Resolución sancionatoria N° 77232 de 2025

(30 de septiembre de 2025) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación: 24-223311 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, los numerales 4 y 5 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad COMUNICACIÓN CELULAR S A COMCEL S A, (en adelante “la investigada”), identificada con Nit. 800.153.993-7, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por el señor XXXXXXXX XXXXXXXXX1: 1.1 El señor XXXXXXXXXXXXXXXXXXXXXXX interpuso una acción de tutela ante el Juzgado Primero Penal del Circuito con radicado XXXX XXXX, solicitando el amparo de los derechos fundamentales de habeas data y al debido proceso en contra de la Superintendencia de Industria y Comercio, COMUNICACIÓN CELULAR S A COMCEL S A, Experian Colombia S.A. (Data Crédito), Trans Union Colombia (Cifin) y Pro Crédito, en la que manifestó que tiene un reporte negativo por parte de la investigada que se llevó a cabo sin el envío de la comunicación previa. 1.2 Que el Juzgado Primero Penal del Circuito profirió la siguiente sentencia: “SEGUNDO: ORDENAR a CLARO -COMCEL S.A-, EXPERIAN COLOMBIA S.A. – DATACRÉDITO- y TRANSUNION COLOMBIA -CIFIN-, por intermedio de sus respectivos representantes legales, que en término máximo de tres (03) días hábiles procedan, si no lo han hecho, a eliminar de su base de datos cualquier reporte negativo de la obligación No. XXXXXX a cargo del accionante y a favor de CLARO COLOMBIA, por las razones expuestas en la parte considerativa de esta sentencia.”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: el numeral 10º del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma, el 15 de noviembre de 2024, se inició la presente investigación administrativa mediante la expedición de la Resolución N.º 1 Expediente digital consecutivo 0 “Por la cual se impone una sanción y se imparten órdenes administrativas” 69681 por medio de la cual se formuló un (1) cargo a la sociedad COMUNICACIÓN CELULAR S A COMCEL S A, con Nit. 800.153.993-7.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

TERCERO: Que la investigada fue notificada de la Resolución N.º 69681 del 15 de noviembre de 2024, de forma electrónica el día 15 de noviembre de 2024 de acuerdo con la certificación expedida por la Secretaria AD-HOC de esta Superintendencia disponible a consecutivo 24-223311- -25 del expediente.

CUARTO: Que, dentro del plazo otorgado para el efecto, mediante escrito radicado el día 6 de diciembre de 2024 con radicado 24-223311- -00028, a través de su apoderada, la investigada dio respuesta a la formulación de cargos informando lo siguiente: 4.1 Manifestó que este Despacho formuló el cargo sin haber valorado las pruebas aportadas en la respuesta a la solicitud de explicaciones del 11 de junio de 2024 por parte de la investigada, en las que se informó que efectivamente se enviaron mensajes de texto al titular: “(…) informándole sobre el saldo adeudado y advirtiéndole que en caso de incumplimiento se generaría el reporte negativo ante las centrales de riesgos (…)”2 4.2 También señaló que en la formulación no se tuvo en cuenta lo indicado por los Operadores de información, toda vez que: “EXPERIAN COLOMBIA informó que en enero de 2023, la sociedad COMCEL reportó la obligación XXXXXXXX en estado Dudoso Recaudo con corte a Diciembre de 2022 y CIFIN señaló que se había realizado el reporte negativo el 08 de febrero de 2022, por lo que no se ajusta a la realidad lo manifestado por esa entidad, que el reporte fue realizado en diciembre de 2021”3 4.3 Informó que en la grabación del contrato mediante el cual el titular adquirió la línea celular XXXXXXXXX el día 02 de diciembre de 2021 en modalidad pospago, este autorizó el reporte ante los Operadores de la información respecto a su comportamiento crediticio. 4 4.4 Indicó que el 5 de diciembre de diciembre de 2021 se generó la factura XXXXXXXX por la suma de $ 162,821 con fecha de pago del 17 de diciembre de 2021, sin embargo, el titular no pagó la facturación.5 4.5 Señaló que en la factura XXXXXXXXXXX se le informó al titular lo siguiente: “Cuida tu historia crediticia pagando siempre hasta la fecha de pago oportuno y evita ser reportado negativamente en las centrales de riesgos”6 4.6 Adujo que debido al no pago de la obligación, los días 19, 20, 21, 22, 23, 24, 25, 26, 30 y 31 de enero de 2022, la investigada envió mensajes de texto a la línea celular XXXXXXXXX, informándole sobre el saldo 2 Expediente digital, consecutivo 28, página 4, folio 6 3 Expediente digital, consecutivo 28, página 4, folio 6 4 Expediente digital, consecutivo 28, página 4, folio 6 5 Expediente digital, consecutivo 28, página 4, folio 7 6 Expediente digital, consecutivo 28, página 4, folio 7 “Por la cual se impone una sanción y se imparten órdenes administrativas” pendiente por cancelar y que el incumplimiento en el pago genera reportes negativos ante los Operadores de la información.7 4.7 También afirmó que el titular en la grabación mencionada autorizó el envío de información por medio de mensaje de texto al celular. 8 4.8 Adjuntó el documento CERTIFICADO DE ENTREGA DE MENSAJE DE TEXTO expedido por la empresa MASIVIAN S.A.S con NIT 901034525 inscrita ante la CRC, para certificar que a través de esta sociedad se enviaron los mensajes de texto al celular XXXXXXXX.9 4.9 Aclaró que el reporte negativo se efectuó por el no pago de la factura generada el 5 de diciembre de 2021, de manera que se reportó negativamente ante los Operadores de información en el mes de febrero de 2022.10 4.10 Informó que la investigada impugnó el fallo de tutela y que el 12 de junio de 2024 el Tribunal Superior del Distrito Judicial de Pereira Sala de Decisión Penal decidió REVOCAR el fallo proferido y en su lugar declaró la carencia actual del objeto por hecho superado.11 4.11 Manifestó que en esta investigación se está vulnerando el principio de Non Bis in Idem porque se estaría juzgando a la investigada por los mismos hechos y circunstancias que ya fueron decididas por parte del Juzgado Primero Penal del Circuito de Dosquebradas Risaralda y del Tribunal Superior del Distrito Judicial de Pereira.12 QUINTO: Que, a través de la Resolución N.º 30470 del 21 de mayo de 2025 13, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 24-223311, consecutivos 0 al 28, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Las pruebas son las siguientes: 5.1 Escrito de tutela del señor XXXXXXXXXXXXXXXX contra S.A. (Data Crédito), Trans Union Colombia (Cifin) y Pro Crédito.14 5.2 Derecho de petición del señor XXXXXXXXXXXXXXXXXXXXXXX radicado ante Soluciones Claro y esta entidad el 29 de enero de 2024. 15 5.3 Admisión de tutela del señor XXXXXXXXXXXXXXX contra -CIFIN- y PROCRÉDITO por parte del JUZGADO PRIMERO PENAL DEL CIRCUITO el 3 de mayo de 2024.16 5.4 Sentencia de la tutela del JUZGADO PRIMERO PENAL DEL CIRCUITO del 20 de mayo de 2024.17 7 Expediente digital, consecutivo 28, página 4, folio 7 8 Expediente digital, consecutivo 28, página 4, folio 8 9 Expediente digital, consecutivo 28, página 4, folio 9 10 Expediente digital, consecutivo 28, página 4, folio 10 11 Expediente digital, consecutivo 28, página 4, folio 11 12 Expediente digital, consecutivo 28, página 4, folio 12 13 Resolución No. 30470 del 21 de mayo de 2025 obrante en el expediente 24-223311 14 Expediente 0, página 2, folio 1 al 3 15 Expediente digital, consecutivo 0, página 2, folio 4 al 8 16 Expediente digital, consecutivo 0, página 2, folio 9 17 Expediente digital, consecutivo 0, página 2, folio 10 al 26 “Por la cual se impone una sanción y se imparten órdenes administrativas” 5.5 Requerimiento a COMUNICACIÓN CELULAR S A COMCEL S A del 24 de mayo de 2024 con radicado 24-223311- -1.18 5.6 Requerimiento a CIFIN S.A.S del 24 de mayo de 2024 con radicado 24223311- -2.19 5.7 Requerimiento a EXPERIAN COLOMBIA S.A del 24 de mayo de 2024 con radicado 24-223311- -3.20 5.8 Oficio enviado al señor XXXXXXXXXXXXXXXXXXXXXX del 24 de mayo de 2024 con radicado 24-223311- -4 informando el inicio de la averiguación preliminar.21 5.9 Poder especial conferido por la investigada a la abogada PATRICIA OLIVEROS LAVERDE y solicitud de acceso al expediente. 22 5.10 Respuesta al requerimiento de este Despacho por parte de EXPERIAN COLOMBIA S.A. del 5 de junio de 2024 con radicado 24-223311- 00012.23 5.11 Certificado de existencia y representación legal de parte de EXPERIAN COLOMBIA S.A.24 5.12 Respuesta al requerimiento de este Despacho por parte de CIFIN S.A.S del 6 de junio de 2024 con radicado 24-223311- -0001325 5.13 Oficio del 7 de junio de 2024 con radicado 24-223311- -14 mediante el cual se concede acceso al expediente a COMUNICACIÓN CELULAR S A COMCEL S A.26 5.14Respuesta al requerimiento de esta entidad por parte de COMUNICACIÓN CELULAR S A COMCEL S A del 11 de junio de 2024 con radicado 24-223311- -00017-.27 5.14.1 Comunicación previa del 5 de enero de 2024, comunicación previa del 20 de febrero de 2024 y guía N° XXXXXX del 29 de febrero de 2024.28 5.14.2 Facturas del 17-Dic-2021 con referencia N° XXXXXXXX, para pago inmediato, referencia N° XXXXXXXXX y comunicación previa del 5 de febrero de 2022.29 5.14.3 Oficio del 21 de mayo de 2021 mediante el cual la investigada le informa al señor XXXXXXXXXXXXXXXXXXXXX el cumplimiento del fallo de tutela del JUZGADO PRIMERO PENAL DEL CIRCUITO.30 18 Expediente digital, consecutivo 1 19 Expediente digital, consecutivo 2 20 Expediente digital, consecutivo 3 21 Expediente digital, consecutivo 4 22 Expediente digital, consecutivo 8 23 Expediente digital, consecutivo 12, página 3 24 Expediente digital, consecutivo 12, página 4 25 Expediente digital, consecutivo 13 26 Expediente digital, consecutivo 14 27 Expediente digital, consecutivo 17 28 Expediente digital, consecutivo 17, página 15 29 Expediente digital, consecutivo 17, página 14 30 Expediente digital, consecutivo 17, página 16 “Por la cual se impone una sanción y se imparten órdenes administrativas” 5.14.4 Oficio de respuesta al derecho de petición del señor XXXXXXXX XXXXXXXXXXXX por parte de la investigada del 7 de mayo de 2024.31 5.14.5 Certificado de existencia y representación legal de parte de COMUNICACIÓN CELULAR S A COMCEL S A.32 5.14.6 Grabación del XXXXXX.33 contrato del señor XXXXXXXXXXXXXXXXX 5.14.7 Impresión del sistema. 34 5.14.8 Excel con mensajes de texto enviados al titular por la investigada. 5.14.9 Respuesta al requerimiento de esta entidad por parte de la investigada del 11 de junio de 2024, con el poder especial otorgado a la abogada PATRICIA OLIVEROS LAVERDE.36 5.14.10 Soportes de eliminación de la obligación ante los Operadores de la información.37 5.15 Escrito de descargos.38 5.15.1 Estados financieros de COMUNICACIÓN CELULAR S A COMCEL S A. de 2021-2020, 2022-2021, 2022-2023.39 5.15.2 Fallo del TRIBUNAL SUPERIOR DEL DISTRITO JUDICIAL DE PEREIRA SALA DE DECISIÓN PENAL del 12 de junio de 2024. 40 5.15.3 Facturas de referencia N° XXXXXXXXX, N° XXXXXXXX, N° XXXXXXXXX. 5.15.4 Certificado de entrega de Mensaje de Texto del 28 de noviembre de 2024 por parte de MASIVIAN S.A.S. 41 SEXTO: Que la investigada fue comunicada de la Resolución N.º 30470 del 21 de mayo de 2025 el 21 de mayo de 2025 de acuerdo con la certificación expedida por la Secretaria AD-HOC de esta Superintendencia disponible a consecutivo 24-223311- -32 del expediente.

SÉPTIMO: Que dentro del plazo otorgado por la Resolución N.º 30470 del 21 de mayo de 2025, la sociedad investigada mediante comunicado del 5 de junio de 2025 con radicado 24-223311- -00033, presentó alegatos de conclusión reiterando lo señalado en su escrito de descargos y manifestando lo siguiente: 7.1 Indicó que la investigada mediante comunicado GRC XXXXXXXX del 13 de febrero de 2024 le informó al usuario que la obligación XXXXXXXXX presentaba un saldo por cancelar de $ 319,283.54, no obstante, procedió a retirar el histórico de mora y volvió a generar posteriormente una nueva comunicación previa al titular. 42 31 Expediente digital, consecutivo 17, página 8 32 Expediente digital, consecutivo 17, página 17 33 Expediente digital, consecutivo 17, página 13 34 Expediente digital, consecutivo 17, página 11 35 Expediente digital, consecutivo 17, página 10 36 Expediente digital, consecutivo 17, página 7 37 Expediente digital, consecutivo 17, página 5 38 Expediente digital, consecutivo 28, página 4 39 Expediente digital, consecutivo 28, página 2 40 Expediente digital, consecutivo 28, página 2 41 Expediente digital, consecutivo 28, página 2 42 Expediente digital, consecutivo 33, página 3, folio 2 “Por la cual se impone una sanción y se imparten órdenes administrativas” 7.2 Informó que la investigada envió una comunicación previa junto con la factura XXXXXXXXX generada el 05 de enero de 2022 de la obligación XXXXXXXXX; la cual fue notificada mediante mensaje de texto enviado a la línea XXXXXXXX, no obstante, no se registra soporte del contenido del mismo, por lo que solicitan que en caso de no estimarse esas pruebas sea tenido en cuenta el criterio atenuante de responsabilidad al momento de la graduación de las sanciones conforme lo dispuesto en el literal f) del artículo 19 de la Ley 1266 de 2008. 43 OCTAVO: Competencia Comercio de la Superintendencia de Industria y El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio sobre los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional en Sentencia C-1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “(…) [l]a jurisprudencia[206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;

(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa, no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica´.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.

(…)”44. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 8 de la Ley 1266 de 2008 señala los deberes que le asisten a las Fuentes de información respecto del manejo de la información financiera, crediticia, comercial y de servicios contenida en las bases de datos personales destinadas al riesgo crediticio. 43 Expediente digital, consecutivo 33, página 3, folio 12, 13 44Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. F.J:3.6.2.

“Por la cual se impone una sanción y se imparten órdenes administrativas” (ii) El incumplimiento del señalado deber dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008. De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado: en el numeral 10º del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada tanto en su escrito de descargos, como de alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente.  Aclaraciones preliminares: Este Despacho se permite realizar una aclaración con relación al argumento de la investigada, según el cual considera que en esta investigación se está vulnerando el principio de Non Bis in Idem, porque se estaría juzgando a la investigada por los mismos hechos y circunstancias que ya fueron decididas por parte del Juzgado Primero Penal del Circuito de Dosquebradas Risaralda y el Tribunal Superior del Distrito Judicial de Pereira.45 En primer lugar, se debe señalar que la Superintendencia de Industria y Comercio tiene facultades de inspección y vigilancia como Autoridad de Protección de Datos, entre las cuales se encuentra velar por el cumplimiento de las disposiciones de la Ley 1266 de 2008, ahora bien 46 es importante aclarar que la acción de tutela tiene como fin la protección del derecho fundamental de Habeas Data de forma inmediata, mientras que el proceso administrativo sancionatorio por el cual se inició la presente investigación, pretende determinar si se presentó un incumplimiento de los deberes de la sociedad, en calidad de Fuente de información,, y de esta manera concluir si procede imponer una sanción o impartir una orden administrativa, de acuerdo al análisis de los hechos denunciados.

Por lo tanto, se concluye que no se está incumpliendo el principio Non Bis in Idem, puesto que se trata de dos procesos con finalidades distintas que se rigen por leyes diferentes; pues como se explicó antes, uno busca el amparo de un derecho fundamental y el otro la verificación del cumplimiento de un deber legal. 9.2 Valoración probatoria y conclusiones 9.2.1 Del deber de comunicar previamente al Titular el reporte de la información negativa Deber que se deriva del numeral 10 del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma, que preceptúan lo siguiente: Ley 1266 de 2008 45 Expediente digital, consecutivo 28, página 4, folio 12 46 Ley 1266 de 2008 “ARTÍCULO 17.

Función de vigilancia. La Superintendencia de Industria y Comercio ejercerá la función de vigilancia de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la presente ley.

(…) “Por la cual se impone una sanción y se imparten órdenes administrativas” “Artículo 8°. Deberes de las Fuentes de la Información. Las fuentes de la información deberán cumplir las siguientes obligaciones, sin perjuicio del cumplimiento de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 10. Los demás que se deriven de la Constitución o de la presente ley.

(…) Artículo 12. Requisitos especiales para Fuentes: Las fuentes deberán actualizar mensualmente la información suministrada al operador, sin perjuicio de lo dispuesto en el Título III de la presente ley. El reporte de información negativa sobre incumplimiento de obligaciones de cualquier naturaleza, que hagan las fuentes de información a los operadores de bancos de datos de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, sólo procederá previa comunicación al titular de la información, con el fin de que este pueda demostrar o efectuar el pago de la obligación, así como controvertir aspectos tales como el monto de la obligación o cuota y la fecha de exigibilidad.

Dicha comunicación podrá incluirse en los extractos periódicos que las fuentes de información envíen a sus clientes. En todo caso, las fuentes de información podrán efectuar el reporte de la información transcurridos veinte (20) días calendario siguientes a la fecha de envío de la comunicación en la última dirección de domicilio del afectado que se encuentre registrada en los archivos de la fuente de la información y sin perjuicio, si es del caso, de dar cumplimiento a la obligación de informar al operador, que la información se encuentra en discusión por parte de su titular, cuando se haya presentado solicitud de rectificación o actualización y esta aún no haya sido resuelta (…)”.

(Subrayado y Negrilla fuera del texto). Al respecto de dicho deber especial, la Corte Constitucional en la sentencia C1011 de 2008 señaló lo siguiente: “(…) El procedimiento previsto para la inclusión de información financiera negativa, del mismo modo, se muestra como una herramienta adecuada para que el titular de la información pueda ejercer las competencias de actualización y rectificación del dato.

(…) La facultad conferida a la fuente de reportar la información financiera negativa luego de cumplido un término de veinte días calendario resulta, a juicio de la Corte, razonable. En efecto, el objetivo de la previsión es permitir que luego de notificársele la existencia de información negativa y la intención de ser reportado, sin que el titular de la información manifieste su desacuerdo, la fuente, quien actúa en condición de acreedor de la obligación correspondiente, pueda transmitir el dato negativo al operador.

(…)”. (Negrilla fuera del texto original) De manera preliminar, a través de la comunicación con número de radicado 24-223311-0 del 23 de mayo de 2024, el JUZGADO PRIMERO PENAL DEL CIRCUITO DE DOSQUEBRADAS, RISARALDA trasladó a esta entidad el fallo de Tutela a favor del Titular XXXXXXXXXXXXXXXXXXXXXXX. En dicha acción de tutela, el titular informó que la investigada reportó información negativa de su comportamiento crediticio ante los Operadores de Información, sin cumplir con el requisito del envío de la comunicación previa.

En atención de la queja recibida, esta Dirección, a través del Grupo de Trabajo de Tratamiento de Datos Personales, requirió a los Operadores de Información “Por la cual se impone una sanción y se imparten órdenes administrativas” EXPERIAN COLOMBIA S.A. mediante el oficio con número de radicado 24223311-3 del 24 de mayo de 2024 y CIFIN S.A.S mediante el oficio con número de radicado 24-223311-2 del 24 de mayo de 2024, para que informaran si la investigada reportó información negativa o positiva en el historial de crédito del denunciante durante el año 2023 y lo transcurrido del año 2024.

En respuesta al requerimiento anterior, EXPERIAN COLOMBIA S.A. remitió la comunicación con número de radicado 24-223311-12 del 5 de junio de 2024, a través de la cual, señaló: “En enero de 2023 la sociedad COMUNICACION CELULAR S A COMCEL S A, reportó la obligación No: XXXXXXXXXXXXX, en estado de “Dudoso Recaudo”, con corte a diciembre de 2022, estado que se mantuvo hasta el corte de enero de 2024” Por su parte, CIFIN S.A.S. remitió la comunicación con número de radicado 24-223311-13 del 5 de junio de 2024, a través de la cual, señaló que, la investigada reportó negativamente la obligación No. XXXXX por primera vez “(…) el día 08 de febrero de 2022, hasta el día 19 de febrero de 2024 (…)” De la misma manera, este Despacho requirió a la investigada mediante el oficio con número de radicado 24- 223311-1 del 24 de mayo de 2024 para que, entre varias cuestiones, remitiera copia de la comunicación previa, relacionada con el reporte negativo de la obligación No. XXXXXX.

Que la investigada mediante comunicación con número de radicado 24223311-17 del 12 de junio de 2024, dio respuesta a la solicitud de explicaciones de esta Dirección, en donde resaltó que cuenta con la autorización por parte del Titular para reportar información ante los Operadores de la información, así mismo, mencionó en su escrito que remitió la comunicación previa al titular, sin embargo, este Despacho no observó que se aportara el soporte de envió de la misma.

Por lo tanto, se concluyó preliminarmente que, la investigada no acreditó el envío de la comunicación previa al Titular con anterioridad al reporte de información negativa de la obligación No. XXXXXX, realizado ante el Operador EXPERIAN COLOMBIA S.A en enero de 2023 en estado de “Dudoso Recaudo” con corte a diciembre de 2022, estado que se mantuvo hasta el corte de enero de 2024 y ante el Operador CIFIN S.A.S cuyo reporte se llevó a cabo el 8 de febrero de 2022 hasta el 19 de febrero de 2024, es decir que el primer reporte negativo se realizó el 8 de febrero de 2022.

Ahora bien, respecto a las pruebas aportadas al expediente se encuentra lo siguiente:  Sentencia proferida por el JUZGADO PRIMERO PENAL DEL CIRCUITO del 20 de mayo de 2024 en el siguiente sentido47: “SEGUNDO: ORDENAR a CLARO -COMCEL S.A-, EXPERIAN COLOMBIA S.A. – DATACRÉDITO- y TRANSUNION COLOMBIA -CIFIN-, por intermedio de sus respectivos representantes legales, que en término máximo de tres (03) días hábiles procedan, si no lo han hecho, a eliminar de su base de datos cualquier reporte negativo de la obligación No. XXXXXXXXX a cargo del accionante y a favor de CLARO COLOMBIA, por las razones expuestas en la parte considerativa de esta sentencia.

TERCERO: REQUERIR a la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO para que, en caso de ser necesario, realice las diligencias que correspondan, de acuerdo a su competencia, con relación al asunto en mención.” 47 Expediente digital, consecutivo 0, página 2, folio 24 y 25 “Por la cual se impone una sanción y se imparten órdenes administrativas”  Solicitud de explicaciones a la investigada del 24 de mayo de 2024 con radicado 24-223311- -1 en el que se le requirió lo siguiente: “En caso de haber realizado un reporte negativo ante los operadores de información, acreditar el envío de la comunicación previa a la marcación del reporte en la historia de crédito de la Titular con 20 días calendario de antelación, de conformidad con lo establecido en el artículo 12 de la Ley 1266 de 2008.”  Requerimiento a CIFIN S.A.S. el 24 de mayo de 2025 con radicado 24-223311- -2 y a EXPERIAN COLOMBIA S.A con radicado 24223311- -3 solicitándoles lo siguiente: “1.

Informe y acredite si la sociedad COMUNICACION CELULAR S A COMCEL S A identificada con Nit. 900.564.668-4; realizó reporte de información negativa o positiva en la historia de crédito del Titular XXXXXXXXXXXXXXXXXXX identificado con cédula N° XXXXXXXX, durante el año 2023 y lo transcurrido del año 2024.”  Respuesta del Operador EXPERIAN COLOMBIA S.A del 5 de junio de 2024 con radicado 24-223311- -00012 al requerimiento de esta entidad en el que informó lo siguiente: “En enero de 2023 la sociedad COMUNICACION CELULAR S A COMCEL S A, reportó la obligación No: XXXXXXXXXXXXXXXX, en estado de “Dudoso Recaudo”, con corte a diciembre de 2022, estado que se mantuvo hasta el corte de enero de 2024.

En el mes de febrero de 2024 la sociedad modificó la obligación, para dejarla en estado “Al Día”, con corte a enero de 2024, eliminando el registro histórico negativo. Posteriormente, en el mes de marzo de 2024, la sociedad reportó la obligación en estado “Al Día”, con corte a febrero de 2024. En el mes de abril de 2024, la sociedad reportó la obligación en estado de “Dudoso Recaudo”, con corte a marzo de 2024; posteriormente y por solicitud expresa de la Sociedad en el mes de mayo de 2024 la obligación dejó de visualizarse en la historia de crédito del Titular hasta la fecha de investigación.”  Respuesta del Operador CIFIN S.A.S del 6 de junio de 2024 con radicado 24-223311- -00013- al requerimiento de esta Despacho informando lo siguiente: “La entidad Comcel - Comunicación Celular S.A., realizó el primer reporte negativo de la obligación No. XXXXX, el día 08 de febrero de 2022, hasta el día 19 de febrero de 2024, fecha en que la entidad modificó los comportamientos reportados dejándolos sin mora.”  Respuesta por parte de la investigada del 11 de junio de 2024 a la solicitud de explicaciones de esta Superintendencia con radicado 24223311- -00017, en el que informa lo siguiente: (i) Que el 5 de diciembre de diciembre de 2021 se generó la factura XXXXXXXXX por la suma de $ 162,821 con fecha de pago el día 17 de diciembre de 2021, respecto de la cual el titular no pagó la facturación. “Por la cual se impone una sanción y se imparten órdenes administrativas” (ii) El 5 de enero de 2022 se generó la factura XXXXXXXXXX por la suma de $ 377,289.98, con fecha de pago INMEDIATO, junto con la cual, se adjuntó el documento COMUNICACIÓN DE REPORTE A CENTRALES DE RIESGOS: (iii) Debido al incumplimiento en el pago la investigada los días 19, 20, 21, 22, 23, 24, 25, 26, 30 y 31 de enero de 2022, envió los siguientes mensajes a la línea celular XXXXXXXX como comunicación previa al reporte, los cuales decían lo siguiente: “Paga tu factura Claro Postpago Ref.XXXXXXXXXX por $ 162.821 Recuerda que el incumplimiento genera reportes negativos ante centrales de riesgo.

Aplica TyC” “Tu deuda de la factura en mora Claro por valor de $ 162.821 te puede generar reportes negativos, evítalos pagando aquí bit.ly/3aULNAj. Aplica TyC(4)” (iv) La investigada envió una nueva comunicación previa el 13 de febrero de 2024 GRC XXXXXXXX mediante el documento denominado COMUNICACIÓN DE REPORTE A CENTRALES DE RIESGOS, el cual fue enviado a la dirección física informada por el titular en la grabación del contrato, con guía N° XXXXXXX: “Por la cual se impone una sanción y se imparten órdenes administrativas” (v)  La investigada aporta la grabación del contrato de la línea celular XXXXXXXXX adquirida por el titular XXXXXXXXXXXXXXXX XXXXXXX, donde aceptó el envío de información por medio de mensaje de texto al celular, autorizando lo siguiente: “¿autoriza a CLARO el envío de información por medio de mensaje de texto a su celular? A lo que contestó: si” 48 La investigada adjuntó el CERTIFICADO DE ENTREGA DE MENSAJE DE TEXTO expedido por la empresa MASIVIAN S.A.S identificada con NIT 90103452-5, inscrita ante la CRC empresa que certificó que, a través de la misma, se llevó a cabo el envío de mensajes de texto, con la información enviada al celular XXXXXXXXX49: 48 Expediente digital, consecutivo 17, página 13 49 Expediente digital, consecutivo 28 “Por la cual se impone una sanción y se imparten órdenes administrativas” ESPACIO EN BLANCO “Por la cual se impone una sanción y se imparten órdenes administrativas”  La investigada aporta en los alegatos de conclusión el soporte probatorio de la remisión de la comunicación previa, que se registra en el sistema del envío de la factura generada el 05 de enero de 2022 de la obligación XXXXXXXXX, junto con el documento COMUNICACIÓN DE REPORTE A CENTRALES DE RIESGOS.50 50 Expediente digital, consecutivo 33, página 8 “Por la cual se impone una sanción y se imparten órdenes administrativas” En virtud de lo expuesto, se encuentra que el señor XXXXXXXXXXXX XXXXXX adquirió la línea celular N.º XXXXXXXX referenciada a la obligación XXXXXXXX, la cual se activó el día 02 de diciembre de 2021 de acuerdo a lo informado por la investigada, así mismo aporta grabación mediante la cual se acredita la adquisición de la obligación financiera por parte del titular con COMUNICACIÓN CELULAR S A COMCEL S A. Así mismo, la investigada aporta la factura del 5 de diciembre de 2021 N° E XXXXXXXXXX por la suma de $ 162,821 con fecha de pago el día 17 de diciembre de 2021, respecto de la cual afirma que el titular no realizó el pagó: Igualmente, la investigada emitió el 5 de enero de 2022 la factura XXXXXXXXX por la suma de $ 377,289.98, para pago INMEDIATO, junto con la cual, se adjuntó el documento COMUNICACIÓN DE REPORTE A CENTRALES DE RIESGOS del 5 de enero de 2022, en el que se le informó al titular que, de no cancelar la obligación, seria reportado ante las centrales de riesgo, 20 días calendario después de la fecha de envío de esa comunicación52: 51 Expediente digital, consecutivo 33, página 7, folio 1 52 Expediente digital, consecutivo 33, página 6 “Por la cual se impone una sanción y se imparten órdenes administrativas” Ahora bien, la investigada aporta una certificación emitida por la sociedad MASIVIAN S.A.S identificada con NIT 90103452-5, a través de la cual se llevó a cabo el envío de mensajes de texto, al celular N.º XXXXXXXXX desde el 19 de enero de 2022, en los cuales se le informó al titular el saldo pendiente por cancelar y que el incumplimiento en el pago genera reportes negativos ante las centrales de riesgos.

Por otra parte, aporta una captura de pantalla con la que pretende acreditar el envío, de la factura del 5 de enero de 2022 N° XXXXXXXXX, junto con el documento COMUNICACIÓN DE REPORTE A CENTRALES DE RIESGOS, al respecto la investigada aclara en los alegatos de conclusión, que no cuenta con el soporte del contenido del mensaje de texto enviado a la línea XXXXXXXXX pero que con dicha imagen acredita el envío de la comunicación previa.

No obstante, esta prueba no es suficiente para demostrar que la comunicación previa fue enviada el 5 de enero de 2022 al titular, a través de un mensaje de texto a su número celular, toda vez que no está registrada en la imagen la fecha de envío, por tanto, este Despacho no puede inferir que se haya enviado en la fecha mencionada: “Por la cual se impone una sanción y se imparten órdenes administrativas” De igual manera, respecto a los mensajes de texto enviados a partir del 19 de enero de 2022, si bien sobre estos si hay certificación de envío por parte de la empresa de mensajería contratada para ello por la investigada, se evidencia que estos no respetaron el término de 20 días anteriores a realizarse el reporte negativo ante el Operador de información CIFIN S.A.S, el cual se efectuó el 8 de febrero de 2022.

Por otra parte, si realmente se envió la comunicación previa al 5 de enero de 2022, este término si se cumpliría, sin embargo, como ya se dijo antes, no existe soporte del envío de la comunicación previa. Ahora bien, con relación a la comunicación previa enviada el 13 de febrero de 2024 GRC XXXXXXXXXX mediante el documento denominado COMUNICACIÓN DE REPORTE A CENTRALES DE RIESGOS, se informa que esta prueba no será tenida en cuenta, puesto que el reporte negativo fue efectuado el 8 de febrero de 2022 ante el Operador CIFIN S.A.S y la comunicación previa debe ser enviada con 20 días de anterioridad, de manera que, dicha comunicación no acredita el cumplimiento del deber en ese periodo de tiempo específico.

Por otra parte, según lo manifestado por la investigada, el señor XXXXX XXXXXXXXXXXXXXXXX adquirió la línea celular XXXXXXX de manera telefónica y aceptó expresamente el envío de información mediante mensajes de texto a su celular. En la grabación de la llamada a través de la cual se contrató el servicio53, se puede escuchar la pregunta: “¿Autoriza a CLARO el envío de información por medio de mensajes de texto a su celular?”, a la cual el titular respondió: “Sí”.

Con base en esta prueba, la sociedad COMUNICACIÓN CELULAR S A COMCEL S A concluye que el titular autorizó el envío de comunicaciones previas a través de mensajes de texto a su número celular. Por otro lado, es pertinente traer a colación lo establecido en el Titulo V de la Circular Única de la Superintendencia de Industria y Comercio respecto a la acreditación del envío de la comunicación previa por parte de las Fuentes: “ (…) a) Copia de la comunicación escrita enviada al titular de la información con la certificación de haber sido remitida a la última dirección registrada ante la fuente y la fecha de envío, o copia del extracto o de la factura enviada al titular de la información, en el cual se incluyó la comunicación previa al reporte, con la certificación de haber sido remitido a la última dirección registrada ante la fuente y la fecha de envío. En este último evento, cuando la comunicación previa se incluya en el extracto o en la factura, el texto de la misma debe ser claro, legible, fácilmente comprensible y ubicarse en un lugar visible del documento. b) En los casos en que se utilicen otros mecanismos de remisión de la comunicación, se debe allegar la prueba que acredite que la fuente acordó previamente con el titular un mecanismo diferente para informar sobre el eventual reporte negativo a efectuar.

(…)” Ahora bien, la respuesta afirmativa dada por el titular en la llamada telefónica no puede entenderse como una autorización válida para el envío de la comunicación previa mediante mensajes de texto. Puesto que, la grabación únicamente evidencia que el usuario aceptó recibir “información por medio de mensaje de texto”, pero en ningún momento se pactó de manera expresa que 53 Expediente digital, consecutivo 17, página 13 “Por la cual se impone una sanción y se imparten órdenes administrativas” dicho canal sería utilizado para la remisión de la comunicación previa exigida en el artículo 12 de la Ley 1266 de 2008.

De conformidad con lo dispuesto en el Título V de la Circular Única de la mecanismos distintos a la comunicación escrita enviada a la última dirección registrada o la inclusión en extractos o facturas, debe acreditar prueba de que el titular acordó previamente dicho mecanismo alternativo. En este sentido, la aceptación del titular para recibir “información” por mensaje de texto no cumple la exigencia normativa, en la medida en que no configura una autorización expresa para que la comunicación previa al reporte sea remitida por dicho medio.

En conclusión, este Despacho no encontró evidencia de que la investigada hubiera remitido la comunicación previa de forma que el titular tuviera la posibilidad de demostrar el pago de la obligación o ejercer adecuadamente su derecho de defensa, antes de efectuarse el reporte negativo realizado el 8 de febrero de 2022 ante el Operador CIFIN S.A.S., y en enero de 2023 ante el Operador Experian Colombia S.A., en estado de “Dudoso Recaudo” con corte a diciembre de 2022.

Lo anterior constituye un incumplimiento de lo dispuesto en el numeral 10 del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma. En consecuencia, procede la imposición de una sanción pecuniaria.

DÉCIMO: ORDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud de los numerales 1 y 6 del artículo 17 de la Ley 1266 de 2008 que le otorgan, respectivamente, a la Superintendencia la facultad de “Impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administración de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países fijar los criterios que faciliten su cumplimiento y señalar procedimientos para su cabal aplicación”, y de: “Iniciar de oficio o a petición de parte investigaciones administrativas contra los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, con el fin de establecer si existe responsabilidad administrativa derivada del incumplimiento de las disposiciones de la presente ley o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo, y si es del caso imponer sanciones u ordenar las medidas que resulten pertinentes.” (Resaltado fuera de texto original).

Este Despacho procederá a impartir las siguientes órdenes:  La sociedad COMUNICACIÓN CELULAR S.A COMCEL S.A deberá que adoptar, implementar y documentar un procedimiento interno para efectuar la comunicación previa de los reportes negativos, en los términos establecidos en el artículo 12 de la Ley 1266 de 2008.  La sociedad COMUNICACIÓN CELULAR S.A COMCEL S.A en caso de optar por mecanismos distintos para el envío de la comunicación previa, deberá dar cumplimiento a lo previsto en el el Título V de la Circular Única de la Superintendencia de Industria y Comercio.

“Por la cual se impone una sanción y se imparten órdenes administrativas”  La sociedad COMUNICACIÓN CELULAR S.A COMCEL S.AD deberá conservar las pruebas que acrediten el cumplimiento del procedimiento establecido en la Ley 1266 de 2008 para el envío de la comunicación previa de acuerdo con el mecanismo pactado con el titular. De lo anteriormente ordenado la sociedad COMUNICACIÓN CELULAR S.A COMCEL S.A deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO PRIMERO: FRENTE A LA APLICACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA En vista de todos los hechos y situaciones probadas en este expediente, este Despacho encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada. Esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”54.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2655 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para Corte Constitucional, Sentencia T-227 de 2003 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. “Por la cual se impone una sanción y se imparten órdenes administrativas” cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”56. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”57.

Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita El texto de Accountability.pdf la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia- Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/quees-compliance.php (última consulta 20 de abril de 2020) “Por la cual se impone una sanción y se imparten órdenes administrativas” identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

En el presente caso, la sociedad COMUNICACIÓN CELULAR S.A COMCEL S.A debe propender por que se dé cumplimiento a la normativa de Protección de Datos Personales. En consecuencia, se hace necesario que la sociedad COMUNICACIÓN CELULAR S.A COMCEL S.A no solo implemente procedimientos internos eficaces para cumplir con la Ley 1581 de 2012, sino que también promueva activamente el respeto a los derechos de los titulares de datos.

El cumplimiento de la normativa no debe depender exclusivamente de los requerimientos de las autoridades, sino de un compromiso integral por parte de la sociedad para garantizar la protección de los datos personales, tal como lo establece la Constitución. En virtud de lo anterior, EXHORTAMOS al Representante Legal de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., para que adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los titulares de los datos. 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales.

“Por la cual se impone una sanción y se imparten órdenes administrativas” 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los titulares de los datos personales. 5) Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 58.

Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 259, 460 y 661 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo62. La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no 58Ley 1266 de 2008, artículo 18: “La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a mil quinientos (1.500) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.” 59 Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 60 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 61 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) 62 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);

Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). “Por la cual se impone una sanción y se imparten órdenes administrativas” debe ser ajena a los principios que rigen el derecho al debido proceso. (…)”63 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional64.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su 63 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes administrativas” patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera el monto de la Sanción será calculado en los términos de la norma antes mencionada. 12.1.1 Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “Por la cual se impone una sanción y se imparten órdenes administrativas” “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. (…)”65 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, se demostró que la investigada incumplió el deber de enviar la comunicación previa al titular antes de efectuar el reporte negativo realizado el 8 de febrero de 2022 ante CIFIN S.A.S. y en enero de 2023 ante el Operador EXPERIAN COLOMBIA S.A., en estado de “Dudoso Recaudo” con corte a diciembre de 2022.

Toda vez que, no se encontró evidencia de que la investigada hubiera remitido la comunicación previa de manera que el titular pudiera demostrar el pago de la obligación o ejercer adecuadamente su derecho de defensa, configurándose así un incumplimiento del deber previsto en el numeral 10 del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma.

En consecuencia, procede la imposición de una sanción pecuniaria. De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008. Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “Contrario a lo que señala alguno de los intervinientes, la norma de sanción en el caso de la multa es perfectamente determinable puesto que el precepto establece un límite máximo (1.500 salarios mínimos mensuales legales), y unos criterios de naturaleza objetiva y subjetiva, para su graduación (Art. 19), atendidas las circunstancias del caso concreto.

Como criterios objetivos establece la dimensión del daño y el beneficio económico obtenido con la infracción; como criterios subjetivos contempla aptitudes como la reincidencia, la renuencia u obstrucción a la acción de vigilancia, y la aceptación de responsabilidad durante la investigación. La conjugación del elemento del límite máximo de la sanción con los criterios auxiliares (objetivos y subjetivos) para la graduación, proveen a la autoridad administrativa de los elementos suficientes para la determinación de la sanción, a la vez que permiten al destinatario del control prever, de manera razonable, las posibles consecuencias de su actuar.

(…)66 En armonía con lo anterior, este Despacho encuentra que para el caso en concreto hubo una afectación efectiva al Derecho de Habeas Data del Titular la cual no puede considerarse irrelevante en tanto se está ante la vulneración de: (i) un derecho fundamental autónomo; (ii) cuya protección deriva en la garantía de otros derechos como el de intimidad, buen nombre, libre desarrollo de la personalidad, entre otros;

(iii) un derecho que debe ser efectivamente 65Corte Constitucional. Sentencia C-125 de 2003. M.P: Marco Gerardo Monroy Cabra. FJ: 5. 66Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. FJ: 3.6.2. “Por la cual se impone una sanción y se imparten órdenes administrativas” salvaguardado en tanto se está en un contexto en el que el poder informático es creciente67.

Además, que para el caso en concreto, como fue explicado, este Despacho ya había exhortado previamente a la investigada a abstenerse de ejecutar la conducta reprochada en este acto administrativo. Por tanto, se impondrá como sanción, dentro del margen que le otorga el artículo 18 de la Ley 1266 de 2008, una multa de SETENTA Y UN (71) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes OCHO MIL DOSCIENTOS TREINTA Y SEIS (8.236) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a NOVENTA Y CINCO MILLONES CIENTO CUARENTA Y DOS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($95.142.272)68, por la vulneración a lo dispuesto en el numeral 10º del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 12.1.2 Otros criterios de graduación Por un lado, se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iii) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad; y (iv) no se encuentra que la entidad sancionada haya sido sancionada anteriormente por el incumplimiento del mismo deber estudiado en este acto administrativo. Por otro lado, el criterio de atenuación de la sanción señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de la infracción. Si bien mediante comunicación del 5 de junio de 2025 con radicado 24-223311- -00033, manifestó lo siguiente: “Por todo lo anteriormente expuesto, se solicita respetuosamente a ese Despacho el cierre y archivo de la presente investigación, y que en el evento que considere sea procedente imponer alguna sanción, se tenga en cuenta el atenuante establecido en el lit f) del artículo 19 de la Ley 1266 de 2008.” Esta Despacho no considera aceptable esta petición, toda vez que a lo largo de la investigación la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. ha argumentado reiteradamente que cumplió con el deber de enviar la comunicación previa al titular antes de realizar el reporte negativo, y no ha manifestado de forma expresa el reconocimiento de la comisión de la infracción, de manera que, este criterio de atenuación no es procedente para atenuar la sanción. Por otro lado, será tenido en cuenta el criterio contenido en el literal c) del artículo 19 de la Ley 1266 de 2008 en la medida en que con anterioridad la sociedad investigada ha sido sancionada por la misma conducta violatoria de la Ley, esto es, que se ha generado reincidencia en el cumplimento del deber de enviar la comunicación previa al titular antes de proceder a realizar el reporte negativo ante los Operadores de la información, el cual se encuentra consagrado en el numeral 10º del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma. 67Corte Constitucional, Sentencia T-167 de 2015.

M.P: Jorge Ignacio Pretelt Chaljub. FJ: 3.4.1.10. 68 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas” 12.1.3 Reincidencia en la comisión de la infracción En efecto, enseguida se destaca las siguientes sanciones:  Radicado 13-302922 En el que mediante la Resolución N° 39146 de fecha 30 de julio de 2015 se sancionó a COMUNICACIÓN CELULAR S.A. COMCEL S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió la comunicación previa a la última dirección registrada por el Titular.

Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de SETENTA Y SIETE MILLONES TRESCIENTOS VEINTIDÓS MIL PESOS M/CTE ($77.322.000,00), equivalentes a (120) salarios mínimos legales mensuales vigentes, por el incumplimiento del deber contemplado en artículo 12 de la Ley 1266 de 2008.  Radicado 14-076859 En el que mediante la Resolución N°. 61777 de fecha 31 de agosto de 2015 se sancionó a COMUNICACIÓN CELULAR S.A. COMCEL S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió la comunicación previa a la última dirección registrada por el Titular.

Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de CUARENTA Y CINCO MILLONES CIENTO CUATRO MIL QUINIENTOS PESOS M/CTE (45.104.500) equivalente a CIENTO TREINTA (130) salarios mínimos legales mensuales vigentes, por el incumplimiento del deber contemplado en artículo 12 de la Ley 1266 de 2008.  Radicado 14-234351 En el que mediante la Resolución N° 63246 del 04 de octubre de 2017 se sancionó a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 del 2009 al haberse demostrado que “(…) reportó negativamente al reclamante sin haber efectuado la comunicación previa de que trata el artículo 12 de la Ley 1266 de 2008, puesto que, de acuerdo con el material probatorio obrante en el diligenciamiento, se evidencia que la comunicación alegada por la sociedad investigada en su defensa no fue (…) dirigida a la dirección del titular (…)”.

Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma equivalente CIENTO CUARENTA Y SIETE MILLONES QUINIENTOS CUARENTA Y TRES MIL CUATROCIENTOS PESOS M/CTE equivalente a doscientos (200) salarios mínimos legales mensuales vigentes, por el incumplimiento del deber contemplado en el artículo 12 de la Ley 1266 del 2008.  Radicado 14-238501 En el que mediante la Resolución N°. 88711 de fecha 28 de diciembre del 2017 se sancionó a COMUNICACIÓN CELULAR S.A. COMCEL S.A. por la violación del deber previsto en el numeral 10) del artículo 8, en concordancia con el artículo 12 de la Ley 1266 de 2008; al haberse demostrado que la sociedad no remitió la comunicación previa a la última dirección registrada por el Titular.

“Por la cual se impone una sanción y se imparten órdenes administrativas” Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada 20 sociedad por la suma de CIENTO TREINTA Y DOS MILLONES SETECIENTOS OCHENTA Y NUEVE MIL SESENTA PESOS M/CTE (132.789.060) equivalentes a CIENTO OCHENTA (180) salarios mínimos legales mensuales vigentes, por el incumplimiento del deber contemplado en artículo 12 de la Ley 1266 de 2008.  Radicado 15-113275 En el que mediante la Resolución No. 7243 de fecha 24 de febrero de 2017 se sancionó COMUNICACIÓN CELULAR S.A. COMCEL S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad no remitió la comunicación previa a la última dirección registrada por el Titular.

Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de DOSCIENTOS OCHENTA MILLONES TRESCIENTOS TREINTA Y DOS MIL CUATROCIENTOS SESENTA PESOS M/CTE (280.332.460) equivalente a CIEN (380) salarios mínimos legales mensuales vigentes, por el incumplimiento del deber contemplado en artículo 12 de la Ley 1266 de 2008.  Radicado 17-383969 En el que mediante la Resolución N°. 51025 de fecha 30 de septiembre de 2018 se sancionó a COMUNICACIÓN CELULAR S.A. COMCEL S.A. por la violación del deber previsto en el numeral 10) del artículo 8, en concordancia con el artículo 12 de la Ley 1266 de 2008; al haberse demostrado que la sociedad no remitió la comunicación previa a la última dirección registrada por el Titular.

Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de CIENTO SESENTA Y CINCO MILLONES SEISCIENTOS veintitrés MIL DOSCIENTOS PESOS M/CTE (165.623.200) equivalente a DOSCIENTOS (200) salarios mínimos legales mensuales vigentes, por el incumplimiento del deber contemplado en art. 12 Ley 1266 de 2008.  Radicado 19-258781 En el que mediante la Resolución No. 61022 del 30 de septiembre de 2020 se sancionó a COMUNICACIÓN CELULAR S.A. COMCEL S.A. por la violación del deber previsto en el numeral 10 del artículo 8 de la Ley 1266 de 2008 en concordancia con el artículo 12 de la Ley 1266 de 2008, y por otros cargos que no se relacionan con el presente caso; al haberse demostrado que la sociedad no remitió la comunicación previa a la última dirección registrada por el Titular.

Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de CUATROCIENTOS DIEZ MILLONES SETECIENTOS OCHENTA Y CUATRO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($410.784.840) equivalente Unidades de Valor Tributario Vigentes (11.536,631561) salarios mínimos legales mensuales vigentes, por el incumplimiento del deber contemplado en art. 12 Ley 1266 de 2008, y por otros cargos que no se relacionan con el presente caso; al haberse demostrado que la sociedad no remitió la comunicación previa a la última dirección registrada por el Titular.  Radicado 20-103464 En el que mediante la Resolución No. 18337 de 31 de marzo de 2021 se sancionó a COMUNICACIÓN CELULAR S.A. COMCEL S.A. por la “Por la cual se impone una sanción y se imparten órdenes administrativas” violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad incumplió la obligación de comunicar con antelación al titular de la información respecto al reporte negativo que se haría ante las centrales de riesgo, impidiéndole demostrar o efectuar el pago de la obligación, así como la oportunidad de controvertir aspectos como el valor al que asciende la mora y/o la fecha de exigibilidad de la obligación. Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de SESENTA Y CINCO MILLONES TRESCIENTOS CINCUENTA Y CUATRO MIL CUATROCIENTOS PESOS M/CTE ($65.354.400,00), equivalentes a MIL OCHOCIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (1800 UVT), por la violación a lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, concordante con el artículo 12 de la misma Ley y el artículo 2.2.2.28.2 del Decreto Único Reglamentario 1074 de 2015  Radicado 20-264793 En el que mediante la Resolución No. 75638 de 28 de octubre de 2022 se sancionó a COMUNICACIÓN CELULAR S.A. COMCEL S.A. por la violación del deber previsto en el artículo 12 de la Ley 1266 de 2008, al haberse demostrado que la sociedad incumplió la obligación de comunicar con antelación al titular de la información respecto al reporte negativo que se haría ante las centrales de riesgo, impidiéndole demostrar o efectuar el pago de la obligación, así como la oportunidad de controvertir aspectos como el valor al que asciende la mora y/o la fecha de exigibilidad de la obligación. Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de VEINTE MILLONES NOVECIENTOS DOS MIL DOSCIENTOS PESOS M/CTE ($20.902.200) equivalente a QUINIENTOS CINCUENTA UVT (550), por la violación a lo dispuesto en el numeral 10 del artículo 8 de la Ley 1266 de 2008, concordante con el artículo 12 de la misma Ley y el artículo 2.2.2.28.2 del Decreto Único Reglamentario 1074 de 2015 Por todas las reincidencias enunciadas, este Despacho procederá a aumentar la sanción correspondiente en un valor equivalente a CIENTO TREINTA Y SEIS (136) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes QUINCE MIL SETECIENTOS SETENTA Y SEIS (15.776) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CIENTO OCHENTA Y DOS MILLONES DOSCIENTOS CUARENTA Y CUATRO MIL TRECIENTOS CINCUENTA Y DOS PESOS M/CTE ($182.244.352)69.

DÉCIMO TERCERO: CONCLUSIONES Se procederá a imponer una sanción por las siguientes razones: i. Se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en el numeral 10º del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma. ii. Con dicha conducta, la Fuente incumplió el deber de enviar la comunicación previa al titular antes de realizar el reporte negativo el 8 de febrero de 2022 ante CIFIN S.A.S y en enero de 2023 ante el Operador EXPERIAN COLOMBIA S.A., en estado de 69 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas” “Dudoso Recaudo” con corte a diciembre de 2022, por cuanto, no allegó el soporte de envío de la misma.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer a la sanción correspondiente DOSCIENTOS SIETE (207) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes VEINTICUATRO MIL DOCE (24.012) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SETENTA Y SIETE MILLONES TRESCIENTOS OCHENTA Y SEIS MIL SEISCIENTOS VEINTICUATRO PESOS M/CTE ($277.386.624)70, por la violación numeral 10º del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A.

DÉCIMO CUARTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. identificada con NIT. 800.153.993-7, con el correo electrónico de notificación judicial notificacionesclaro@claro.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 24-223311.

La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello. Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con Nit. 800.153.993-7, de DOSCIENTOS SIETE (207) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes VEINTICUATRO MIL DOCE (24.012) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SETENTA Y SIETE MILLONES TRESCIENTOS OCHENTA Y SEIS MIL SEISCIENTOS VEINTICUATRO PESOS M/CTE ($277.386.624) por la violación a lo dispuesto en el numeral 10º del artículo 8° de la Ley 1266 de 2008, en concordancia con el artículo 12 de la misma norma, según lo expuesto en la presente resolución. Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán 70 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas” el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: ORDENAR a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con Nit. 800.153.993-7, cumplir las órdenes impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva. Para lo cual deberá dar cumplimiento dentro de un (1) mes siguiente a la ejecutoria del presente acto administrativo.  La sociedad COMUNICACIÓN CELULAR S.A COMCEL S.A deberá que adoptar, implementar y documentar un procedimiento interno para efectuar la comunicación previa de los reportes negativos, en los términos establecidos en el artículo 12 de la Ley 1266 de 2008.  La sociedad COMUNICACIÓN CELULAR S.A COMCEL S.A en caso de optar por mecanismos distintos para el envío de la comunicación previa, deberá dar cumplimiento a lo previsto en el el Título V de la Circular Única de la Superintendencia de Industria y Comercio.  La sociedad COMUNICACIÓN CELULAR S.A COMCEL S.AD deberá conservar las pruebas que acrediten el cumplimiento del procedimiento establecido en la Ley 1266 de 2008 para el envío de la comunicación previa de acuerdo con el mecanismo pactado con el titular.

Parágrafo primero: La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con Nit. 800.153.993-7, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad. Parágrafo segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con Nit. 800.153.993-7, acreedora de las sanciones previstas en la ley.

ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con Nit. 800.153.993-7, a través de su apoderada, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 4: COMUNICAR al señor XXXXXXXXXXXXXXXXXXXXXXXX, identificado con Cédula de Ciudadanía N.º XXXXXXXXXX el contenido de la presente decisión.

ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co “Por la cual se impone una sanción y se imparten órdenes administrativas” - Sede principal: Calle 24 Nº 7-43 Local 108 en la ciudad de Bogotá D.C., de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 de septiembre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.09.30 17:20:14 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: DR Revisó: YA Aprobó: CG