La SIC sancionó a Mercado Libre por exigir datos biométricos y desconocer el derecho de habeas data
La SIC sancionó a Mercado Libre con una multa de $214.405.120 por vulneraciones al régimen de protección de datos personales. La autorización para tratar datos personales debe ser previa, informada y susceptible de demostración cuando así lo exige la ley.
Sanción a Mercado Libre por el tratamiento de datos biométricos
La Superintendencia de Industria y Comercio sancionó en mayo de 2025 a Mercado Libre Colombia Ltda. con una multa de $214.405.120 por vulneraciones al régimen de protección de datos personales. La información biométrica es especialmente sensible porque está vinculada a características físicas individuales y puede tener riesgos adicionales si se recopila o usa sin una base jurídica suficiente.
El caso de Mercado Libre involucra tratamiento de datos biométricos y el derecho al habeas data.
La decisión aborda el habeas data y el consentimiento del usuario
La autorización para tratar datos personales debe ser previa, informada y susceptible de demostración cuando así lo exige la ley. El responsable debe explicar para qué recoge la información, quién la usa, cuánto tiempo la conserva y qué derechos tiene el titular. La necesidad de verificar la identidad no convierte automáticamente cualquier dato biométrico en obligatorio: el tratamiento debe cumplir los principios y requisitos legales, y las solicitudes de consulta, actualización, corrección o supresión deben responderse conforme al régimen aplicable. También debe distinguirse entre la multa administrativa y las órdenes impartidas para corregir prácticas concretas.
Cuando ya hay una decisión, su alcance depende del acto administrativo, de las obligaciones impuestas y de la posibilidad de recursos o control judicial. Una investigación identifica hechos que requieren evaluación y no debe contarse como una sanción definitiva. Para consumidores y proveedores, la información principal es qué conducta fue cuestionada, qué derecho se considera afectado y qué respuesta adoptó la autoridad.
Derechos de los usuarios y vías de reclamación
La sanción no implica que todo uso de biometría esté prohibido; recuerda que el responsable debe justificarlo y garantizar los derechos del titular.
El uso de datos biométricos requiere atención especial porque puede involucrar información sensible y riesgos mayores si se trata de manera inadecuada. Para analizar una práctica importa saber qué dato se solicitó, con qué finalidad, cuál era la base para tratarlo, qué información se entregó al titular y si existían alternativas. La sanción de la SIC debe leerse junto con sus órdenes y fundamentos. Los usuarios pueden ejercer sus derechos de consulta, corrección o reclamo por los canales previstos en el régimen de datos personales, y conservar las respuestas recibidas.
Entidades responsables y canales oficiales
La biometría —por ejemplo, una imagen facial tratada para verificar identidad— requiere un análisis reforzado porque puede involucrar datos sensibles. Una plataforma no puede justificar cualquier recolección con la mera conveniencia técnica: debe explicar finalidad, necesidad, base jurídica, forma de tratamiento, conservación y alternativas, cuando procedan. La decisión de la SIC debe leerse a partir de la conducta específica examinada y de las órdenes incluidas en el acto, no como una prohibición absoluta de todo uso biométrico. Los usuarios que consideren vulnerados sus derechos pueden conservar capturas del flujo de registro, aviso de privacidad, casillas de autorización y respuestas del proveedor; esa evidencia ayuda a explicar qué información fue solicitada y si se ofreció una alternativa. El habeas data permite solicitar información sobre el tratamiento y ejercer los derechos previstos por la ley, sin que toda petición conduzca automáticamente a la supresión de datos. La fuente oficial de la SIC debe precisar la sanción y sus fundamentos.
La decisión sobre datos biométricos debe ponerse en relación con los principios de finalidad, libertad, acceso restringido, seguridad y confidencialidad que rigen el tratamiento de datos personales. La empresa debe poder explicar por qué el dato resulta necesario para la operación y qué alternativas existen cuando sean jurídicamente exigibles. Para el usuario, las políticas de privacidad no deben evaluarse solo por su extensión: importan la claridad, las opciones que ofrece el servicio y las consecuencias de negar una autorización. El análisis depende del diseño de la operación y de las condiciones examinadas por la autoridad.
La solicitud de información sobre datos biométricos debe dirigirse al responsable del tratamiento y describir qué sistema se utilizó y qué dato se recolectó. Una respuesta verificable facilita establecer si el tratamiento corresponde a la finalidad informada y qué opciones de ejercicio de derechos resultan aplicables.### Cómo ejercer derechos sobre información biométrica
El titular puede solicitar al responsable que le informe qué datos biométricos conserva, con qué finalidad los obtuvo, quién puede consultarlos y cuál es el periodo de retención previsto. También puede preguntar por la base jurídica del tratamiento y por las opciones disponibles si no desea utilizar un método biométrico. La respuesta debe valorarse de acuerdo con los derechos establecidos en la ley y las características del servicio; pedir información no garantiza que todo dato deba eliminarse de inmediato.
La autorización debe distinguirse de la aceptación general de los términos de uso. Una persona debe poder reconocer cuándo se le solicita tratar una imagen, una plantilla facial u otro identificador sensible, y qué función cumple ese dato. Guardar capturas del proceso de registro, la política de privacidad vigente y las respuestas del proveedor ayuda a documentar cómo se obtuvo el consentimiento y si se explicó una alternativa.
Cuando se presente una queja, es útil describir el dato involucrado, la fecha, la finalidad comunicada y la acción que se solicita. El responsable del tratamiento debe tramitarla por los canales previstos y mantener medidas de seguridad y confidencialidad. Si la persona considera que la respuesta no atiende sus derechos, puede consultar la ruta ante la autoridad de protección de datos competente y aportar soportes sin divulgar públicamente información biométrica.
La sanción de la SIC se refiere a la conducta y órdenes descritas en el acto administrativo. Para determinar su alcance hay que diferenciar los fundamentos, las medidas correctivas y los recursos que puedan proceder. El caso no significa que toda verificación biométrica esté prohibida, sino que su uso debe justificarse y cumplir las garantías legales aplicables a datos sensibles.