de 2008 articulo 24 literales b, c, d ye, no seran tenidos en cuenta debido a que: (i) no hubo beneficio econ6mico obtenido por el infractor o terceros, en virtud de la comisi6n de la infracci6n;
(ii) no hubo reincidencia en la comisi6n de la infracci6n, (iii) no hubo resistencia u obstrucci6n a la acci6n investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las 6rdenes e instrucciones de esta Direcci6n. Asi mismo, no se beneficiara del criterio de atenuaci6n establecido en el articulo 24 literal f ibidem, con relaci6n a los cargos, porque la sociedad investigada no acept6 la comisi6n las infracciones con anterioridad a la imposici6n de la sanci6n. 82 Organizaci6n de las Naciones Unidas (1948).
Declaraci6n Universal de los Derechos Humanos. Carta Democratica lnteramericana, Artfculo 3. Documento http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm. disponible: RESOLUCION NUMERdl 8 5 3 J>E' 20f9 "Por medio de la cual se impone una sanci6n y se imparte una orden" [, -V-E-RS-16_N_P_U_B_Ll_CA--.. En merito de lo expuesto este Despacho, RESUELVE ARTiCULO PRIMERO: lmponer sancion pecuniaria a la sociedad RAPPi S.A.S., con Numero de ldentificacion Tributaria 900.843.898-9, de SESENTA Y SEIS MILLONES DOSCIENTOS CUARENTA Y NUEVE MIL DOSCIENTOS OCHENTA PESOS M/cte.
($66.249.280), equivalente a OCHENTA (80) Salaries Minimos Legales Mensuales Vigentes, per violacion de lo dispuesto en: (i) la Ley 1581 de 2012 articulo 17 literal b), en concordancia con el articulo 4 literal c) de la misma norma; y (ii) la Ley 1581de2012, articulo 17 literal c), en concordancia con el articulo 4 literal b) de la misma norma.
PARAGRAFO PRIMERO: El valor de la sancion pecuniaria que per esta resolucion se impone, debera consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Direccion del Tesoro Nacional - Fondos Comunes, Codigo Rentistico No. 350300, N.l.T. 899.999.090-2. El page debera efectuarse dentro de los cinco (5) dias habiles siguientes a la ejecutoria de esta Resolucion y acreditarse en la ventanilla de Tesoreria de esta Superintendencia con el original de la consignacion, donde le expediran el recibo de caja aplicado a la resolucion sancionatoria.
Vencido este plazo se cobraran intereses per cada dia de retraso, liquidados a la tasa del 12% efectivo anual. ARTiCULO SEGUNDO: ORDENAR a la sociedad RAPPi S.A.S. con Numero de ldentificacion Tributaria 900.843.898-9, cumplir la siguiente instruccion, dentro del termino de dos (2) meses siguientes a la ejecutoria de la presente decision: • La sociedad RAPPi S.A.S. debera abstenerse inmediatamente de seguir utilizando el formate de autorizacion conocido per esta Superintendencia e incluido en los Contratos de Trabajo que suscribe 84, y de impartir Tratamiento sobre dates personales de Titulares recolectados con base en la citada autorizacion hasta tanto adecue la misma.
Asi, debera adecuar los modelos de autorizacion que utiliza en la totalidad de sus relaciones contractuales, en los terminos establecidos en la Ley 1581 de 2012 articulo 3 literal a) en concordancia con el Decreto 1074 de 2015 articulo 2.2.2.25.2.2., y establecer con precision que la autorizacion solicitada contenga el consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus dates personales, informando en relacion con aquellos dates que recolectara el Tratamiento que le impartira, y todas las finalidades especificas para las cuales obtiene el consentimiento. • La sociedad RAPPi S.A.S. debera adoptar un Manual lnterno de Politica y Procedimiento que garantice la adecuada seguridad, al detalle, en la recoleccion, almacenamiento, use, circulacion y supresion del date, come tambien la descripcion de las finalidades para las cuales la informacion es recolectada, y la explicacion sobre la necesidad de recolectar los dates en cada case.
PARAGRAFO PRIMERO: La sociedad RAPPi S.A.S. con Numero de ldentificacion Tributaria 900.843.898-9, debera acreditar el cumplimiento de lo ordenado en el presente articulo ante esta Superintendencia dentro de los cinco (5) dias habiles siguientes a la expiracion del plazo previsto para su acatamiento; mediante certificacion de cumplimiento de cada una de las ordenes impartidas per mandate de este acto administrative, suscrita per parte de su Representante Legal.
Se cita de los folios 53 y 75 del Expediente: "CLAUSULA DEC/MA SEPT/MA. DATOS PERSONALES. El TRABAJADOR autoriza expresamente al EMPLEADOR de manera irrevocable, escrita, expresa, concreta, suficiente, vo/untaria e informada, para que toda la informaci6n personal actual y la que se genere en el futuro fruto de las relaciones comerciales y/o contractuales estab/ecidas con EL EMPLEADOR o con sus afiliados, referente los datos Persona/es, de caracter sensible o no, def TRABAJADOR, sean recolectados, tratados, depositados, usados o puestos en circulaci6n y consultados en la base de datos de propiedad exc/usiva def EMPLEADOR. lgualmente el TRABAJADOR autoriza al EMPLEADOR a entregar lnformaci6n de forma verbal, escrita o puesta a disposici6n de terceras personas, a las autoridades administrativas y judicia/es que lo requieran, a los 6rganos de control y demas dependencias de investigaci6n disciplinaria, fiscal o administrativa cuando sea solicitada en desarrollo de una investigaci6n, o a otros operadores cuando tengan una finalidad similar a la que tiene el operador que entrega /os datos. [ ] Baja la gravedad de juramento el TRABAJADOR cerlifica que los datos persona/es suministrados son veraces, comp/etas, exactos, actualizados y comprobables, Por tanto, cualquier error en la informaci6n suministrada sera de {mica y exclusiva responsabilidad def TRABAJADOR, lo que exonera al EMPLEADOR de responsabilidad ante las autoridades judiciales ylo administrativas por la lnformaci6n consignada.
". B4 RESOLUCION NUMER& "Par media de la cual se impane una sanci6n y se imparte una afi_d_e_n'_'----~ [ PARAGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrative, hara a la sociedad RAPPi S.A.S. con Numero de ldentificaci6n Tributaria 900.843.898-9, acreedora de las sanciones previstas en la Ley.
ARTICULO TERCERO: EXHORTAR a los Representantes Legales de la sociedad RAPPi S.A.S., seriores FELIPE VILLAMARIN LAFAURIE C.C. 1.136.881.540 y DANIEL MITCHELL RESTREPO C.C. 3.481.942, para que adopten las medidas pertinentes, utiles, efectivas y verificables con el prop6sito de: 1) Evitar que se repitan hechos come los que dieron origen a la presente investigaci6n. 2) Respetar y garantizar los derechos de los Titulares de los dates. 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de dates personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de lndustria y Comercio incorporadas en la "Gula para implementaci6n def principio de responsabilidad demostrada (accountability)" 85, con especial enfasis en adoptar politicas y procedimientos internos ajustados a la normativa vigente para la Protecci6n de Dates Personales, que permitan a los Titulares ejercer su derecho de habeas data a conformidad. 5) Hacer efectivo el pleno respeto del derecho fundamental a la protecci6n de dates de las personas.
ARTICULO CUARTO: Notificar el contenido de la presente Resoluci6n al Representante Legal y/o Apoderado Legal de la sociedad RAPPi S.A.S., con Numero de ldentificaci6n Tributaria 900.843.898-9, o a quien haga sus veces, entregandole copia de la misma e informandole que contra ella precede recurse de reposici6n ante el Director de lnvestigaci6n de Protecci6n de Dates personales y el de apelaci6n ante el Superintendente Delegado para la Protecci6n de Dates Personales, dentro de los diez (10) dias habiles siguientes a la diligencia de notificaci6n.
ARTICULO QUINTO: Comunicar el contenido de la presente Resoluci6n al senor Titular identificado con cedula de ciudadania numero
NOTIFIQUESE,
COMUNIQUESE Y CUMPLASE Dada en Bogota D. C., g ·2 NO~ El Director de lnvestigaci6n de Protecci6n de Dates Personales AZAR MUNOZ KJPM/ AMVJ NOTIFICACION lnvestigada: Sociedad: ldentificaci6n: Representante Legal: ldentificaci6n: Direcci6n: Ciudad: Correo electr6nico: RAPPi SAS N.l.T. 900.843.898-9 FELIPE VILLAMARIN LAFAURIE C.C. 1.136.881.540 Calle 93 # 19 - 58 Bogota D.C. felipe@rappi.com 85 Disponible en http://www.sic.gov.co/sites/defaulUfiles/files/Publicaciones/Guia-Accountability.pdf.. l • +'.
RESOLUCION NUMER06 85 3~ ° "Por media de la cual se impone una sanci6n y se imparte una o:,.:;rd:.;;;.e:..: n'_'----~ [ COMUNICACION Denunciante Senor: ldentificaci6n: Correo electr6nico: Apoderado: ldentificaci6n: Correo electr6nico: