SIC - Resolucion RE16582-2025 de 2025

Página 1 de 36

RESOLUCIÓN NÚMERO 16582 DE 2025

(31 de marzo de 2025)

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Radicación 22-301462

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales (a) y (b) del artículo 21 de la Ley 1581 de 2012, y el numeral (4) artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución 51357 del 29 de agosto de 2023 , la Dirección de Investigación de Protección de Datos Personales (e) resolvió abrir investigación administrativa y, en consecuencia, formular pliego de cargos a la sociedad MERCADOLIBRE COLOMBIA LTDA. , identificada con Nit 830.067.394-6 (en adelante la investigada), por la presunta vulneración de las normas de protección de datos personales contenidas en la Ley 1581 de 2012,

en particular en:

1. “El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

1. ii) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y,

1. iii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012”.

Que mediante escrito radicado bajo el número 22-301462-0 del 03 de agosto de 2022, el señor XXXXXXXXXXXXXXXXXXXXXX puso en conocimiento de esta Superintendencia la ocurrencia de unos hechos presuntamente infractores de las normas de protección de datos personales por parte de la sociedad comercial MERCADOLIBRE COLOMBIA LTDA., identificada con NIT. 830.067.394-6. De la denuncia se extrajeron los siguientes supuestos fácticos:

1.1 En primer lugar, señaló el denunciante que “ Mercadolibre quiere obligarme a registrar reconocimiento facial en la aplicacion (sic) de celular. He tenido mi cuenta de mercadolibre por años, puedo verificar mi identidad por medio de mi telefono (sic) y correo electronico (sic), sin embargo, ahora mercadolibre me quiere obligar a que registre mi rostro para poder entrar a mi cuenta, que he usado por años sin problemas”.

1.2 En el mismo sentido, expuso que “ (…) yo no quiero usar el reconocimiento facial ni quiero que esta empresa tenga fotos de mi rostro, ya no me permiten

usado por años sin problemas”.

1.2 En el mismo sentido, expuso que “ (…) yo no quiero usar el reconocimiento facial ni quiero que esta empresa tenga fotos de mi rostro, ya no me permiten entrar mas (sic) a mi cuenta si no registro fotos de mi cara, he puesto varias solicitudes y me dicen que no es posible desactivar esta opción”

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 16582 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 2 de 36

1.3 Finalmente, manifestó que “Mercadolibre es una empresa de comercio y no tiene por qué tener datos de reconocimiento facial de sus clientes, ni siquiera los bancos piden eso, no pueden obligar a sus usuarios a enviar fotos de sus rostros e impedir que entren a sus cuentas si no lo hacen. Quiero poder seguir usando mi cuenta sin tener que poner el reconocimiento facial”.

SEGUNDO: Que la Resolución 51357 del 29 de agosto de 2023 le fue notificada mediante aviso 21543 del 07 de septiembre de 2023 a LINA MONSALVE SOTO, en representación de la sociedad MERCADO LIBRE COLOMBIA LTDA., según consta en la certificación expedida por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 22 -301462-- 29 del 27 de septiembre de 2023.

Así mismo, el referido acto administrativo le fue comunicado al denunciante dentro de la presente actuación administrativa.

TERCERO: Que dentro del término concedido para el efecto, esto es, la sumatoria de los quince (15) días otorgados en el traslado del acto de formulación de cargos y los concedidos por el Despacho mediante comunicación

TERCERO: Que dentro del término concedido para el efecto, esto es, la sumatoria de los quince (15) días otorgados en el traslado del acto de formulación de cargos y los concedidos por el Despacho mediante comunicación radicada bajo el número 22-301462-30 del 02 de octubre de 2023, la sociedad investigada, por medio de su apoderado especial el Doctor Carlos Andrés Esguerra Cifuentes, presentó sus descargos1.

CUARTO: Que mediante Resolución 12413 del 21 de marzo de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió incorporar y tener como prueba las obrantes en el expediente, con el valor que les corresponda. 4.1.1 Denuncia, junto con sus respectivos anexos, presentada por el señor XXXXXXXXXXXXXXXXXXXXXX en contra de la sociedad MERCADO LIBRE COLOMBIA LTDA, obrante bajo el radicado 22 -3014620 del 03 de agosto de 2022. 4.1.2 Requerimiento de información de la Dirección de Investigación de Protección de Datos Personales a la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-1 del 30 de septiembre de 2022. 4.1.3 Acta de análisis técnico de expedientes de suscrito por un ingeniero adscrito a la Delegatura para la Protección de Datos Personales, obrante bajo el radicado 22-3014623 del 03 de octubre de 2023. 4.1.4. Solicitud de prórroga remitida por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-4 del 19 de octubre de

2022.

4.1.4. Solicitud de prórroga remitida por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-4 del 19 de octubre de 2022. 4.1.5 Segunda solicitud de prórroga remitida por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-6 del 16 de noviembre de 2022. 4.1.6 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-7 del 17 de noviembre de 2022. 4.1.7 Respuesta a solicitud de prórroga, obrante bajo el radicado 22-3014628 del 18 de noviembre de 2022. 4.1.8 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-9 del 24 de octubre de 2022. 4.1.9 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-10 del 01 de diciembre de 2022. 4.1.10 Requerimiento de información de la Dirección de Investigación de Protección de Datos Personales a la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-11 del 08 de febrero de 2023.

1 Escrito de descargos junto con sus respectivos anexos, obrante en el expediente digital bajo el radicado 22301462-31 del 18 de octubre de 2023.RESOLUCIÓN NÚMERO 16582 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 3 de 36

4.1.11 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22 -301462-13 del 09 de febrero de 2023. 4.1.12 Requerimiento de información de la Dirección de Investigación de Protección de Datos Personales a la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-14 del 14 de febrero de 2023. 4.1.13 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22 -301462-16 del 16 de febrero de 2023. 4.1.14 Acta de preservación de páginas web, suscrito por el Grupo de Trabajo de Informática Forense y Seguridad Digital de la Superintendencia de Industria y Comercio, obrante bajo el radicado 22-30146217 del 27 de febrero de 2023. 4.1.15 Acta de análisis técnico de expedientes de suscrito por un ingeniero adscrito a la Delegatura para la Protección de Datos Personales, obrante bajo el radicado 22-30146218 del 17 de marzo de 2023. 4.2. Pruebas obrantes en el expediente 23 -26901 (acumulado al expediente 22-301462)

radicado 22-30146218 del 17 de marzo de 2023. 4.2. Pruebas obrantes en el expediente 23 -26901 (acumulado al expediente 22-301462) 4.2.1. Denuncia presentada por el señor xxxxxxxxxxxxxx, en contra de la sociedad MERCADO LIBRE COLOMBIA LTDA ., obrante bajo el radicado 2326901-0 del 23 de enero de 2023. 4.3. Pruebas obrantes en el expediente 22 -200903 (acumulado al expediente 22-301462) 4.3.1 Denuncia, junto con sus respectivos anexos, presentada por la señora XXXXXXXXXXXXXXXXXXXX, obrante bajo el radicado 22 -200903-0 del 20 de mayo de 2022. 4.3.2 Requerimiento de información de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-200903-2 del 19 de junio de 2022. 4.3.3 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22 -200903 -5 del 07 de julio de 2022. 4.3.4 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22 -200903 -6 del 22 de julio de 2022. 4.3.5 Requerimiento de información de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, obrante bajo el radicado 22200903-7 del 22 de septiembre de 2022. 4.3.6 Respuesta al requerimiento entregada por denunciante, obrante bajo el

Investigaciones Administrativas a la denunciante, obrante bajo el radicado 22200903-7 del 22 de septiembre de 2022. 4.3.6 Respuesta al requerimiento entregada por denunciante, obrante bajo el radicado 22-200903 -9 del 22 de septiembre de 2022. 4.4 Pruebas aportadas por la sociedad investigada 4.4.1 Pruebas aportadas al interior del escrito de descargos

4.4.1.1 Imagen denominada “Datos solicitados para crear una cuenta”, obrante a folio 16.

4.4.1.2 Imagen denominada “Tabla N° 1Proceso de creación de una cuenta personal en la app móvil”, obrante a folio 17.

4.4.1.3 Imágenes del paso a paso para la creación de una cuenta personal de la aplicación móvil de MERCADOLIBRE, obrantes de folios 17 al 19.

4.4.1.4 Imagen denominada “Proceso de creación de una cuenta personal en la página web”.

4.4.1.5 Imágenes del paso a paso para la creación de una cuenta personal en la página web de MERCADOLIBRE, obrantes de folios 19 al 21.RESOLUCIÓN NÚMERO 16582 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 4 de 36

4.4.1.6 Imágenes del paso a paso para acceder a una cuenta personal existente con contraseña en la aplicación de MERCADOLIBRE, obrantes de folios 22 a 23.

4.4.1.7 Imágenes del paso a paso para acceder a una cuenta personal creada con código de seguridad en la aplicación de MERCADOLIBRE, obrante de folios 23 a 24.

folios 22 a 23.

4.4.1.7 Imágenes del paso a paso para acceder a una cuenta personal creada con código de seguridad en la aplicación de MERCADOLIBRE, obrante de folios 23 a 24.

4.4.1.8 Imágenes del paso a paso para acceder a una cuenta personal creada con contraseña en el sitio web de MERCADOLIBRE, obrante a folio 25.

4.4.1.9 Imágenes del paso a paso para activar la identidad a través de la App móvil de MERCADOLIBRE, obrante a folios 28 y 29.

4.4.1.10 Imágenes del paso a paso para activar la identidad a través del sitio web MERCADOLIBRE, obrantes de folios 29 a 32.

4.4.1.11 Imágenes del paso a paso para activar o desactivar “Desbloquear la app”, a través de la aplicación móvil de MERCADOLIBRE, obrantes de folios 32 a 34.

4.4.1.12 Imágenes del paso a paso para validar la identidad y activar el reconocimiento facial como alternativa de verificación a través de la aplicación móvil de MERCADOLIBRE, obrantes de folios 35 a 37.

4.4.1.13 Imagen denominada “extracto del acta de preservación No 015-23”, obrante a folio 40.

4.4.1.14 Imágenes del paso a paso para crear una cuenta de correo corporativo, obrantes de folios 43 a 44.

4.4.1.15 Imagen denominada “Ausencia de información en el proceso de creación de una cuenta adelantado por la SIC a través de la página web de MercadoLibre”, obrante a folio 46.

4.4.1.15 Imagen denominada “Ausencia de información en el proceso de creación de una cuenta adelantado por la SIC a través de la página web de MercadoLibre”, obrante a folio 46.

4.4.1.16 Imagen denominada “Tabla N° 11 - Cumplimiento por parte de MercadoLibre (cargo primero)”, obrante de folios 74 a 78.

4.4.1.17 Imagen denominada “Canales habilitados por MercadoLibre para que los titulares ejerzan sus derechos y solicitar la supresión de sus datos”, obrante a folio 80.

4.4.1.18 Imagen denominada “Opción de eliminar cuenta brindada por MercadoLibre”, obrante a folio 80.

4.4.1.19 Imagen denominada “Tabla N° 12 - Cumplimiento por parte de MercadoLibre (cargo segundo)”, obrante a folios 88 y 89.

4.4.1.20 Imágenes denominadas “Alta solicitud de acceso” , obrantes a folios 94 y 95.

4.4.1.21 Imagen denominada “aprobación de la solicitud”, obrante a folio 96.

4.4.1.22 Imagen denominada “ Revisión por los líderes técnicos ”, obrante a folio 96.

4.4.1.23 Imagen denominada “Tabla N° 13 - Cumplimiento por parte de MercadoLibre (cargo segundo)”, obrante a folio 98.RESOLUCIÓN NÚMERO 16582 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 5 de 36

4.4.2 Pruebas adjuntas al escrito de descargos

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 5 de 36

4.4.2 Pruebas adjuntas al escrito de descargos

4.4.2.1 Certificación expedida por el Representante legal para asuntos judiciales de MercadoLibre.

4.4.2.2 Trazabilidad de la queja presentada por el señor XXXXXXX – cuenta 243302121.

4.4.2.3 Proceso de creación de una cuenta, acceso a una cuenta y activación de las funciones que utilizan el reconocimiento facial.

4.4.2.4 Declaración de Privacidad y Confidencialidad de la Información de MercadoLibre.

4.4.2.5 Documento denominado “ Tu privacidad, tus derechos y nuestro compromiso” de MercadoLibre.

4.4.2.6 Copia del modelo de Autorización para el tratamiento de datos personales de MercadoLibre.

4.4.2.7 Copia del Manual de Procedimientos del Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiamiento del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (SAGRILAFT) de MercadoLibre.

4.4.2.8 Copia del Manual de Procedimientos para la Atención de Solicitudes, Denuncias y Requerimientos Vinculados a la Protección de Datos.

4.4.2.9 Documento denominado “Reporte de transparencia” de MercadoLibre.

4.4.2.10 Copia del Código de Ética de MercadoLibre.

4.4.2.11 Copia del “ MANUAL DE PROCEDIMIENTO PARA PLAN DE CULTURA &

AWARENESS DE DATA PRIVACY” de MercadoLibre.

4.4.2.10 Copia del Código de Ética de MercadoLibre.

4.4.2.11 Copia del “ MANUAL DE PROCEDIMIENTO PARA PLAN DE CULTURA &

AWARENESS DE DATA PRIVACY” de MercadoLibre.

4.4.2.12 Documento denominado “ NORMA DE CONTROL DE ACCESO,

ADMINISTRACIÓN E IDENTIFICACIÓN DE USUARIOS” de MercadoLibre.

4.4.2.13 Copia del Anexo de Seguridad en Ambientes Cloud de MercadoLibre.

4.4.2.14 Copia del documento denominado “Gestión de la Seguridad ZeroTrust”.

4.4.2.15 Copia del documento denominado “Face Recognition -Reunión de Presentación de Resultados”.

4.4.2.16 Copia del documento denominado “Face Recognition -Resumen de gestión”.

4.4.2.17 Copia del contrato entre MELI URUGUAY S.R.L. y AWS.

4.4.2.18 copia del contrato entre MELI URUGUAY S.R.L. y MercadoLibre. En el mismo acto se corrió traslado a la sociedad investigada por el término de diez (10) días hábiles, para presentar sus respectivos alegatos de conclusión.

QUINTO: Que la Resolución 21413 del 21 de marzo de 2024 le fue comunicada a CARLOS ANDRÉS ESGUERRA CIFUENTES, en representación de la sociedad MERCADOLIBRE COLOMBIA LTDA el 21 de marzo de 2024, según consta en la certificación expedida para el efecto por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 22 -301462-35 del 27 de marzo de 2024.RESOLUCIÓN NÚMERO 16582 DE 2025

certificación expedida para el efecto por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 22 -301462-35 del 27 de marzo de 2024.RESOLUCIÓN NÚMERO 16582 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 6 de 36

SEXTO: Que, dentro del término concedido para el efecto, la sociedad investigada presentó a través de su apoderado especial, los alegatos de conclusión, reiterando los argumentos expuestos en sus descargos. Asimismo, se pronunció respecto de los expedientes 23 -26901 y 22-200903, acumulados al radicado 22-301462.

Adicionalmente, conforme a lo previsto en el artículo 40 de la Ley 1437 de 2011 aportó las siguientes pruebas: 6.1 Copia del documento denominado “Términos y condiciones de la plataforma Mercadolibre” 6.2 Copia del documento denominado “Términos y Condiciones del Marketplace de MercadoLibre” 6.3 Copia del documento “Política de Artículos Prohibidos de MercadoLibre”.

SÉPTIMO: competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1 Consideraciones previas a la decisión 8.1.1 Con el fin de garantizar plenamente los derechos que le asisten a la

garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1 Consideraciones previas a la decisión 8.1.1 Con el fin de garantizar plenamente los derechos que le asisten a la sociedad MERCADOLIBRE COLOMBIA LTDA , en su calidad de investigada dentro de la presente causa y de satisfacer los principios que orientan la función administrativa este Despacho considera imperioso hacer las siguientes precisiones: Mediante Resolución 12413 del 21 de marzo de 2024, la Dirección de Investigaciones de Protección de Datos Personales ordenó incorporar al expediente 22-301462 las pruebas contenidas en los expedientes 23 -26901 y 22-200903. Lo anterior en razón a que, una v ez analizados los hechos denunciados por parte del Grupo de Trabajo de Investigaciones Administrativas2, se pudo establecer que guardan similitud con aquellos investigados en esta actuación administrativa. En tal sentido, dicho procedimiento se surtió con el fin de que, luego de ser adoptada una decisión que verse sobre la misma conducta, esta pueda ser puesta en conocimiento de todos los denunciantes.

Entonces, tal como se anunció en líneas precedentes atendiendo a que ni los hechos de los radicados acumulados, ni las pruebas, como tampoco el concepto de vulneración normativa fueron incluidos en el acto de formulación de cargos, estos no serán objeto de análisis en la presente decisión; por lo que, en virtud del principio de congruencia solo se ceñirá a aquello expresamente contenido en la Resolución 51357 del 29 de agosto de 2023.

8.2 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 3, estableció lo

la Resolución 51357 del 29 de agosto de 2023.

8.2 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 3, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

2 De acuerdo con las comunicaciones radicadas bajo los números 2336901-5-1 del 12 de septiembre de 2023 y 22-200903-10 del 16 de febrero de 2024. 3 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P. Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 16582 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 7 de 36

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos

específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en: i) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; ii) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015 y iii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción , para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hecho y de derecho esgrimidos por la sociedad investigada,

desplegada por la investigada dará lugar o no a la imposición de una sanción , para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hecho y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.3 Valoración probatoria y conclusiones

8.3.1 Del deber de solicitar y conservar copia de la respectiva autorización para el tratamiento de los datos personales en las condiciones previstas por la normativa.

El artículo 15 de nuestra Constitución contempla el derecho fundamental que tienen todas las personas a conocer, actualizar y rectificar toda la información que sobre ellas se haya recogido en las bases de datos. De esta prerrogativa de orden superior se d erivan unos principios y deberes cuya observancia corresponde a quienes intervengan en el proceso de recolección, tratamiento y circulación de datos personales, en los términos señalados por la Corte Constitucional en la sentencia C-748 de 2011, así:

“DERECHO AL HABEAS DATA EN TRATAMIENTO DE DATOS PERSONALES-Principios y garantías constitucionales

El proyecto de ley estatutaria establece en materia de tratamiento de datos personales los principios de legalidad, el de finalidad, de libertad, de veracidad o calidad, de transparencia, de acceso y circulación restringida, de seguridad y el principio de confidencialidad, p rincipios éstos que no obstan para que en el proceso de administración de bases de datos se dé aplicación a los principios rectores derivados directamente de la Constitución al igual que a aquellos derivados del núcleo temático del proyecto de ley estatutaria, los cuales pese a no encontrase numerados se entiende incorporados en razón de una lectura sistemática del proyecto de

Constitución al igual que a aquellos derivados del núcleo temático del proyecto de ley estatutaria, los cuales pese a no encontrase numerados se entiende incorporados en razón de una lectura sistemática del proyecto de Ley Estatutaria”.

En el citado pronunciamiento también se determinan las características de los datos personales, a saber: i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se lo gre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está somet ido a reglas especiales (principios) en lo relativo a suRESOLUCIÓN NÚMERO 16582 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 8 de 36

captación, administración y divulgación.” 4, peculiaridades que se armonizan con el concepto de dato personal establecido en la Ley, consistente en un derecho que al asociarse a una persona natural, radica precisamente en cabeza del titular.

Ahora bien, el artículo 17 de ese cuerpo normativo contempla los deberes que les asisten, en particular a los responsables, siendo este “ aquel que define los fines y medios esenciales para el tratamiento del dato5”, con el propósito de garantizar, de una parte el pleno ejercicio del derecho fundamental de hábeas data, y de otra, una correcta administración de la información personal. Dentro de esos deberes se encuentra enlistado el de obtener la autorización previa , expresa e informada por parte de los titulares, para el tratamiento de sus datos personales.

otra, una correcta administración de la información personal. Dentro de esos deberes se encuentra enlistado el de obtener la autorización previa , expresa e informada por parte de los titulares, para el tratamiento de sus datos personales.

A su turno los principios de legalidad y libertad establecen un marco en el cual solo el consentimiento de los titulares faculta para realizar tratamiento sobre los datos que les sean asociados. En palabras de la Honorable Corte Constitucional es el “(…) pilar fundamental de la administración de datos , permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su con sentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

(…)

En igual sentido, en la Sentencia SU-082 de 1995, la Corte basó toda la ratio decidendi, en el concepto de autodeterminación informática, cuyo elemento esencial recaía en el consentimiento. Sobre la particular la Corte se preguntó: “¿Cuál es el núcleo esencial del habeas data? A juicio de la Corte, está integrado por el derecho a la autodeterminación informática y por la libertad, en general, y en especial económica. La autodeterminación informática es la facultad de la persona a la cual se refieren los da tos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales.” Esa posición ha sido reiterada, entre muchas otras, en las Sentencias T-580 de 1995, T-448 de 2004, T-526 de 2004, T-657 de 2005, Tregulaciones legales.” Esa posición ha sido reiterada, entre muchas otras, en las Sentencias T-580 de 1995, T-448 de 2004, T-526 de 2004, T-657 de 2005, TT-684 de 2006, C-1011 de 2008, T-017 de 2011”.

De igual manera, el Gobierno Nacional reglamentó lo ateniente al mencionado deber, por medio de la sección 2 del Capítulo 25 del Decreto 1074 de 2015, respecto del cual se ha destacado para los fines de esta investigación, el artículo 2.2.2.25.2.3. En este orden de ideas, corresponde a los responsables del tratamiento de datos dar plena observancia a los deberes establecidos por el legislador en materia estatutaria, de solicitar y conservar copia de la autorización bajo las condiciones previstas en la norma , para realizar operaciones de uso, recolección, almacenamiento y/o circulación de su información personal y en particular de los datos biométricos.

En el caso que nos ocupa, se observa que la presente investigación administrativa tuvo origen en la denuncia interpuesta por el XXXXXXXXXXXXXXXXXXXXXXXX quien expuso lo que, a continuación se cita:

“Mercadolibre quiere obligarme a registrar reconocimiento facial en la aplicacion (sic) de celular. He tenido mi cuenta de mercadolibre por años, puedo verificar mi identidad por medio de mi teléfono(sic) y correo electronico (sic), sin embargo, ahora mercadolibre me quiere obligar a que registre mi rostro para poder entrar a mi cuenta , que he usado por años sin problemas”. (se destaca)

Ahora bien, a fin de dilucidar los hechos advertidos y de, establecer las condiciones en que la sociedad MERCADOLIBRE se encuentra realizando el

años sin problemas”. (se destaca)

Ahora bien, a fin de dilucidar los hechos advertidos y de, establecer las condiciones en que la sociedad MERCADOLIBRE se encuentra realizando el

4 Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). 5 Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 16582 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 9 de 36

tratamiento de los datos de sus usuarios, esta Dirección solicitó al Grupo de Informática Forense y Seguridad Digital aplicación móvil Mercado Libre y del sitio web https://www.mercadolibre.com.co, a efectos de determinar la forma en que la sociedad recolecta datos biométricos de reconocimiento facial y de validación de identidad.

El proceso de inspección quedó documentado así6:

• Frente al proceso de creación de usuario en la App móvil.

“Una vez finalizado este proceso se ingresa al perfil creado, en este se en