SIC - Resolución 38144 de 2025

Página 1 de 22

RESOLUCIÓN NÚMERO 38144 DE 2025

(19 de junio de 2025)

“Por la cual se impone una sanción administrativa”

Radicación 22-402342

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad RAPPI S.A.S ., identificada con Nit 900.843.898-9, por lo que decidió iniciar investigación administrativa con base en la remisión por competencia realizada por la Superintendencia Financiera en fecha 5 de octubre de 2022.

En ella, la señora xxxxxxxxxxxxxxxxxxx señaló que bajo la razón social Rappipay se realizó una consulta no autorizada a su historial de crédito, el día 05 de septiembre de 2022, pese a haber solicitado la terminación de los servicios con las sociedades RAPPI S.A.S. y RAPPIPAY COMPAÑÍA DE FINANCIAMIENTO S.A., y se le expidiera el respectivo paz y salvo.

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación:

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación:

2.1 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador EXPERIAN COLOMBIA S.A., administrador de la plataforma midatacredito, radicado bajo el número 22302432-12 del 12 de julio de 2023.

2.2. Respuesta al requerimiento de información entregada por el operador EXPERIAN COLOMBIA S.A., radicada bajo el número 22 -402342-15 del 16 de agosto de 2023.

2.3. Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad RAPPI S.A.S ., radicada bajo el número 22-402342-16 del 05 de octubre de 2023.

2.4 Respuesta al requerimiento de información entregada por la sociedad RAPPI S.A.S., radicada bajo el número 22 -402342-18 del 23 de octubre de 2023.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, mediante Resolución 24761 del 20 de mayo de 2024 se le formuló

Versión PúblicaRESOLUCIÓN NÚMERO 38144 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 2 de 22

el cargo único a la sociedad RAPPI S.A.S., por la presunta contravención de lo

“Por la cual se impone una sanción administrativa”.

Página 2 de 22

el cargo único a la sociedad RAPPI S.A.S., por la presunta contravención de lo dispuesto en el numeral 1) del artículo 9 en concordancia con el literal d) del artículo 4 y el artículo 15 de la Ley 1266 de 2008.

Que l a mencionada resolución le fue notificada a la sociedad investigada mediante Aviso 8755 del 29 de mayo del 2024, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia obrante bajo el radicado 22-402342-28 del 04 de junio de 2024.

CUARTO: Que, la sociedad RAPPI S.A.S, por medio de su apoderado especial, Doctor Alejandro Acevedo Escallón, presentó escrito de descargos, obrante bajo el radicado 22 -402342-29 del 20 de junio del 2024 a través de los cuales

expresó, entre otras cosas, lo siguiente:

4.1. Inicialmente, solicita que la información contenida en sus descargos, así como en sus anexos sea tratada con el máximo grado de confidencialidad, y que se restrinja el acceso y consulta de esta información por parte de terceros.

4.2. A continuación, realiza un breve recuento de los antecedentes procesales de la presente actuación administrativa. Así mismo, se refiere a la formulación de cargos, señalando que “ En el presente caso, la realidad procesal es que la imputación jurídica de esta Dirección hacia Rappi no respeta los criterios básicos antes mencionados, por las siguientes razones:

Ausencia de claridad de la imputación: No son claras las razones por las

imputación jurídica de esta Dirección hacia Rappi no respeta los criterios básicos antes mencionados, por las siguientes razones:

Ausencia de claridad de la imputación: No son claras las razones por las cuales Rappi fue vinculado a este proceso:

En el numeral tercero de la Resolución, la SIC argumenta que, con ocasión de la información recaudada en la etapa de averiguación preliminar, determinó que Rappi habría, presuntamente, infringido el numeral 1) del artículo 9 de la Ley 1266 de 20082; el artículo 15 del mismo estatuto3; y el literal d) del artículo 4 de la misma norma4. No obstante, cuando se detiene a “sustentar” los motivos de la imputación, inicia su argumentación señalando que los h echos son atribuibles a “una persona jurídica bajo la razón social “RAPPIPAY” (…)”.

De entrada, se observa, que esta Dirección desconoce que Rappi y “Rappipay” son razones sociales que corresponden a personas jurídicas diferentes. Esto implica necesariamente que los cargos no sean claros por cuanto, de forma indistinta, la Dirección se refiere a una sociedad u otra, así como a información que pertenece a una sociedad u otra, para cuestionar exclusivamente a Rappi. De ahí que resulte necesario, previo a continuar con este procedimiento, que la SIC tenga claridad sobre las diferencias existentes entre Rappi y las sociedades Holding Rappipay S.A.S. y Rappipay Compañía de Financiamiento S.A.:

1. Rappi S.A.S., es una sociedad cuyo objeto social comprende las actividades de desarrollo de sistemas informáticos (planificación, análisis, diseño, programación y pruebas), otras actividades de tecnologías de la información y

1. Rappi S.A.S., es una sociedad cuyo objeto social comprende las actividades de desarrollo de sistemas informáticos (planificación, análisis, diseño, programación y pruebas), otras actividades de tecnologías de la información y actividades de servicios infor máticos, portales web y actividades de administración.

Es necesario aclarar que Rappi, es única y exclusivamente una empresa de tecnología que opera y administra una plataforma virtual que funciona como portal de contacto, compuesta por una aplicación para dispositivos móviles y una página web (en adelante “Plataforma Rappi”), por medio de la cual se conectan tres (3) tipos de usuarios: (i) aliados comerciales, que exhiben, ofrecen y comercializan sus productos en la Plataforma Rappi para que éstos sean adquiridos por los usuarios/consumidores por medio de ésta (en adelantes “Aliados Comerciales”); (ii) usuarios/consumidores, quienes adquieren productos y/o servicios comercializados por los Aliados Comerciales a través de la Plataforma Rappi (en adelante Usuarios/Consumidores); y (iii) repartidores independientes, quienes, de manera libre y voluntaria, en calidad de mandatarios independientes de los Usuarios/Consumidores, aceptan y gestionan las órdenes solicitadas por los Usuarios/Consumidores por medio de la Plataforma Rappi (en adelante “Repartidores Independientes”).RESOLUCIÓN NÚMERO 38144 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 3 de 22

2. Holding Rappipay S.A.S. (en adelante “RappiPay”) es la sociedad comercial que inicialmente ofreció al mercado el producto “RappiCard” y quien, con independencia jurídica y administrativa de Rappi, era responsable ante sus

2. Holding Rappipay S.A.S. (en adelante “RappiPay”) es la sociedad comercial que inicialmente ofreció al mercado el producto “RappiCard” y quien, con independencia jurídica y administrativa de Rappi, era responsable ante sus consumidores –los de RappiPay–, por dicho producto. En efecto, entre RappiPay y Rappi existió una alianza comercial para el uso de la Plataforma Rappi como el espacio al que concurrirían los usuarios de uno y de otro, sin que de ello se pueda derivar una confusión entre dos personas jur ídicas completamente distintas.

Tan distintas son estas sociedades que, como prueba de ello, obra en el expediente de este procedimiento un documento que certifica el mandato con el que obró Rappi en representación de RappiPay para la realización de ciertos actos. Ello es prueba de la ev idente separación jurídica que existe entre una y otra sociedad, sin perjuicio de los convenios que comercialmente puedan existir entre Rappi y RappiPay para la mejor prestación de sus servicios en el mercado.

3. RappiPay Compañía de Financiamiento S.A. es una entidad financiera que no tiene relación alguna con los hechos que aquí se investigan. En efecto, la SIC parece confundir a RappiPay con RappiPay Compañía de Financiamiento S.A., situación que es altamente cuestionable de cara a la imputación de los cargos que estructuró en la Resolución, los cuales deben ser personales”.

4.3 En el mismo sentido, propone que “ (…) habiendo establecido las evidentes diferencias entre Rappi, RappiPay y RappiPay Compañía de Financiamiento S.A.,

que estructuró en la Resolución, los cuales deben ser personales”.

4.3 En el mismo sentido, propone que “ (…) habiendo establecido las evidentes diferencias entre Rappi, RappiPay y RappiPay Compañía de Financiamiento S.A., resulta necesario hacer énfasis en que aun cuando la voluntad de la SIC fuese dirigir contra Rappi los cargos (lo cual, de nuevo, no es claro), debemos anotar que mi poderdante, para efectos de los hechos anotados en la denuncia, no actuó a nombre propio. Rappi, realizó la consulta de información crediticia del 5 de septiembre de 2022, que esta Dirección reprocha, a nombre y por cuenta de un terc ero. Como se podrá observar, Rappi es titular de un usuario de consulta ante la central de riesgos Experian Colombia S.A., por lo que realiza consultas de información financiera a título personal respecto de sus usuarios; pero también en calidad de mandata rio de RappiPay S.A.S. respecto de los usuarios de esta última (Anexo No. 3).

En el caso concreto, y como le fue informado por mi representada a esta Dirección desde el pasado 23 de octubre de 2023, tanto Rappi como RappiPay obtuvieron, el día 18 de noviembre de 2021, una autorización por parte de la denunciante para consultar su información financiera a través de su inscripción en la lista de espera para acceder al producto denominado “RappiCard”, ofrecido en su momento por la sociedad RappiPay; lo que implicaba la exteriorización de un consentimiento, informado y claro, acerca de las finalidades para las que se trataría la información recabada, a la luz de la política de tratamiento de datos de ambas compañías y en virtud de lo cual su solicitud para el otorgamiento de

un consentimiento, informado y claro, acerca de las finalidades para las que se trataría la información recabada, a la luz de la política de tratamiento de datos de ambas compañías y en virtud de lo cual su solicitud para el otorgamiento de producto fue aprobada por parte de RappiPay el 8 de febrero de 2022, hecho que se recalca también en la Resolución.

En efecto, las consultas realizadas en las fechas citadas en la Resolución, no se dieron en el marco de una actividad corporativa propia de Rappi, sino obrando como mandataria de RappiPay en virtud del mandato con representación otorgado por esta última a mi representada. Bajo esa óptica, y según la regla del derecho civil sobre la representación, los actos realizados por el mandatario (Rappi), se entienden propios del mandante (RappiPay).

De otra manera, la imputación de esta Delegatura no es clara en cuanto a la vinculación de Rappi, por cuanto el supuesto hecho infractor no le es atribuible, al haberse generado en el marco de un mandato. La confusión se hace aún más palpable, en cuanto la SIC analiza indistintamente la política de tratamiento de datos personales respecto de Rappi y de RappiPay y aún, de RappiPay Compañía de Financiamiento S.A., como si de alguna manera los hechos de terceros pudiesen generar prueba alguna de la conducta de mi representada.RESOLUCIÓN NÚMERO 38144 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 4 de 22

4.4 De otra parte, sostiene que “ El derecho de defensa no puede ejercerse de manera plena si el investigado no cuenta con la certeza sobre cuáles serán las

Página 4 de 22

4.4 De otra parte, sostiene que “ El derecho de defensa no puede ejercerse de manera plena si el investigado no cuenta con la certeza sobre cuáles serán las conductas de hecho y los supuestos de derecho que la autoridad investigadora analizará a la hora de estudiar su presunta responsabili dad por infracción a las normas de un régimen específico. En el caso que nos ocupa, la imputación por parte de la SIC es inadecuada, no fue puntual y rigurosa en explicar cómo los “hechos” presuntos encajan en los supuestos normativos que motivan la formulación de cargos.

No se evidencia dentro de la Resolución, una argumentación mínima sobre cómo los “hechos” narrados por la SIC se subsumen en el presupuesto del literal d) del artículo 4 de la Ley 1266 de 2008: la SIC no indica cómo es que Rappi, suministró la información de la señora xxxxxxxxx a terceros, ni cómo la información que reposaba en las bases de datos de Rappi había dejado de servir para la finalidad del banco de datos . Parece ser, por el contrario, que la Dirección confunde el ámbito de aplicación de esta norma base de su imputación.

Bajo esta óptica, viola el derecho al debido proceso de Rappi el hecho de que esta Delegatura no haya sustentado de forma precisa y dedicada cada una de las normas que alega presuntamente infringidas por Rappi. No es posible para esta compañía presentar un a defensa formal y de fondo, contra imputaciones que no tienen un sustento fáctico preciso”.

4.5 Igualmente, manifiesta lo siguiente “(…) lo cierto es que no se configuran

esta compañía presentar un a defensa formal y de fondo, contra imputaciones que no tienen un sustento fáctico preciso”.

4.5 Igualmente, manifiesta lo siguiente “(…) lo cierto es que no se configuran los supuestos de hecho de la misma por cuanto no fue Rappi quien, a título personal, desplegó la conducta investigada (circunstancia que la Dirección tenía clara desde las diligencias preliminares).

De igual manera, en la medida en que la imputación sobre la presunta infracción del literal d) del artículo 4 de la misma norma, no fue sustentada, tampoco se cumple el requisito de integralidad en la imputación.

(…)

Como se observa, es evidente que ningún reproche sobre los “hechos” objeto de esta imputación resulta procedente en contra de Rappi, pues, en primer lugar, la conducta cuestionada no fue realizada a nombre y en beneficio propio sino en virtud de un mandato con representación en virtud del cual, aun cuando Rappi hubiera materializado la conducta, la misma se entendió jurídicamente vinculante respecto de un tercero (mandante) que, aunque acreditado en las diligencias preliminares, no fue vinculado a este proceso.

Recordemos que el mandato comercial es un contrato regulado en el artículo 1262 del Código de Comercio y en función del cual, una parte se obliga a celebrar o ejecutar uno o más actos de comercio por cuenta de otra. Por su parte, “El mandato puede conlleva r o no la representación del mandante”. Ahora bien, como el estatuto mercantil en cuestión no define expresamente lo que se entiende por “representación”, por aplicación del artículo 822 del estatuto comercial6, la representación debe conceptualizarse en los términos del artículo 1505 del Código Civil:

como el estatuto mercantil en cuestión no define expresamente lo que se entiende por “representación”, por aplicación del artículo 822 del estatuto comercial6, la representación debe conceptualizarse en los términos del artículo 1505 del Código Civil:

“Lo que una persona ejecuta a nombre de otra, estando facultada por ella o por la ley para representarla, produce respecto del representado iguales efectos que si hubiese contratado él mismo.” (Subrayas y negrilla fuera del texto original).

4.6 De otra parte, propone como argumentos de fondo que “es posible concluir que RappiPay sí contaba con la autorización previa, expresa e informada de la titular para consultar su historial crediticio, en estricto cumplimiento de los artículos 5 y 6 de la Ley 1266 de 2008 y los principios rectores del tratamiento de datos personales consagrados en la Ley 1581 de 2012.RESOLUCIÓN NÚMERO 38144 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 5 de 22

(…)

La SIC sustenta el cargo imputado en una interpretación restrictiva y descontextualizada del artículo 15 de la Ley 1266 de 2008, desconociendo que la consulta realizada por Rappi el 5 de septiembre de 2022, en su calidad de mandatario de RappiPay, se ajustó a las finalidades legítimas previstas en dicha norma, así como a la autorización expresa otorgada por la titular, a pesar de que para ese momento la relación contractual específica de la tarjeta como medio de pago hubiese finalizado.

Es importante resaltar que el artículo 15 de la Ley 1266 de 2008 no limita la posibilidad de consultar la información crediticia a la vigencia de una

a pesar de que para ese momento la relación contractual específica de la tarjeta como medio de pago hubiese finalizado.

Es importante resaltar que el artículo 15 de la Ley 1266 de 2008 no limita la posibilidad de consultar la información crediticia a la vigencia de una relación contractual específica . Por el contrario, la norma establece un espectro más amplio de finalidades legítimas, dentro de las cuales se encuentra la evaluación de riesgos y el análisis para el otorgamiento de productos financieros”.

4.7 De ese modo, señala que “En la práctica comercial y financiera es usual que las entidades consulten la información crediticia de los potenciales clientes antes de siquiera celebrar un contrato con ellos y, aun, después de finalizada la relación (por ejemplo, ante un incumplimiento). Esta práctica se fundamenta en la necesidad de evaluar los riesgos y la capacidad de pago del futuro contratante, como un mecanismo de protección y de gestión responsable del crédito, y de una generación de información confiable y certera.

Si la interpretación de la SIC fuera acertada, implicaría que las consultas a las centrales de riesgo solo podrían realizarse durante la vigencia activa de un contrato específico, lo cual no solo desconoce la realidad del tráfico mercantil, sino que además privaría a las entidades de una herramienta fundamental para la adecuada evaluación y gestión de los riesgos crediticios.

En el caso concreto, si bien es cierto que el vínculo contractual puntual entre la denunciante y RappiPay, en torno a la tarjeta "RappiCard" finalizó el 7 de julio de 2022, esto no implica que haya desaparecido todo nexo jurídico entre RappiPay y la titular. La relación contractual subyacente, derivada del carácter

de 2022, esto no implica que haya desaparecido todo nexo jurídico entre RappiPay y la titular. La relación contractual subyacente, derivada del carácter de cliente y usuario de los servicios financieros de RappiPay, se extiende más allá de la vigencia de un producto específico.

Esto se ve reforzado por la naturaleza compleja y de tracto sucesivo propia de los contratos financieros. La terminación del contrato de crédito no extingue automáticamente las obligaciones, derechos y expectativas legítimas que surgen entre la entidad y el tarjetahabiente. Por el contrario, estos vínculos se proyectan en el tiempo, justificando la necesidad de una gestión continua del riesgo crediticio.

En este contexto, la consulta realizada por Rappi en nombre de RappiPay, con el objetivo de evaluar la viabilidad de otorgar nuevos productos o servicios financieros a la titular, se enmarca legítimamente en la órbita de la gestión de riesgos derivados de la relación contractual preexistente. El análisis del perfil crediticio del cliente es un elemento esencial para la toma de decisiones responsables en materia de financiación, y encuentra pleno respaldo en la previsión legal del artículo 15 de la Ley 1266 de 2008”.

4.8 Finalmente, expresa que “ Si bien es cierto que la relación contractual específica derivada de la tarjeta "RappiCard" como medio de pago finalizó el 7 de julio de 2022, esto no implicó la extinción absoluta de todo vínculo jurídico entre la Denunciante y Rappi. Por el contrario, subsistía para el 5 de septiembre de 2022 (y subsiste aún) una relación contractual activa entre la denunciante y Rappi, emanada de la aceptación y uso de la aplicación móvil de Rappi.

entre la Denunciante y Rappi. Por el contrario, subsistía para el 5 de septiembre de 2022 (y subsiste aún) una relación contractual activa entre la denunciante y Rappi, emanada de la aceptación y uso de la aplicación móvil de Rappi.

En efecto, la señora xxxxxxx se registró como usuaria de la plataforma de Rappi el 14 de septiembre de 2018, aceptando los Términos y Condiciones de uso del servicio (Anexo No. 6). Este documento, establece en su cláusula 5.2 que "elRESOLUCIÓN NÚMERO 38144 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 6 de 22

presente acuerdo tendrá una duración indefinida, sin perjuicio de la facultad de las partes de terminarlo unilateralmente en cualquier momento".

4.9. Así mismo, aporta las pruebas que pretende hacer valer en el expediente y sus datos de notificación.

QUINTO Que mediante Resolución 66432 del 31 de octubre de 202 4, este Despacho procedió a incorporar las pruebas obrantes en el expediente, declaró agotada la etapa probatoria y le corrió traslado a la sociedad RAPPI S.A.S. para que, de encontrarlo procedente, presentara los respectivos alegatos de conclusión.

Así las cosas, las pruebas incorporadas son las siguientes:

5.1. Pruebas recaudadas por esta Dirección:

5.1.1 Copia de la denuncia, junto con sus respectivos anexos, en contra de la sociedad investigada, obrante bajo los radicados 22-402342, consecutivos 0 y 1 del 11 de octubre de 2022.

5.1.1 Copia de la denuncia, junto con sus respectivos anexos, en contra de la sociedad investigada, obrante bajo los radicados 22-402342, consecutivos 0 y 1 del 11 de octubre de 2022.

5.1.2 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad RAPPIPAY COMPAÑÍA DE FINANCIAMIENTO S.A., obrante bajo el radicado 22 - 402342-4 del 23 de noviembre de 2022.

5.1.3 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador EXPERIAN COLOMBIA S.A., administrador de la plataforma midatacredito, radicado bajo el número 22302432-5 del 23 de noviembre de 2022.

5.1.4 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador CIFIN S.A.S., radicado bajo el número 22-302432-6 del 23 de noviembre de 2022.

5.1.5 Respuesta al requerimiento de información entregada por el operador EXPERIAN COLOMBIA S.A., radicada bajo el número 22 -402342-7 del 09 de diciembre de 2022.

5.1.6 Respuesta al requerimiento de información entregada por el operador CIFIN S.A.S. radicada bajo el número 22-402342-8 del 12 de diciembre de 2022.

5.1.7 Respuesta al requerimiento de información entregada por la sociedad RAPPIPAY COMPAÑÍA DE FINANCIAMIENTO S.A., radicada bajo los números 225.1.7 Respuesta al requerimiento de información entregada por la sociedad RAPPIPAY COMPAÑÍA DE FINANCIAMIENTO S.A., radicada bajo los números 22402342 consecutivos 9 y 10 del 14 de diciembre de 2022.

5.1.8 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador EXPERIAN COLOMBIA S.A., administrador de la plataforma midatacredito, radicado bajo el número 22302432-12 del 12 de julio de 2023.

5.1.9 Respuesta al requerimiento de información entregada por el operador EXPERIAN COLOMBIA S.A., radicada bajo el número 22 -402342-14 del 03 de agosto de 2023.

5.1.10 Respuesta al requerimiento de información entregada por el operador EXPERIAN COLOMBIA S.A., radicada bajo el número 22 -402342-15 del 16 de agosto de 2023.

5.1.11 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad RAPPI S.A.S., radicada bajo el número 22-402342-16 del 05 de octubre de 2023.RESOLUCIÓN NÚMERO 38144 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 7 de 22

5.1.12 Respuesta al requerimiento de información entregada por la sociedad RAPPI S.A.S., radicada bajo el número 22 -402342-18 del 23 de octubre de 2023.

5.2 Pruebas aportadas por la sociedad investigada

5.2.1 Pruebas al interior del escrito de descargos

RAPPI S.A.S., radicada bajo el número 22 -402342-18 del 23 de octubre de 2023.

5.2 Pruebas aportadas por la sociedad investigada

5.2.1 Pruebas al interior del escrito de descargos

5.2.1.1 Extracto de certificación, obrante a folio 6. 4.2.1.2 Imagen del proceso “pide tu Rappicard aquí”, obrante a folio 8.

5.2.1.2 Imagen de la plataforma de la sociedad investigada, obrante a folio 13.

5.2.2 Pruebas aportadas junto con el escrito de descargos

5.2.2.1 Certificación expedida por Eduardo Carlos Sanmiguel, en calidad de Representante Legal Suplente de Holding Rappipay S.A.S.

5.2.2.2 Imagen del proceso “pide tu Rappicard aquí”.

5.2.2.3 Copia del modelo de contrato de crédito rotativo Rappicard.

5.2.2.4 Imágenes de la plataforma de la sociedad investigada, asociadas a la denunciante.

La mencionada resolución le fue comunicada a la sociedad investigada el día 31 de octubre de 2024 , de conformidad con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-402342-33 del 05 de noviembre de 2024.

SEXTO: Que, por intermedio de apoderado, la sociedad RAPPI S.A.S presentó alegatos de conclusión bajo el radicado 22-402342-34 de fecha 18 de noviembre de 2024, dentro de la cual señala los mismos argumentos que en el escrito de descargos y agrega que “ el expediente digital no se encuentra disponible para

alegatos de conclusión bajo el radicado 22-402342-34 de fecha 18 de noviembre de 2024, dentro de la cual señala los mismos argumentos que en el escrito de descargos y agrega que “ el expediente digital no se encuentra disponible para su consulta”1.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso

8.1 Adecuación típica

La Corte Constitucional mediante sentencia C -1011 de 2008 2, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) la jurisprudencia[206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas; (ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción. Sin perjuicio de lo anterior, se reitera que las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo

de lo anterior, se reitera que las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo

1 Radicado 22-402342-34, pág. 3, folio 8 2 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 38144 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 8 de 22

así una mayor flexibilidad en la adecuación típicá.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable. (…)

Atendiendo a los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los usuarios de información respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008.

(ii) De conformidad con los hechos alegados por la reclamante, las alegaciones realizadas por la sociedad investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada

(ii) De conformidad con los hechos alegados por la reclamante, las alegaciones realizadas por la sociedad investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible v ulneración a las disposiciones contempladas en el numeral 1) del artículo 9 en concordancia con el literal d) del artículo 4 y el artículo 15 de la Ley 1266 de 2008.

En ese orden de ideas, corresponde a est