(16 de julio de 2025) “Por la cual se resuelve un recurso de apelación” Radicado 22-208367 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que, el 25 de mayo de 2022, el señor XXXXXXXX XXXXXXX XXXXXXXX presentó ante esta Superintendencia, mediante radicado 22208367-0, una denuncia en contra de la sociedad UNI2 MICROCRÉDITO S.A.S., identificada con NIT 900.725.066-2, por la presunta vulneración de su derecho fundamental al habeas data, al haberse permitido el acceso no autorizado de terceros a sus datos personales, sin que el titular hubiera otorgado autorización para su divulgación a referencias o familiares, quienes habrían sido contactados indebidamente para fines de cobro.
SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 38958 del 11 de julio de 2023, decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.
TERCERO. Que la Dirección determinó, con base en las pruebas aportadas a la presente actuación, que la sociedad UNI2 MICROCRÉDITO S.A.S. no acreditó contar con medidas técnicas, administrativas y humanas suficientes para garantizar el adecuado tratamiento de datos personales conforme con la Ley 1581 de 2012. No demostró una estructura de control interna, ni la implementación efectiva de medidas de seguridad ni de capacitación al personal.
Estas deficiencias permitieron que un empleado divulgara ilegalmente información financiera de un titular a terceros no autorizados, configurándose así una infracción que justifica la imposición de una sanción administrativa. Por lo anterior, mediante Resolución No. 56589 del 26 de septiembre de 2024, resolvió: “ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2 de CINCUENTA (50) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden a CINCO MIL OCHOCIENTOS (5.800) Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes a SESENTA Y TRES MILLONES QUINIENTOS QUINCE MIL OCHOCIENTOS PESOS M/CTE ($63.515.800), por la vulneración a lo dispuesto en literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.
(…)
ARTÍCULO 2. ORDENAR a la sociedad UNI2 MICROCREDITO S.A.S., identificada con NIT. 900.725.066-2, el cumplimiento de lo siguiente: “Por la cual se resuelve un recurso de apelación” • La sociedad UNI2 MICROCREDITO S.A.S deberá implementar un Manual de Políticas de Seguridad, en el cual deberá establecerse los mecanismos necesarios para que las gestiones de cobranza se realicen respetando el principio de seguridad. • La sociedad UNI2 MICROCREDITO S.A.S deberá ajustar su Reglamento Interno de Trabajo para asegurar que las gestiones de cobro realizadas por sus empleados se realicen conforme las normas de protección de datos personales y las demás concordantes. • La sociedad UNI2 MICROCREDITO S.A.S deberá realizar una capacitación al personal que preste sus servicios en ella, relacionada con el régimen de protección de datos personales, para que se concienticen respecto de la labor que realizan y la necesidad de garantizar a los titulares sobre quienes se realizan gestiones de cobro, el ejercicio de sus derecho (sic) fundamentales.”
CUARTO. Que, dentro del término legal establecido para el efecto, el 22 de octubre de 2024, UNI2 MICROCRÉDITO S.A.S. (en adelante la RECURRENTE), a través de apoderado especial, interpuso recurso de reposición y, en subsidio, de apelación1 contra de la decisión contenida en la Resolución No. 56589 del 26 de septiembre de 2024, mediante escrito radicado con el número 22-208367-37.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: (i) Indebida valoración probatoria. La recurrente sostiene que la Dirección incurrió en un defecto fáctico al valorar de forma indebida las pruebas obrantes en el expediente, particularmente las relacionadas con las medidas administrativas de seguridad, como el Reglamento Interno de Trabajo, el contrato laboral de UNI2 y la certificación expedida por SISTEMAS GYG S.A. sobre la integración del estándar ISO 27001:2013.
Sostiene que se omitió considerar de forma integral los documentos laborales que contienen obligaciones claras sobre confidencialidad, sanciones por su incumplimiento y el deber de reserva de los trabajadores. Afirma que tanto el Reglamento Interno de Trabajo (RIT) como los contratos de trabajo (CT) establecen un marco normativo coherente que protege los datos personales conforme a la Ley 1581 de 2012.
También alega que se desestimó de forma errónea la certificación expedida por SISTEMAS GYG S.A. respecto de la integración del estándar ISO 27001:2013, pese a su validez como medio probatorio en el marco de la libertad de prueba. Además, señala que la Dirección omitió pronunciarse sobre otras medidas de seguridad administrativas debidamente acreditadas, como el hosting con medidas físicas y lógicas de seguridad, y la política de copias de respaldo.
En su conjunto, estas pruebas demuestran, según la recurrente, que sí cuenta con un sistema de protección de datos personales apropiado, efectivo y verificable, en atención al principio de responsabilidad demostrada. Concluyendo que estas pruebas fueron desestimadas sin una adecuada valoración conforme a las reglas de la sana crítica, desconociendo su contenido y alcance.
(ii) Incorrecta dosificación de la sanción. La recurrente sostiene que la Dirección incurrió en una indebida aplicación de los criterios de graduación de la sanción, al no considerar la magnitud del presunto daño ni aplicar los atenuantes previstos en la ley, vulnerando así el principio de proporcionalidad. Alega que la Resolución sancionatoria omitió valorar la dimensión real del daño, dado que la infracción corresponde a un hecho aislado, de mínimo impacto, y sin afectación masiva, pues solo involucró datos básicos de un titular y que “el hecho que se investiga representa el 0.00026% de los créditos colocados por UNI2, corresponde al La Resolución No. 56589 del 26 de septiembre de 2024, fue notificada por aviso a la RECURRENTE el 7 de octubre de 2024.
“Por la cual se resuelve un recurso de apelación” 0.0063% de la totalidad de clientes que han entrado en mora, y el 0.0078% de la totalidad de los clientes activos al 31 de mayo de 2022”. También indica que la sanción impuesta no guarda coherencia con precedentes sancionatorios de la Delegatura en casos de mayor gravedad (Resolución 56651 de 2021 y Resolución 51177 de 2022), por lo que solicita revisar la cuantía de la multa a la luz del daño efectivo, la naturaleza de los datos tratados y el tipo de tratamiento realizado.
QUINTO. Que la Dirección, mediante la Resolución No. 32620 del 29 de mayo de 2025, resolvió el recurso de reposición interpuesto, confirmando lo dispuesto en la Resolución No. 56589 del 26 de septiembre de 2024. En su decisión, concluyó que tras valorar en sana crítica todas las pruebas aportadas, la Recurrente no demostró la eficacia de sus medidas administrativas de seguridad: ni el reglamento interno, ni las cláusulas de confidencialidad, ni la presentación sin fecha sobre la Ley 1581, ni la supuesta certificación ISO 27001, ni el hosting, ni las copias de respaldo acreditaron que la compañía hubiera conservado la información bajo condiciones idóneas.
El incidente probado de divulgación a al menos cuatro terceros evidenció falta de control, por lo que descartó los argumentos del recurso y mantuvo la responsabilidad por vulnerar el deber de seguridad y el derecho de habeas data del titular. Asimismo, concluyó que la sanción impuesta fue debidamente graduada conforme a los criterios del artículo 24 de la Ley 1581 de 2012, incluyendo la dimensión del daño, y que se respetó el principio de proporcionalidad.
Rechazó los argumentos del recurso, señalando que el hecho investigado, la divulgación de datos personales a terceros no autorizados, constituyó una vulneración del derecho fundamental de habeas data, cuya gravedad justifica la sanción impuesta. Además, aclaró que, no es procedente reducir la sanción por la mera ausencia de criterios agravantes.
La multa de 50 SMLMV, correspondiente al 2.74% del rango legal, se consideró razonable, proporcional y ajustada a derecho, sin que los precedentes citados por la recurrente fueran aplicables al caso concreto.
SEXTO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022) 6.1. Respecto de la presunta indebida valoración probatoria El principio de seguridad, consagrado en el literal g) del artículo 4 de la Ley 1581 de 2012, impone a responsables y encargados la obligación de tratar los datos personales “con las medidas técnicas, humanas y administrativas necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.
Ese mandato se concreta, para los responsables, en el literal d) del artículo 17, que exige “conservar la información bajo las condiciones de seguridad” adecuadas. La garantía de seguridad incluye controlar quiénes pueden acceder a los datos. Por lo tanto, el artículo 13 de la misma ley limita el suministro de información personal a tres sujetos: (i) el titular, sus causahabientes o representantes;
(ii) autoridades públicas en ejercicio de sus funciones o por orden judicial; y (iii) terceros autorizados por el propio titular o por la ley. Cualquier filtración fuera de ese círculo configura una violación del principio de acceso y circulación restringida (artículo 4 literal. f). Sobre este punto, la Corte Constitucional ha reiterado, en la sentencia C-748 de 2011, que los datos no públicos sólo pueden circular si existen todas las “Por la cual se resuelve un recurso de apelación” garantías de seguridad y confidencialidad; de lo contrario, el responsable y el encargado responderán por los perjuicios que se causen2.
Asimismo, la Corte, sobre el deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, precisó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos-intimidad y habeas data-del titular del dato personal.
Específicamente se dispone que son deberes de esta parte de la relación: (…) (iii)Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuere de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.
Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento-literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares-literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.” (Negrilla original) En el caso bajo estudio se encuentra que el denunciante afirma que la sociedad recurrente compartió sus datos personales con terceros no autorizados, con el fin de realizar labores de cobro.
Para soportar esto aportó las siguientes pruebas (radicado 22-208367-0 página 2 folios 2 al 4): 2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Considerando 2.6.5.2.7 “Por la cual se resuelve un recurso de apelación” Este Despacho al examinar las actuaciones, el acervo probatorio y la normativa aplicable encuentra acreditado que la sociedad divulgó datos personales y financieros del denunciante, incluyendo nombre, número de identificación y estado de la obligación, mediante llamadas y mensajes de WhatsApp enviados a diversas referencias personales.
Esta divulgación permitió que personas sin legitimación accedieran a información personal sin estar debidamente autorizadas para ello, configurando un tratamiento indebido contrario a los “Por la cual se resuelve un recurso de apelación” principios de seguridad y de acceso y circulación restringida, previstos en el artículo 4 de la Ley 1581 de 2012.
Los argumentos de la Recurrente, en los que sostiene que “La Dirección incurre en defecto fáctico por la indebida valoración de los elementos probatorios incorporados al proceso, específicamente de las pruebas relativas a las medidas administrativas de seguridad (i) el Reglamento Interno de Trabajo, (ii) el Contrato de Trabajo de UNI2, y (iii) la certificación expedida por SISTEMAS GYG S.A en relación con la integración del estándar ISO 27001:2013” son insuficientes para desestimar la validez de la Resolución ahora recurrida.
La empresa no aportó evidencia objetiva de la implementación y eficacia de dichas medidas con anterioridad al hecho denunciado. No se allegaron registros de capacitaciones con fecha y asistencia, bitácoras de auditoría, protocolos disciplinarios aplicados, ni informes independientes que demostraran la operatividad de los controles técnicos y administrativos.
Debe resaltarse además que entre los hechos del caso no figura un único incidente. Existe plena evidencia, no controvertida por la recurrente, de múltiples comunicaciones, tanto llamadas telefónicas como mensajes de texto, en las que se compartió información personal del denunciante con terceros no autorizados. Estos hechos, en efecto, no fueron desvirtuados ni negados por la sociedad.
Por el contrario, en el radicado 22-208367-11, al ser requerida por la Dirección sobre las razones por las cuales se compartió información del titular con terceros, la sociedad se limitó a manifestar: “La Compañía desea poner de presente a su Despacho que, conforme tuvo noticia de este requerimiento de la autoridad, ha establecido los siguientes planes de acción: (i) adelantar un entrenamiento con el área encargada del cobro, para reiterar los procedimientos y políticas en materia de manejo de datos personales, y (ii) realizar una actualización del programa de protección de datos personales, para fortalecer los procesos existentes”.
Esta respuesta, lejos de desvirtuar la conducta, apunta a una aceptación tácita de los hechos y apunta a la veracidad de la conclusión de que, al momento de las comunicaciones cuestionadas, la sociedad no contaba con medidas efectivas para evitar el acceso no autorizado a los datos personales del titular. En efecto, la implementación de acciones correctivas posteriores parece confirmar la existencia de deficiencias previas en los controles administrativos, técnicos y humanos que debían estar operando adecuadamente para garantizar el cumplimiento del deber legal previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los principios de seguridad y acceso y circulación restringida ya mencionados.
Por lo anterior, es claro que, aunque la Recurrente haya calificado lo ocurrido como un “hecho aislado”, y con esto haya pretendido minimizar el incumplimiento de sus deberes, la existencia de varias comunicaciones, tanto telefónicas como escritas, que evidencian el indebido tratamiento de datos personales, descarta la hipótesis de un error puntual y revela la ausencia de un sistema efectivo de prevención y respuesta.
Adicionalmente, se debe aclarar que, de conformidad con lo dispuesto en el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, corresponde al responsable del tratamiento la carga de demostrar la existencia, implementación y eficacia de las medidas adoptadas para garantizar el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012.
En este caso, la sociedad no acreditó haber conservado la información personal del titular bajo condiciones de seguridad que impidieran su consulta, uso o acceso no autorizado. En lugar de cumplir con esta carga, la Recurrente se limitó a alegar una supuesta indebida valoración probatoria por parte de la Dirección, con base en tres “Por la cual se resuelve un recurso de apelación” documentos: el Reglamento Interno de Trabajo, el Contrato de Trabajo de UNI2 y una certificación sobre la integración del estándar ISO 27001:2013.
Sin embargo, tales documentos no constituyen pruebas idóneas ni suficientes para acreditar el cumplimiento del deber contenido en el literal d) del artículo 17 de la Ley 1581 de 2012, por las siguientes razones: 1. Reglamento Interno de Trabajo (RIT): Aunque puede contener disposiciones generales sobre el deber de confidencialidad, no demuestra la existencia de mecanismos efectivos de control sobre el acceso, uso o divulgación de datos personales ni su aplicación en el caso concreto. 2.
Contrato de Trabajo: Su sola existencia no prueba la efectiva observancia de obligaciones de confidencialidad ni la existencia de procedimientos de supervisión o reacción ante incumplimientos. 3. Certificación ISO 27001:2013: Sin información sobre su alcance, fecha de emisión, auditorías realizadas ni aplicación concreta al tratamiento de los datos personales divulgados, no permite acreditar que existía una estructura efectiva de seguridad activa al momento de los hechos objeto de investigación. Asimismo, respecto de las otras medidas alegadas por la recurrente, como la tercerización del hosting de la Plataforma UNI2 con Colombia Telecomunicaciones S.A. o la implementación de una política de copias de seguridad en Amazon Web Services, esta Delegatura considera que tampoco logran desvirtuar el incumplimiento del deber objeto de investigación y cuyo incumplimiento fue sancionado por la Dirección. Aunque estas pueden constituir buenas prácticas para preservar la integridad de los datos frente a daños físicos o lógicos, no guardan relación directa con el riesgo materializado en este caso: la divulgación no autorizada de información a terceros por parte del personal de la sociedad, a través de canales como WhatsApp o llamadas telefónicas.
El hecho vulneratorio no se originó en una intrusión externa o falla de infraestructura, sino en un actuar voluntario de agentes de la sociedad. Por tanto, las medidas referidas no resultan pertinentes para prevenir esa conducta específica. Además, la Recurrente anunció “planes de acción”, como la capacitación del área de cartera y la actualización del programa de protección de datos, sólo después de haber sido requerida por esta Dirección. Otro indicio más que confirma que, al momento de los hechos, no se contaba con medidas efectivas y operativas que garantizaran el cumplimiento del deber legal.
Por todo lo anterior, esta Delegatura concluye que la sociedad incumplió el deber de adelantar el tratamiento de la información del titular bajo las condiciones de seguridad necesarias para impedir su acceso no autorizado, en concordancia con los principios de seguridad y acceso y circulación restringida. Por tanto y en tanto estos argumentos de la recurrente carecen de mérito para desvirtuar la validez de la Resolución recurrida, la misma será confirmada. 6.2.
Respecto de la presunta incorrecta dosificación de la sanción En la decisión recurrida se estableció de forma expresa que la sociedad recurrente vulneró lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma ley. La conducta infractora que dio lugar a la sanción consistió en no conservar la información personal del denunciante bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
El artículo 24 de la Ley 1581 de 2012 establece los criterios que deben ser considerados para la graduación de las sanciones, y en su literal a) señala como uno de ellos: “la dimensión del daño o peligro a los intereses jurídicos tutelados”. Al respecto, en el acto administrativo recurrido, la Dirección precisó que, conforme a dicho literal, no se exige la demostración de un daño efectivo “Por la cual se resuelve un recurso de apelación” para la imposición de la sanción, sino que basta con acreditar que la conducta genera un riesgo o una afectación potencial al derecho fundamental a la protección de datos personales.
En el presente caso, se acreditó que la conducta de la sociedad no solo generó un riesgo abstracto, sino que produjo una afectación concreta al derecho fundamental de habeas data de un titular específico. Además, constituyó un peligro real para los intereses jurídicos tutelados de titulares indeterminados cuyos datos personales también son tratados por la sociedad.
Por tanto, la aplicación del criterio agravante previsto en el literal a) del artículo 24 de la ley se encuentra plenamente justificada, contrario a lo que señala la Recurrente. Adicionalmente, se aclara que la Dirección, en ejercicio del margen de discrecionalidad limitada que le confiere la Ley 1581 de 2012, valoró los distintos criterios establecidos en el artículo 24 para determinar el monto de la sanción. Para ello, tuvo en cuenta factores como la dimensión del daño o peligro, el tamaño de la empresa, su situación financiera y la conducta desplegada.
En este contexto, la sanción fue calculada de manera proporcional con base en el patrimonio y la capacidad económica de la sociedad, garantizando así un efecto disuasorio sin que resultara confiscatoria. Respecto de los demás criterios de graduación previstos en el artículo 24 de la Ley 1581 de 2012, es importante recordar que su aplicación está condicionada a la pertinencia en el caso concreto: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” (resaltado fuera del texto) Sobre estos criterios, la Corte Constitucional señaló en la Sentencia C-748 de 2011 que los primeros cinco corresponden a circunstancias agravantes, mientras que el literal f) opera como la única causal atenuante.
Así lo expresó: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(resaltado fuera de texto) En este sentido, la Dirección determinó que, para el presente caso, únicamente resultaba aplicable el criterio agravante previsto en el literal a), dado que se constató la afectación o el riesgo a los intereses jurídicos tutelados. Por su parte, no se configuró la circunstancia atenuante del literal f), ya que la sociedad investigada no aceptó expresamente la comisión de la infracción con anterioridad a la imposición de la sanción, lo cual habría permitido una eventual disminución de la multa.
En consecuencia, contrario a lo sostenido por la Recurrente, la ausencia de demostración de hechos que instancien los demás criterios de graduación, que de ser aplicables habrían agravado la sanción, no puede implicar en sana lógica “Por la cual se resuelve un recurso de apelación” que deba reducirse el monto de la sanción impuesta. No pueden, porque de haberlos la consecuencia habría sido la agravación de la sanción. Su no verificación en el caso concreto llevó a que no se incrementara la sanción por tales factores; su no verificación no tiene efectos atenuantes.
De otro lado, respecto del argumento según el cual el hecho investigado representa un porcentaje mínimo del universo de clientes o créditos colocados, debe indicarse que tal consideración carece de relevancia jurídica en el análisis del caso. La protección de los datos personales no se rige por criterios cuantitativos o estadísticos, sino por los principios de legalidad, necesidad y proporcionalidad.
Ni la vulneración de un derecho fundamental ni el incumplimiento de un deber legal pueden relativizarse en función del volumen de operaciones de la compañía. La Ley 1581 de 2012 protege los derechos fundamentales de todas y cada una de las personas, exigiendo el cumplimiento del régimen legal, sin excepción. Finalmente, frente a la alegada falta de valoración del perfil de las personas que accedieron a la información, debe reiterarse que, en materia de protección de datos, cualquier divulgación de datos personales no autorizada constituye una infracción. El hecho de que los receptores sean familiares, conocidos u otros terceros, al tiempo que revela la posible violación del derecho fundamental a la intimidad personal del denunciante, no puede de ninguna manera fungir como una suerte de excluyente de responsabilidad.
El acceso no autorizado a la información personal, por sí mismo, configura una violación al deber legal tantas veces invocado. Finalmente, es importante destacar que la sanción impuesta se encuentra dentro de los límites establecidos en el artículo 23 de la Ley 1581 de 2012, que permite la imposición de multas de hasta 2.000 salarios mínimos legales mensuales vigentes.
En este caso, la sanción equivale al 2,74% del umbral máximo permitido, lo cual refleja que se respetaron los parámetros legales y que el monto impuesto es proporcional y razonable frente a la capacidad económica de UNI2 MICROCRÉDITO S.A.S. 6.3. Respecto de los supuestos precedentes sancionatorios Esta Delegatura no comparte el argumento de la recurrente que cuestiona la legalidad de la Resolución ahora impugnada por no haber tenido como referencia las sanciones impuestas mediante las Resoluciones 56651 de 2021 y 51177 de 2022, en relación con el monto o la proporcionalidad de la sanción impuesta.
Aun cuando en tales resoluciones hubo un pronunciamiento sobre el incumplimiento del mismo deber legal: el consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, cada actuación administrativa parte de hechos concretos, circunstancias particulares y valoraciones probatorias distintas, que impiden establecer una comparación directa o automática entre las decisiones adoptadas por la Autoridad en cada caso.
El proceso sancionatorio está sujeto a los principios de individualización y análisis del caso concreto, lo cual implica que la conducta, el contexto de su ocurrencia, los riesgos generados, las consecuencias producidas, el grado de diligencia del responsable y la naturaleza de los datos comprometidos, entre otros, deben ser objeto de valoración particular e independiente en cada expediente.
En ese sentido, las circunstancias específicas de cada caso hacen que las resoluciones sancionatorias no sean trasladables como precedentes numéricos automáticos. Cada decisión se construye sobre su propio acervo probatorio, de manera que no existe un criterio de “tarifación” uniforme o porcentual aplicable a todos los casos de vulneración del deber de seguridad.
“Por la cual se resuelve un recurso de apelación” El solo hecho de que las sanciones anteriores hayan recaído sobre la misma norma no es suficiente para fundar una alegación de desproporción en este caso. La valoración individual y autónoma, en el contexto de los principios de legalidad y proporcionalidad en el que la autoridad ejerce su discrecionalidad limitada, es lo que sustenta la validez y razonabilidad de la sanción impuesta.
Esta Delegatura no advierte el desconocimiento de estos principios, y no encuentra que la recurrente haya logrado demostrar algo semejante al sustentar su recurso de apelación.
SÉPTIMO. Conclusiones. • Está demostrado que la sociedad divulgó reiteradamente datos personales del titular a terceros no autorizados, a través de llamadas y mensajes de WhatsApp, sin contar con medidas efectivas para impedir dicho tratamiento indebido, lo cual constituye una infracción al principio de seguridad y al deber legal previsto en el literal d) del artículo 17 de la Ley 1581 de 2012. • Los argumentos de defensa presentados por la Recurrente resultan insuficientes, pues no aportó pruebas idóneas ni verificables que demostraran la existencia, implementación y eficacia de medidas de seguridad previas al hecho denunciado. • El desconocimiento del deber legal de seguridad en el tratamiento de datos personales generó una afectación concreta al derecho fundamental a la protección de datos personales de un titular plenamente identificado y un riesgo real para otros titulares indeterminados, justificando así la aplicación del criterio agravante previsto en el literal a) del artículo 24 de la Ley 1581 de 2012. • La sanción impuesta fue determinada con base en una valoración individual del caso, dentro del marco legal y de manera proporcional a la gravedad de la conducta y a la capacidad económica de la sociedad, sin que los argumentos de la Recurrente desvirtúen la legalidad ni la razonabilidad de la medida adoptada. • La comparación con sanciones impuestas en otros casos no resulta procedente, pues cada actuación administrativa se basa en hechos, circunstancias y pruebas particulares; por tanto, la legalidad y proporcionalidad de la sanción impuesta en el presente caso se sustenta en una valoración individual, sin que exista un criterio uniforme o automático aplicable a todas las infracciones del deber de seguridad. • La multa impuesta a UNI2 MICROCRÉDITO S.A.S. ($63.515.800), corresponde al 2,74% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). • El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa, de las circunstancias específicas de este caso.
Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los responsables y encargados del tratamiento. • La vulneración del derecho de habeas data no solo afecta y afectó los titulares cuyos datos personales fueron tratados indebidamente, sino que también puso y pone en riesgo los intereses protegidos por el derecho a la protección de datos personales de titulares indeterminados. • La sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, es adecuada al tipo de falta y a su magnitud, redunda en la garantía efectiva del derecho fundamental al habeas data de “Por la cual se resuelve un recurso de apelación” titulares identificados o identificables y sirve al propósito de generar un efecto disuasorio que evite la repetición de la infracción por este o por cualquier responsable o encargado del tratamiento de datos personales.
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Delegatura procederá a confirmar en su integridad la Resolución No. 56589 del 26 de septiembre de 2024 por lo que, en mérito de lo expuesto, RESUELVE:
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 56589 del 26 de septiembre de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a UNI2 MICROCRÉDITO S.A.S. identificada con el Nit. 900.725.066-2, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión al señor XXXXXXXX XXXXXXX XXXXXXXX, identificado con cédula de ciudadanía No. x.xxx.xxx.xxx.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución, a la Dirección de investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C., 16 de julio de 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. digitalmente por JUAN CARLOS Firmado JUAN CARLOS UPEGUI MEJIA 2025.07.16 14:35:04 UPEGUI MEJIA Fecha: -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU