(21 de agosto de 2025) “Por la cual se impone una sanción administrativa” Radicación: 22-441071 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, los numerales 4 y 5 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que mediante escrito radicado con número 22-4410711 del 8 de noviembre de 2022, el señor XXXXXXXXXXXXXXXXXXXXXXXXX identificado con número de cédula N.º XXXXXXXXXXX presentó denuncia en contra de varias sociedades, dentro de las cuales se encontraba la sociedad DOOWIN S.A.S. con Nit. 901.493.980-6 por los siguientes hechos: “(…) 1.
Actualmente me registran varias huellas de consultas de las cuales no tengo conocimiento y que me está afectando mi historial crediticio. 2. Al momento de obtener crédito me ha sido negado por las consultas no autorizadas de forma digital que poseo en mi historial y vulnera mis derechos como ciudadano. 3. Al momento de intentar adquirir un crédito me es negado por tener huellas de consultas lo cual va en contra de la LEY 1266 de 2008 y la LEY 2157 DE 2021. 4.
Desconozco rotundamente las huellas de consulta de forma digital ya que yo todo lo manejo tradicional, por lo Cual manifiesto que no he autorizado que se me consulte por medios electrónicos ni mucho menos aplicaciones. (…)” 1.1. El denunciante adjunto fotos 2 de las huellas dejadas en su historia de crédito.
SEGUNDO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 12 de diciembre del 2024 se inició la presente investigación administrativa mediante la expedición de la Resolución N.° 77871, por medio de la cual se formuló un cargo a la sociedad DOOWIN S.A.S., con NIT. 901.493.980-6 por el presunto incumplimiento de las disposiciones contenidas en el numeral 1° del artículo 9° en concordancia con lo establecido en el artículo 15° de la de la Ley 1266 de 2008.
TERCERO: Que la Resolución N.° 77871 del 12 de diciembre del 2024, le fue notificada a la investigada de forma electrónica el 12 de diciembre del 2024, conforme a la certificación expedida por la Secretaría General de esta Superintendencia con radicado 22-441071- -39 del 13 de diciembre del 2024. “Por la cual se impone una sanción administrativa” En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.
Así mismo la referida actuación le fue comunicada al denunciante.
CUARTO: Que, vencido el término para presentar escrito de descargos, la sociedad investigada guardó silencio.
QUINTO: Que, a través de la Resolución N.º 22595 del 24 de abril del 2025, esta Dirección incorporó las pruebas obrantes en el expediente radicado bajo el número 22-441071, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
Las pruebas incorporadas se relacionan a continuación: 5.1 Queja presentada por el titular ante esta Superintendencia, radicada con el número 22-441071-0 del día 8 de noviembre de 2022. 1 donde se aportan los siguientes anexos: 5.1.1 Captura de pantalla de huellas de consulta2 5.2 Requerimiento de información a terceros dirigido al operador de información EXPERIAN DE COLOMBIA S.A., radicado con el número 22-441071-5 del día 28 de marzo del 2024.3 5.3 Respuesta al requerimiento de información por parte del operador de información EXPERIAN DE COLOMBIA S.A., radicada con el número 22-441071-23 del día 11 de abril del 2024 4. 5.4 Primer requerimiento dirigido a la sociedad DOOWIN S.A.S. con número de radicado 22-441071-11 del 28 de marzo de 2024 enviado a la dirección electrónica de notificación info@doowinsas.co.5 5.5 Segundo requerimiento dirigido a la sociedad DOOWIN S.A.S con número de radicado 22-441071-31 del 23 de septiembre de 2024 enviado a la dirección de notificación Carrera 47 # 93 – 20 en Bogotá D.C.6 5.6 Respuesta al requerimiento de información por parte de la sociedad DOOWIN S.A.S, radicada con el número 22-441071-32 del día 6 de diciembre del 2024. 7 SEXTO: Que la Resolución N.º 22595 del 24 de abril del 2025 le fue comunicada el mismo día a la sociedad DOOWIN S.A.S, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22441071- -43 de 28 de abril del 2025.
SÉPTIMO: Que, vencido el término para presentar escrito de alegatos de conclusión, la sociedad investigada guardó silencio.
OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio sobre los operadores, Expediente digital 22-441071, consecutivo 0, página 3 folios 1 al 3. 2 Expediente digital 22-441071, consecutivo 0, página 4 y 5.
Expediente digital 22-441071, consecutivo 5, página 2 folio 2 Expediente digital 22-441071, consecutivo 23, página 2 folios 1 al 4 Expediente digital 22-441071, consecutivo 11, página 2 folios 1 al 3 Expediente digital 22-441071, consecutivo 31, página 1 folios 1 al 3 Expediente digital 22-441071, consecutivo 32, página 2 folio 1 “Por la cual se impone una sanción administrativa” las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.
NOVENO Análisis del caso 9.1 Adecuación típica La Corte Constitucional en Sentencia C-1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “(…) [l]a jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;
(ii)Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica.
En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable. (…)”8. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) (ii) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los Usuarios de información respecto del manejo de los datos personales de los titulares.
El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008. De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de el numeral 1° del artículo 9° en concordancia con lo establecido en el artículo 15° de la de la Ley 1266 de 2008.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones 9.2.1.
Respecto del deber de acceder a la información personal del Titular contenida en bancos de datos de información crediticia de servicios bajo una finalidad legítima o en su defecto que el Titular de forma particular haya autorizado La Ley 1266 de 2008, en su artículo 9, señala los deberes de los usuarios de la información. En el numeral 1 de dicho artículo se establece que los usuarios deben guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. Considerando 3.6.2.
Sanciones y criterios para su graduación (Artículos 18 y 19) “Por la cual se impone una sanción administrativa” información únicamente para los fines para los que le fue entregada. Dicho deber está relacionado con los principios de finalidad y de confidencialidad, ya que la administración de los datos personales no solamente deber estar en concordancia con una finalidad legitima según la Ley 1266 de 2008, sino que la misma debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización. Adicionalmente, cuando los datos no gozan de la calidad de ser públicos, toda persona que intervenga en el proceso de administración debe guardar reserva en el manejo de los mismos, pudiendo solo realizar suministro o comunicación de datos cuando ello corresponda al desarrollo de las actividades autorizadas en la mencionada Ley.
Lo anterior, en concordancia con el artículo 15 de la misma normatividad, el cual determina que el acceso a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países solo podrá ser accedida por parte de los usuarios: “[c]omo elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.
Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.” Al respecto, la Corte Constitucional en sentencia C 1011 del 2008 ha precisado, en relación con los principios mencionados que: “(…) De acuerdo con el principio de finalidad, las actividades de acopio, procesamiento y divulgación de la información personal deben obedecer a un fin constitucionalmente legítimo y que, a su vez, debe ser definido de forma clara, suficiente y previa.
Esto implica que quede prohibida (i) la recopilación de información personal sin que se establezca el objetivo de su incorporación a la base de datos; y (ii) la recolección, procesamiento y divulgación de información personal para un propósito diferente al inicialmente previsto y autorizado por el titular del dato. (…) El principio de circulación restringida implica que las actividades de recolección, procesamiento y divulgación de información personal estén sometidas a los límites específicos determinados por el objeto de la base de datos, por la autorización del titular y por el principio de finalidad.
Por lo tanto, queda prohibida la divulgación indiscriminada de datos personales.” Así las cosas, esta Dirección evidenció que la sociedad DOOWIN S.A.S presuntamente incumplió con el deber de acceder a la información personal del Titular contenida en bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, conforme a las finalidades establecidas en la Ley, o en su defecto, respecto de aquellas que el Titular de forma particular haya autorizado, conforme a la Resolución N.º 77871 del 12 de diciembre del 2024, sustentada en las siguientes consideraciones: “(…)En el presente caso, mediante la comunicación radicada bajo el número 22- 441071-0 8 del 8 de noviembre de 2022, el Titular XXXX XXXXXXXXXXXXXXXXXXXX, informó a esta Superintendencia que varias sociedades, dentro de las cuales se encuentra EL INVESTIGADO, consultaron su historial de crédito, sin contar con la autorización por parte del Titular y sin una finalidad legitima conforme lo establece el artículo 15 de la Ley 1266 de 2008.
Que el Operador de la información Experian Colombia S.A.S. en el consecutivo 22-441071-23 9 informó que EL INVESTIGADO consultó el historial de crédito del denunciante el 5 de octubre de 2022. “Por la cual se impone una sanción administrativa” Que EL INVESTIGADO en el consecutivo 22-441071-3210 manifestó que el denunciante se abría (sic) registrado en la aplicación “LuckyPlata” desde el 4 de diciembre de 2022, siendo posterior a la consulta informada por el Operador de la información, no obstante, no aportó prueba de la autorización dada por el denunciante para ser consultado ni tampoco se refirió las finalidades de las consultas, así mismo no aportó ninguna prueba para respaldar ninguna de sus respuestas.
Conforme a lo anterior, la(sic) DOOWIN S.A.S consultó el historial de crédito, sin contar con la autorización por parte de la Titular y sin una finalidad legitima conforme lo establece el artículo 15 de la Ley 1266 de 2008. En este orden de ideas, la ausencia de la autorización para consultar su historial crediticio, otorgada por el titular de la información, implica que los datos asociados del señor XXXXXXXXXXXXXXXXXXXXXXX no pueden ser.
(sic) consultados ante los operadores de información ya que la autorización es el núcleo esencial del derecho fundamental de habeas data, pues a través de ella el titular del derecho manifiesta su voluntad frente al tercero para el manejo de su información, de ello se desprende la obligación que tiene los usuarios de obtener del titular una autorización cuando la finalidad de la consulta es ajena a lo dispuesto en el artículo 15 de la Ley 1266 de 2012.
Por consiguiente, preliminarmente, esta Dirección advierte un presunto incumplimiento por parte de la sociedad DOOWIN S.A.S., al deber de acceder a la información contenida en bancos de datos de información financiera, crediticia, de servicios, conforme a las finalidades autorizadas por el Titular de los datos, o aquellas derivadas de obligaciones legales o contractuales, como las de: (i) establecer y mantener una relación contractual vigente, (ii) o para la evaluación de los riesgos derivados de una relación contractual vigente con la Titular, (iii) autorizadas expresamente por la Titular.
Según lo contemplado en el numeral 1 del artículo 9 en concordancia con el artículo 15 de la Ley 1266 de 2008.” Ahora bien, en cuanto al acervo probatorio, se encuentra lo siguiente: En la queja interpuesta por el denunciante, este allegó captura de pantalla donde se evidencia huella de consulta en su historial crediticio realizada el 5 de octubre del 2022 por parte de la sociedad DOOWIN S.A.S., sin tener la autorización para tal fin.
Con fundamento en la anterior afirmación, el Grupo de Investigaciones Administrativas de esta Dirección con el fin de recolectar elementos de prueba suficientes, mediante oficio número 22-441071-5 del 28 de febrero de 2024, se requirió al operador EXPERIAN DE COLOMBIA S.A. en donde se le solicitó si la sociedad DOOWIN S.A.S había realizado consulta(s) en la historia de crédito del Titular XXXXXXXXXXXXXXXXXXXXXXXXXX, en el mes de octubre de 2022.
Ante dicho requerimiento, EXPERIAN COLOMBIA S.A., mediante comunicación radicado bajo el No 22-441071-23 del 11 de abril de 2024, señaló lo siguiente: “(…) En relación con lo anterior, le informamos que la sociedad DOOWIN SAS identificada con NIT 901493980-6; realizó una consulta a la historia de crédito del/la titular XXXXXXXXXXXXXXXXXXXXXXXXXXXX, identificado con cédula de ciudadanía No. XXXXXXX, el día 05 de octubre de 2022.
(…)” El Grupo de Investigaciones Administrativas de esta Dirección con el fin de recolectar elementos de prueba suficientes, requirió a la sociedad DOOWIN S.A.S., mediante oficio número 22-441071- -00031 del 23 de septiembre de 2024, 1. Informen y acrediten la finalidad de la(s) consulta(s) realizadas(s) en la historia de crédito del Titular XXXXXXXXXXXXXXXXXXXXXXXX, identificado con cédula de ciudadanía No. XXXXXXX en el mes de octubre de 2022 “Por la cual se impone una sanción administrativa” En caso de tratarse de una finalidad distinta a las establecidas en el artículo 15 de la Ley 1266 de 2008, remitan copia de la autorización otorgada por parte del Titular de la información. 2.
Manifiesten si el Titular XXXXXXXXXXXXXXXXXXXXXXXXX, ha tenido o tiene una relación contractual o comercial con la sociedad DOOWIN SAS. En caso de que la respuesta al anterior requerimiento sea positiva, remitan copia de los documentos que acredite dicha relación. Ante dicho requerimiento la sociedad DOOWIN S.A.S., mediante comunicación radicado bajo el No 22-441071-32 del 6 de diciembre de 2024, señaló lo siguiente: “1.
El Señor XXXXXXXXXXXXXXXXXXXXXXX se encuentra registrado en la aplicación LuckyPlata desde el 4 de diciembre de 2022. En dicha plataforma, la primera solicitud de préstamo presentada fue rechazada. 2. El Señor XXXXXXXXXXXXXXXXXXXXX procedió a registrar su cuenta en la aplicación LuckyPlata; sin embargo, la plataforma no aprobó ninguna de las solicitudes de préstamo presentadas.
Posteriormente, generó una nueva solicitud de préstamo el 14 de enero de 2023, la cual fue invalidada, al igual que la solicitud realizada el 16 de enero de 2023. 3. El Señor XXXXXXXXXXXXXXXXXXXX no ha presentado ninguna solicitud, queja ni reclamo a través de ninguno de nuestros canales de atención (WhatsApp, llamada telefónica o correo electrónico)” Ahora bien, con base en los hechos puestos en conocimiento por el titular y las pruebas recaudadas por este Despacho, se formuló el correspondiente pliego de cargos mediante la Resolución N.º 77871 del 12 de diciembre del 2025.
Sin embargo, una vez notificada dicha resolución, se advierte que la sociedad no presentó pronunciamiento alguno dentro del término legal establecido. Es importante resaltar que la sociedad DOOWIN S.A.S no allegó autorización para realizar la consulta del 5 de octubre del 2022 en el historial crediticio del Titular, de igual modo, no demostró contar con una finalidad prevista en la Ley que lo faculte para realizar la consulta.
Así las cosas, este Despacho otorgó a la sociedad investigada la oportunidad procesal para ejercer su derecho de defensa y aportar las pruebas que considerara pertinentes dentro de la presente investigación. Sin embargo, dicha sociedad guardó silencio. En atención a lo anterior, la formulación de cargos fue debidamente notificada a la sociedad investigada y las pruebas fueron oportunamente comunicadas, de conformidad con las disposiciones del procedimiento administrativo.
En el expediente reposa constancia del recibo de dicha notificación y comunicación, lo cual permite acreditar que la sociedad DOOWIN S.A.S tuvo pleno conocimiento del proceso y la oportunidad de ejercer su derecho de defensa. Frente a este aspecto, la Corte Constitucional mediante sentencia C - 1011 del 2008, manifestó lo siguiente: “Como se observa, el acceso a la información crediticia y comercial del sujeto concernido se inserta, necesariamente, en una actividad contractual bilateral.
Es decir, los usuarios del dato personal están interesados en conocer la información de un cliente potencial específico, a fin de celebrar contratos también definidos. A su vez, ese cliente potencial también ha expresado su intención de acceder a determinado producto comercial o de crédito, lo que ha motivado que la entidad o empresa correspondiente realice una investigación sobre su historial de cumplimiento.
Bajo esta perspectiva, para que exista necesidad del cálculo del riesgo crediticio debe concurrir un interés bilateral de las partes “Por la cual se impone una sanción administrativa” interesadas en el perfeccionamiento del contrato futuro”. (Subrayado fuera del texto original). Este pronunciamiento, destaca que la consulta de la historia de crédito por parte de un usuario de información, debe basarse en una actividad contractual de carácter bilateral.
Quiere decir entonces que no basta con la voluntad de la empresa de realizar la venta de bienes y/o prestación de sus servicios, sino que es necesaria también la determinación del cliente de contratar los bienes y servicios ofertados. Con base en esta voluntad mutua, es que LA INVESTIGADA puede hacer la investigación correspondiente y consultar la información de crédito.
Ahora bien, de acuerdo con la información suministrada por el Operador de Información EXPERIAN COLOMBIA S.A., se evidenció que la sociedad investigada consultó el historial crediticio del titular el día 5 de octubre de 2022, como se aprecia a continuación: En atención al requerimiento 9 efectuado por este Despacho a la investigada, la sociedad DOOWIN S.A.S manifestó que el titular se habría registrado en la aplicación LuckyPlata con el fin de solicitar un servicio; sin embargo, no aportó prueba alguna que respalde dicha afirmación, ni anexó el consentimiento informado del titular que habilitara dicha consulta.
En consecuencia, lo afirmado por la sociedad no resulta de recibo, por cuanto no fue acreditado con elementos probatorios. Así las cosas, este Despacho cuenta con los elementos suficientes para concluir que la sociedad DOOWIN S.A.S consultó el historial crediticio del titular sin contar con una finalidad legítima prevista en la ley, ni con el consentimiento informado que le facultara para ello.
Partiendo de lo señalado por la Corte y de la propia alegación de la Titular, quien en su queja manifiesta que desconoce a la sociedad DOOWIN S.A.S y que NO tiene ninguna relación comercial y/o contractual con ésta, no existe justificación para que haya decidido realizar la consulta efectuada a la historia de crédito del Titular el 5 de octubre del 2022 ante Experian Colombia.
Para finalizar, esta Dirección concluye que la sociedad DOOWIN S.A.S. no ejerció su derecho de defensa dentro del trámite de la presente actuación administrativa, pese a que esta Dirección le garantizó plenamente el debido proceso y todas las garantías procesales correspondientes. Así mismo, se cuenta con plena certeza de que la sociedad DOOWIN S.A.S el 5 de octubre del 2022 realizó una consulta al historial crediticio del titular sin contar con autorización ni con una finalidad legítima que la facultara para ello, en los términos del artículo 15 de la Ley 1266 de 2008.
En consecuencia, se procede a imponer la correspondiente sanción. 9 Expediente digital consecutivo No 31 Página No 1 folio No 1 y 2 “Por la cual se impone una sanción administrativa”
DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 10. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 211, 412 y 613 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo14.
La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”15 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” “Artículo 2.
(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.” (Negrita añadida) “Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.” (Negrita añadida) “Artículo 6.
Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” (Negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);
Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).
Considerando 5.5.2. “Por la cual se impone una sanción administrativa” parte de todas las entidades de orden nacional16. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.
En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313.
UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVBse reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa” desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVBconforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.
De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, el artículo 19 de la Ley 1266 de 2008 establece unos criterios de graduación, los cuales, con el fin de garantizar el debido proceso dentro de la actuación administrativa serán analizados para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C – 1011 de 200828, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 17 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.
“Por la cual se impone una sanción administrativa” en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros18.
La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia20. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 18 21 de la misma.
Así mismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 19: Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f)El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm. Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa” Para el presente caso, le es aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008.
Vale la pena resaltar lo que consideró la Corte Constitucional respecto de las sanciones consistentes en multas: “3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19) Los artículos 18 y 19 del proyecto concurren a establecer un sistema de sanciones con el siguiente contenido: Destinatarios. Son los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que incurran en responsabilidad administrativa derivada del incumplimiento de la ley de hábeas data o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo (Arts. 17 num. 6 y 18).
Órganos de investigación y sanción. La Superintendencia de Industria y Comercio, y la Superintendencia Financiera, cuando se trate de una entidad sometida a su vigilancia. Sanciones: se contempla una serie de sanciones con diverso nivel de intensidad, aplicables a supuestos de hecho distintos, así: Multas: pueden ser de carácter personal o institucional, con un tope máximo de mil quinientos salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Se aplican por “violación de la presente ley, de las normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas” por la respectiva Superintendencia. Estas multas pueden ser sucesivas, incumplimiento que las generó. mientras subsista el Suspensión de actividades: se establece un límite máximo de seis (6) meses, y se aplica en los siguientes eventos: a) Cuando la administración de la información se estuviere ejecutando con violación grave de las condiciones y requisitos previstos en la presente ley; b) Cuando se establezca la inobservancia de las órdenes e instrucciones impartidas por la Superintendencia para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos: se aplica cuando, transcurrido el término de suspensión, la entidad vigilada no hubiese adecuado su operación técnica y logística, sus normas, y sus procedimientos a los requisitos de ley, de conformidad con la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos: aplica a los supuestos de administración de datos prohibidos. se Criterios de graduación de las sanciones (Art. 19).
En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la a cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”.
Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del “Por la cual se impone una sanción administrativa” investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar. (…)”22 De manera que, atendiendo dichos criterios, este Despacho determinará cuáles tendrá en cuenta en el caso en concreto el literal a) del artículo 19 de la Ley 1266 de 2008 en los siguientes términos: 10.1.1.
La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley Del análisis normativo expuesto en el presente acto administrativo, es claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, resulta suficiente que la conducta desplegada por el investigado haya puesto en peligro, o en efecto, resulten vulnerados los intereses jurídicos tutelados por la Ley 1266 de 2008.
En el caso sub examine, esta Dirección evidencia que el cargo comprobado en contra de la investigada afectó de forma real y concreta los intereses jurídicos consagrados en la Ley 1266 de 2008 y sus normas complementarias. Quedó suficientemente demostrado que sociedad DOOWIN S.A.S realizó una consulta al historial crediticio del titular sin contar con una de las finalidades legítimas establecidas en el artículo 15 de la Ley 1266 de 2008, las cuales son: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente. Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información. Por consiguiente, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 19 de la Ley 1266 de 2008, una multa de CIENTO DOCE (112) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes DOCE MIL NOVECIENTOS NOVENTA Y DOS (12.992) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CIENTO CINCUENTA MILLONES OCHENTA Y TRES MIL QUINIENTOS OCHENTA Y CUATRO PESOS M/CTE ($150.083.584)23.
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023 10.1.2. Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. FJ: 3.6.2.
Sanciones y criterios para su graduación (Artículos 18 y 19). Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024. “Por la cual se impone una sanción administrativa” encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho y (v) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción.
DÉCIMO PRIMERO: CONCLUSIÓN Quedó demostrado que la sociedad DOOWIN S.A.S: 11.1 Infringió abiertamente las normas sobre protección de datos personales consagradas en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley. 11.2 La sociedad DOOWIN S.A.S vulneró los derechos del Titular al consultar el historial crediticio del Titular sin contar con una autorización que lo faculte para ello. 11.3 No demostró contar con una finalidad prevista en la ley que lo faculte para realizar la consulta.
DÉCIMO SEGUNDO Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad DOOWIN S.A.S, identificada con el Nit 901.493.980 - 6, con el correo electrónico de notificación judicial info@doowinsas.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-441071. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. IMPONER a la sociedad DOOWIN S.A.S, identificada con el Nit 901.493.980-6, una sanción de CIENTO DOCE (112) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes DOCE MIL NOVECIENTOS NOVENTA Y DOS (12.992) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CIENTO CINCUENTA MILLONES OCHENTA Y TRES MIL QUINIENTOS OCHENTA Y CUATRO PESOS M/CTE ($150.083.584), por la infracción del numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.
Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, “Por la cual se impone una sanción administrativa” liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad DOOWIN S.A.S, identificada con el Nit 901.493.980-6, a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO 3. COMUNICAR la presente decisión al señor XXXXXXXXXX XXXXXXXXX identificado con número de cédula N.º XXXXXXX.
ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. - Sede Principal: Carrera 13 # 27-00 piso 3, Edificio Bochica en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 21 de agosto de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.08.21 13:34:40 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCIA MOLINA Proyectó: JB Revisó: YA Aprobó: CG