(27 de marzo 2025) “Por la cual se resuelve un recurso de apelación” VERSIÓN ÚNICA Radicado 21-315505 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Las sociedades PARTNERS TELECOM COLOMBIA S.A.S.1, con NIT 901.354.361-1, y COLOMBIA MÓVIL S.A. ESP2, con NIT 830.114.921-1, presentaron denuncias ante esta Superintendencia en contra de la sociedad COLOMBIA TELECOMUNICACIONES S.A. ESP BIC, identificada con NIT 830.122.566-1, por la presunta vulneración del derecho de Habeas Data de sus clientes.
Dichas denuncias se fundamentan en múltiples quejas relacionadas con el tratamiento indebido de datos personales, específicamente a través del envío de mensajes y la realización de llamadas telefónicas con fines publicitarios y de prospección comercial, sin que los titulares de los datos hubieran otorgado su consentimiento para dicho tratamiento.
SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la resolución 40157 del 17 de julio de 2023, decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b) y c) del artículo 4 y artículo 9 de la misma norma, así mismo con los artículos 2.2.2.25.2.2., 2.2.2.25.2.4 y 2.2.2.25.2.5. del Decreto Único Reglamentario 1074 de 2015.
TERCERO. Que, la Dirección determinó, con base en las pruebas aportadas a la presente actuación, que la sociedad COLOMBIA TELECOMUNICACIONES S.A. ESP ha realizado, desde el año 2021, tratamiento de datos personales de algunos usuarios de los servicios de telecomunicaciones de las sociedades PARTNERS COLOMBIA TELECOM S.A.S. y COLOMBIA MÓVIL S.A. ESP, sin contar con la autorización previa, expresa e informada de los titulares para dicho fin.
Por lo anterior, mediante resolución 44017 del 2 de agosto de 2024 se resolvió lo siguiente: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COLOMBIA TELECOMUNICACIONES S.A. ESP BIC, identificada con Nit 830.122.566-1 de DOSCIENTOS QUINCE (215) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– los cuales para el cálculo de la vigencia 2024 corresponden a VEINTICUATRO MIL NOVECIENTOS CUARENTA (24.940) Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a DOSCIENTOS SETENTA Y TRES MILLONES CIENTO DIECISIETE MIL NOVECIENTOS CUARENTA PESOS Mediante radicados 21-315505-0 del 9 de agosto de 2021 y 21-341106 -0 del 26 de agosto de 2022.
Mediante radicado 22-249517 0 del 24 de junio de 2022. “Por la cual se resuelve un recurso de apelación” (273.117.940), por la vulneración de lo dispuesto en el literal (b) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales (b) y (c) del artículo 4 y artículo 9 de la misma norma, así mismo con los artículos 2.2.2.25.2.2., 2.2.2.25.2.4 y 2.2.2.25.2.5. del Decreto Único Reglamentario 1074 de 2015.”
CUARTO. Que, dentro del término legal establecido para el efecto, el 29 de agosto de 2024, COLOMBIA TELECOMUNICACIONES S.A. ESP BIC (en adelante la RECURRENTE), a través de su apoderada, interpuso recurso de reposición y, en subsidio, de apelación3 contra de la decisión contenida en la Resolución No. 44017 del 2 de agosto de 2024, mediante escrito radicado con el número 21-315505-76.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: (i) Respecto del deber de solicitar y conservar copia de la autorización para el tratamiento de datos personales. La recurrente sostiene que los contratos aportados a la investigación contienen una autorización expresa para el tratamiento de los datos personales con fines comerciales, lo que constituye un medio de prueba idóneo y suficiente para acreditar el consentimiento informado exigido por la ley.
Cuestiona que la SIC haya desestimado dichos contratos sin un análisis jurídico fundamentado, lo que, a su juicio, vulnera el derecho al debido proceso y podría configurar una causal de nulidad del acto administrativo por falta de motivación. Señala, además, una inconsistencia en la valoración probatoria, pues se aceptaron las pruebas presentadas por los denunciantes sin un examen riguroso, mientras que las aportadas por la recurrente, en particular los contratos, fueron rechazadas sin una justificación suficiente.
Esta situación vulnera su derecho de defensa y el principio de igualdad procesal. (ii) Sobre la presunta indebida formulación de cargos. La recurrente señala que la imputación de cargos careció de claridad, argumentando que no se expusieron, de forma clara e inequívoca, las razones por las cuales los contratos aportados por Colombia Telecomunicaciones no fueron valorados como pruebas.
Según su postura, esta omisión le impidió ejercer adecuadamente su derecho de defensa, vulnerando así el debido proceso sancionatorio. En consecuencia, afirma que dicha irregularidad vicia de nulidad los actos administrativos proferidos. (iii) Respecto a que la sanción impuesta desconoce las medidas implementadas y la labor de la sociedad para cumplir la Ley.
La recurrente señala que la sanción impuesta desconoce los esfuerzos y medidas adoptadas por la sociedad para garantizar el derecho de hábeas data y proteger los datos personales conforme a la normativa vigente. Afirma que cuenta con un programa integral de gestión de datos personales, que incluye políticas y procedimientos rigurosos para asegurar el manejo seguro, adecuado y transparente de la información. Destaca que dichas medidas garantizan el cumplimiento de las obligaciones como responsable del tratamiento, la obtención y almacenamiento del consentimiento, la protección de datos de menores, la seguridad de la información, la gestión de incidentes, la verificación de identidad antifraude, entre otros aspectos.
En este sentido, argumenta que ha implementado mecanismos efectivos de cumplimiento normativo, lo que le permite garantizar que los datos personales sean utilizados exclusivamente para los fines autorizados por sus titulares y dentro del marco legal aplicable. (iv) Sobre la graduación de la sanción. La sociedad recurrente alega que no se demostró el daño causado por Colombia Telecomunicaciones, particularmente en relación con los derechos e intereses de las sociedades La Resolución No. 44017 del 2 de agosto de 2024, fue notificada por aviso a la sociedad COLOMBIA TELECOMUNICACIONES S.A. ESP BIC, el 14 de agosto de 2024.
“Por la cual se resuelve un recurso de apelación” denunciantes. Afirma que dicho daño es inexistente y, por lo tanto, no podía ser considerado como un criterio de agravación de la sanción. Asimismo, sostiene que debieron tomarse en cuenta los otros criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012 que, al no resultar aplicables al caso concreto, deberían haber atenuado el monto de la sanción, incluyendo aquellos previstos en el artículo 50 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA).
Finalmente, argumenta que la sanción impuesta no es proporcional a la conducta atribuida y que su monto excede lo que sería razonable en función de la presunta infracción.
QUINTO. Que la Dirección, mediante la resolución No. 56596 del 26 de septiembre de 2024, resolvió el recurso de reposición interpuesto, confirmando lo dispuesto en la Resolución No. 44017 del 2 de agosto de 2024. En su decisión, concluyó que el material probatorio presentado por la recurrente no desvirtúa las pruebas que sustentan la actuación administrativa, dado que ninguna de las piezas aportadas acredita el deber de obtener autorización de los titulares para el envío de comunicaciones con fines de prospección comercial o publicitaria.
Asimismo, confirmó que el monto de la sanción impuesta fue determinado dentro del margen de discrecionalidad atribuido a esta Superintendencia, sin que ello implique una carga excesiva o arbitraria para COLOMBIA TELECOMUNICACIONES S.A. ESP BIC. Destacó que la sociedad recurrente, más allá de afirmar que la multa impuesta a su prohijada era desproporcionada, no presentó pruebas que permitieran demostrar un desequilibrio entre la sanción y la conducta infractora.
SEXTO. Que, de conformidad con lo establecido en el artículo 80 del CPACA, se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes consideraciones: 6.1. Competencia de la Delegatura para la Protección de Datos Personales para resolver el recurso de apelación. De conformidad con lo dispuesto en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), este Despacho es competente para pronunciarse sobre el recurso de apelación. 6.2.
Del Recurso de Apelación: 6.2.1. Respecto del deber de solicitar y conservar copia de la autorización para el tratamiento de datos personales. En relación con el deber de solicitar y conservar copia de la autorización, la Ley 1581 de 2012 establece el consentimiento no solo como un principio rector (literal c) de artículo 4) sino también como un elemento fundamental para la legitimidad constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a).
El artículo 9 establece que el tratamiento de datos requiere la autorización previa, expresa, e informada del titular, la cual debe ser obtenida por cualquier medio que pueda ser objeto de consulta posteriormente. Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es calificado, por cuanto debe ser previo, expreso e informado.
En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que “Por la cual se resuelve un recurso de apelación” el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior.
En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular. La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.
Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.
Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.
Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )”4 En consecuencia, no existe otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal.
De lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el titular perdería el control de sus datos personales. Ahora bien, en el caso bajo estudio, se advierte que la denunciante, PARTNERS TELECOM COLOMBIA S.A.S., informó que la RECURRENTE, ya sea directamente o a través de agentes comerciales, llevó a cabo: (i) en mayo de 2021, un total de 76.556 llamadas a 43.406 usuarios de PARTNERS TELECOM COLOMBIA S.A.S.;
(ii) en junio, 133.980 llamadas a 67.643 usuarios; y (iii) en julio, 384.773 llamadas a 210.414 usuarios. Asimismo, señaló que una parte significativa de estos usuarios cuenta con numeración móvil recientemente asignada por la CRC a PARTNERS TELECOM COLOMBIA S.A.S. para su nueva operación, por lo que considera altamente improbable que se trate de usuarios con relaciones contractuales previas con COLOMBIA TELECOMUNICACIONES S.A., en las que estuvieran involucradas las líneas móviles sobre las cuales se realizó el contacto no autorizado.
Cfr. Corte Constitucional, sentencia C 748 del 2011. “Por la cual se resuelve un recurso de apelación” Por su parte, la denunciante COLOMBIA MÓVIL S.A. ESP informó que recibió quejas de varios de sus clientes, quienes manifestaron haber sido contactados a través de SMS y llamadas a sus líneas de telefonía móvil por personal de MOVISTAR, con el fin de ofrecerles promociones y servicios de dicha compañía, sin contar con autorización para el uso de sus datos personales.
Las denunciantes presentaron como soporte de su denuncia registros de llamadas, mensajes y quejas formuladas por sus usuarios, con el fin de sustentar las afirmaciones expuestas. Dichos elementos probatorios obran en el expediente y estuvieron a disposición de la sociedad recurrente desde el inicio de la investigación administrativa, garantizando así su derecho de defensa y contradicción. En este sentido, la sociedad recurrente tuvo la oportunidad de aportar las pruebas que considerara necesarias para desvirtuar lo señalado por las denunciantes, así como de objetar la veracidad de los documentos presentados o pronunciarse respecto de su contenido.
Nada de esto sucedió. La sociedad recurrente no impugnó la veracidad de los documentos aportados por las denunciantes; tampoco controvirtió con argumentos suficientes la evidencia allegada al proceso. En efecto, este Despacho no evidencia que existan elementos probatorios suficientes para desmentir o desestimar los hechos denunciados y probados durante el proceso administrativo seguido por la Dirección de Investigaciones.
Por otra parte, en cuanto al alegado cumplimiento del deber de obtener la autorización previa, expresa e informada, objeto bajo examen en esta instancia, la sociedad recurrente aportó la siguiente imagen: Al respecto, se advierte que la prueba aportada corresponde a un modelo general de autorización, presuntamente implementado por la sociedad, el cual no puede considerarse válido para acreditar el cumplimiento del deber objeto de análisis, en relación con los hechos denunciados, la magnitud del número de titulares afectados y la evidencia aportada por las denunciantes.
De otro lado, la sociedad señala que se “tacharon como insuficientes” los contratos que presentó como prueba; ello, sin embargo, sin que especificara de forma puntual a que documentos se refería y sin que aportara documentos adicionales al escrito de recurso de apelación. A pesar de esta insuficiencia en la presentación de los argumentos que soportan la apelación, este Despacho entiende que la recurrente se refiere a los presuntos contratos celebrados con siete (7) titulares, los cuales fueron anexados en el escrito de descargos.
Sobre este punto, este Despacho advierte que la sociedad busca desvirtuar el incumplimiento del deber de obtener autorización previa y expresa para el tratamiento de datos personales de cientos de miles de titulares, con la exhibición de documentos donde constan al parecer siete contratos, que ni siquiera están firmados por los presuntos titulares.
Estas pruebas, que la recurrente aduce como “idóneas y conducentes” para probar el cumplimiento del mencionado deber, frente a ese número elevado de titulares, estima esta Delegatura, distan galaxias de serlo. Aún por abundar, si la recurrente lograra acreditar la existencia de siete (7) autorizaciones, estas resultarían insuficientes frente a la magnitud de la “Por la cual se resuelve un recurso de apelación” infracción. En efecto, no serían, no son suficientes para desvirtuar el cúmulo de pruebas que demuestran el tratamiento indebido de datos personales de cientos de miles de titulares.
Las más de 595.309 evidencias recabadas, y allegadas a este expediente, ponen de manifiesto que se llevó a cabo un procesamiento de datos masivo e intensivo sin el consentimiento previo de los afectados. Esto, sin duda, constituye una vulneración grave del régimen de protección de datos personales. La presunta existencia de un número reducido de autorizaciones no exonera a la sociedad de su responsabilidad, ni desvirtúa la fuerza mostrativa de las pruebas que evidencian una práctica sistemática e irregular en el manejo de datos personales. 6.2.2.
Sobre la presunta indebida formulación de cargos. El argumento expuesto por la RECURRENTE carece de fundamento, en la medida en que parte de un supuesto equivocado sobre el momento procesal en el que deben valorarse las pruebas dentro del procedimiento sancionatorio. En efecto, los contratos a los que hace referencia la recurrente fueron aportados únicamente en la etapa de descargos, es decir, con posterioridad a la formulación de cargos.
Por lo tanto, no podían haber sido analizados ni valorados en dicha etapa, dado que el acto de formulación de cargos se fundamenta exclusivamente en los elementos probatorios recaudados hasta ese momento. Adicionalmente, la formulación de cargos no es la etapa procesal destinada a la valoración de las pruebas, sino que su propósito es delimitar los hechos objeto de investigación y establecer los cargos en contra del investigado, con el fin de garantizar su derecho de defensa.
La oportunidad procesal para el análisis y pronunciamiento sobre las pruebas aportadas por la defensa se da en etapas posteriores del procedimiento, una vez han sido debidamente incorporadas al expediente. En consecuencia, el hecho de que los contratos en cuestión no se mencionaran en la formulación de cargos no constituye una vulneración al debido proceso, ni impidió el ejercicio del derecho de defensa de la RECURRENTE.
Por lo anterior, el argumento invocado carece de sustento y, en consecuencia, debe ser desestimado. 6.2.3. Respecto a que la sanción impuesta desconoce las medidas implementadas y la labor de la sociedad para cumplir la Ley. Si bien la sociedad recurrente sostiene que ha implementado un programa integral de gestión de datos personales y diversas medidas de cumplimiento normativo, no aportó prueba alguna que permita acreditar su existencia, fecha de implementación, efectividad o verificabilidad, ni que dicho programa integral haya servido para evitar el incumplimiento del deber objeto de investigación en este procedimiento.
En ese sentido, la sola manifestación de su existencia no es suficiente para demostrar que cumplió con la obligación legal que se le imputa. La imposición de la sanción en este caso no implica desconocer las medidas que la sociedad afirma haber adoptado, sino que responde exclusivamente al incumplimiento concreto de un deber legal. La existencia de políticas internas no exonera de responsabilidad si, en la práctica, no se acredita su aplicación efectiva en los casos investigados.
Por lo anterior, los argumentos de la recurrente resultan insuficientes para desvirtuar la infracción constatada. 6.2.4. Sobre la graduación de la sanción. 6.2.4.1. Respecto del criterio de graduación establecido en el literal a) del artículo 24 de la Ley 1581 de 2012. El artículo 24 de la Ley 1581 de 2012 establece los criterios de graduación a tener en cuenta para calcular el monto de la sanción, y en su literal a) establece “La dimensión del daño o peligro a los intereses jurídicos tutelados”.
“Por la cual se resuelve un recurso de apelación” Este criterio no requiere la demostración de un daño efectivo como lo pretende la sociedad recurrente, sino que basta con acreditar el riesgo o la afectación potencial al derecho fundamental a la protección de datos personales. En el presente caso, se comprobó que la sociedad realizó un tratamiento masivo de datos personales sin el consentimiento previo y expreso de sus titulares, lo que configura un daño evidente para la autodeterminación informativa de los afectados, y constituye un claro peligro para los intereses jurídicos tutelados de titulares indeterminados.
En estos términos está ampliamente justificada la aplicación de este criterio agravante. 6.2.4.2. Respecto de los demás criterios de graduación como atenuantes de la sanción. Para la graduación de las sanciones, esta Superintendencia emplea los criterios establecidos en el artículo 24 de la Ley 1581 de 2012, considerando únicamente aquellos que resulten aplicables según la conducta investigada que dio origen a la actuación administrativa sancionatoria.
A saber: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” (resaltado fuera del texto) Frente a estos criterios, la Corte Constitucional, en la Sentencia C-748 de 2011, determinó que los primeros cinco criterios constituyen agravantes de la sanción, mientras que el sexto es el único que opera como atenuante.
En efecto, consideró: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(resaltado fuera de texto) Ahora bien, en el caso bajo estudio la Dirección de Investigaciones únicamente encontró aplicable el criterio agravante de graduación establecido en el literal a), es decir, la ocurrencia del daño o puesta en peligro a los intereses jurídicos tutelados. Respecto de los demás criterios, al no serle aplicables, no fueron tomados en cuenta y por lo tanto no agravaron el monto de la sanción. De otro lado, la recurrente invoca los criterios de graduación del artículo 50 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA), señalando que debieron ser considerados para atenuar la sanción. No obstante, tal argumentación es improcedente, toda vez que el régimen sancionatorio en materia de protección de datos personales está regulado de manera especial en la Ley 1581 de 2012, que establece sus propios criterios de graduación en el artículo 24.
En consecuencia, los criterios del CPACA no resultan aplicables, ya que la Ley 1581 de 2012 regula de manera específica el procedimiento sancionatorio en esta materia, sin remisión expresa a otro tipo de normas. “Por la cual se resuelve un recurso de apelación” 6.2.4.3. De la proporcionalidad de la sanción. Sobre el principio de proporcionalidad en materia sancionatoria, la Corte Constitucional, en sentencia C-125 de 2003 señaló lo siguiente: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad.” En este sentido, es importante precisar que la potestad sancionatoria debe ser ejercida de manera razonable y equilibrada, garantizando la adecuada correspondencia entre la sanción, y el deber incumplido y la finalidad establecida por la normativa infringida, así como la proporcionalidad entre la gravedad de la infracción y la sanción impuesta.
De igual manera, se debe resaltar que el legislador ha establecido que respecto de la Ley 1581 de 2012, la Superintendencia de Industria y Comercio puede imponer sanciones cuando se identifican incumplimientos normativos que incrementan el riesgo de vulneración de los derechos de los titulares de datos personales. Esto incluye, entre otros aspectos, el incumplimiento de los deberes establecidos en la Ley.
En consecuencia, el ejercicio de la potestad sancionatoria de la Superintendencia no depende de la materialización de un daño o perjuicio directo a uno o varios titulares de datos personales plenamente identificados, sino del hecho de desconocer alguna de las obligaciones establecidas en el marco normativo de protección de datos. Esto se fundamenta en el enfoque preventivo y de gestión de riesgos que caracteriza al régimen colombiano de protección de datos personales, el cual busca minimizar la probabilidad de conductas, situaciones o incidentes que afecten los derechos fundamentales de los titulares.
Por lo tanto, la administración puede ejercer su potestad sancionatoria siempre que, en el marco de la actuación administrativa correspondiente, se determine que ha existido una trasgresión de las disposiciones que protegen la dimensión objetiva del derecho fundamental al habeas data. Este enfoque resulta particularmente relevante en relación con las obligaciones que recaen sobre los responsables y encargados del tratamiento, quienes deben garantizar, en todo momento, el cumplimiento de sus deberes legales.
Por lo expuesto, es claro que es suficiente establecer el desconocimiento de cualquiera de las disposiciones contempladas en la Ley 1581 de 2012 para que la administración pueda ejercer sus potestades de vigilancia y control. Y podrá ejercer su potestad sancionatoria cuando se advierta el incumplimiento de uno de los deberes a los que están sujetos los responsables y encargados del tratamiento.
En el caso bajo estudio, se ha establecido que la sociedad recurrente, en su calidad de responsable del tratamiento, incumplió el deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012. Esto se debe a que quedó demostrado, que llevó a cabo el tratamiento de datos personales con fines de prospección comercial respecto de más de 595.000 (quinientos noventa y cinco mil) usuarios de las empresas denunciantes, sin contar con la autorización previa, expresa e informada de los titulares.
El monto de la sanción fue calculado tomando en cuenta los criterios legales de graduación de la sanción, evaluando el deber incumplido, la duración de la vulneración, los titulares afectados o potencialmente afectados y la situación económica de la empresa, al considerar su tamaño, ingresos operacionales, patrimonio, entre otros. “Por la cual se resuelve un recurso de apelación” Es importante resaltar que la sanción impuesta se ajusta a los límites establecidos en el artículo 23 de la Ley 1581 de 2012, ya que se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales vigentes.
En efecto, la sanción equivale al 10,5% del umbral máximo permitido. De tal forma que no solo cumple con los parámetros legales, sino que también es proporcional y acorde con la capacidad económica de la sociedad COLOMBIA TELECOMUNICACIONES S.A. ESP BIC. Adicionalmente, la sociedad recurrente se limita a afirmar que la sanción impuesta es desproporcionada, sin aportar elementos de prueba que respalden dicha afirmación o que permitan evidenciar un desequilibrio entre el monto de la sanción y la conducta infractora.
En consecuencia, no se configura una vulneración al principio de proporcionalidad en la imposición de la multa. Finalmente, resulta pertinente resaltar lo siguiente: i. La multa impuesta a COLOMBIA TELECOMUNICACIONES S.A. ESP BIC. ($273.117.940), corresponde al 10,5% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). ii.
El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa, de las circunstancias específicas de este caso. Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los responsables y encargados del tratamiento. iii.
La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas y corresponde al resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data de los usuarios de las denunciantes y en particular de los mandatos legales señalados. iv.
La vulneración del derecho de habeas data no solo afecta a los titulares cuyos datos personales son directamente vulnerados, sino que también pone en riesgo el derecho al habeas data de titulares indeterminados.
SÉPTIMO. Conclusiones. • Para acreditar el cumplimiento del deber de solicitar la autorización previa, expresa e informada para el tratamiento de datos personales, la recurrente presentó un modelo general de autorización, así como siete contratos en los que, según su alegato, consta el consentimiento de siete titulares. Sin embargo, estos documentos no están suscritos.
La cantidad de autorizaciones aportadas es insuficiente en comparación con la magnitud de la infracción evidenciada en el tratamiento indebido de datos personales de cientos de miles de usuarios sin su consentimiento. • La formulación de cargos no es la etapa procesal destinada a la valoración de las pruebas, sino a la imputación de la presunta infracción. Por ello, el hecho de que los contratos aportados por la sociedad recurrente en sus descargos no hayan sido mencionados en la formulación de cargos no constituye una vulneración al debido proceso, ni afectó su derecho de defensa. • La sanción impuesta no implica desconocer las medidas que la sociedad afirma haber adoptado, sino que responde exclusivamente al incumplimiento concreto de un deber legal.
“Por la cual se resuelve un recurso de apelación” • El criterio de graduación de la sanción previsto en el literal a) del artículo 24 de la Ley 1581 de 2012 no exige la demostración de un daño concreto y efectivo, sino que basta con acreditar la existencia de un riesgo o una afectación potencial al derecho fundamental a la protección de datos personales para que resulte aplicable. • La sanción impuesta fue calculada conforme a los criterios legales de graduación, garantizando su proporcionalidad y adecuación a la capacidad económica de la sociedad. • La multa impuesta a COLOMBIA TELECOMUNICACIONES S.A. ESP BIC.
($273.117.940), corresponde al 10,5% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la resolución No. 44017 del 2 de agosto de 2024.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la resolución 44017 del 2 de agosto de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a COLOMBIA TELECOMUNICACIONES S.A. ESP BIC identificada con el Nit. 830.122.566-1, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión a la sociedad COLOMBIA MÓVIL S.A. ESP, identificada con NIT. 830.114.921-1. y a PARTNERS TELECOM COLOMBIA S.A.S., identificada con NIT. 901.354.361-1, a través de su representante legal y/o apoderado.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución, a la Dirección de investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C., 27 de marzo 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. digitalmente por JUAN CARLOS Firmado JUAN CARLOS UPEGUI MEJIA 2025.03.27 14:49:19 UPEGUI MEJIA Fecha: -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AVJ Revisó: JCU Aprobó: JCU “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: COLOMBIA TELECOMUNICACIONES S.A. ESP BIC Nit: 830.122.566-1 FABIÁN ANDRÉS HERNÁNDEZ RAMÍREZ C.C. 93.380.737 notificacionesjudiciales@telefonica.com Tv. 60 N° 114 A 55 Ciudad: Bogotá D.C. Apoderada: Doctora: Identificación: Correo electrónico: DIANA MARCELA BENAVIDES CUBILLOS C.C. 52.932.569 jefaturasegundainstancia.co@telefonica.com COMUNICACIÓN: Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: COLOMBIA MÓVIL S.A. ESP Nit: 830.114.921-1 CARLOS TOMÁS ALBERTO BLANCO SPOSITO C.E. No. 8.008.672 notificacionesjudiciales@tigo.com.co Carrera 50 # 96-12 Bogotá D.C. Apoderada: Doctora: Identificación: Correo electrónico: Janeth Aida Martín Herrera C.C. 20.586.022 notificacionesjudiciales@tigo.com.co Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: PARTNERS TELECOM COLOMBIA S.A.S. NIT. 901.354.361-1 Anna-Kreeta Rantamaa-Hiltunen P.P. 8.926.977 Transversal 23 número 95 - 53, edificio Ecotek Bogotá D.C. - Colombia notificacionesjudiciales@wom.co