Por reiteración de correos electrónicos no solicitados, Falabella recibe sanción por $137 Millones de pesos en Colombia.[i]
Por medio de la Resolución 85652[1] del pasado 13 de Diciembre de 2016, la Direccion de investigaciones de la Delegatura de Proteccion de datos personales de la Superintendencia de Industria y Comercio sanciono a la Sociedad Falabella de Colombia S.A., por violación al régimen de protección de datos en Colombia a raíz de una investigación por denuncia de un ciudadano que no había autorizado el envío de correos electrónicos.
Los Hechos
A partir de una compra realizada en el portal www.falabella.com.co el denunciante narro que al momento del diligenciamiento de sus datos, expresamente desmarco las casillas para envío de contenidos publicitarios tanto al correo electrónico como por medio de mensajes de texto. Mediante varios correos el quejoso elevo peticiones a la empresa con el fin de ser excluido del envío de mensajes no autorizados, los cuales fueron desatendidos, como se desprende de la investigación, por Falabella de Colombia S.A. El material probatorio recaudado en el curso de la investigación permite concluir, prima facie, que la sociedad sancionada siguió remitiendo comunicaciones de tipo publicitarios hasta dos meses después de haber recibido la oposición inicial por parte del titular de los datos.
El fondo del asunto
La Autorización: Como hemos reiterado en distintas ocasiones, la autorización en Colombia es pieza fundamental para el tratamiento de los datos. Siguiendo el derrotero filosófico de la anterior directiva de protección de datos europea, el consentimiento materializa la expresión de los principios de libertad, legalidad y finalidad contenidos en la Ley 1581 de 2012. Es por ello que reviste de capital importancia atender procedimientos adecuados frente a este punto; lejos de ser una cuestión menor, este elemento es el que ha puesto en aprietos a las empresas Colombianas en el cumplimiento de la Ley de protección de datos. En efecto, la correcta administracion de las autorizaciones supone una actividad permanente y dedicada, que en ocasiones comporta problemas logísticos – cuando se trata de millones de titulares – y que impone un deber de cuidado mayúsculo para las empresas. Guardar prueba de la autorización en ocasiones no es sencillo y los requerimiento de titulares frente a este punto puede generar dolores de cabeza, si la empresa no ha dispuesto (o es débil en), los procedimientos para atenderlos.
Al parecer y esta sanción puede ser un ejemplo de ello, las empresas continúan restándole importancia al tema de las autorizaciones y con el Registro de las Bases de datos, esta situación se está haciendo palmaria.
Deber de conservación de información: Uno de los argumentos esbozado por la sociedad investigada fue el deber que tenia de conservar información aun posterior al proceso de eliminado de información. Recuérdese que el régimen de protección de datos no deroga otras normas sustantivas sobre administracion y gestion documental. Es claro que por simples hechos como la generación de copias de seguridad y el almacenamiento y conservación con fines históricos, hace necesario que las empresas guarden información personal aun cuando esta es objeto de debate por el titular de los datos. La eliminación total de los datos personales es un supuesto que rara vez ocurre y en ocasiones esta pretensión se ve satisfecha con la inactivación de ciertos elementos del registro en la base de datos o el marcado con ciertas condiciones del mismo en la tabla a la que pertenece. Estas cuestiones técnicas tienen una mayor preponderancia cuando se trata de reclamaciones en el uso de información y requieren de una labor coordinada entre las áreas de privacidad y el área de soporte tecnológico o infraestructura en las organizaciones.
Procesos de Atención de Derechos de los titulares: Nuevamente una falla en la correcta atención al titular de los datos, genera una sanción por el régimen de protección de datos. El literal j de la Ley 1581 de 2012 señala expresamente que el Responsable del tratamiento tiene el deber de Tramitar las consultas y reclamos formulados en los términos señalados en la Ley. Este deber se ve reflejado en la construcción y mantenimiento de un Sistema de Atención al Titular de los datos frente al ejercicio de los derechos derivados del Art. 8 de la Ley. Existe un manejo descuidado, con cierta generalización en las empresas, afincado en el entendido que este asunto es algo sin importancia. Grave error cometen las empresas – sobre todo aquellas que administran muchos datos de usuarios, clientes o asociados- cuando no tienen procesos robustos para la atención de las consultas y reclamaciones y peor aun cuando los procesos de PQRS no están alineados con los de protección de datos. Estas inconsistencias pueden derivar en que no se atiendan en tiempo (Recuérdese que los términos de la Ley y su reglamento son perentorios y en ocasiones difieren de otros sistemas como los de servicio al cliente) o que no se resuelva el fondo de la petición, lo que activa el derecho de presentar una queja a la Superintendencia de Industria y Comercio. Por otra parte, el caso específico también nos muestra algo que ocurre en muchas organizaciones: El corto circuito que existen entre distintas áreas cuando de administracion de datos personales se trata. Alguien en Falabella falto al deber de cuidado en desmarcar una opción para envío de correos electrónicos a ese titular de datos; tal como ocurrió en un caso anterior con otra empresa de comunicaciones en Colombia, el envío de mensajes representa imposiciones de sanciones pecuniarias con ciertos montos que impactan no solo el tema financiero, sino la reputación de las empresas.
La sanción
Considero la SIC a través de la Delegatura de protección de datos, que la sociedad sancionada no podía alegar imposibilidad en la supresión de los datos del titular. Si bien con seguridad la relación entre ambos se suponía en un entorno contractual (Compraventa de un bien), también es importante señalar que el titular simplemente se oponía al envío de información publicitaria a su correo electrónico. Esto es algo que las empresas deben prestarle la debida atención; en ocasiones estas actividades se realizan con terceros que están en la obligación de garantizar el cumplimiento de los mecanismos dispuestos por la Ley y que el Responsable del tratamiento debe velar porque se cumplan.
En el caso en comento, la Sociedad Falabella de Colombia S.A., no atendió en tiempo la solicitud de supresión de los datos del titular a pesar que desde Julio de 2014 el titular comunico su primera objeción al envío de los emails comerciales, solo hasta Octubre de ese mismo año expreso la ausencia de autorización y procedió con la eliminación de los datos en Noviembre de 2014.
Por lo anterior consideró la entidad la investigada debía ser sancionada con el equivalente a DOSCIENTOS (200) salarios mínimos legales mensuales, esto es la suma de $137.891.000 de pesos.
[1] https://www.dropbox.com/s/fxghfpzulw39fff/RE85652-2016.pdf?dl=0
[i] Ivan Dario Marrugo Jimenez: Abogado. Especialista en Derecho de las Telecomunicaciones. Experto en Derecho de Tecnologías, Protección de datos y Seguridad de la información. Socio y Director General de Marrugo Rivera & Asociados-FuturLex – www.marrugorivera.com
