(28 de julio de 2025) “Por la cual se resuelve un recurso” Radicación: 22-386528 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S., (en adelante “la recurrente”), con Nit. 900.644.9793, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por la señora XXXXXXXXXXXXXXXXXX XXXXXX1: “El día 11 de agosto de 2022, la empresa CODISPLAN SAS envió un boletín informativo sobre avances del proyecto inmobiliario Parque de Teusa, del cual soy compradora; mi correo fue copiado a más de 100 personas sin mi autorización. Lo que ocasionó que una de ellas me enviara un correo alertando sobre alzas en el precio del inmueble y retrasos en la entrega, antes de saberlo por parte de la constructora.
Solicito se haga resarcimiento por parte de CODISPLAN SAS dado que han utilizado mis datos personales de forma inadecuada y que se imponga la multa máxima que de lugar en este caso. Es de aclarar que el día 7 de septiembre luego de recibir el correo de la tercera persona ajena a la constructora, envié a CODISPLAN SAS correo que adjunto como soporte, solicitando aclaración de lo sucedido sin embargo a la fecha no he tenido respuesta.”
SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (I) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
(II) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem. 1 Expediente digital, consecutivo 0, página 1 “Por la cual se resuelve un recurso” (III) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015.
(IV) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. (V) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
El 6 de marzo de 2024 se inició la presente investigación administrativa mediante la expedición de la Resolución N.º 75952 por medio de la cual se formularon cinco (5) cargos a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S, con Nit. 900.644.979- 3. La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.
TERCERO: Que la investigada fue notificada de la Resolución N.º 7595 del 6 de marzo de 2024 de forma electrónica el 6 de marzo de 2024, de acuerdo con la certificación expedida por la secretaria AD-HOC de esta Superintendencia, disponible a consecutivo 14 del expediente.
CUARTO: Que, vencido el término otorgado para presentar descargos, la sociedad investigada guardó silencio.
QUINTO: Que mediante Resolución N.º 53897 del 18 de septiembre de 20243, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 22-386528, consecutivos 0 a 15, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la recurrente para que rindiera los alegatos de conclusión respectivos.
SEXTO: Que la investigada fue comunicada de la Resolución N.º 53897 del 18 de septiembre de 2024 el 18 de septiembre 2024, de acuerdo con la certificación expedida por la secretaria AD-HOC de esta Superintendencia, disponible a consecutivo 19 del expediente.
SÉPTIMO: Que dentro del plazo otorgado por la Resolución N.º 53897 del 18 de septiembre de 2024, la sociedad recurrente mediante comunicado del 30 de septiembre de 2024 con radicado 22-386528- -00020 presentó alegatos de conclusión.
OCTAVO: Que mediante Resolución N.º 17874 del 4 de abril de 20254, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit. 900.644.979-3 de CIENTO TREINTA Y DOS (132) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes QUINCE MIL TRESCIENTOS DOCE (15.312) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CIENTO SETENTA Y SEIS MILLONES OCHOCIENTOS OCHENTA Y CUATRO MIL DOSCIENTOS VEINTICUATRO PESOS M/CTE (176.884.224) por la violación a lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Resolución No. 7595 del 6 de marzo de 2024 obrante en el expediente bajo radicado 22-386528 Resolución No. 53897 del 18 de septiembre de 2024 obrante en el expediente bajo radicado 22-386528 Resolución No. 17874 del 4 de abril de 2025 obrante en el expediente bajo radicado 22-386528 “Por la cual se resuelve un recurso” Único Reglamentario 1074 de 2015.
(ii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem. (iii)El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
Así mismo, impartió las siguientes ordenes: “ARTÍCULO 2: Ordenar a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit. 900.644.979-3, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses hábiles siguientes a la ejecutoria de la presente decisión. Las ordenes son: • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar un formato para solicitar la autorización previa, expresa e informada de los titulares sobre los cuales realiza tratamiento, que incluya entre otras la finalidad de enviar información general sobre sus proyectos inmobiliarios a sus direcciones electrónicas. • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar y documentar un Manual de Seguridad de la información, en función de la organización interna, el tamaño de la sociedad y sus características, para lo cual se sugiere tener en cuenta la “Guía para la implementación del principio de responsabilidad demostrada”5 y el “Estudio de medidas de seguridad en el tratamiento de datos personales”6 los cuales son mandatos de optimización con el fin de que la sociedad como Responsable implemente el manual de forma adecuada. • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar procedimientos en materia de seguridad de la información en especial un protocolo de seguridad para el envío de correos electrónicos masivos de información general a los titulares ocultando sus datos personales. • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá realizar los siguientes ajustes en la Política de Tratamiento de Datos Personales: 1.
Aportar prueba de que se puso en conocimiento de los titulares la Política de Tratamiento de Datos Personales. 2. Incluir el número de teléfono de la sociedad como Responsable del tratamiento. 3. Señalar en la Política de Tratamiento de Datos Personales el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los datos personales. 4.
Informar la finalidad del tratamiento de los datos personales que serán tratados por la sociedad como Responsable del tratamiento. 5. Indicar la fecha de entrada en vigencia de la Política de Tratamiento de Datos Personales. 6. Indicar el periodo de vigencia de las bases de datos 7. Actualizar la normatividad del Régimen de Protección de Datos Personales señalada al inicio del documento. • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar y documentar el Manual para la atención de 5 https://www.sic.gov.co/centro-de-publicaciones?field_global_topic_tid=7037&field_anos_p_value=All 6 https://www.sic.gov.co/centro-de-publicaciones?field_global_topic_tid=7037&field_anos_p_value=All “Por la cual se resuelve un recurso” consultas y reclamos relacionados con el Tratamiento de datos personales.
Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.”
NOVENO: Que la Resolución N.º 17874 del 4 de abril de 2025 fue notificada personalmente el 9 de abril de 2025 a la sociedad investigada, a través de la persona autorizada por el representante legal, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado radicado 22-386528- -27 del 11 de abril de 2025.
DÉCIMO: Que mediante correo electrónico con radicado 22-386528- -00028 del 24 de abril de 2025, a través de su represenante legal, la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución N.º 17874 del 4 de abril de 2025 para que se revoque la sanción impuesta, con fundamento en: 10.1 Manifiesta que se presenta atipicidad de la conducta, toda vez que la sociedad implementó una política de tratamiento de datos personales, con el fin de cumplir con sus deberes como Responsable, por lo tanto, no está de acuerdo con que este Despacho haya afirmado que dicha política no se encuentra actualizada junto con las medidas de seguridad de la información, sin antes haber realizado algún requerimiento respecto a las actualizaciones del mencionado documento.7 10.2 Señala que la sociedad recurrente demostró a lo largo de la investigación que, cumple con la protección de los datos personales de los compradores de las unidades inmobiliarias del proyecto de Teusa.8 10.3 Alega que este Despacho desconoce que la titular entregó su información personal de manera libre, expresa, previa y espontánea para incluirla en la base de datos de CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. y Alianza Fiduciaria, tal como se encuentra acreditado en las pruebas documentales aportadas al proceso como son: i) Copia del contrato de Promesa de Compraventa sobre el bien inmueble VIS entre la señora XXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXX y la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S.-CODISPLAN S.A.S, ii) Cuadro de resumen del negocio de promesa de compraventa suscrito en la misma fecha por las partes contractuales, iii) Copia de la Carta de Instrucciones suscrita del Fideicomiso P.A. Teusa por la señora XXXXXXXXXXXXXXXXXXXXXX.9 10.4 Declara que la sanción impuesta es desproporcionada, puesto que el representante legal considera que este Despacho no hizo un análisis de fondo de los criterios para la dosificación de la sanción establecidos en el artículo 24 de la Ley 1581 de 2012.10 10.5 Considera que este Despacho no tuvo en cuenta el criterio de aceptación de la falta para determinar el monto de la sanción, teniendo en cuenta que la sociedad recurrente presentó un memorial el 22 de diciembre de 2022 en donde indica que si bien fue un error involuntario del Responsable del tratamiento, la recurrente aceptó la comisión de la infracción. 11 7 Expediente digital, consecutivo 28, página 3, folio 2 8 Expediente digital, consecutivo 28, página 3, folio 2 9 Expediente digital, consecutivo 28, página 3, folio 3 10 Expediente digital, consecutivo 28, página 3, folio 7 11 Expediente digital, consecutivo 28, página 3, folio 7 “Por la cual se resuelve un recurso” 10.6 La recurrente presenta las siguientes pretensiones12: “Primero. Se Revoque la Resolución No. 17874 del 04 de abril de 2025 "Por la cual se impone una sanción y se imparten órdenes administrativas" en contra de la sociedad comercial CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S.-CODISPLAN S.A.S., con domicilio comercial en la ciudad de Bogotá D.C., identificada con N.I.T. 900.644.979-3.
Segundo. Que se valoren las pruebas enunciadas para eliminar la medida administrativa impuesta en la medida en que la sociedad actualmente recolecta los datos personales de los distintos titulares mediante una autorización expresa. Pretensión subsidiaria: Como pretensión subsidiaria solicito la siguiente: Primero. De forma subsidiaria y en caso de no prosperar la primera petición que se revoque parcialmente la Resolución No. 17874 del 04 de abril de 2025 en su Resuelve (sic), disminuyendo la sanción en la medida en que los criterios de atenuación por reconocimiento de la infracción se encuentran probados.”
DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
DÉCIMO SEGUNDO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagra los requisitos para la presentación de los recursos y el artículo 78 de la misma Ley, las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto: 12.1 El recurso fue interpuesto por el representante legal de la sociedad recurrente dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Tercero de la parte resolutiva de la Resolución N.º 17874 del 4 de abril de 2025 y acorde con el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a: 12.1.1 La sociedad recurrente fue notificada personalmente el 9 de abril de 2025 de la Resolución N.º 17874 del 4 de abril de 2025, a través de la persona autorizada por el representante legal, de acuerdo con certificación expedida por la Secretaría General AD-HOC de la 12.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 24 de abril de 2025 a través de correo electrónico con radicado 22-386528- -00028, encontrándose dentro del término legal. 12.1.3 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución N.º 17874 del 4 de abril de 2025, los cuales fueron expuestos en el numeral considerativo décimo de esta resolución. 12 Expediente digital, consecutivo 28, página 3, folio 7 “Por la cual se resuelve un recurso” 12.1.4 Respecto de los documentos aportados como pruebas por la recurrente: Mediante el correo electrónico con radicado 22-386528- 00028 del 24 de abril de 2025, allegó lo siguiente: • • • • Escrito de recurso de reposición y en subsidio de apelación. 13 Carta de instrucciones Fideicomiso P.A Teusa No. XXXXXXXXX.14 Contrato de promesa de compraventa de bien inmueble (vis) Proyecto Parque de Teusa P.h.15 Certificado de existencia y representación legal de CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. 12.1.5 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio: • El representante legal en el escrito con radicado 22-386528- 00028 del 24 de abril de 2025, con el cual interpone recuso de reposición y en subsidio de apelación contra la Resolución N.º 17874 del 4 de abril de 2025, señala nombre, dirección y correo electrónico de la recurrente para notificaciones.
DÉCIMO TERCERO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en tres (3) aspectos a saber: (i) Respecto de la tipicidad de la conducta investigada (ii) Respecto de la autorización para el tratamiento de los datos de la titular (iii) Sobre los factores de graduación de la sanción (iv) Sobre la proporcionalidad de la sanción impuesta (iii) Pretensiones. 13.1 Respecto de la tipicidad de la conducta investigada Al analizar las conductas que dieron lugar a la sanción impuesta, se encontró que estaban tipificadas como un incumplimiento de algunos de los deberes de los Responsables del tratamiento, definidos en el artículo 17 de la Ley 1581 de 2012, los cuales son: (I) (II) (III) (IV) (V) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem. El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015. El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.
El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015. Ahora bien, la Corte constitucional en sentencia C-748/11 declara como exequible el artículo 17 de la Ley 1581 de 2012 que contiene la lista de deberes exigibles al Responsable del tratamiento, de modo que, en este caso el incumplimiento de tres de estos deberes llevó a la imposición de la sanción: “Lo anterior significa que corresponderá a la autoridad de protección de datos como a las autoridades judiciales en el ámbito de su competencia, 13 Expediente digital, consecutivo 28, página 3 14 Expediente digital, consecutivo 28, página 2 15 Expediente digital, consecutivo 28, página 4 16 Expediente digital, consecutivo 28, página 5 “Por la cual se resuelve un recurso” garantizar al titular del dato o sus causahabientes, la protección que exige el ejercicio de su derecho al habeas data, el cual no puede quedar sujeto a limitaciones basadas en la exclusión de la responsabilidad frente a los deberes que cada sujeto involucrado en el tratamiento del dato pueda argumentar, con fundamento en la ley.
Es cierto que el legislador estatutario hizo un esfuerzo por describir los deberes que le asiste a uno y otro sujeto que participan en el tratamiento del dato, pero ello no significa que el titular del derecho no pueda exigir otros que puedan resultar para la plena garantía del mismo en concordancia con los principios que regulan la administración de datos.
En otras palabras, los deberes enunciados en los artículos bajo estudio, respecto del titular del derecho al habeas data, no son taxativos sino enunciativos, lo que significa que responsables y encargados tendrán otros deberes derivados del derecho al habeas data, que corresponderán a las prerrogativas que otorga el derecho, en tanto sujetos pasivos de dicha garantía constitucional.
No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, sí operan como una lista taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a las sanciones administrativas previstas por el mismo proyecto de ley.
Por las anteriores, la Corte declarará la exequibilidad de los artículos 17 y 18 del proyecto de ley” Así mismo, respecto del análisis del artículo 23 en el cual se establecen las posibles sanciones a imponer, la corte indica: “Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción[285].
(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar[286].
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. (…) Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos[290].
En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: “Por la cual se resuelve un recurso” “El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.
Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;
(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria”[291]. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.” (resaltado fuera del texto) Al analizar las conductas que dieron lugar a la sanción imputada a la recurrente, se encontró que estaban tipificadas como un incumplimiento de varios de los deberes de los Responsables del tratamiento definidos en el artículo 17 de la Ley 1581 de 2012.
Pues dentro de la investigación se acreditó en primer lugar que la recurrente, realizó el tratamiento de los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXX sin contar con su autorización previa, expresa e informada, para el envío de un correo electrónico a varios titulares, exponiendo sus direcciones de e-mail, sin contar con el consentimiento de ninguno de ellos para dicho fin.
En segundo lugar, la anterior conducta también implicó el incumplimiento del deber de seguridad de la información, al no establecerse un protocolo de envío de correos electrónicos masivos por parte del Responsable que oculte los datos personales de todos los destinatarios, con el propósito de evitar que fueran expuestos a terceros no autorizados, lo cual derivó en la imposición de una sanción. En tercer lugar, durante la investigación la sociedad recurrente no acreditó contar con un Manual de Políticas de Seguridad de la Información y un Manual para la atención de consultas y reclamos relacionados con el Tratamiento de datos personales, por lo tanto, se encontraron razones suficientes para imponer una sanción, al ser estos documentos de obligatoria implementación por parte de los Responsables del tratamiento.
Es de aclarar que la naturaleza de la orden administrativa se dio con ocasión a la verificación del documento aportado por la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S y que la Política de Tratamiento de Datos Personales cumpliera con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem y los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015 Así mismo, vale la pena recordar que en la etapa de averiguación preliminar se hizo un requerimiento mediante oficio 22-386528- -5 del 13 de diciembre de 2022 a CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. en el que se le solicitó lo siguiente: “(…) 8.
Remitan copia de la Política de Tratamiento de datos personales adoptada e implementada por la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S.” Ante lo cual, la investigada brindó respuesta mediante la comunicación con número de radicado 22-386528-7 del 27 de diciembre de 2022; sin embargo, dentro de la misma no se pronunció ni aportó copia de la Política de Tratamiento de Datos Personales.
Posteriormente, en los anexos de los alegatos de conclusión la investigada aportó el documento denominado “MANUAL DE POLÍTICAS DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN”, no obstante, el mismo no contiene las “Por la cual se resuelve un recurso” medidas técnicas, humanas y administrativas que garanticen que la información que recolecta y trata el Responsable tenga las medidas de seguridad adecuadas, de tal suerte que dicho documento no pudo tenerse en cuenta como un manual de seguridad propiamente dicho.
Igualmente, una vez analizado el contenido, se evidenció que dicho documento corresponde realmente a la Política de Tratamiento de Datos Personales. En síntesis, no se presenta atipicidad de las conductas investigadas, puesto que esta actuación administrativa se inició con una etapa de averiguación preliminar en la que se solicitaron explicaciones a la recurrente para que se pronunciara sobre los hechos puestos en conocimiento por la denunciante además de la verificación del cumplimiento de los deberes que le asiste en calidad de Responsable de información. Por lo que, este Despacho procedió a formular cargos concediéndole a la investigada la oportunidad de presentar y/o controvertir las pruebas y en general hacer valer su derecho de defensa, sin embargo, la Sociedad guardó silencio en esta etapa.
Posteriormente, la sociedad presentó sus alegatos de conclusión, no obstante, los mismos no fueros suficientes para acreditar que cumplió con los deberes que se le endilgaron en la investigación, por tal razón, el Despacho consideró que contaba con todos los elementos materiales probatorios para imponer la sanción correspondiente. En virtud de lo expuesto, es claro que a lo largo de la investigación se cumplió con el principio de tipicidad desde la formulación de cargos, donde la conducta o comportamiento reprochable fue claramente detallado respecto del incumplimiento de los deberes establecidos en el artículo 17 de la Ley 1581 de 2012, de igual manera, la decisión fue producto del análisis del acervo probatorio y los argumentos de la recurrente.
Por lo tanto, este este argumento no está llamado a prosperar, de manera que la resolución quedará incólume. 13.2 Respecto de la autorización para el tratamiento de los datos de la titular Al respecto, la recurrente manifiesta que este Despacho desconoció el hecho de que la titular entregó voluntariamente sus datos personales a CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. para incluirla en sus bases de datos, y para demostrarlo aporta: i) Copia del contrato de Promesa de Compraventa sobre el bien inmueble VIS entre la señora XXXXXXXXXXXXXX XXXXXXXXXXXXXXX y la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S.-CODISPLAN S.A.S, ii) Cuadro de resumen del negocio de promesa de compraventa suscrito en la misma fecha por las partes contractuales, iii) Copia de la Carta de Instrucciones suscrita del Fideicomiso P.A. Teusa por la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX.17 Así mismo, que en la respuesta del 26 de diciembre de 2022 con radicado 22-386528- -00007 por parte de la recurrente al requerimiento de este Despacho, manifestó que el 6 de noviembre de 2020, la Titular se acercó a la sala de ventas y entregó personalmente sus datos personales porque estaba interesada en un proyecto inmobiliario.
Pues bien, se enfatiza que, una vez examinados los documentos aportados al expediente, este Despacho echa de menos que dentro de los mismos, no existe la autorización previa, expresa e informada de la Titular, para el tratamiento de sus datos, y tampoco se acreditó que hubiera autorizado el tratamiento de su correo electrónico para la recepción de correos masivos en los que se expusieran sus datos a terceros.
Lo que toma más relevancia sobre este asunto, es que la sociedad como Responsable, no puede inferir que por el hecho de que la titular entregue sus 17 Expediente digital, consecutivo 28, página 3, folio 3 “Por la cual se resuelve un recurso” datos personales voluntariamente, está manifestando expresamente el consentimiento para que los mismos sean tratados para diversas finalidades.
Es por ello, que la sociedad debe acreditar que obtuvo la autorización previa del titular, y que la misma permita su consulta posterior. De igual manera, la sociedad también debe informar al titular sobre el uso y la finalidad para la cual están tratando sus datos personales, lo cual tampoco se aprecia en el expediente. Esto se encuentra establecido en el Artículo 9 de la Ley 1581 de 2012: “Artículo 9°.
Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Por lo anterior, se concluye que ni a lo largo de la investigación, ni con ocasión al recurso presentado, la sociedad demostró que cuenta, con la autorización previa, expresa e informada de la titular para realizar el tratamiento de sus datos personales, la cual debió solicitarse a más tardar el momento de la recolección de los mismos, ya que no solo basta con el acto de suministrarlos para considerar que la Titular está aceptando expresamente el tratamiento para cualquier finalidad que decida la sociedad, sino que la actividad de recolección, tratamiento y uso de los datos debe ser previamente autorizada e informada, además que dicho consentimiento debe permitir su consulta posterior.
En razón a lo anterior, este Despacho considera que este argumento de la recurrente no prospera, por cuanto no demostró que contaba con la autorización de la Titular, por lo tanto, se confirmará la sanción impuesta por este cargo. 13.3 Sobre los factores de graduación y proporcionalidad de la sanción Sobre este tema, la recurrente señala en el recurso que este Despacho no hizo un análisis de fondo de los criterios de graduación de la sanción y que no tuvo en cuenta la aceptación de la falta presentada por la sociedad en el escrito del 22 de diciembre de 2022 en donde indica que si bien fue un error involuntario del Responsable del tratamiento, la recurrente aceptó la comisión de la infracción. 18 Al respecto es importante precisar que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Por tanto, la imposición de una sanción surge de un análisis de la dimensión del daño o puesta en peligro de los intereses jurídicos tutelados, así como, de la conducta de la investigada durante el trámite de la investigación administrativa. Así pues, esta Superintendencia está facultada para adelantar una actuación administrativa de carácter sancionatorio, cuando existe responsabilidad administrativa derivada de la vulneración al Régimen Especial de Protección de Datos Personales.
Ahora bien, revisado el expediente se encuentra que la sociedad mediante comunicación del 26 diciembre de 2022 con radicado 22-386528- -00007 como respuesta a una solicitud de explicaciones por parte de este Despacho en etapa preliminar, informó que19: “Por un error técnico involuntario al enviar por correo electrónico uno de esos boletines, "al seleccionar contactos" se fue sin la restricción de copia oculta o CCO, a los destinatarios.
Los boletines informativos los enviamos a los correos electrónicos de 143 personas que han comprado apartamento en este proyecto. (…)” Después, una vez iniciada la apertura de investigación y formulación de cargos se le concedió a la sociedad el término para presentar descargos y esta guardó 18 Expediente digital, consecutivo 28, página 3, folio 7 19 Expediente digital, consecutivo 7, página 2, folio 1 “Por la cual se resuelve un recurso” silencio, seguidamente, se le corrió traslado para presentar alegatos de conclusión, los cuales si fueron radicados dentro del término, sin embargo, se destaca que en el contenido de los mismos, la recurrente no aceptó la comisión de la infracción de ninguno de los deberes formulados, por el contrario, manifestó que cumplió con todos los deberes legales como Responsable del tratamiento.
Ahora bien, es necesario aclarar que la vulneración no se deriva únicamente de la afectación al derecho fundamental de habeas data de un Titular en específico, sino que también ocurre por el incumplimiento del Régimen de Protección de Datos Personales, que exige por parte de los Responsables y Encargados ciertas conductas y deberes que de no ser acatados, darán lugar al inicio de un proceso administrativo sancionatorio en el que se señalaran las disposiciones presuntamente infringidas y las sanciones procedentes, garantizando el derecho de defensa y contradicción al investigado, por parte de la Superintendencia de Industria y Comercio a través de sus funciones de inspección, vigilancia y control, ejerciendo el poder punitivo del Estado.
Con relación a este tema, es importante mencionar los criterios para graduar las sanciones establecidos por la norma, y la manera en que estos fueron tenidos en cuenta al momento de la decisión de imponer una sanción por parte de este Despacho, al respecto el artículo 24 de la Ley 1581 de 2012 dice lo siguiente: “Artículo 24. Criterios para graduar las sanciones.
Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” (Subrayamos) En este caso los criterios de graduación aplicados para imponer la sanción fueron: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; mientras que no se tuvieron en cuenta los literales b), d), e) y f) del artículo 24 de la Ley 1581 de 2008 debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho y (iv) y no hubo reconocimiento o aceptación expresos sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Al respecto la Corte Constitucional en sentencia de control de constitucionalidad C-748 de 2011 indicó lo siguiente: "2.23.3. La constitucionalidad del artículo 24. “Por la cual se resuelve un recurso” Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución." Por lo anterior, es claro que se aplicaron de manera adecuada los criterios que se enuncian en el artículo 24 de la Ley 1581 de 2012, así mismo se tuvieron en cuenta todas las pruebas que llevaron a imponer una sanción contra la sociedad recurrente, las cuales evidencian que esta llevó a cabo un indebido tratamiento de los datos personales de la titular.
De otra parte, haciendo referencia específicamente al criterio de reconocimiento o aceptación de la infracción, se debe resaltar que las sociedades investigadas deben reconocer expresamente la comisión de la conducta durante la investigación administrativa, por lo que, mal haría este Despacho en asumir que la afirmación de la sociedad respecto a la ocurrencia de un error técnico sea considerado como un reconocimiento expreso de la comisión de la conducta, toda vez que esto fue manifestado en una respuesta del 26 diciembre de 2022 con radicado 22-386528- -00007 con ocasión, a una solicitud de explicaciones en la etapa de averiguación preliminar, por lo que se subraya que aún no se había iniciado la investigación administrativa formal.
Se concluye entonces que, no se tuvo en cuenta el criterio de graduación establecido en el literal f) del artículo 24 de la Ley 1581 de 2011, puesto que la recurrente no manifestó la aceptación de la infracción de ninguno de los deberes formulados en las instancias correspondientes para ello en el curso de la investigación administrativa como son: los descargos y los alegatos de conclusión, además la comunicación donde la sociedad afirma que se trató de un error técnico el haber enviado un correo masivo con exposición de datos personales, no fue un reconocimiento expreso del incumplimiento de ninguno de los deberes que posteriormente se le formularon, sino una explicación de la ocurrencia de los hechos que provocaron el incidente.
Así mismo, se reitera que en los alegatos la sociedad aseguró que si cumplió con todos sus deberes como Responsable del tratamiento, por lo tanto, la recurrente no declaró un verdadero reconocimiento del incumplimiento. 13.4 Sobre la proporcionalidad de la sanción impuesta Al respecto, debe aclararse que la Ley 1581 de 2011, no estableció en el artículo 23 ni en ninguna otra disposición, un sistema para la tasación de las multas que se pueden imponer.
Tan solo dejó establecido que las sanciones económicas pueden oscilar en el rango de 1 a 2000 SMLMV y, por lo tanto, no existe criterio alguno que ate el monto que puede imponer esta Superintendencia a la reunión de uno o varios criterios, sino a la valoración que haga la administración de la gravedad que de cada uno de ellos se desprenda.
Ahora bien, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, como consecuencia de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada Ley o de las órdenes que hubiera emitido. Al respecto, este Despacho le recuerda a la recurrente que de conformidad con el artículo 24 de la Ley 1581 de 2012 se dispone lo siguiente: “Artículo 24.
Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: ” (Negrilla fuera de texto) “Por la cual se resuelve un recurso” En ese orden, se tiene que la Ley establece que los criterios de graduación se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado concurra en ellos.
Ahora bien, debe ser claro para la recurrente que los criterios contenidos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a la comisión de conductas contrarias a la Ley que agravan consecuentemente la sanción original. Aclarado lo anterior, se tiene que para el presente caso la sociedad no incurrió en ninguno de los literales relacionados anteriormente, razón por la cual esta Superintendencia no los tuvo en cuenta a la hora de determinar la sanción. Al respecto, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.
Esta proporcionalidad se fundamenta en el incumplimiento debidamente probado, de los deberes contemplados en la Ley 1581 de 2012, lo que causó la vulneración de un Derecho Fundamental de la reclamante en su momento, lo cual por sí solo genera un daño que justifica la proporcionalidad de la sanción. Igualmente, es preciso señalar que los criterios para graduar las sanciones, como lo ha establecido la Corte Constitucional en sentencia C–748 de 2011, obedecen a: “parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (Negrillas fuera del texto), es decir, que los criterios deben ser estudiados sólo como medios de aumento o disminución de la sanción. Por estas razones, la tasación de una multa obedece a un análisis particular y concreto que debe ser realizado en cada caso y que tiene que ver con las circunstancias en las que se verificó la conducta infractora.
Así, a partir de tales circunstancias, las cuales hacen que cada caso sea único, la administración deberá tener en cuenta, entre otros, el principio de proporcionalidad, los límites legales establecidos y los criterios de graduación, que podrán consistirse en atenuantes o agravantes de la misma. Todo lo anterior hace que, aunque la decisión sea discrecional, la valoración de la conducta se haga con apego a tales aspectos que permiten que la evaluación sea objetiva, alejándose del criterio subjetivo del fallador.
Es por ello, que el artículo 44 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, establece que en la medida en que una decisión de la administración sea discrecional, ésta deberá ser “adecuada a los fines de la norma que la autoriza, y proporcional a los hechos que le sirven de causa”. De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cuál parte de la misma desea acogerse.
No debe perderse de vista que la Ley 1581 de 2011 es de naturaleza estatutaria, cuyo rango legal especial pone de presente la protección especial que tiene el habeas data. Puesto que se encuentra probada la negligencia en el cumplimiento de los deberes mencionados, y a lo largo de la presente investigación se demostró la infracción cometida por la recurrente, por otra parte, respecto del monto de la sanción impuesta se aclara que la potestad de la autoridad al momento de imponer la sanción está limitada por una serie de criterios que hacen posible “Por la cual se resuelve un recurso” que la actividad sancionatoria obedezca a principios de razonabilidad y ponderación que hace que la administración se sujete a unos límites y no desborde sus competencias así como tampoco vulnere los derechos del administrado.
Es por ello que el mismo artículo 24 de la Ley 1581 de 2011 señala en su parte inicial que estos criterios deberán ser tenidos en cuenta “en cuanto resulten aplicables”. Con apoyo en estos argumentos, es claro que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa, es proporcional y razonable a la vulneración demostrada.
Cabe aclarar, que el análisis realizado no se hace extensivo a otras investigaciones, toda vez que en cada investigación administrativa se debe realizar una valoración independiente frente a los hechos y material probatorio obrante en el expediente, el tamaño de la empresa, sus ingresos operacionales, el patrimonio, y, en general, la información financiera de cada empresa.
Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”20. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia21.
Así las cosas, recalcamos, la violación de derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Por lo tanto, el incumplimiento de los deberes por los cuales se impone la sanción no solo afecta al titular, también pone en riesgo los derechos de toda la sociedad.
Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.
Lo primero que se concluye es que, es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2011, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.
Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del tratamiento. Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa y la (iii) la información financiera de la investigada registrada en el Registro Único Empresarial RUES.
La cual, pese a no ser el único aspecto que se tiene en cuenta al momento de tasar el monto de las sanciones, sí requiere ser valorado a fin de garantizar la proporcionalidad en la imposición de las mismas. En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el derecho constitucional de habeas data, es 20 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar en: “Por la cual se resuelve un recurso” fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados.
Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora. Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente, que la multa equivalente a trescientos cincuenta (350) unidades de valor tributario vigentes-UVT es aproximadamente trece (13) salarios mínimos legales mensuales vigentes, representa el 6,6 % por ciento del límite legal de dos mil (2.000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2011.
Expuesto lo anterior este Despacho anota que, con fundamento en la potestad sancionatoria conferida a la entidad el monto impuesto como pago por concepto de multa a la recurrente es mínimo en relación con el límite dado por el legislador para el cálculo de las sanciones, lo que fundamenta la proporcionalidad del mismo con respecto a la acción de la recurrente.
De manera que, no es procedente disminuir el monto de la sanción impuesta, al ser esta proporcional con los deberes infringidos por la sociedad recurrente, de igual manera, se analizaron todos los criterios de graduación establecidos en la norma, para estimar la gravedad de la conducta y se tuvo en cuenta su situación financiera, con el fin de determinar el valor de la multa. 13.5 Respecto de las pretensiones La recurrente indicó como pretensiones22: “Primero. Se Revoque la Resolución No. 17874 del 04 de abril de 2025 "Por la cual se impone una sanción y se imparten órdenes administrativas" en contra de la sociedad comercial CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S.-CODISPLAN S.A.S., con domicilio comercial en la ciudad de Bogotá D.C., identificada con N.I.T. 900.644.979-3.
Segundo. Que se valoren las pruebas enunciadas para eliminar la medida administrativa impuesta en la medida en que la sociedad actualmente recolecta los datos personales de los distintos titulares mediante una autorización expresa. Pretensión subsidiaria: Como pretensión subsidiaria solicito la siguiente: Primero. De forma subsidiaria y en caso de no prosperar la primera petición que se revoque parcialmente la Resolución No. 17874 del 04 de abril de 2025 en su Resuelve (sic), disminuyendo la sanción en la medida en que los criterios de atenuación por reconocimiento de la infracción se encuentran probados.” Respecto a la primera pretensión, este Despacho no se accede a la revocatoria de la resolución recurrida, al confirmarse el incumplimiento de los deberes consagrado de los deberes consagrados en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
(ii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem. (iii)El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
Toda vez que en 22 Expediente digital, consecutivo “Por la cual se resuelve un recurso” el recurso de reposición en subsidio de apelación no se demostró el cumplimiento de ninguno de estos deberes por parte de la sociedad recurrente. Por otra parte, con relación a la segunda pretensión tampoco procede la revocatoria de ninguna de la ordenes impartidas, especialmente la relacionada con la solicitud de autorización previa al tratamiento de los datos del titular, porque la recurrente no demostró que hubiera solicitado la misma a la titular, de igual manera, tampoco aportó prueba de la implementación del formato, de manera que es indispensable que la recurrente realice ajustes en sus procedimientos para garantizar el cabal cumplimiento de la Ley.
De igual forma, no se accede a la pretensión subsidiaria porque la recurrente no aceptó la comisión de la falta durante la investigación administrativa, y en la etapa de averiguación preliminar adujo que la conducta investigada se derivó de un error técnico, lo cual no corresponde a un reconocimiento de la falta, puesto que la aplicación del criterio del literal f) del artículo 24, se lleva a cabo si la sociedad manifiesta expresamente que acepta el incumplimiento del deber una vez se inicia la investigación. Finalmente se concede el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales con el fin de que surta el trámite de Apelación.
DÉCIMO CUARTO: Conclusiones i. En esta investigación se cumplió con el principio de tipicidad, toda vez que la conducta reprochable fue claramente detallada desde la formulación de cargos, teniendo en cuenta los deberes establecidos en el artículo 17 de la Ley 1581 de 2012. Así mismo, se tomó la decisión recurrida con base en el análisis de las pruebas recaudadas en el expediente y los argumentos de la investigada. ii.
La sociedad recurrente no acreditó que contaba con la autorización previa, expresa e informada de la titular para el tratamiento de sus datos personales, de igual manera, se aclaró que el suministro de los datos por parte de la señora XXXXXXXXXXXXXXXXXX XXXXXXXXX no implica el consentimiento para realizar el tratamiento de los mismos para cualquier finalidad que decida el Responsable. iii.
En la decisión recurrida no se tuvo en cuenta el criterio de graduación establecido en el literal f) del artículo 24 de la Ley 1581 de 2011, puesto que la sociedad no manifestó la aceptación de la infracción de ninguno de los deberes formulados en los descargos y los alegatos de conclusión. iv. La sanción impuesta fue proporcional a la capacidad financiera de la sociedad, a la dimensión del daño causado con el incumplimiento de los deberes señalados y a la vulneración del derecho de habeas data de la titular. v. Por lo tanto, este Despacho confirma la sanción impuesta en la resolución recurrida, al confirmarse el incumplimiento de los deberes como Responsable por parte de CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S.
DÉCIMO QUINTO: Que analizadas todas las cuestiones planteadas con ocasión del Recurso y al tenor de lo dispuesto por el Código de Procedimiento Administrativo y de lo Contencioso Administrativo artículo 8023, este Despacho 23 Código de Procedimiento Administrativo y de lo Contencioso Administrativo. “Artículo 80. Decisión de los recursos.
Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de “Por la cual se resuelve un recurso” encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución impugnada, en la medida en que la sociedad recurrente no demostró el cumplimiento de los deberes por los cuales se impuso la sanción. Razón por la cual el acto administrativo recurrido será confirmado.
DÉCIMO SEXTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con NIT. 900.644.979- 3., con el correo electrónico de notificación judicial codisplan.sas@gmail.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-386528. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: CONFIRMAR en todas sus partes la Resolución N.° 17874 del 04 de abril de 2025, por las razones expuestas en la parte motiva de este Acto Administrativo.
ARTÍCULO 2: CONCEDER el Recurso de Apelación interpuesto subsidiariamente por la sociedad sancionada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3: NOTIFICAR personalmente a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S., identificada con el NIT 900.644.979- 3, a través de su Representante legal, entregándole copia de la misma, e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 4: COMUNICAR a la señora XXXXXXXXXXXXXXXXXXXX VALENCIA, identificado con Cédula de Ciudadanía N.º XXXXXXXXXXX el contenido de la presente decisión.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. [ ] La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso.” “Por la cual se resuelve un recurso” - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 de julio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.07.28 13:53:49 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: DR Revisó: YA Aprobó: CG