(26 de febrero 2025) “Por la cual se resuelve un recurso de apelación” Radicado 22-365368 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO: Que con ocasión de la queja presentada por el señor XXXXXXXX XXXXXXXX XXXXXX1, la Dirección de Habeas Data, mediante Resolución No. 47256 del 28 de julio de 2021, impartió una orden encaminada a que la sociedad COLOMBIA MOVIL S.A. E.S.P. identificada con el Nit. 830.114.921-1 desindexara de sus bases de datos para fines publicitarios, los datos personales del señor XXXXXXXX XXXXXX, identificado con la C.C. No. xx.xxx.xxx, toda vez que se observó un posible incumplimiento al deber contenido en el literal a) del artículo 17 de la ley 1581 de 2012.
Asimismo, remitió la actuación para que el Grupo de Investigaciones Administrativas iniciara una actuación de carácter sancionatorio.
SEGUNDO. Que, con ocasión del traslado realizado, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 68118 del 30 de septiembre de 2022, decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en: el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la ley en cita y del artículo 2.2.2.25.2.6. del Decreto único Reglamentario 1074 de 2015.
TERCERO. Que, la Dirección consideró, conforme a las pruebas allegadas a la presente actuación, que aun cuando el Titular ejerció su derecho de habeas data en múltiples oportunidades, solicitando la eliminación de sus datos personales ante la sociedad COLOMBIA MOVIL S.A. E.S.P. y pese a existir una pluralidad de oficios de respuesta por parte de la compañía en los que aseguran haber procedido de conformidad con lo solicitado por el titular, solo se suprimieron los datos personales del titulas en virtud de la orden de eliminación proferida por la Dirección mediante la Resolución No. 47256 del 28 de julio de 2021.
Por lo anterior, mediante Resolución No. 22390 del 6 de mayo de 2024 se resolvió lo siguiente: “ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con NIT. 830.114.921-1, de DOSCIENTOS CUARENTA (240) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTISIETE MIL OCHOCIENTAS CUARENTA (27.840) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a TRESCIENTOS CUATRO MILLONES OCHOCIENTOS SETENTA Y CINCO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($304.875.840), por la violación a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la ley en cita y del artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015.” Queja identificada con el Radicado No 20-490281 del 22 de diciembre de 2020.
“Por la cual se resuelve un recurso de apelación”
CUARTO. Que en el término legal establecido para el efecto, el 21 de mayo de 2024, COLOMBIA MOVIL S.A. E.S.P. (en adelante la RECURRENTE), a través de su apoderado general, mediante escrito radicado con el número 22-36536823, presentó recurso de reposición y en subsidio de apelación2 en contra de la decisión contenida en la Resolución No. 22390 del 6 de mayo de 2024, cuyos argumentos principales, sobre los cuales se pronunciará el Despacho, son los siguientes: (i) la presunta nulidad por indebida notificación;
(ii) que no hubo intención de afectar el derecho del titular y que lo ocurrido fue producto de fallas en los procedimientos internos; (iii) cumplimiento del principio de responsabilidad demostrada; y (iv) falta de proporcionalidad de la sanción.
QUINTO. La Dirección, mediante la Resolución No. 62613 del 18 de octubre de 2024, resolvió el recurso de reposición interpuesto, confirmando en su totalidad lo dispuesto en la Resolución No. 22390 del 6 de mayo de 2024. En dicha decisión, se concluyó que la sociedad COLOMBIA MÓVIL S.A. E.S.P. puso en riesgo los intereses jurídicos del titular e incumplió el Régimen de Protección de Datos Personales, al no garantizar el ejercicio del derecho de habeas data cuando el titular solicitó la supresión de sus datos personales.
Asimismo, se determinó que no hubo indebida notificación, dado que la Resolución No. 22390 del 6 de mayo de 2024 fue notificada personalmente por medio electrónico, en cumplimiento de lo dispuesto en el numeral 1 del artículo 67 de la Ley 1437 de 2011.
SEXTO. Que, de conformidad con lo establecido en el artículo 80 del CPACA, se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes consideraciones: 6.1. Competencia de la Delegatura para la Protección de Datos Personales para resolver el recurso de apelación. De conformidad con lo dispuesto en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), este Despacho es competente para pronunciarse sobre el recurso de apelación formulado por COLOMBIA MOVIL S.A. E.S.P. en el asunto de la referencia. 6.2.
Del Recurso de Apelación: 6.2.1. Frente a la presunta nulidad por indebida notificación. La RECURRENTE indicó lo siguiente: “Una vez revisado el historial de la resolución por medio de la cual la entidad imparte una sanción e impone una orden administrativa a la Compañía que represento, no puede tenerse notificada en debida forma, por cuanto el aviso fue enviado pretermitiendo el envío de la citación de notificación personal que ordena el artículo 68 de la ley 1437 2011, queriendo esto indicar que la citación nunca fue remitida.
Además, aparte de la falta de envío, no se acató lo establecido en la norma en comento en la cual se ordena que se debe hacer la notificación cinco (5) días posteriores a la fecha de expedición del acto, por lo que, en estricto sentido, el debido proceso de notificación no se cumplió. Atendiendo a lo antes enunciado, el término para poder elaborarse el aviso que dispone el artículo 69 ibidem, era una vez fenecido los cinco (5) días otorgados en la citación de notificación personal, la cual nunca fue remitida, en consecuencia, el aviso remitido no cumple con el proceso de notificación que establece la ley, generando esto una violación al acatamiento de las reglas propias de cada juicio.
Lo anterior, dado que la Administración debe expedir, notificar y agotar la vía gubernativa en relación con el acto, toda vez que solamente el acto en firme permite su ejecución, porque los recursos se conceden en el efecto suspensivo. Por La Resolución No. 22390 del 6 de mayo de 2024, fue notificada electrónicamente a la sociedad COLOMBIA MOVIL S.A. E.S.P., el 6 de mayo de 2024.
“Por la cual se resuelve un recurso de apelación” tanto, ante la falta de notificación habrá de aplicarse el artículo 52 del CPACA.” De acuerdo con lo expuesto por la sociedad recurrente se debe señalar que la notificación de los actos administrativos de carácter particular se realiza según lo consagrado en el Artículo 66 y siguientes de la Ley 1437 de 2011, notificando personalmente al interesado, su representante o apoderado enviando la citación a la dirección física, al número de fax o al correo electrónico que figuren en el expediente o puedan obtenerse del registro mercantil, para que comparezca a la diligencia de notificación personal3.
Ahora bien, la Ley establece también la posibilidad de notificar electrónicamente al interesado, pero para esto, previamente debe haberse aceptado la notificación por ese medio4. En el primer caso, frente a la citación enviada al correo electrónico para surtir la notificación personal, el administrado tiene cinco (5) días para comparecer a notificarse personalmente y de no hacerlo se procederá a notificar mediante aviso; en el segundo caso, la notificación electrónica quedará surtida a partir de la fecha y hora en que el administrado acceda al acto administrativo.
En el caso bajo estudio, se evidencia que la sociedad autorizó la notificación electrónica de conformidad con lo indicado en el certificado de existencia y representación legal de COLOMBIA MOVIL S.A. E.S.P, como se evidencia a continuación: Por lo anterior, de conformidad con la autorización de notificación electrónica otorgada por la sociedad recurrente, la Dirección procedió a notificar la Resolución No. 22390 del 6 de mayo de 2024 al correo electrónico de notificación judicial notificacionesjudiciales@tigo.com.co, el 6 de mayo de 2024, como se evidencia en la siguiente acta de envío y entrega de correo electrónico: Artículo 68 Ley 1437 de 2011.
Artículo 67 Ley 1437 de 2011. “Por la cual se resuelve un recurso de apelación” Así mismo, se verifica que en la comunicación enviada por parte de esta Superintendencia bajo radicado número 22-365368-19 del 6 de mayo del 2024, mediante la cual se procedió a notificar de forma personal por vía electrónica la Resolución No. 22390 del 6 de mayo de 2024, contiene la siguiente información: (i) datos del trámite y dependencia que expide el acto administrativo, (ii) datos del interesado, (iii) recursos pertinentes, (iv) fecha de expedición del mensaje de datos y (v) copia adjunta del acto administrativo en formato PDF.
En virtud de lo expuesto, para este Despacho es claro que, contrario a lo manifestado por la RECURRENTE, el trámite de notificación del acto administrativo No. 22390 del 6 de mayo de 2024 se realizó en concordancia con lo establecido por la Ley, garantizando el derecho al debido proceso de la sociedad, así como el conjunto de principios que cimientan las actuaciones administrativas.
Ahora bien, en relación con lo señalado por la sociedad recurrente acerca de que “ante la falta de notificación habrá de aplicarse el artículo 52 del CPACA”, es pertinente aclarar lo siguiente: primero, que en el caso bajo análisis no se configuró una indebida notificación; segundo, que el artículo 52 del CPACA se refiere a la caducidad de la facultad sancionatoria, una figura que no resulta aplicable cuando se alega una indebida notificación; y tercero, que en el presente caso no es posible alegar dicha caducidad, dado que la vulneración del derecho fundamental del titular se mantuvo vigente hasta que la sociedad cumplió la orden impartida por la Dirección encaminada a eliminar los datos personales del titular de las bases de datos con fines publicitarios, hecho que ocurrió en julio de 2021.
En consecuencia, la sanción impuesta en mayo de 2024 “Por la cual se resuelve un recurso de apelación” se encuentra dentro del término legal de tres años establecido para el ejercicio de la facultad sancionatoria. Por último, en cuanto a la presunta nulidad alegada por la RECURRENTE, es importante señalar que esta autoridad administrativa carece de competencia para resolver sobre dicho asunto, ya que esta facultad corresponde exclusivamente a la jurisdicción contenciosa administrativa.
En virtud de lo expuesto, los argumentos presentados por la sociedad recurrente no son de recibo ni están llamados a prosperar. 6.2.2. Respecto a que no hubo intención de afectar el derecho del titular y que lo ocurrido fue producto de fallas en los procedimientos internos. De otro lado, la RECURRENTE señaló que: “En relación con el caso del señor XXXXXXXX XXXXXXXX XXXXXX, tal y como lo hemos informado al despacho, a pesar de atender de manera positiva las diversas peticiones elevadas por el usuario, sólo se logró cumplir de manera efectiva con lo requerido el 11 de agosto de 2021, al dar respuesta a la Orden Administrativa 47256 del 28 de julio de 2021 de esta corporación. En este caso, se debe tener en consideración que la empresa nunca tuvo la intención de afectar los derechos del señor XXXXXXXX XXXXXXXX XXXXXX, sin embargo, se detectaron fallas en los procedimientos internos, los cuales no permitían culminar con la petición de manera efectiva y, con ello, se ejecutaron diversas acciones correctivas y de mejora para, no solo atender esta petición en particular, sino refinar nuestra atención a futuro.” Para poder analizar lo manifestado por la recurrente frente al caso bajo estudio, se debe recordar que el literal a) del artículo 17 de la Ley 1581 de 2012, establece uno de los deberes que deben cumplir los responsables de la información en los siguientes términos: “(…) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”.
Ahora bien, respecto al derecho de habeas data, la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis de constitucionalidad de la que sería la Ley Estatutaria 1581 de 2012, manifestó: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases “Por la cual se resuelve un recurso de apelación” de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;
(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada y corregida, de tal manera que concuerde con la realidad;
(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa”. (Negrilla fuera de texto) Por lo expuesto, es evidente que el derecho de hábeas data confiere al titular de los datos personales la facultad de solicitar el acceso, corrección, adición, actualización, exclusión y/o eliminación de su información. Por consiguiente, resulta esencial que los responsables y encargados de la información actúen de conformidad, implementando las medidas y procedimientos necesarios y suficientes para garantizar al titular el pleno y efectivo ejercicio de su derecho fundamental.
En este sentido, en cuanto a la posibilidad de que los titulares revoquen la autorización y/o soliciten la supresión de su información, el literal e) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: "Artículo 8. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (…)". Por su parte, el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 dispone que: “ARTÍCULO 2.2.2.25.2.6.
Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.
La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.
Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” En consecuencia, es claro que, de conformidad con la normativa en cita, el titular en ejercicio de su derecho fundamental de habeas data puede solicitar, en cualquier momento, la exclusión de su información, revocar su autorización y pedir la supresión de sus datos personales, salvo cuando exista un deber legal o contractual que justifique su permanencia en la base de datos.
Frente al caso bajo analizado se encuentra lo siguiente: “Por la cual se resuelve un recurso de apelación” • El señor XXXXXXXX XXXXXX presentó múltiples peticiones ante la sociedad COLOMBIA MOVIL S.A. E.S.P. durante el periodo comprendido entre mayo de 2019 y diciembre de 20205. • En las peticiones presentadas solicitó: i) la eliminación de su información de las bases de datos de la compañía; y ii) la cancelación del envío de mensajes de texto con prospección comercial y de mercadeo a su línea móvil personal. • La sociedad otorgó respuesta al titular, accediendo de manera favorable a las solicitudes del titular para no continuar con el envío de contenido comercial y/o publicitario, a través de las siguientes comunicaciones: • Pese a las respuestas favorables otorgadas por la sociedad, esta continuó enviando mensajes con contenido comercial y/o publicitario al titular en contra de su voluntad.
Es con ocasión de estos hechos que la Dirección profirió la Resolución No. 47256 del 28 de julio de 2021, ordenando la eliminación total de los datos personales del titular para el envío de información publicitaria, con el fin de amparar el derecho fundamental del titular. • La sociedad recurrente aceptó expresamente la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar mediante escrito del 3 de noviembre de 2022, bajo el número 22-365368-11.
De conformidad con lo expuesto, teniendo clara la negligencia en el cumplimiento del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, se encuentra que la alegación presentada por la sociedad no es de recibo, puesto que la “existencia de fallas en los procedimientos internos” no exime a la empresa de su responsabilidad en la protección de los derechos del titular, ni puede ser utilizada como justificación para el incumplimiento de las normativas en materia de protección de datos personales.
Es fundamental que los responsables del tratamiento implementen y mantengan procedimientos efectivos y robustos para garantizar el cumplimiento de las solicitudes de los titulares de manera oportuna, como parte de su obligación de proteger los derechos fundamentales establecidos por la Ley. Por lo tanto, la negligencia de la sociedad en sus procedimientos internos no puede considerarse como una justificación para exculpar su responsabilidad frente a la vulneración reiterada el derecho fundamental de los titulares.
En consecuencia, este despacho desestimará este cargo. 6.2.3. Respecto del principio de responsabilidad demostrada. La RECURRENTE procedió a señalar que cuenta con Programa Integral de Gestión de Datos Personales y relacionó algunas medidas que tiene implementadas con el fin de fortalecer sus procesos, así: “De acuerdo con lo mencionado previamente, mi poderdante reconoce que, a pesar de los esfuerzos realizados para el adecuado cumplimiento normativo, ha habido una transgresión a lo establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en conjunto con el literal e) del artículo 8 de dicha ley y el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario Radicado 22-365368-0 “Por la cual se resuelve un recurso de apelación” 1074 de 2015.
No obstante, es importante destacar que la empresa, con el objetivo de cumplir rigurosamente con sus responsabilidades como Responsable del Tratamiento de Datos Personales, ha implementado diversos procesos y mejorado sus procedimientos para abordar de manera oportuna y efectiva este tipo de requerimientos. Esto se hace con el propósito de garantizar los derechos de los titulares de la información y prevenir la recurrencia de situaciones similares.
Para ello nos permitimos relacionar en términos generales algunas de las acciones emprendidas por la compañía que, de acuerdo con el principio de responsabilidad demostrada, que dan cuenta del compromiso de la organización en la materia. Desde la expedición de la Ley 1581 de 2012, Decreto 1377 de 2013 y demás normas reglamentarias, en la organización se emprendieron diferentes acciones en respuesta a nuestro compromiso por incrementar los estándares de protección de los datos personales.
En ese sentido, implementamos un Programa Integral de Gestión de Datos Personales, que responde a una directriz de la Compañía y de los representantes legales que tiene como objetivo el adecuado manejo y protección de los datos personales suministrados por nuestros clientes, proveedores, colaboradores, y, en general, por los terceros de quienes recolectamos este tipo de información. Expresado lo anterior, nos permitimos relacionar algunas medidas implementadas con el fin de fortalecer nuestros procesos: a) Se implementó un procedimiento efectivo y verificable para asegurar y monitorear que los procesos que realizan contactabilidad de carácter comercial en la compañía, se abstengan de hacerlo cuando no se cuente con autorización del titular de los datos personales.
Este procedimiento cuenta con los lineamientos necesarios para la consulta previa al contacto de la existencia de autorización expresa e informada para el tratamiento de datos personales por parte del titular de estos, así como, el diagrama de flujo que mapea las actividades y la interacción con otros procesos. b) Se implementó un procedimiento efectivo y verificable para atender de manera inmediata los requerimientos de rectificación y/o supresión de datos dentro del término establecido con el fin de asegurar y monitorear que las solicitudes en este sentido sean atendidas en los términos de ley. c) La compañía cuenta con mecanismos gratuitos, robustos y de fácil acceso para la atención a todo tipo de solicitudes, entre ellas, a las de revocatoria de autorización y supresión de datos personales de acuerdo con lo establecido en la Resolución CRC 5111 de 2017 – Régimen de Protección de Usuarios.
Reiteramos que nuestros canales de atención con los titulares de los datos personales a nuestro cargo han sido siempre gratuitos y de fácil acceso, contando, con línea telefónica a nivel nacional, portal web y todas nuestras tiendas a disposición de recibir y atender de forma oportuna los requerimientos de supresión o rectificación de datos personales. d) Se implementó un instructivo con el fin de mejorar el control de monitoreo continuo de las PQRs, que permite un control más detallad de aquellas relacionadas con datos personales, el cual cuenta con tres líneas de monitoreo.” De lo manifestado por la sociedad recurrente es claro que enuncia las medidas implementadas para acreditar el cumplimiento del principio de responsabilidad demostrada.
Frente al principio de responsabilidad demostrada, es necesario recordar que la sección 6 del Decreto Único Reglamentario 1074 de 2015 establece lo siguiente: “SECCIÓN 6 RESPONSABILIDAD DEMOSTRADA FRENTE AL TRATAMIENTO DE DATOS PERSONALES “Por la cual se resuelve un recurso de apelación”
ARTÍCULO 2. 2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, cómo también la descripción de las finalidades para las cuáles esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas: (Decreto 1377 de 2013, art. 26)
ARTÍCULO 2. 2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2. 25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.
Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.
La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.
(Decreto 1377 de 2013, art. 27)” (resaltado fuera del texto) El término "accountability"6, aunque tiene diversos significados, ha sido entendido en el ámbito de la protección de datos como la obligación de una organización de cumplir efectivamente las regulaciones aplicables, y de demostrar que las acciones implementadas son útiles, pertinentes y eficaces en la práctica.
Por lo tanto, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Se trata de una actividad constante, que exige demostrar un cumplimiento real y efectivo en la práctica de sus labores donde el principio de precaución instruye la interpretación de la “accountability”.
En virtud de lo anterior, y conforme con la normativa citada, queda claro que la verificación del cumplimiento del principio de responsabilidad demostrada “será Guía Para La Implementación Del Principio De Responsabilidad Demostrada 2021, de la Delegatura Para La Protección De Datos Personales. “Por la cual se resuelve un recurso de apelación” tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley”.
Es decir, que si la Autoridad encuentra que, respecto del caso objeto de estudio, la sociedad acredita cumplir el principio de responsabilidad demostrada, esto sería tenido en cuenta al momento de calcular el monto de la sanción. Ahora bien, para que el principio de responsabilidad demostrada sea tenido en cuenta al momento de fijar la sanción es necesario que la sociedad recurrente, para la fecha de ocurrencia de los hechos denunciados, hubiese adoptado medidas pertinentes, útiles, efectivas y verificables, que garanticen el cumplimiento del deber sancionado que, en este caso concreto es el de “Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”, asimismo, que hubiese implementado medidas que evitaran los hechos por los que ha sido sancionada.
Una vez revisado el material probatorio aportado junto con el escrito de recurso, así como el acervo probatorio obrante en el expediente, este Despacho encuentra que la sociedad no aportó prueba alguna que acredite la fecha de implementación, el impacto de las medidas implementadas, ni la efectividad y/o verificabilidad de las mismas, ni el contenido de ninguna de las medidas previamente señaladas.
Por lo que no es posible verificar si fueron implementadas con anterioridad a la fecha de ocurrencia de los hechos denunciados y si están directamente encaminadas al cumplimiento del deber objeto de sanción y a impedir que hechos como el denunciado ocurrieran o volviesen a ocurrir. Por lo tanto, este Despacho constata que la sociedad recurrente no acreditó el cumplimiento del principio de responsabilidad demostrada para el caso bajo estudio, por lo que no accederá a lo solicitado en relación con estos argumentos.
Es importante destacar que para que el principio de responsabilidad demostrada sea efectivo, la sociedad no solo debe contar con documentos que detallen sus procesos y procedimientos, puesto que la mera existencia de documentos no garantiza el cumplimiento de las regulaciones. Por lo tanto, es fundamental poner en práctica lo establecido en estos documentos en todas las actividades de la organización que involucren el tratamiento de datos personales, es decir, es necesario llevar a cabo y materializar las directrices contenidas en dichos documentos en la operación diaria de la organización. 6.2.4.
Respecto de la proporcionalidad de la sanción. Finalmente, la RECURRENTE indicó que: “Analizando entonces estas premisas, respetuosamente consideramos que la sanción impuesta es desproporcionada respecto del bien jurídico que se protege al no tener en cuenta que la Compañía realizó todo lo necesario para atender la solicitud realizada por el usuario.
Por otro lado, cabe señalar que la sanción debió liquidarse conforme al salario mínimo de la ocurrencia de los hechos, lo anterior de acuerdo con el estudio de constitucionalidad que hizo la Corte Constitucional mediante sentencia C-145 de 2004, respecto al parágrafo 3 del artículo 1 del Decreto 1074 de 1999, que indicaba que, para la imposición de sanciones por la ocurrencia de infracciones en el régimen cambiario, debía tenerse en cuenta el salario mínimo legal vigente de la formulación del pliego de cargos (…) Así mismo, el Consejo de Estado - Sección Primera dentro del proceso radicado 2006-00873, en providencia de 1 de noviembre de 2019, en un caso en el que se discutió, entre otros aspectos, el salario mínimo mensual aplicable en una sanción impuesta por la Superintendencia de Servicios Públicos Domiciliarios (…) Ahora, si bien el Consejo de Estado se refirió sobre este concepto respecto las infracciones señaladas en el artículo 81.2 de la Ley 142 de 1994, esta tesis fue acogida por el Tribunal Administrativo de Cundinamarca - Sección Primera en sentencia de 4 de junio de 2020, frente a una sanción impuesta “Por la cual se resuelve un recurso de apelación” por la Superintendencia de Industria y Comercio por infracciones al régimen de protección de los usuarios de telecomunicaciones consagrado en la Ley 1341 de 2009 (…) De lo anterior, se concluye que las infracciones no solo deben ser determinadas sino además deben ser relacionadas con el tiempo en que se ejecutan.
Pues de no ser así, serían inciertas las multas que fueran impuestas por la administración al depender de un salario mínimo mensual legal vigente del año en que se profiera la decisión eventualmente sancionatoria, lo que transgrediría el principio de legalidad de las sanciones y el derecho del debido proceso en el desarrollo de las actuaciones administrativas.
Conforme a lo expuesto, el salario mínimo, o su correspondiente valor en UVB, que debe tenerse en cuenta para la imposición de la sanción se entenderá como el vigente para la fecha en que ocurrieron los hechos, que para el caso en concreto es el año 2019.” De lo anterior, se desprende que la recurrente presenta dos argumentos: (i) la falta de proporcionalidad de la sanción impuesta y (ii) la determinación del monto de la sanción con base en el valor de los salarios mínimos vigentes al momento de los hechos, es decir, en el año 2019.
Respecto del primer argumento, la Corte Constitucional, en sentencia C-125 de 2003 ha señalado lo siguiente: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad.” En este sentido, es importante precisar que la potestad sancionatoria debe ser ejercida de manera razonable y equilibrada, garantizando la adecuada correspondencia entre la sanción, y el deber incumplido y la finalidad establecida por la normativa infringida, así como la proporcionalidad entre la gravedad de la infracción y la sanción impuesta.
De igual manera, se debe resaltar que el legislador ha establecido que respecto de la Ley 1581 de 2012, la Superintendencia de Industria y Comercio puede imponer sanciones cuando se identifican incumplimientos normativos que incrementan el riesgo de vulneración de los derechos de los titulares de datos personales. Esto incluye, entre otros aspectos, el incumplimiento de los deberes establecidos en la Ley.
En consecuencia, el ejercicio de la potestad sancionatoria de la Superintendencia no depende de la materialización de un daño o perjuicio directo al titular de los datos, sino del simple hecho de desconocer alguna de las obligaciones establecidas en el marco normativo de protección de datos. Esto se fundamenta en el enfoque preventivo y de gestión de riesgos que caracteriza al régimen colombiano de protección de datos personales, el cual busca minimizar la probabilidad de incidentes que afecten los derechos fundamentales de los titulares.
Por lo tanto, la administración puede ejercer su potestad sancionatoria siempre que, en el marco de la actuación administrativa correspondiente, se determine que ha existido una trasgresión de las disposiciones que protegen el derecho fundamental de habeas data. Este enfoque resulta particularmente relevante en relación con las obligaciones que recaen sobre los responsables del tratamiento, quienes deben garantizar el cumplimiento de sus deberes legales, tales como obtener el consentimiento previo, expreso e informado de los titulares, asegurar la veracidad, integridad y actualización de la información, implementar medidas de seguridad adecuadas al riesgo, y establecer mecanismos efectivos para que los titulares ejerzan sus derechos de acceso, actualización, rectificación y supresión. “Por la cual se resuelve un recurso de apelación” Por lo expuesto, es claro que es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012 para que la administración pueda ejercer sus potestades de vigilancia y control.
Y podrá ejercer su potestad sancionatoria cuando se advierta el incumplimiento de uno de los deberes a los que están sujetos los responsables y encargados del tratamiento. Ahora bien, en el caso bajo estudio se encuentra que la sociedad recurrente, en calidad de responsable del tratamiento, de manera negligente, incumplió el deber establecido en el literal a, del artículo 17 de la Ley 1581 de 2012, en la medida en que se encontró demostrado y fue aceptado por el recurrente que no garantizó el pleno y efectivo ejercicio del derecho de habeas data al no dar cumplimiento adecuado a las múltiples solicitudes de eliminación presentadas por el Titular, a pesar de haber emitido varias respuestas favorables.
Ahora bien, en lo que tiene que ver con los criterios de graduación de la sanción, el artículo 24 de la Ley 1581 de 2012 establece lo siguiente: “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Frente a estos criterios la Corte Constitucional, en la Sentencia C-748 de 2011, precisó que los primeros cinco criterios señalados en la norma, constituyen agravantes en tanto que el sexto es el único criterio de atenuación de la responsabilidad, así: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (resaltado fuera del texto) En el caso bajo estudio, se evidenció que, de los criterios señalados en la Ley, la Dirección encontró aplicables los criterios agravantes establecidos en el literal a) por el daño o puesta en peligro de los intereses jurídicos tutelados y el literal c) por la reincidencia en la comisión de la infracción. De igual manera, aplicó el criterio de atenuación establecido en el literal f) por la aceptación expresa de la comisión de la infracción respecto del cargo sancionado.
Asimismo, se encuentra que la sanción impuesta por la Dirección de Investigaciones, además de aplicar los parámetros del artículo 24 de la ley 1581 de 2012, acatando el principio de legalidad, también tuvo en cuenta, el deber incumplido, la duración de la vulneración en el tiempo, la situación económica de la empresa, al considerar su tamaño, ingresos operacionales, patrimonio, entre otros.
“Por la cual se resuelve un recurso de apelación” Es relevante destacar que la sanción impuesta, esto es de 240 salarios mínimos legales mensuales, no excedió el límite establecido en el artículo 23 de la Ley 1581 de 2012, en tanto se encuentra en el rango de 1 a 2000 salarios mínimos legales mensuales y, además, para calcular la misma tuvo en cuenta tanto los agravantes como la atenuante, al valorar la aceptación de la infracción, lo que resultó en una reducción del monto de la sanción. Por otra parte, en atención a lo manifestado por la sociedad recurrente sobre la proporcionalidad de la sanción, este Despacho considera que el fundamento de la sanción permanece incólume.
Pues, aunque la entidad respondió afirmativamente a las siete solicitudes de supresión de datos presentadas por el titular, no se materializó efectiva y oportunamente la eliminación de la información, lo cual constituye un incumplimiento del deber de garantizar el pleno y efectivo ejercicio del derecho de habeas data. No obstante, se observa que en este caso particular la entidad mostró su intención de cumplir con su deber al responder, expresamente y dentro de los términos legales, a lo solicitado en cada oportunidad, evidenciando una inicial voluntad de cumplimiento.
En este sentido, esta Delegatura considera que, si bien existió un incumplimiento del deber objetivo de cuidado, este fue parcial, ya que se adoptaron medidas para respetar el derecho de supresión, aunque su ejecución no fuese efectiva. En virtud del principio de proporcionalidad y teniendo en cuenta todos los elementos fácticos de este caso y los argumentos esbozados tanto por la recurrente como los que le dieron fundamento a la sanción, esta Delegatura considera que existe mérito para disminuir el monto de la sanción impuesta, sin que esto afecte su carácter disuasorio, y sin que esto pueda entenderse como una morigeración del poder de las razones que justificaron en su momento la agravación de la sanción. Sobre todo, las relacionadas con “la dimensión del peligro a los intereses jurídicos tutelados” de que trata el literal a, del artículo 24 de la Ley 1581 de 2012, y con la “reincidencia en la comisión de la infracción”, de que trata el literal c, que fueron analizadas en su momento por la Dirección y cuyo razonamiento y valoración esta Delegatura comparte y reafirma.
Por tanto, este Despacho estima que, en este caso específico, resulta procedente reducir el valor de la sanción a un total de CIENTO VEINTE (120) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a TRECEMIL NOVECIENTOS VEINTE (13.920) UNIDADES DE VALOR BÁSICO – equivalentes a CIENTO SESENTA MILLONES OCHOCIENTOS TRES MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($160.803.840), de conformidad con el artículo 313 de la Ley 2294 de 20237.
Esta decisión refleja “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
“Por la cual se resuelve un recurso de apelación” un equilibrio entre la gravedad de la infracción y los criterios de proporcionalidad exigidos por la normativa vigente. Se debe advertir que el hecho de que la vulneración de los datos personales de la titular haya sido un “único caso” no exime a la sociedad recurrente de su responsabilidad.
La Ley 1266 de 2008 y sus normas reglamentarias obligan a todos los Usuarios de la información a garantizar la protección de los datos personales en todo momento, sin excepción. Asimismo, la responsabilidad demostrada implica que, independientemente de la frecuencia o singularidad de la infracción, la sociedad debe haber implementado y mantenido medidas adecuadas, efectivas y verificables para proteger dichos datos, por lo tanto, la negligencia en la aplicación de estas, aunque sea en un solo caso, constituye un incumplimiento de sus obligaciones legales.
Finalmente, se reitera que la vulneración del derecho de hábeas data no solo afecta al titular directamente involucrado, sino que también pone en riesgo los derechos de toda la sociedad. Por esto, la sanción impuesta no puede ni debe tratarse como una cuestión insignificante o de poca relevancia, ni mucho menos como si las incidencias del proceso lo conviertan en uno de indemnización de daños y perjuicios.
La protección de los datos personales es fundamental para mantener la confianza y seguridad de todos los ciudadanos, y cualquier infracción en este ámbito debe ser abordada con la seriedad y gravedad que merece. Ahora bien, respecto del segundo argumento, frente a la presunta determinación del monto de la sanción con base en el valor de los salarios mínimos vigentes al momento de los hechos, es decir, en el año 2019, este Despacho aclara que el argumento expuesto por la recurrente no es aplicable al caso objeto de estudio.
La Ley 1581 de 2012 establece de manera clara y expresa el criterio para la liquidación de las multas impuestas por la personales. En efecto, el artículo 23 de la citada ley en su literal a) dispone que la Superintendencia podrá imponer multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Esta norma establece un criterio expreso y autónomo, distinto al aplicado en el régimen cambiario analizado en la Sentencia C-145 de 2004, el cual se refería a la imposición de sanciones conforme al salario mínimo vigente en la fecha de formulación del pliego de cargos.
De igual manera, respecto de las otras decisiones invocadas por la recurrente se aclara que (i) la providencia del Consejo de Estado - Sección Primera, radicado 2006-00873 de 1 de noviembre de 2019, se refiere a la Superintendencia de Servicios Públicos Domiciliarios y la aplicación de sanciones conforme al artículo 81.2 de la Ley 142 de 1994; y (ii) la sentencia del Tribunal Administrativo de Cundinamarca - Sección Primera de 4 de junio de 2020, aborda una sanción impuesta por la Superintendencia de Industria y Comercio en el marco del régimen de protección de usuarios de telecomunicaciones, regulado por la Ley 1341 de 2009.
Así pues, es claro que la normativa aplicable en materia de protección de datos personales no remite ni guarda relación con el precedente invocado, sino que PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.”
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” “Por la cual se resuelve un recurso de apelación” fija una regla distinta y específica, conforme a la cual la liquidación de la sanción debe realizarse con base en el salario mínimo vigente al momento de la imposición de la sanción, tal como se ha aplicado en el presente caso.
Por lo tanto, el argumento de la recurrente carece de fundamento jurídico y no da lugar a un ajuste o modificación del monto sancionatorio. Finalmente, resulta pertinente resaltar lo siguiente: i. La multa impuesta a COLOMBIA MOVIL S.A ($160.803.840), corresponde al 8,04% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). ii.
El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa, de las circunstancias específicas de este caso y de la valoración de las agravantes y de la atenuante. Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los responsables del tratamiento. iii.
La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas y corresponde al resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del titular y en particular de los mandatos legales señalados. iv.
La vulneración del derecho de habeas data no solo afecta al titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión menor, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.
SÉPTIMO. Conclusiones. • De conformidad con la autorización de notificación electrónica otorgada por la sociedad recurrente, la Resolución No. 22390 del 6 de mayo de 2024 se notificó al correo electrónico de notificación judicial notificacionesjudiciales@tigo.com.co el 6 de mayo de 2024. • Se corroboró la negligencia en el cumplimiento de lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, ya que el Titular se vio en la necesidad de presentar múltiples solicitudes de supresión de sus datos personales para evitar la recepción continua de contenido comercial y publicitario y, a pesar de la respuesta favorable de la sociedad, esta persistió en el envío de dicha información, lo que llevó a la Dirección a proteger el derecho del Titular mediante la emisión de la Resolución No. 47256 del 28 de julio de 2021. • Ante una solicitud de supresión de datos por parte de un Titular, es esencial que se dé curso a dicha solicitud de manera inmediata y eficiente, eliminando la información correspondiente dentro de los plazos establecidos por la Ley. • Se procedió a disminuir el monto de la sanción, la cual quedó en ciento sesenta millones ochocientos tres mil ochocientos cuarenta pesos ($160.803.840) con el fin de reflejar equilibrio entre la gravedad de la infracción, los elementos propios y singulares de este caso, la situación financiera de la empresa y los criterios de proporcionalidad exigidos por la normativa vigente. • Pese a haber informado algunas medidas presuntamente implementadas para cumplir con los deberes y exigencias establecidos en la Ley, la sociedad no acreditó que, para la fecha de los hechos denunciados, tenía “Por la cual se resuelve un recurso de apelación” implementadas medidas efectivas y verificables tendientes a cumplir el deber sancionado y a evitar sucesos como el denunciado. • La multa impuesta a COLOMBIA MOVIL S.A ($160.803.840), corresponde al 8,04% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho Modificará la Resolución No. 22390 del 6 de mayo de 2024 en el sentido de disminuir el monto de la sanción impuesta. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO 1. MODIFICAR el ARTÍCULO 1 de la Resolución No. 22390 del 6 de mayo de 2024, el cual quedará así: “ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad COLOMBIA MOVIL S.A. E.S.P., identificada con NIT. 830.114.921-1, CIENTO VEINTE (120) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a TRECEMIL NOVECIENTOS VEINTE (13.920) UNIDADES DE VALOR BÁSICO – equivalentes a CIENTO SESENTA MILLONES OCHOCIENTOS TRES MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($160.803.840), por la violación a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la ley en cita y del artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015.”
ARTÍCULO 2. CONFIRMAR en sus demás partes la Resolución 22390 del 6 de mayo de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a COLOMBIA MOVIL S.A. E.S.P. identificada con el Nit. 830.114.921-1, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 4. COMUNICAR la presente decisión al señor XXXXXXXX XXXXXXXX XXXXXX, identificado con la cédula de ciudadanía No. xx.xxx.xxx.
ARTÍCULO 5. INFORMAR el contenido de la presente resolución, a la Dirección de investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C., 26 de febrero de 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. Firmado digitalmente por CARLOS UPEGUI JUAN CARLOS JUAN MEJIA UPEGUI MEJIA Fecha: 2025.02.26 14:28:44 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AVJ Revisó: JCU Aprobó: JCU “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: COLOMBIA MOVIL S.A. E.S.P. NIT. 830.114.921-1 CARLOS TOMAS ALBERTO BLANCO SPOSITO C.E 8008672 Carrera 50 # 96-12 Bogotá D.C. notificacionesjudiciales@tigo.com.co Apoderado: Identificación: Dirección: Correo electrónico: Ciudad: WALTHER TRIANA SOSA C.C. 1.013.611.218 Carrera 48 # 20 - 45 notificacionesjudiciales@tigo.com.co Medellín, Antioquia COMUNICACIÓN Titular Nombre: Identificación: Correo electrónico: XXXXXXXX XXXXXXXX XXXXXX C.C. No. xx.xxx.xxx xxxxxxxxxxxxxxxx