Mediante Resolución 68369 de 2020, la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio resolvió una investigación en contra de ALMACENES ÉXITO S.A. y CDISCOUNT hoy ÉXITO INDUSTRIAS S.A.S, la cual tenía por objeto determinar si ALMACENES ÉXITO S.A. en calidad de Responsable del Tratamiento transgredió las normas de protección de datos personales contenidas en el literal h) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma Ley y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y determinar si ÉXITO INDUSTRIAS S.A.S. en su calidad de Encargado del Tratamiento transgredió o no lo contenido en el literal a) del artículo 18 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.
En cuanto a ALMACENES ÉXITO S.A., se analizó su deber como Responsable del Tratamiento de Datos Personales de suministrar al Encargado del Tratamiento únicamente datos previamente autorizados. En el caso en concreto, una denunciante manifestó que recibía correos por parte de CDISCOUNT de manera constante, a pesar de haber retirado su autorización para el uso de sus datos personales. Esto debido a que ALMACENES ÉXITO S.A. suministró a ÉXITO INDUSTRIAS S.A.S. en calidad de Encargada, datos personales de la denunciante de naturaleza no pública (como lo es su correo electrónico) sin contar con su autorización, teniendo en cuenta que esta es obtenida mediante “pop ups” de registro, en donde la casilla de aceptación de términos y condiciones legales se encuentra marcada automáticamente, es decir, no requiere hacer click para otorgar una autorización. Por lo anterior se comprobó que ALMACENES ÉXITO S.A. transgredió la norma en cuestión, ya que no obtuvo autorización previa, expresa e informada por parte del titular para suministrar sus datos al Encargado del Tratamiento.
Respecto a ÉXITO INDUSTRIAS S.A.S., se analizó el cumplimiento de su deber como Encargado del Tratamiento de datos personales de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data. Este derecho consiste en que los titulares podrán en todo momento solicitar la supresión de sus datos y/o revocar la autorización concedida para el tratamiento de los mismos, lo cual se debe realizar mediante mecanismos gratuitos y de fácil acceso. En el caso particular, se evidenció que los datos que la denunciante solicitó fueran removidos, no fueron suprimidos de las bases de correos electrónicos de la empresa a pesar de sus reclamaciones, hasta que el Grupo de Trabajo de Habeas Data lo ordenó mediante resolución. ÉXITO INDUSTRIAS S.A.S. aceptó que incumplió con el deber en cuestión, criterio que se tuvo en cuenta para graduar la sanción impuesta, reduciéndola en un 50% en aplicación del literal f) del artículo 24 de la Ley 1581 de 2012.
Por lo anterior, la Superindustria resolvió:
- IMPONER una sanción pecuniaria a ALMACENES ÉXITO S.A. de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS ($145.846.272) por la violación a lo dispuesto en el literal h) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 de la misma Ley y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.
- IMPARTIR dos órdenes administrativas a la sociedad ALMACENES ÉXITO S.A., así: i) Deberá cesar la utilización de “pop ups de registro condicionados a la aplicación del check box” como mecanismo para obtener la autorización para el tratamiento de los datos personales de los titulares; y ii) Deberá proceder con la supresión de todos los datos personales de los titulares cuyo consentimiento haya obtenido mediante “pop ups de registro condicionados a la aplicación del check box”. A esto debe dar cumplimiento dentro de los sesenta (60) días siguientes a la ejecutoria del acto administrativo.
- IMPONER una sanción pecuniaria a la sociedad ÉXITO INDUSTRIAS S.A.S. de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS ($72.923.136) por la violación a literal a) del artículo 18 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. Reiterando que se redujo en un 50% debido a la aplicación del literal f) del artículo 24 de la Ley 1581 de 2012.
- IMPARTIR tres órdenes administrativas a la sociedad ÉXITO INDUSTRIAS S.A.S. así: i) Suprimir de manera definitiva y oportuna los datos personales de los titulares cuya información es recolectada, usada o tratada por ÉXITO INDUSTRIAS S.A.S. una vez cualquier titular del dato le solicite por cualquier medio la eliminación de sus datos o revoque la autorización del tratamiento de los mismos frente a todos los servicios ofrecidos o para servicios específicos que no desea seguir recibiendo, ii) Responder de manera oportuna y de fondo las consultas o reclamos que presenten los titulares de los datos, eliminando cualquier barrera innecesaria para garantizar los derechos de los titulares y iii) Poner a disposición del titular mecanismos gratuitos, útiles, de fácil acceso y efectivos para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. A esto debe dar cumplimiento dentro de los sesenta (60) días siguientes a la ejecutoria del acto administrativo.
Contra esta Resolución procede el recurso de reposición ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
Resolución 68369 del 28 de octubre de 2020
Este documento es un resumen de la decisión adoptada por la SIC. No contiene opiniones, apreciaciones, valoraciones subjetivas o comentarios de la Firma con respecto a la decisión. Su publicación no implica aprobación o desaprobación frente a la decisión, y se realiza únicamente con fines académicos.