SIC - Resolucion RE71154-2025 de 2025

Página 1 de 41

RESOLUCIÓN NÚMERO ________71154_________ DE 2025

(16 de septiembre 2025)

“Por la cual se resuelve un recurso de apelación”

Radicado 22-301462

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que, el 3 de agosto de 2022 , esta Superintendencia , tuvo conocimiento de la denuncia interpuesta por el señor XXXXXXXX XXXXXXXXXX XXXXX, mediante comunicación obrante en el expediente bajo el radicado 22-301462-0, en contra de la sociedad MERCADOLIBRE COLOMBIA LTDA , identificada con NIT 830.067.394-6 por la presunta vulneración de su derecho fundamental al habeas data. El denunciante manifestó que, pese a haber utilizado su cuenta en la plataforma durante varios años sin inconvenientes, y de contar con mecanismos de verificación de identidad a través de su teléfono y correo electrónico, ahora se le exige registrar su rostro mediante reconocimiento facial como condición para acceder a la misma. Expuso que no desea utilizar dicho sistema ni que la empresa almacene foto grafías de su rostro, y que, pese a múltiples solicitudes para desactivar esta opción, le han informado que no es posible. Señaló que la empresa no tendría justificación para

que no desea utilizar dicho sistema ni que la empresa almacene foto grafías de su rostro, y que, pese a múltiples solicitudes para desactivar esta opción, le han informado que no es posible. Señaló que la empresa no tendría justificación para requerir datos biométricos de sus clientes y solicitó poder seguir accediendo a su cuenta sin esta exigencia.

SEGUNDO. Que, con ocasión de la denuncia presentada , la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 51357 del 29 de agosto de 2023 , decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en: i) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; ii) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015 ; y, iii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

TERCERO. Que la Dirección, con base en las pruebas recaudadas en la presente actuación, determinó que: (i) respecto del Cargo Primero , la sociedad MERCADOLIBRE COLOMBIA LTDA. desconoció las disposiciones sobre

TERCERO. Que la Dirección, con base en las pruebas recaudadas en la presente actuación, determinó que: (i) respecto del Cargo Primero , la sociedad MERCADOLIBRE COLOMBIA LTDA. desconoció las disposiciones sobre autorización para el tratamiento de datos personales, al condicionar una actividad al suministro de información biométrica, clasificada como dato sensible conforme al marco jurídico aplicable; y ( ii) respecto del Cargo Segundo, la sociedad incumplió el deber de garantizar el derecho fundamental de habeas data del denunciante, al negarse a suprimir los datos biométricos necesarios para realizar verificación de identidad mediante reconocimiento facial. Por lo anterior, impuso la correspondiente sanción.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO ________71154_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 2 de 41

Ahora bien, en cuanto al Cargo Tercero , de conformidad con los hallazgos consignados en el acta de análisis técnico y en el informe obrante bajo el radicado No. 22-301462-37 del 3 d e marzo de 2025, la Dirección verificó que las vulnerabilidades de seguridad detectadas en el sistema de reconocimiento facial fueron corregidas en su totalidad, incluidas una falla crítica que permitía la extracción no autorizada de imágenes faciales y un a vulnerabilidad de nivel medio que posibilitaba evadir el proceso de reconocimiento. En consecuencia, no se encontraron elementos que permitieran acreditar la configuración de la conducta investigada, motivo por el cual dicho cargo fue desestimado.

Por lo anterior, mediante Resolución No. 16582 del 31 de marzo de 2025 , resolvió:

no se encontraron elementos que permitieran acreditar la configuración de la conducta investigada, motivo por el cual dicho cargo fue desestimado.

Por lo anterior, mediante Resolución No. 16582 del 31 de marzo de 2025 , resolvió:

“ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad MERCADOLIBRE COLOMBIA LTDA., identificada con Nit 830.067.394 -6 de CIENTO SESENTA (160) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a DIECIOCHO MIL QUINIENTOS SESENTA (18.560) Unidades de Valor Básico – UVB Vigentes para el año 2025

–equivalentes a DOSCIENTOS CATORCE MILLONES CUATROCIENTOS

CINCO MIL CIENTO VEINTE PESOS M/CTE (21 4.405.120), por la

vulneración de lo dispuesto en:

1. El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; y ii) En el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, conforme a lo expuesto en la parte motiva del presente acto administrativo.

(…)

2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, conforme a lo expuesto en la parte motiva del presente acto administrativo.

(…)

ARTÍCULO 2: IMPARTIR una orden administrativa a la sociedad MERCADOLIBRE COLOMBIA LTDA., identificada con Nit 830.067.394 -6 consistente en suprimir cualquier procedimiento en su aplicación móvil o sitio web que condicione el acceso o creación de cuentas de usuario al suministro de datos biométricos. Para ello deberá ofrecer varias opciones que permitan a los titulares decidir el mecanismo de autenticación.

Parágrafo: La sociedad deberá acreditar el cumplimiento de lo ordenado, aportando prueba técnica del procedimiento ajustado conforme a las directrices señaladas en el artículo segundo, dentro de los (30) treinta días siguientes a la ejecutoria del presente acto administrativo.”

CUARTO. Que, dentro del término legal establecido para el efecto, el 25 de abril de 2025, MERCADOLIBRE COLOMBIA LTDA. (en adelante la RECURRENTE), a través de apoderado especial , interpuso recurso de apelación 1 contra la decisión contenida en la Resolución No. 16582 del 31 de marzo de 2025 , mediante escrito radicado con el número 22-301462-55. Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos:

4.1. Respecto del Cargo Primero

4.1.1. Respecto de la denuncia presentada por el señor XXXXXXXXXX. La recurrente sostiene que, la denuncia del señor XXXXXXXXXX debe analizarse en su contexto, ya que la solicitud

4.1. Respecto del Cargo Primero

4.1.1. Respecto de la denuncia presentada por el señor XXXXXXXXXX. La recurrente sostiene que, la denuncia del señor XXXXXXXXXX debe analizarse en su contexto, ya que la solicitud de validación de identidad se hizo únicamente en una de sus seis cuentas, posterior a su creación, por detectarse una alerta de riesgo desde el área de Prevención de Fraude. Afirma que esta medida no fue intempestiva ni injustificada, sino que re spondió a fines legítimos y razonables: proteger el patrimonio y derechos de otros usuarios, salvaguardar la intimidad del denunciante frente a una posible suplantación y minimizar el riesgo de fraude.

1 La Resolución No. 16582 del 31 de marzo de 2025, fue notificada por aviso a la RECURRENTE el 9 de abril de 2025.RESOLUCIÓN NÚMERO ________71154_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 3 de 41

Señala que la solicitud de validación de identidad al señor XXXXXXXXXX se hizo únicamente en una de sus seis cuentas, tras detectarse una alerta de riesgo por la venta de un producto de la categoría “consumer electronics”, con el fin legítimo de proteger su intimidad, prevenir suplantación y evitar fraude. Afirma que el denunciante tenía tres opciones: (i) no validar y usar otras cuentas; (ii) crear una cuenta nueva o (iii) validar la cuenta señalada. El titular optó “voluntariamente” por esta última. Señala que la medida no fue una obligación general y que, después de validarse, el denunciante continuó vendiendo en esa cuenta y creó

señalada. El titular optó “voluntariamente” por esta última. Señala que la medida no fue una obligación general y que, después de validarse, el denunciante continuó vendiendo en esa cuenta y creó otra nueva. Por ello, considera que no es cierto que se le haya condicionado el acceso a su cuenta al registro facial.

Sostiene que la solicitud de validación de identidad al denunciante debe analizarse dentro del sistema implementado por MERCADOLIBRE para prevenir el fraude y la suplantación de identidad. Explica que la función “Validar identidad” es una de las cuatro opciones de verificación en dos pasos, que en general es voluntaria y solo se exige en casos específicos, como cuando un vendedor publica productos en categorías de riesgo, entre ellas “consumer electronics”, debido a su alta demanda y vulnerabilidad a fraudes y suplantaciones. Afirma que esta verificación tiene fines legítimos: reforzar la seguridad de la información, proteger los derechos de consumidores y la intimidad de los vendedores, y cumplir con las obligaciones del artículo 50 de la Ley 1480 de 2011 sobre identificación clara y cierta de los proveedores y prueba de la relación comercial. Añade que no implementar medidas como esta aumentaría el riesgo de fraude y posibles incumplimientos legales.

Asimismo, afirma que la denuncia carece de soporte probatorio para acreditar que MERCADOLIBRE lo obligó a registrar su rostro para ingresar a su cuenta. Señala que el Grupo de informática forense de la SIC no pudo verificar la afirmación sobre la supuesta solicitud posterior a un tiempo de uso de la aplicación y que existe una inconsistencia entre lo denunciado y lo realmente ocurrido: mientras el denunciante afirmó que la exigencia comenzó hacia el

forense de la SIC no pudo verificar la afirmación sobre la supuesta solicitud posterior a un tiempo de uso de la aplicación y que existe una inconsistencia entre lo denunciado y lo realmente ocurrido: mientras el denunciante afirmó que la exigencia comenzó hacia el 31 de julio de 2022, los registros muestran que la cuenta involucrada fue marcada por prevención de fraude el 23 de julio de 2021 y que ese mismo día él realizó voluntariamente la verificación de identidad para continuar vendiendo un producto de la categoría “consumer electronics”.

4.1.2. Respecto del proceso de “inspección” realizado por el Grupo de informática forense de la SIC. La recurrente sostiene que las “inspecciones” del Grupo de Informática Forense de la SIC demostraron que MERCADOLIBRE no condiciona la creación, acceso o uso de cuentas al suministro de imágenes de reconocimiento facial. Afirma que, por ello, es incorrecto lo señalado por la Dirección en la resolución de primera instancia, según lo cual la creación y activación de usuarios requeriría obligatoriamente datos biométricos.

En este sentido, afirma que la Dirección confundió dos procesos distintos en la aplicación móvil de MERCADOLIBRE: (i) la creación de una cuenta y (ii) la activación voluntaria de la función “Validar identidad” (una de las cuatro opciones de verificación en dos pasos), lo que llevó a una falsa motivación en la decisión. Argumenta que el Grupo de informática forense de la SIC , al documentar el proceso, en realidad ejecutó la activación voluntaria y no la creación de cuenta, y que en el procedimiento real de creación solo se solicitan correo, nombre, teléfono y contraseña,

Argumenta que el Grupo de informática forense de la SIC , al documentar el proceso, en realidad ejecutó la activación voluntaria y no la creación de cuenta, y que en el procedimiento real de creación solo se solicitan correo, nombre, teléfono y contraseña, sin requerir datos biométricos. Afirma que esta confusi ón, reiterada desde la Resolución de Apertura y no refutada en laRESOLUCIÓN NÚMERO ________71154_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 4 de 41

primera instancia, demuestra que MERCADOLIBRE no condiciona la creación de cuentas al reconocimiento facial.

Señala que el propio Grupo de informática forense de la SIC reconoció que, en el proceso de creación de una cuenta personal a través de la aplicación móvil, no se solicita el suministro de datos biométricos, ya que solo se requieren correo electrónico, nombre, teléfono y contraseña. Señala que esta constatación, registrada en el Acta de preservación No. 015–23, contradice la afirmación de la Dirección en la resolución de primera instancia según la cual la creación y activación de usuarios exige reconocimiento facial, configurando así una falsa motivación.

Sostiene que el Grupo de informática forense de la SIC verificó en al menos dos ocasiones que, en el proceso de creación de una cuenta personal en la aplicación móvil de MERCADOLIBRE, no se solicita el suministro de imágenes de reconocimiento facial. Precisa que en una segunda prueba, con el correo pdp.sic.2022@outlook.com, también se avanzó en el registro sin requerir dicho dato, aunque el proceso no se completó por no crear

solicita el suministro de imágenes de reconocimiento facial. Precisa que en una segunda prueba, con el correo pdp.sic.2022@outlook.com, también se avanzó en el registro sin requerir dicho dato, aunque el proceso no se completó por no crear la contraseña. Afirma que estas evidencias, no incluidas por la Dirección en el expediente, confirman la inexistencia de esa exigencia.

De igual manera, señala que el proceso descrito en la Resolución de primera instancia corresponde en realidad a la activación voluntaria de la opción “Validar Identidad” dentro de la “Verificación en 2 pasos” y no a la creación de una cuenta. Afirma que la funcionaria del Grupo de Informática Forense de la SIC activó esta función por decisión propia, sin que fuera requisito para acceder o usar la cuenta. Esto, según la recurrente, refuta la conclusión de la Dirección de que la aplicación exige reconocimiento facial en el procedimiento de creación y activación de usuarios, configurando así una falsa motivación en la sanción.

La recurrente reitera que el proceso de creación de una cuenta personal en el sitio web de MERCADOLIBRE no exige el suministro de imágenes de reconocimi ento facial, tal como se probó con la Prueba Documental No. 3 (aportada con el recurso), la cual no fue refutada por la Dirección. Explica que la única excepción se presenta cuando el usuario intenta registrarse con un correo previamente usado en un proceso inconcluso, lo que genera una alerta de posible suplantación de identidad. En ese caso, por seguridad y para cumplir obligaciones legales, MercadoLibre solicita verificar la identidad del usuario, con el fin de proteger su intimidad, garantizar transacciones seguras y prevenir usos ilícitos

seguridad y para cumplir obligaciones legales, MercadoLibre solicita verificar la identidad del usuario, con el fin de proteger su intimidad, garantizar transacciones seguras y prevenir usos ilícitos de la plataforma.

4.1.3. Respecto de la presunta falta de competencia de los contratistas para adelantar la “inspección” documentada en el Acta de preservación No. 015 -23 e instruir actuaciones administrativas. Afirma que el Acta de preservación No. 015-23 carece de validez porque fue suscrita por dos contratistas del Grupo de Informática Forense de la SIC que no tenían competencia legal para practicar pruebas o adelantar diligencias de “inspección”. Afirma que e n el expediente no existe credencial, acto administrativo de delegación ni autorización formal suscrita por el Director de Investigaciones de Protección de Datos Personales que los habilitara para esa labor. Señala que la facultad de decretar y practicar p ruebas es exclusiva del Director y no puede ser ejercida por contratistas ni por la Oficina de Tecnología e Informática, que tampoco tiene esa función asignada en el Decreto 4886 de 2011. Concluye que esta irregularidad constituye una vulneración del debid o proceso, pues las pruebas seRESOLUCIÓN NÚMERO ________71154_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 5 de 41

recaudaron sin habilitación formal, lo que afecta la validez de la imputación y la legitimidad de toda la actuación administrativa.

4.1.4. Respecto de la presunta imposibilidad de controvertir las pruebas recolectadas por los ingen ieros de la SIC . Sostiene además que se vulneró su derecho al debido proceso

imputación y la legitimidad de toda la actuación administrativa.

4.1.4. Respecto de la presunta imposibilidad de controvertir las pruebas recolectadas por los ingen ieros de la SIC . Sostiene además que se vulneró su derecho al debido proceso porque no tuvo la posibilidad de conocer, acceder y controvertir todas las pruebas que sustentan la sanción, ya que las evidencias digitales en que se fundamenta el Acta de preser vación No. 01523 no fueron incorporadas al expediente. Afirma que la decisión de primera instancia se basó en pruebas inexistentes en el expediente, lo que constituye un vicio que afecta la validez de la actuación y su defensa técnica y material.

4.1.5. Respecto de lo manifestado por MercadoLibre en el trámite de las averiguaciones previas. La recurrente sostiene que la Dirección concluyó erróneamente que MERCADOLIBRE condiciona el registro y uso de sus servicios a la entrega de datos biométricos, basándose en una interpretación equivocada de documentos aportados durante las averiguaciones previas. Afirma que en ninguna de las tres respuestas presentadas ni en los documentos anexos se indica tal condicionamiento; por el contrario, solo se informó que podría recolectar datos biométricos, lo que implica una posibilidad y no una exigencia. Señala que la Dirección tergiversó el término “podríamos” equiparándolo a “exigimos”, vulnerando el principio de buena fe y emitiendo una decisión con falsa motivación. Añade que las simulaciones de registro facial remitidas fueron elaboradas a solicitud de la SIC y no reflejan que este procedimiento sea obligatorio para todos los usuarios. Por ello, insiste en que la decisión solo puede basarse en

decisión con falsa motivación. Añade que las simulaciones de registro facial remitidas fueron elaboradas a solicitud de la SIC y no reflejan que este procedimiento sea obligatorio para todos los usuarios. Por ello, insiste en que la decisión solo puede basarse en pruebas legalmente practicadas y que obren en el expediente.

La recurrente sostiene que no existe contradicción entre lo dicho por MERCADOLIBRE en las averiguaciones previas y lo expuesto en el escrito de descargos, ya que en ninguna de sus tres respuestas iniciales ni en los documentos aportados se afirmó que el registro o uso de los servicios estuviera condicionado a la entrega de datos biométricos. Afirma que en ambas etapas procesales se man tuvo la misma posición: MERCADOLIBRE no condiciona la creación ni el acceso a cuentas personales al suministro de información biométrica. Agrega que la supuesta contradicción alegada por la Dirección se desvanece al comparar las Declaraciones de Privacidad presentadas en ambas oportunidades, las cuales solo indican que la plataforma podría recolectar datos biométricos, lo que no implica obligatoriedad ni está prohibido por la Ley 1581 de 2012.

4.1.6. Respecto de las diferentes opciones para la verificación de identidad, distintas al suministro de datos de biometría facial, ofrecidas por MERCADOLIBRE. La recurrente sostiene que la Dirección desacreditó indebidamente lo probado en el escrito de descargos al afirmar que, en las averiguaciones previas, no se informó ni acreditó la existencia de opciones distintas al reconocimiento facial para la verificación de identidad. Afirma que esta conclusión desconoce que, en descargos, se

el escrito de descargos al afirmar que, en las averiguaciones previas, no se informó ni acreditó la existencia de opciones distintas al reconocimiento facial para la verificación de identidad. Afirma que esta conclusión desconoce que, en descargos, se demostró que los usuarios pueden elegir entre cuatro alternativas de verificación en dos pasos —reconocimiento facial, código QR, Google Authenticator y teléfono — además de otros métodos internos de corroboración de identidad.

Señala que la Dirección interpretó de forma errónea su respuesta del 16 de noviembre de 2022, pues en ningún momento afirmó que no existieran otras opciones de verificación de identidad, sino que indicó que los usuarios podían solicitar la revocatoria delRESOLUCIÓN NÚMERO ________71154_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 6 de 41

tratamiento de sus datos biométricos. Afirma que la au toridad debió analizar dicha respuesta junto con lo explicado y probado en los descargos, conforme al artículo 176 del CGP. Señala que concluir que no informó opciones distintas al reconocimiento facial en averiguaciones previas y usarlo como fundamento sancionatorio desnaturaliza el alcance de los descargos, vulnera su derecho de defensa y configura una nulidad por falsa motivación y desconocimiento del debido proceso.

De igual manera, afirma que sus respuestas en las averiguaciones previas no constituyen una confesión, ya que nunca afirmó que no existieran otras opciones de verificación de identidad y esas manifestaciones debían analizarse junto con los descargos. Sostiene que no se cumplen dos requisitos del artículo 191 del

previas no constituyen una confesión, ya que nunca afirmó que no existieran otras opciones de verificación de identidad y esas manifestaciones debían analizarse junto con los descargos. Sostiene que no se cumplen dos requisitos del artículo 191 del CGP: (i) no genera ron consecuencias jurídicas adversas para la compañía y (ii) la existencia de otras opciones podía acreditarse por otros medios de prueba, como efectivamente ocurrió. Incluso si se consideraran confesión, recuerda que el artículo 197 del CGP permite desvirtuarla con prueba en contrario, por lo que no puede evaluarse aisladamente sin las pruebas aportadas en descargos.

Asimismo, sostiene que demostró ante la Dirección, con el escrito de descargos y la prueba documental No. 3, que ofrece a los usuarios la función opcional de “Verificación en 2 pasos” con cuatro alternativas: (i) código al teléfono registrado (método predeterminado), (ii) reconocimiento facial, (iii) código QR y (iv) Google Authenticator. Afirma que el reconocimiento facial es voluntario y su no activación no impide el acceso ni uso de la cuenta, ya que por defecto se verifica la identidad con un código enviado al teléfono. Con ello, acredita que existen métodos de verificación distintos al uso de datos biométricos.

4.1.7. Respecto del deber que tiene MERCADOLIBRE de prevenir la suplantación de identidad de los titulares y de verificar la identidad plena de sus usuarios . La sociedad recurrente sostiene que la Dirección erró al concluir que exige reconocimiento facial para acceder a cuentas, pues las pruebas demuestran que ni la creación, ni el acceso, ni el uso de cuentas

verificar la identidad plena de sus usuarios . La sociedad recurrente sostiene que la Dirección erró al concluir que exige reconocimiento facial para acceder a cuentas, pues las pruebas demuestran que ni la creación, ni el acceso, ni el uso de cuentas están condicionados al suministro de datos biométricos. Afirma que solo en situaciones excepcionales, justificadas por razones de seguridad como prevenir fraude o suplantación, solicita verificar la identidad mediante reconocimiento facial, lo cual constituye un fin legítimo, constitucional y razonable.

Argumenta que el artículo 6 de la Ley 1581 de 2012 no puede aplicarse de manera absoluta, citando la Sentencia C-748 de 2011 y que existen “ casos” en los que incluso la SIC ha autorizado el tratamiento de datos sensibles en contextos distintos a la atención médica o educación y cita (i) el concepto 20–477853 del 28 de enero de 2021 ; (ii) la Guía sobre el Tratamiento de Datos Personales para Fines de Comercio Electrónico y (iii) la Guía para la Protección del Consumidor en el Comercio Electrónico. Sostiene que su medida cumple los siete criterios del test de la Corte Constitucional en la Sentencia T -768 de 2008, al ser idónea, proporcional, necesaria y no invasiva, y que el usuario siempre es informado y no está obligado a activar la función salvo en casos de alerta de seguridad. Concluye que su actuación no vulnera derechos fundamentales, sino que protege la intimidad y seguridad de los titulares, en equilibrio con otros derechos fundamentales, conforme al principio de proporcionalidad.

Finalmente sostiene que, aunque la normativa de protección al

derechos fundamentales, sino que protege la intimidad y seguridad de los titulares, en equilibrio con otros derechos fundamentales, conforme al principio de proporcionalidad.

Finalmente sostiene que, aunque la normativa de protección al consumidor, comercio electrónico, SAGRILAFT, DIAN, entre otras, le impone la obligación de verificar la plena identidad de susRESOLUCIÓN NÚMERO ________71154_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 7 de 41

usuarios, ello no implica que siempre se exija información biométrica, pues cuenta con diversos mecanismos alternativos. Afirma que no existe en la ley una directriz clara para conciliar estas obligaciones con la protección de derechos de los titulares, por lo que diseñó un sistema equilibrado que incluye la función voluntaria “Verificación en 2 pasos” con cuatro opciones distintas, siendo la predeterminada el envío de un código al teléfono registrado, sin requerir reconocimiento facial salvo elección voluntaria del usuario.

4.2. Respecto del cargo segundo

4.2.1. Respecto del error en que incurrió la Dirección al confundir lo solicitado por el Señor Xxxxxxxxxx en las quejas que presentó ante MERCADOLIBRE y lo peticionado en la denuncia que él presentó exclusivamente ante la SIC. La recurrente sostiene que la Direcc ión erró al fundamentar la sanción del cargo segundo en la denuncia que el señor XXXXXXXXXX presentó exclusivamente ante la SIC , y no en las tres quejas que radicó ante MERCADOLIBRE, pues en estas últimas nunca solicitó la supresión de sus datos biométrico s ni la revocatoria de la autorización, sino únicamente la desactivación de

tres quejas que radicó ante MERCADOLIBRE, pues en estas últimas nunca solicitó la supresión de sus datos biométrico s ni la revocatoria de la autorización, sino únicamente la desactivación de una función de seguridad en la aplicación. Afirma que, al no existir tal solicitud de supresión, no podía configurarse una negativa por parte de MercadoLibre; que la sanción incurre en falsa motivación, vulnera los principios de legalidad, congruencia y non bis in ídem, y que no es cierto que la compañía obligara al denunciante a suministrar datos biométricos ni que incumpliera procedimientos internos. En consecuencia, considera pro cedente revocar la Resolución de primera instancia y archivar el segundo cargo imputado.

4.2.2. La competencia de la Dirección se limitaba exclusivamente a verificar si MERCADOLIBRE atendió las quejas que el Señor Xxxxxxxxxx radicó ante MERCADOLIBRE. Señala que la Dirección excedió su competencia al fundamentar la sanción en normas distintas a las imputadas en la Resolución de Apertura y al no ceñirse a las quejas efectivamente presentadas ante MercadoLibre , la formulación fue por “(…) el literal e) del artículo 8 de la misma disposición (…)” de la Ley 1581 de 2012, y no se entiende el motivo por el cual la Dirección en la página 21 de la Resolución de primera instancia inició la exposición de los fundamentos de su decisión citando el literal a) del art ículo 8 de la Ley 1581 de 2012.

4.2.3. La Dirección sancionó a MERCADOLIBRE con fundamento en una denuncia radicada exclusivamente ante

de los fundamentos de su decisión citando el literal a) del art ículo 8 de la Ley 1581 de 2012.

4.2.3. La Dirección sancionó a MERCADOLIBRE con fundamento en una denuncia radicada exclusivamente ante la SIC, que incluía peticiones que nunca fueron solicitadas por el Señor Xxxxxxxxxx ante MERCADOLIBRE. La recurrente reitera que la Dirección sancionó indebidamente a MercadoLibre basándose en una denuncia presentada únicamente ante la SIC, que contenía peticiones distintas a las formuladas en las tres quejas radicadas directamente ante la empresa. Afirma que dicha denuncia nunca fue remitida a MERCADOLIBRE, por lo que la compañía no tuvo oportunidad de pronunciarse sobre su contenido, y que en las quejas efectivamente recibidas solo se solicitó la desactivación de una función de seguridad, no la supresión de datos biométricos. Sostiene que esta actuación vulneró el principio de buena fe, se apartó de las normas aplicables y configuró una falsa motivación al sancionar por una petición que nunca fue presentada ante la empresa.

4.2.4. Respecto de la supuesta e inexistente obligación impuesta al Señor XXXXXXXXXX consistente en suministrarRESOLUCIÓN NÚMERO ________71154_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 8 de 41

sus datos de biometría facial. La recurrente sostiene que es falsa la conclusión de la Dirección según la cual MERCADOLIBRE obligó al señor