Resolución sancionatoria N° 92420 de 2025

(11 de noviembre de 2025) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 23-259287 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Dirección tuvo conocimiento de la queja presentada por la señora XXXXXXX. XXXXXXXX XXXXxx identificada con cédula de ciudadanía XX.XXX.XX., bajo el número de radicado No. 23-259287-0 del 05 de junio de 2023, en la cual indicó que presuntamente la sociedad RENOVAR FINANCIERA S.A.S., con NIT. 900.704.376-0, habría vulnerado el Régimen de Protección de Datos Personales, manifestando, entre otras cosas, lo siguiente: 1.1.

Que la sociedad investigada, por intermedio de su Representante Legal para asuntos judiciales y prejudiciales, radicó un derecho de petición el 08 de mayo de 2023, dirigido a la FUNDACION MARTHA CHACON CRECIENDO PARA EL MAÑANA, mediante el cual solicitó información relacionada con la confirmación de la existencia de un vínculo laboral, comercial o civil con la señora XXXXXXX.

XXXXXXXX XXXXxx, con el propósito de obtener datos para el cobro de una obligación pendiente, sin contar con la debida autorización. 1.2. Adjunta copia de la petición enviada a su empleador por parte de la sociedad RENOVAR FINANCIERA S.A.S.

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación: 2.1 Que, mediante oficio con número de radicado 23-259287-6 1 del 29 de noviembre de 2023, este Despacho, a través del Grupo de Trabajo de Investigaciones Administrativas, requirió a la sociedad RENOVAR FINANCIERA S.A.S., a través del correo electrónico de notificación juridico@renovarfinanciera.com, para que informara lo siguiente: 1.

Sírvanse pronunciarse sobre los hechos relacionados en la denuncia presentada por la Titular XXXXXXX. XXXXXXXX XXXXxx, ante esta Superintendencia en donde refiere que presuntamente la sociedad RENOVAR FINANCIERA S.A.S., la ha amenazado con que le van a enviar un perito judicial a la empresa donde labora y que adicionalmente han remitido comunicación a su lugar de trabajo por la deuda. 2.

Informen si entre la sociedad RENOVAR FINANCIERA S.A.S., y la Titular XXXXXXX. XXXXXXXX XXXXxx, existe relación contractual y/o comercial. En caso afirmativo acredite su respuesta. “Por la cual se impone una sanción y se imparten órdenes administrativas” 3. Informe puntualmente qué datos personales de la señora XXXXXXX. XXXXXXXX XXXXxx se encuentran almacenados en las bases de datos de la sociedad RENOVAR FINANCIERA S.A.S., (v.gr. correo electrónico, teléfono, número de identificación, etc.) 4.

Informen si la sociedad RENOVAR FINANCIERA S.A.S., cuenta con la autorización previa, expresa e informada por parte de la Titular XXXXXXX. XXXXXXXX XXXXxx para el Tratamiento de sus datos personales de conformidad con lo establecido en el artículo 9 de la Ley 1581 de 2012. 5. Informen si la sociedad, al momento de solicitar la autorización para el Tratamiento de los datos de la Titular XXXXXXX.

XXXXXXXX XXXXxx informó a esta acerca de las finalidades del Tratamiento al cuál serían sometidos sus datos personales y acerca de los derechos que les asisten en virtud de la autorización otorgada. 6. En caso de que los datos personales de la Titular XXXXXXX. XXXXXXXX XXXXxx hayan sido recolectados o recibidos en virtud de una operación de compra de cartera o cesión de derechos, allegar copia de los soportes correspondientes mediante los cuales se acredite la referida operación. 7.

Informen si comparten información personal con el BANCO DE LAS MICROFINANZAS BANCAMIA S.A., en caso afirmativo aporten copia del contrato y documentación por medio del cual comparten información personal. 8. Informen si su organización comparte datos personales con terceros. En caso afirmativo, sírvase describir detalladamente cómo comparte los mismos y, ¿cuál(es) es (son) el (los) mecanismo(s) adoptado(s) para garantizar la seguridad de la información al momento de realizar la transmisión de los datos personales? 9.

Informar si la Titular XXXXXXX. XXXXXXXX XXXXxx ha presentado comunicaciones, derechos de petición, consultas y/o reclamos, verbales y/o ante la CITI SUMMA S.A.S., en relación con el Tratamiento de sus datos personales. En caso afirmativo, remitir copia de la reclamación(es) instaurada(s), así como la(s) respuesta(s) remitida(s) por la sociedad con su respectiva guía de envió y/o entrega. 2.2.

Que, mediante el oficio con número de radicado 23-259287-8 2 del 03 de septiembre de 2024, este Despacho, a través del Grupo de Trabajo de Investigaciones Administrativas, requirió por segunda vez, mediante comunicación enviada a la dirección física de notificación Calle 35 No. 7 25 en la ciudad de Bogotá D.C, teniendo en cuenta que el primer requerimiento no fue atendido por la sociedad RENOVAR FINANCIERA S.A.S, para que diera contestación a las preguntas indicadas en el punto 2.1.

TERCERO: Que, el oficio con número de radicado 23-259287-8 del 03 de septiembre de 2024 fue enviado a la dirección física de notificación Calle 35 No. 7 – 25, en la ciudad de Bogotá D.C., y recibido bajo guía de envió RA493162959CO. “Por la cual se impone una sanción y se imparten órdenes administrativas”

CUARTO: Que, con radicado 23-259287-9 del 20 de septiembre de 2024, dentro del término concedido para tal fin, la sociedad RENOVAR FINANCIERA S.A.S, actuando a través de su Representante Legal para asuntos judiciales y prejudiciales, presentó respuesta al requerimiento formulado y anexó:              Certificado de existencia y representación legal.

Contratos de compraventa de cartera suscritos entre Bancamía S.A. y Renovar Financiera S.A.S. Tabla de amortización y pagarés suscritos por la señora xxxxxxx. Procedimiento de trasmisión, transferencia y circulación de datos personales. Copia del derecho de petición radicado a presunto empleador Copia correo remisorio derecho de petición empleador Copia correo de respuesta presunto empleador Capturas de Whastapp de contacto de la señora xxxxxxx. con la empresa Minuta contrato laboral Minuta contrato de corretaje Minuta contrato de trasmisión de datos personales Copia derecho de petición radicado por la señora xxxxxxx.

Copia respuesta derecho de petición QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 14 de abril de 2025, se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 20419 por medio de la cual, se formuló cargos en contra de la sociedad RENOVAR FINANCIERA S.A.S., con NIT. 900.704.376-0, por la presunta infracción de lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f), g) y h) del artículo 4 de la Ley 1581 de 2012.

SEXTO: Que, la Resolución N.° 20419 del 14 de abril de 2025 le fue notificada mediante aviso N.° 10583 a la sociedad investigada, el 28 de abril de 2025, de conformidad con la certificación con número de radicado 23-259287- -21 de fecha de 8 de octubre de 2024, expedida por la Secretaría General AD-HOC de esta Superintendencia.

SÉPTIMO: Que, dentro del término establecido para el efecto, la sociedad RENOVAR FINANCIERA S.A.S. allegó, el 19 de mayo de 2025, a través de su representante legal para asuntos judiciales y prejudiciales, escrito de descargos bajo consecutivo N.° 23-259287-22, en el cual expuso, entre otros argumentos, los siguientes: 7.1. La sociedad señala que el derecho de petición que dio origen a la presente investigación, se enmarca en una actuación de investigación propia del acreedor cesionario, orientada a verificar la existencia de ingresos o activos de la deudora.

La solicitud se limitó a requerir la confirmación de un vínculo laboral, civil o comercial de la Titular y su vigencia, sin que ello implicara la divulgación de datos sujetos a reserva bancaria ni de otra información exclusiva del deudor. Precisa, además, que la comunicación remitida al empleador no contiene expresiones intimidatorias, no revela información crediticia a terceros ni solicita datos sobre ingresos, tratándose únicamente de una actuación previa y no de una gestión de cobro1. 7.2.

Segundo, la sociedad argumenta que no existe disposición legal que exija autorización del deudor para la remisión de este tipo de peticiones, dado que no constituyen gestión de cobro, citación, extracto ni notificación del crédito. Añade que la comunicación no estuvo dirigida al deudor ni buscó establecer contacto directo con él, sino confirmar un eventual vínculo con un tercero, sin exigir mayor detalle sobre ingresos o retenciones.

Cualquier actuación adicional asumida por el destinatario, como notificar al deudor, corresponde a su propio ámbito de decisión y no al del peticionario. La 1 Expediente digital. Consecutivo número 22. Página 3. Folios 1 a 2. “Por la cual se impone una sanción y se imparten órdenes administrativas” referencia a la condición de deudor de la quejosa, afirma, se realizó de manera somera y únicamente para acreditar la legitimación del solicitante en la presentación del requerimiento 2. 7.3.

En relación con la inclusión del número de documento de identidad de la quejosa, sostiene que este corresponde a un dato de naturaleza pública por ser expedido por autoridad competente, y por tanto no puede considerarse como información sensible, privada ni semiprivada. En consecuencia, de acuerdo con la Ley 1581 de 2012 y la jurisprudencia constitucional, su tratamiento no requiere autorización del titular.

Incluso, asegura que incluir dicho dato garantiza precisión y evita confusiones derivadas de homonimias, protegiendo así el derecho al buen nombre de la persona consultada3.

OCTAVO: Que mediante Resolución N.° 52537 de 1 agosto de 2025, ésta Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 23-259287, con el valor legal correspondiente: 8.1. Denuncia remitida por la Superintendencia Financiera de Colombia presentada el día 15 de mayo de 2023 4; donde se aportan los siguientes anexos: 8.1.1.

Memorial de la Superintendencia Financiera de Colombia de remisión de la denuncia interpuesta por la Titular5. 8.1.2. Escrito de la denuncia interpuesta por la Titular6. 8.1.3. Derecho de petición interpuesto por la Titular el 10 de mayo de 2023 ante la sociedad RENOVAR FINANCIERA S.A.S.7. 8.1.4. Comunicación de fecha de 8 de mayo de 2023 remitida por la sociedad RENOVAR FINANCIERA S.A.S. a la sociedad FUNDACION MARTHA CHACON CRECIENDO PARA EL MANANA8. 8.1.5.

Demanda interpuesta por la sociedad RENOVAR FINANCIERA S.A.S. contra la Titular9. 8.2. Comunicación remitida a la Titular el 29 de noviembre de 202310. 8.3. Requerimiento de información realizado a la sociedad RENOVAR FINANCIERA S.A.S. el 29 de noviembre de 202311. 8.4. Requerimiento de información realizado a la sociedad RENOVAR FINANCIERA S.A.S. el 3 de septiembre de 202412. 8.5.

Respuesta brindada por la sociedad RENOVAR FINANCIERA S.A.S. el de septiembre de 2024 al requerimiento de información realizado por este Despacho13; donde se aportan los siguientes anexos: 8.5.1. Escrito de contestación14. 2 Expediente digital. Consecutivo número 22. Página 3. Folio 3. 3 Expediente digital. Consecutivo número 22. Página 3.

Folios 3 a 4. 4 Expediente digital. Consecutivo número 0. 5 Expediente digital. Consecutivo número 0. Página 2; y consecutivo número 1. Página 3. 6 Expediente digital. Consecutivo número 0. Página 3; y consecutivo número 1. Página 4. 7 Expediente digital. Consecutivo número 0. Páginas 4 y 7; y consecutivo número 1. Página 5. 8 Expediente digital.

Consecutivo número 0. Páginas 5 y 8; y consecutivo número 1. Página 6. 9 Expediente digital. Consecutivo número 0. Páginas 6 y 9; y consecutivo número 1. Página 7. 10 Expediente digital. Consecutivo número 5. 11 Expediente digital. Consecutivo número 6. 12 Expediente digital. Consecutivo número 8. 13 Expediente digital. Consecutivo número 9. 14 Expediente digital.

Consecutivo número 9. Página 3. “Por la cual se impone una sanción y se imparten órdenes administrativas” 8.5.2. Certificado de existencia y representación legal de la sociedad RENOVAR FINANCIERA S.A.S. 15 8.5.3. Tabla de amortización y pagare N.° xxxx - XX.XXX.XX con anexos16. 8.5.4. Poder especial otorgado por BANCO DE LAS MICROFINANZAS BANCAMIA S.A. al señor XXXXXXXXX XXXXXX.

XXXXXX. XX. y el señor XXXXXXXXX XXXXXX. XXXXXX. XX.17. 8.5.5. Manual de procedimiento para la circulación, trasmisión o transferencia de datos personales de la sociedad RENOVAR FINANCIERA S.A.S. 18. 8.5.6. Modelo de contrato de trasmisión de datos personales de la sociedad RENOVAR FINANCIERA S.A.S. 19. 8.5.7. Modelo de contrato de corretaje comercial de la sociedad RENOVAR FINANCIERA S.A.S. 20. 8.5.8.

Modelo de contrato de trabajo a término indefinido de la sociedad RENOVAR FINANCIERA S.A.S. 21. 8.5.9. Contrato de compraventa de cartera celebrado entre la sociedad BANCAMÍA S.A. y la sociedad RENOVAR FINANCIERA S.A.S. 22 8.5.10. Contrato de compraventa de cartera celebrado entre la sociedad BANCAMÍA S.A. y la sociedad ALTERNATIVA FINANCIERA S.A.S.23. 8.5.11.

Capturas de Whastapp del chat con el número xxxxxxxxxxx24. de celular 8.5.12. Correo electrónico de respuesta brindado el 18 de marzo de 2024 por la FUNDACIÓN MARTHA CHACÓN CRECIENDO PARA EL MAÑANA a la sociedad RENOVAR FINANCIERA S.A.S. 25. 8.5.13. Comunicación de fecha de 16 de marzo de 2024 remitida por la sociedad RENOVAR FINANCIERA S.A.S. a la sociedad FUNDACIÓN MARTHA CHACÓN CRECIENDO PARA EL MAÑANA26 8.5.14.

Correo electrónico de fecha de 18 de marzo de 2024 de la sociedad RENOVAR FINANCIERA S.A.S. a la sociedad FUNDACIÓN MARTHA CHACÓN CRECIENDO PARA EL MAÑANA 27. 8.5.15. Correo electrónico de fecha de 20 de septiembre de 2024 de la sociedad RENOVAR FINANCIERA S.A.S. dando cumplimiento al fallo de Tutela28. 15 Expediente digital. Consecutivo número 9.

Página 4. 16 Expediente digital. Consecutivo número 9. Página 5. 17 Expediente digital. Consecutivo número 9. Página 6. 18 Expediente digital. Consecutivo número 9. Página 7. 19 Expediente digital. Consecutivo número 9. Página 8. 20 Expediente digital. Consecutivo número 9. Página 9. 21 Expediente digital. Consecutivo número 9. Página 10. 22 Expediente digital.

Consecutivo número 9. Página 11. 23 Expediente digital. Consecutivo número 9. Páginas 12. 24 Expediente digital. Consecutivo número 9. Páginas 13, 14, 15 y 16. 25 Expediente digital. Consecutivo número 9. Páginas 17 y 18. 26 Expediente digital. Consecutivo número 9. Páginas 20, 21, 25, y 31. 27 Expediente digital. Consecutivo número 9.

Páginas 22, 23 y 29. 28 Expediente digital. Consecutivo número 9. Página 26. “Por la cual se impone una sanción y se imparten órdenes administrativas” 8.5.16. Respuesta al derecho de petición interpuesto por la titular29. 8.5.17. Derecho de petición interpuesto por la Titular el 10 de mayo de 2023 ante la sociedad RENOVAR FINANCIERA S.A.S. 30. 8.6.

Descargos presentados por la sociedad RENOVAR FINANCIERA S.A.S. el 20 de mayo de 202531; donde se aportan los siguientes anexos: 8.6.1. Escrito de descargos32. 8.6.2. Certificado de existencia y representación de la sociedad RENOVAR FINANCIERA S.A.S. 33. 8.6.3. Estados Financieros de la sociedad RENOVAR FINANCIERA S.A.S. de los años 2022-202334. 8.6.4.

Estados Financieros de la sociedad RENOVAR FINANCIERA S.A.S. de los años 2022-202135. 8.6.5. Estados Financieros de la sociedad RENOVAR FINANCIERA S.A.S. de los años 2024-202336.

NOVENO: Que, la Resolución N.° 52537 de 1 agosto de 2025 le fue comunicada el 1 de agosto de 2025 al Representante Legal de la investigada; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia, obrante en el expediente, bajo el radicado N.º 23-259287- 26 de fecha de 4 de agosto de 2025.

DÉCIMO: Que la sociedad RENOVAR FINANCIERA S.A.S. presentó, a través de su representante legal para asuntos judiciales y prejudiciales, escrito de alegatos de conclusión bajo radicado N.° 23-259287-27, en el cual reiteró los argumentos expuestos en su escrito de descargos.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201137, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 29 Expediente digital.

Consecutivo número 9. Página 27. 30 Expediente digital. Consecutivo número 9. Página 28. 31 Expediente digital. Consecutivo número 22. 32 Expediente digital. Consecutivo número 22. Página 3. 33 Expediente digital. Consecutivo número 22. Página 4. 34 Expediente digital. Consecutivo número 22. Página 5. 35 Expediente digital. Consecutivo número 22.

Página 6. 36 Expediente digital. Consecutivo número 22. Página 7. 37 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción y se imparten órdenes administrativas” 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado Literal d) del artículo 17, en concordancia con los literales f), g) y h) del artículo 4 de la Ley 1581 de 2012. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta la denuncia interpuesta por la Titular, el escrito de descargos presentados por la sociedad y el conjunto de pruebas obrantes en el expediente. 12.1 Valoración probatoria 12.2.1.

Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Frente a este deber, el literal d) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: Ley 1581 de 2012 “Artículo 17. Deberes de los Responsables del Tratamiento.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…). d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…). Así mismo, dentro de los principios rectores establecidos en la norma se encuentran los siguientes: Ley 1581 de 2012 “Artículo 4°. Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…). f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

(…) “Por la cual se impone una sanción y se imparten órdenes administrativas” g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.” En esta medida, es claro que los Responsables deben cumplir con las medidas de seguridad necesarias para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a los datos personales de los titulares.

En el presente caso, la Titular XXXXXXX. XXXXXXXX XXXXxx en la denuncia remitida por la Superintendencia Financiera de Colombia el 2 de junio de 2023, indicó que la sociedad RENOVAR FINANCIERA S.A.S. remitió a su lugar de trabajo, un derecho de petición informado sobre una presunta deuda y solicitando información respecto a su situación laboral.

Al respecto, la Titular afirmó: “ACTUALMENTE ME LLAMA LA EMPRESA RENOVAR FINANCIERA AMENAZANDOME CON QUE ME VAN A EMBARGAR EL SUELDO, YO SOY MADRE CABEZA DE FAMILIA DE 4 HIJOS. ELLOS EXIGEN UN ACUERDO DE PAGO CON EL VALOR QUE ELLOS EXIJAN, AHORA ELLOS ENVIARON UNA SOLICITUD A JUEZ DE REPARTO, HOY ME LLAMA LA SEÑORA Xxxxxxx xxxxxx AMENAZANDOME CON QUE ME VAN A ENVIAR PERITO JUDICIAL A LA EMPRESA PARA GENERAR EL EMBARGO.

DESEO SOLICITAR QUE ELLOS SECEN SUS AMENAZAS PUES ES QUE REALMENTE ME VAN A HACER DESPEDIR DE LA EMPRESA.” 38 Para sustentar lo anterior, la titular remitió, entre otros, los siguientes documentos:   Derecho de petición dirigido a la FUNDACIÓN MARTHA CHACON CRECIENDO PARA EL MAÑANA de fecha de 8 de mayo de 202339: Copia del escrito de la demanda ejecutiva40: 38 Expediente digital.

Consecutivo número 0. Página 2. Folios 6 a 8. 39 Expediente digital. Consecutivo número 0. Página 2. Folios 4 a 5. 40 Expediente digital. Consecutivo número 0. Página 2. Folios 4 a 5. “Por la cual se impone una sanción y se imparten órdenes administrativas” Con fundamento en lo expuesto, esta Dirección requirió a la sociedad RENOVAR FINANCIERA S.A.S., mediante los oficios radicados bajo los números 23259287- -6 del 29 de noviembre de 2023 y 23-259287- -8 del 3 de septiembre de 2024, para que, entre otros aspectos, se pronunciara sobre los hechos objeto de la denuncia instaurada por la Titular41.

La sociedad RENOVAR FINANCIERA S.A.S. mediante comunicación radicada bajo número 23-259287- -9 del 20 de septiembre de 2024 dio respuesta a los requerimientos realizados por este Despacho informando que: “Renovar Financiera en su calidad de acreedor cesionario de una obligación pendiente de pago, la cual se demostrará más adelante, efectúa investigaciones respecto de activos o ingresos de los deudores, esto en el marco de la normatividad vigente, es así como resultado de investigaciones en páginas de publicas respecto de calidad de cotizantes radica derechos de petición a presuntos empleadores, en los que se solicita única y exclusivamente la ratificación del vínculo laboral, comercial o civil, sin divulgar información confidencial del crédito como su estado ni mucho menos solicitando retenciones salariales o información personal; la confirmación del vínculo laboral se solicita en pro de evaluar si es posible concretar la solicitud de una medida cautelar en un proceso judicial es así como frente al caso particular se ha remitido derechos de petición a la entidad FUNDACION MARTHA CHACON CRECIENDO PARA EL MAÑANA, se adjunta copia del documento, del cual se obtuvo respuesta el paso mes de marzo por parte de la misma indicando que la señora xxxxxxx. es contratista.

Se reitera conforme al contenido del derecho de petición y su respuesta, no se está solicitando retenciones salariales, no se divulga información propia del crédito o su estado, no se solicita se informe a la señora xxxxxxx. respecto de alguna situación o se exige a la empresa se solidarice con el pago, con lo cual la comunicación dirigida al supuesto empleador no constituye una gestión de cobro, se reitera obedece a una investigación.” 42 Asimismo, la sociedad aportó, entre otros, los siguientes documentos:  Copia del correo contentivo del derecho de petición remitido a la sociedad FUNDACIÓN MARTHA CHACON CRECIENDO PARA EL MAÑANA de fecha de 18 de marzo de 202443: 41 Expediente digital.

Consecutivos números 6 y 8. 42 Expediente digital. Consecutivo número 9. Página 3. Folios 1 a 2. 43 Expediente digital. Consecutivo número 9. Página 17. “Por la cual se impone una sanción y se imparten órdenes administrativas”  Derecho de petición remitido a la sociedad FUNDACIÓN MARTHA CHACON CRECIENDO PARA EL MAÑANA de fecha de 18 de marzo de 202444: 44 Expediente digital.

Consecutivo número 9. Página 20. “Por la cual se impone una sanción y se imparten órdenes administrativas” Por lo tanto, de acuerdo a los elementos allegados al expediente la Dirección de Investigación de Protección de Datos Personales de esta Superintendencia, mediante Resolución N°. 20419 de 14 de abril de 2025, decidió formular pliego de cargos en contra de la sociedad RENOVAR FINANCIERA S.A.S., por la presunta infracción de lo dispuesto Literal d) del artículo 17, en concordancia con los literales f), g) y h) del artículo 4 de la Ley 1581 de 2012, bajo el siguiente argumento: “En este sentido, se evidencia que, mediante el envío del referido correo, LA INVESTIGADA habría divulgado información personal de la Titular a terceros no autorizados, al incluir su número de identificación, y especialmente, al revelar su condición de deudora frente a la entidad, sin contar con autorización expresa por parte de la Titular, generando con ello afectaciones en su esfera personal y profesional, al exponer su información personal en un entorno ajeno a la relación contractual existente entre las partes”45.

Al respecto, la sociedad allegó el 19 de mayo de 2025 escrito de descargos bajo consecutivo N.° 23-259287- -22 argumentando, entre otras cosas, lo siguiente: En primer lugar, la sociedad señala que el derecho de petición que dio origen a la presente investigación se enmarca en una actuación de investigación propia del acreedor cesionario, orientada a verificar la existencia de ingresos o activos de la deudora.

La solicitud se limitó a requerir la confirmación de un vínculo laboral, civil o comercial de la Titular y su vigencia, sin que ello implicara la divulgación de datos sujetos a reserva bancaria ni de otra información exclusiva del deudor. Precisa, además, que la comunicación remitida al empleador no contiene expresiones intimidatorias, no revela información crediticia a terceros ni solicita datos sobre ingresos, tratándose únicamente de una actuación previa y no de una gestión de cobro46.

En segundo lugar, la sociedad argumenta que no existe disposición legal que exija autorización del deudor para la remisión de este tipo de peticiones, dado que no constituyen gestión de cobro, citación, extracto ni notificación del crédito. Añade que la comunicación no estuvo dirigida al deudor ni buscó establecer contacto directo con él, sino confirmar un eventual vínculo con un tercero, sin exigir mayor detalle sobre ingresos o retenciones.

Cualquier actuación adicional asumida por el destinatario, como notificar al deudor, corresponde a su propio ámbito de decisión y no al del peticionario. La referencia a la condición de deudor de la quejosa, afirma, se realizó de manera somera y únicamente para acreditar la legitimación del solicitante en la presentación del requerimiento 47.

En tercer lugar, la sociedad sostiene que en relación con la inclusión del número de documento de identidad de la quejosa, este corresponde a un dato de naturaleza pública por ser expedido por autoridad competente, y por tanto no puede considerarse como información sensible, privada ni semiprivada. En consecuencia, de acuerdo con la Ley 1581 de 2012 y la jurisprudencia constitucional, su tratamiento no requiere autorización del titular.

Incluso, asegura que incluir dicho dato garantiza precisión y evita confusiones derivadas de homonimias, protegiendo así el derecho al buen nombre de la persona consultada48. Sobre los anteriores argumentos, este Despacho destaca que la sociedad no solo divulgó el número de identificación de la Titular, en los derechos de petición remitidos a la sociedad FUNDACIÓN MARTHA CHACON CRECIENDO PARA EL MAÑANA, la sociedad también indicó su calidad de deudora, la negativa de la Titular de normalizar su obligación en mora, y el eventual inicio de un proceso ejecutivo en su contra, como se evidencia a continuación: 45 Resolución N°. 20419 de 14 de abril de 2025.

Folio 7. 46 Expediente digital. Consecutivo número 22. Página 3. Folios 1 a 2. 47 Expediente digital. Consecutivo número 22. Página 3. Folio 3. 48 Expediente digital. Consecutivo número 22. Página 3. Folios 3 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” “El señor(a) XXXXXXX. XXXXXXXX XXXXxx identificado(a) con cédula de ciudadanía número XXXXXXXx, quien presuntamente labora en la compañía FUNDACION MARTHA CHACON CRECIENDO PARA EL MANANA, presenta una obligación en la actualidad con Renovar Financiera S.A.S pendiente de pago y a pesar de los reiterados intentos de comunicación con el deudor en que se han ofrecido variadas alternativas de pago, no demuestra intención alguna de pago o conciliación de la deuda o no ha sido posible obtener contacto directo con el mismo, razón por la cual Renovar Financiera S.A.S se encuentra realizando actividades de investigación de activos e ingresos a efectos de constituir medidas cautelares dentro del eventual proceso ejecutivo que permita exigir el pago de lo adeudo.” Subraya y negrilla por fuera del texto original.

En ese sentido, es preciso aclarar que el reproche formulado por este Despacho no se centra en la mera divulgación del número de cédula de ciudadanía de la Titular. La conducta reprochable radica en que el conjunto de datos personales compartidos, entre ellos, su identificación, la manifestación de su condición de deudora, la negativa a normalizar su obligación y la eventual iniciación de un proceso ejecutivo, permitió identificarla de manera inequívoca como una persona en situación de mora frente a su empleador.

Dicha circunstancia representa una afectación directa a su esfera personal y profesional, al hacer visible ante terceros información que debía permanecer bajo reserva, en abierta contravención de los principios de confidencialidad, finalidad y circulación restringida que orientan el tratamiento de datos personales conforme a la Ley 1581 de 2012.

En esa línea, este Despacho resalta que la Resolución N.° 20419 del 14 de abril de 2025 definió con claridad la conducta considerada infractora del Régimen de Protección de Datos Personales. Si bien la sociedad pretende justificar el envío de los correos electrónicos al empleador de la Titular bajo el argumento de verificar la existencia de ingresos o activos de la deudora, lo cierto es que la infracción no se configura por el simple hecho de solicitar información, sino por la divulgación de datos personales a terceros no autorizados.

En particular, al incluir su número de identificación y, especialmente, al revelar su condición de deudora frente a la entidad, la negativa de la Titular a normalizar su obligación en mora y el eventual inicio de un proceso ejecutivo en su contra, la sociedad expuso información de carácter privado sin contar con su autorización expresa, transgrediendo los límites legales que rigen el tratamiento de datos personales.

Ahora bien, si bien la labor de cobranza constituye una actividad legítima y amparada por la ley, su ejercicio debe desarrollarse dentro de los límites que impone el Régimen de Protección de Datos Personales. En ningún caso dicha gestión puede justificar la vulneración de los derechos de los titulares de la información ni la divulgación de datos personales de carácter privado a terceros no autorizados.

La legítima intención de recuperar una obligación en mora no exonera al responsable del tratamiento de cumplir los deberes que le impone la ley, particularmente los relacionados con la confidencialidad, la seguridad y la restricción en la circulación de la información personal. En este sentido, la normativa aplicable es clara. Conforme a lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, los responsables del tratamiento de datos personales tienen el deber de implementar medidas de seguridad administrativas, técnicas y jurídicas adecuadas para proteger la información de los titulares, a fin de evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

En el caso concreto, el incumplimiento de dicho deber se materializa en la omisión de salvaguardar la confidencialidad de los datos de la Titular, particularmente su identificación y situación financiera, configurando así una vulneración directa al Régimen de Protección de Datos Personales. Así, este Despacho hace énfasis en que la finalidad de recuperar una obligación en mora no exime al responsable del tratamiento de observar los principios rectores que garantizan la protección de los derechos de los titulares de la información. En efecto, los principios de confidencialidad, finalidad y circulación restringida, consagrados en la Ley 1581 de 2012, establecen los lineamientos “Por la cual se impone una sanción y se imparten órdenes administrativas” esenciales que deben orientar toda actuación relacionada con el tratamiento de datos personales.

En desarrollo de dichos principios, la norma dispone lo siguiente: Artículo 4. Principios Para El Tratamiento De Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

(…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.

(negrilla y subrayado fuera del texto original) La observancia estricta de estos principios no constituye una opción discrecional para las organizaciones, sino que resulta en una obligación legal ineludible impuesta desde el marco constitucional y legal colombiano en materia de protección de datos personales. La sociedad, como Responsable del Tratamiento, debe implementar medidas concretas y verificables que aseguren el respeto integral de los derechos de los titulares.

Sobre este particular, la Corte Constitucional, en la Sentencia C-748 de 2011, ha sido enfática en resaltar la obligatoriedad de respetar los principios de circulación restringida, seguridad y confidencialidad, pilares esenciales del régimen de protección de datos personales en Colombia. La Corte señala que: 2.6.5.2.6. Principio de acceso y circulación restringida: En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.

Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. (…) Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella.

De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. De otra parte, cabe señalar que aun cuando se trate de información pública, su divulgación y circulación está sometida a los límites específicos determinados por el objeto y finalidad de la base de datos. 2.6.5.2.7.

Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las “Por la cual se impone una sanción y se imparten órdenes administrativas” medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

(…) Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

(…) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria. 2.6.5.2.8. Principio de confidencialidad: Todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.” (Subrayado y negrilla fuera del texto original) En concordancia con lo señalado por la Corte Constitucional en la Sentencia C748 de 2011, el tratamiento de los datos personales debe adelantarse con estricto apego a los principios de circulación restringida, seguridad y confidencialidad, los cuales constituyen pilares fundamentales del Régimen de Protección de Datos Personales en Colombia.

En virtud del principio de circulación restringida, la información personal solo puede ser tratada por personas autorizadas por el titular o habilitadas legalmente, estando prohibida su difusión indiscriminada, especialmente en entornos digitales, salvo que existan controles técnicos que garanticen el acceso restringido. Por su parte, el principio de seguridad impone a los responsables y encargados del tratamiento la obligación de implementar medidas técnicas, humanas y administrativas eficaces que prevengan el acceso, uso, consulta, adulteración o pérdida no autorizada de los datos personales.

Finalmente, el principio de confidencialidad exige a toda persona que intervenga en el tratamiento de datos no públicos garantizar la reserva de la información, incluso después de finalizada su relación con la actividad que dio lugar al tratamiento, y únicamente podrá comunicarla en los casos autorizados por la ley. En el caso bajo examen, la sociedad debió observar con especial rigor los principios de confidencialidad, finalidad y circulación restringida, en tanto su actuación implicaba el tratamiento de datos personales de carácter financiero y crediticio de la Titular.

Es preciso recordar que los datos personales privados, conforme a la Régimen de Datos Personales, son toda información vinculada o que pueda asociarse a una persona natural determinada o determinable, cuyo contenido, por su naturaleza íntima o reservada, solo resulta relevante para su titular. Estos datos no están destinados al conocimiento público y su tratamiento se encuentra restringido a las personas autorizadas por el titular o por la ley, en atención a la especial protección que exige su carácter confidencial49.

En ese 49 Ley 1266 de 2008. Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley.

Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley.

Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; “Por la cual se impone una sanción y se imparten órdenes administrativas” sentido, la información relacionada con la condición crediticia o la mora en el cumplimiento de obligaciones constituye un dato personal de carácter privado, cuya divulgación indebida excede cualquier finalidad legítima autorizada por el titular.

Bajo esta perspectiva, el envío de derechos de petición al empleador de la Titular, en el cual se incluyeron datos relativos a su identificación, la negativa de la Titular a normalizar su obligación en mora y el eventual inicio de un proceso ejecutivo en su contra, constituyó en sí mismo una vulneración de los principios que rigen el tratamiento de la información personal.

En cuanto al principio de acceso y circulación restringida, la sociedad desconoció que el tratamiento de los datos personales únicamente puede realizarse por personas autorizadas por el titular o habilitadas por la ley, al divulgarse la información de la Titular, incluido su número de identificación y su calidad de deudora, a la sociedad FUNDACIÓN MARTHA CHACÓN CRECIENDO PARA EL MAÑANA, sin que mediara autorización alguna.

Respecto del principio de seguridad, la sociedad incumplió su deber de implementar medidas técnicas, humanas y administrativas que garantizaran la reserva y protección de los datos, permitiendo que terceros no autorizados accedieran a información sensible, lo que expuso a la Titular a riesgos de afectación de su intimidad, buen nombre y situación patrimonial.

Finalmente, en relación con el principio de confidencialidad, la sociedad desconoció la obligación de mantener la reserva de la información no pública tratada, al suministrar datos personales de la Titular en un contexto no autorizado por la ley ni por la propia interesada. En consecuencia, se constata que la conducta desplegada por la sociedad constituye una infracción grave al régimen de protección de datos personales en Colombia.

Así, a partir de lo expuesto, este Despacho concluye que la sociedad incurrió en una vulneración directa de los principios de acceso y circulación restringida, seguridad y confidencialidad, previstos en el artículo 4 de la Ley 1581 de 2012. En conclusión, este Despacho encuentra acreditado que la sociedad RENOVAR FINANCIERA S.A.S. divulgó y puso en circulación información personal de la Titular ante terceros no autorizados, al remitir derechos de petición, mediante correos electrónicos, a la sociedad FUNDACIÓN MARTHA CHACÓN CRECIENDO PARA EL MAÑANA, en los cuales incluyó su número de identificación e informó su condición de deudora frente a la entidad, la negativa de la Titular a normalizar su obligación en mora y la eventual iniciación de un proceso ejecutivo en su contra, sin que existiera autorización alguna de la Titular para compartir dichos datos.

En consecuencia, se constata que la sociedad incurrió en una divulgación indebida de información personal, vulnerando de manera directa los principios y deberes legales que regulan el tratamiento de datos en el ordenamiento jurídico colombiano. Por lo anterior, se evidencia un incumplimiento el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, obligación establecida en el literal d) del artículo 17, en concordancia con los literales f), g) y h) del artículo 4 de la Ley 1581 de 2012.

En consecuencia, este Despacho procederá a imponer la sanción correspondiente. g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular. “Por la cual se impone una sanción y se imparten órdenes administrativas”

DÉCIMO TERCERO: Conclusiones 1. La sociedad RENOVAR FINANCIERA S.A.S. divulgó y puso en circulación información personal de la Titular ante terceros no autorizados, al remitir derechos de petición, mediante correos electrónicos, a la sociedad FUNDACIÓN MARTHA CHACÓN CRECIENDO PARA EL MAÑANA, en los cuales incluyó su número de identificación e informó su condición de deudora frente a la entidad, la negativa de la Titular a normalizar su obligación en mora y la eventual iniciación de un proceso ejecutivo en su contra,, sin que existiera autorización alguna de la Titular para compartir dichos datos con terceros. 2.

La labor de cobranza constituye una actividad legítima y amparada por la ley, sin embargo, su ejercicio debe desarrollarse dentro de los límites que impone el Régimen de Protección de Datos Personales. En ningún caso dicha gestión puede justificar la vulneración de los derechos de los titulares de la información, ni la divulgación de datos personales de carácter privado a terceros no autorizados.

La finalidad de recuperar una obligación en mora no exonera al responsable del tratamiento, de su deber de respetar los principios de confidencialidad, finalidad, seguridad y circulación restringida, los cuales garantizan que las actuaciones en materia de cobranza se realicen de manera proporcional, legítima y respetuosa de la intimidad y del buen nombre de los Titulares. 3.

La observancia estricta de los principios de acceso y circulación restringida, seguridad y confidencialidad, previstos en el artículo 4 de la Ley 1581 de 2012, no constituye una facultad discrecional para las organizaciones, sino una obligación legal ineludible derivada del marco constitucional y legal que rige la protección de datos personales en Colombia.

En su calidad de Responsable del Tratamiento, la sociedad debe adoptar medidas concretas, efectivas y verificables que garanticen el respeto pleno de los derechos de los titulares. En consecuencia, la finalidad legítima de recuperar una obligación en mora, no exime al responsable de cumplir con los principios rectores del régimen de protección de datos, cuyo propósito es asegurar el tratamiento adecuado, seguro y respetuoso de la información personal.

DÉCIMO CUARTO: Órdenes Administrativas En este orden de ideas, de acuerdo con lo expuesto en líneas precedentes, una vez analizadas las pruebas obrantes en el expediente, en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “( ) impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley ( )”, esta Instancia procederá a impartir la siguiente instrucción:  La sociedad RENOVAR FINANCIERA S.A.S. deberá desarrollar e implementar un procedimiento de cobranza de cartera que garantice el respeto de los derechos de los titulares de la información, en especial el derecho fundamental de hábeas data, absteniéndose de divulgar, transferir o poner en conocimiento de terceros no autorizados datos personales de los Titulares, en cumplimiento de los principios de seguridad, confidencialidad y acceso y circulación restringida previstos en la Ley 1581 de 2012.

DÉCIMO QUINTO: FRENTE A LA APLICACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA En atención a los hechos acreditados en el presente expediente, este Despacho considera pertinente realizar algunas precisiones respecto de la aplicación del principio de responsabilidad demostrada (accountability) en el marco del “Por la cual se impone una sanción y se imparten órdenes administrativas” tratamiento de datos personales efectuado por la sociedad RENOVAR FINANCIERA S.A.S. Esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”50.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2651 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”52. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un 50 Corte Constitucional, Sentencia T-227 de 2003 51 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. 52 El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf “Por la cual se impone una sanción y se imparten órdenes administrativas” Programa Integral de Gestión de Datos Personales (en adelante PIGDP).

Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”53.

Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales; 53 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/que-es-compliance.php (última consulta 20 de abril de 2020) “Por la cual se impone una sanción y se imparten órdenes administrativas” (ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

En el presente caso, se evidenció que RENOVAR FINANCIERA S.A.S. no implementó medidas adecuadas para prevenir la divulgación no autorizada de información personal privada, permitiendo que durante un proceso de cobranza se remitiera un derecho de petición al empleador de la Titular, en el cual se compartieron datos personales relativos a su número de identificación, su condición de deudora y la posibilidad de iniciar un proceso ejecutivo en su contra.

Esta actuación evidenció la falta de controles efectivos y de procedimientos internos adecuados que garantizaran el cumplimiento de los principios de seguridad, acceso y circulación restringida y confidencialidad, previstos en el artículo 4 de la Ley 1581 de 2012. De este modo, se constata que la sociedad incumplió el deber de administrar de manera diligente y responsable los datos personales bajo su custodia, lo que demuestra deficiencias en la implementación práctica del principio de responsabilidad demostrada, al no contar con protocolos internos que aseguren que la gestión de cobro se realice dentro de los límites legales y sin vulnerar los derechos fundamentales de los titulares.

En consecuencia, este Despacho EXHORTA a la Representante Legal de RENOVAR FINANCIERA S.A.S. para que adopte, implemente y mantenga de manera efectiva un Programa Integral de Gestión de Datos Personales (PIGDP) que permita evidenciar la aplicación real del principio de responsabilidad demostrada, e incorpore al menos las siguientes medidas: 1.

Evitar la reiteración de conductas como las que dieron origen a la presente investigación. 2. Garantizar el respeto y protección efectiva de los derechos de los titulares de la información, en especial el derecho fundamental de hábeas data. 3. Cumplir de manera estricta las disposiciones legales sobre el tratamiento de datos personales establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios. 4.

Implementar el principio de responsabilidad demostrada, conforme a las orientaciones contenidas en la Guía para la implementación del principio de responsabilidad demostrada (accountability) expedida por la monitoreo y control que permitan verificar la eficacia de las medidas implementadas. 5. Desarrollar e implementar un procedimiento de cobranza que garantice la reserva de la información personal y evite la comunicación de datos personales privados a terceros no autorizados.

“Por la cual se impone una sanción y se imparten órdenes administrativas” 6. Demostrar documental y operativamente el cumplimiento de las obligaciones derivadas del régimen de protección de datos personales, evidenciando la adopción de medidas efectivas de prevención, control y mejora continua. El cumplimiento de estas acciones no debe obedecer únicamente a los requerimientos de esta autoridad, sino constituir una manifestación real del compromiso institucional de la sociedad con la protección de los datos personales y con la observancia de los derechos fundamentales de los titulares, conforme a lo dispuesto en la Constitución Política y en la Ley 1581 de 2012.

DÉCIMO SEXTO: Imposición y graduación de la sanción 16.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 54. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 255, 456 y 657 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo58.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”59 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes 54“Artículo 23.

Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” 55 Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 56 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 57 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) 58 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);

Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 59 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción y se imparten órdenes administrativas” anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional60.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente:

ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas 60 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes administrativas” asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional61 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”62 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 61 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 62 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten órdenes administrativas” 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros63. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”64.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia65. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2366 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. 63 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 64 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 66 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción y se imparten órdenes administrativas” e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “2.23. EXÁMEN DEL ARTÍCULO 24: CRITERIOS PARA GRADUAR LAS SANCIONES (…) 2.23.3. La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (…)67 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 16.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, frente al cargo único sobre el presunto incumplimiento del deber consagrado en el literal d) del artículo 17, en concordancia con los literales f), g) y h) del artículo 4 de la Ley 1581 de 2012, quedó acreditado que la sociedad RENOVAR FINANCIERA S.A.S. divulgó y puso en circulación información personal de la Titular ante terceros no autorizados, al remitir derechos de petición, mediante correos electrónicos, a la sociedad FUNDACIÓN MARTHA CHACÓN CRECIENDO PARA EL MAÑANA, en los cuales incluyó su número de identificación e informó su condición de deudora frente a la entidad, la negativa de la Titular a normalizar su obligación en mora y la eventual iniciación de un proceso ejecutivo en su contra, sin que existiera autorización alguna de la Titular para compartir dichos datos con terceros.

Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de SETENTA Y CINCO (75) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – 67Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub. “Por la cual se impone una sanción y se imparten órdenes administrativas” equivalentes a OCHO MIL SETECIENTOS (8700) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CIEN MILLONES QUINIENTOS DOS MIL CUATROCIENTOS PESOS M/CTE ($100.502.400)68, por la vulneración a lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f), g) y h) del artículo 4 de la Ley 1581 de 2012.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 16.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, y (v) no hubo un reconocimiento expreso de la comisión de la sanción.

DÉCIMO SÉPTIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad RENOVAR FINANCIERA S.A.S., con el NIT. 900.704.376-0, con el correo electrónico de notificación judicial juridico@renovarfinanciera.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 23-259287. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad RENOVAR FINANCIERA S.A.S., con el NIT. 900.704.376-0, de SETENTA Y CINCO (75) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a OCHO MIL SETECIENTOS (8700) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CIEN MILLONES QUINIENTOS DOS MIL CUATROCIENTOS PESOS M/CTE ($100.502.400)69, por la vulneración a lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012. 68 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 69 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas” Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. ORDENAR a la sociedad RENOVAR FINANCIERA S.A.S., con el NIT. 900.704.376-0, cumplir con la siguiente instrucción:  La sociedad RENOVAR FINANCIERA S.A.S. deberá desarrollar e implementar un procedimiento de cobranza de cartera que garantice el respeto de los derechos de los titulares de la información, en especial el derecho fundamental de hábeas data, absteniéndose de divulgar, transferir o poner en conocimiento de terceros no autorizados datos personales de los Titulares, en cumplimiento de los principios de seguridad, confidencialidad y acceso y circulación restringida previstos en la Ley 1581 de 2012.

Parágrafo Primero: La sociedad RENOVAR FINANCIERA S.A.S., con el NIT. 900.704.376-0 deberá cumplir lo ordenado en esta resolución dentro de los DOS (2) meses siguientes a la ejecutoria del presente acto administrativo. Parágrafo Segundo: La sociedad RENOVAR FINANCIERA S.A.S., con el NIT. 900.704.376-0, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) días hábiles siguientes a la expiración del plazo previsto en el parágrafo anterior.

Parágrafo Tercero: Para demostrar el cumplimiento, se deberá́ remitir a esta Dirección una certificación suscrita por el representante legal de la sociedad, mediante la cual acredite que se han implementado las medidas ordenadas, sin perjuicio de que las misma puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

ARTÍCULO 3: ADVERTIR a la sociedad RENOVAR FINANCIERA S.A.S., con el NIT. 900.704.376-0, que el incumplimiento de lo ordenado por esta Superintendencia en el presente acto administrativo, la hará acreedora de las sanciones previstas en la ley.

ARTÍCULO 4: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad RENOVAR FINANCIERA S.A.S., con el NIT. 900.704.376-0 a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 5: COMUNICAR la presente decisión a la señora XXXXXXX. XXXXXXXX XXXXxx identificada con cédula de ciudadanía XX.XXX.XX..

ARTÍCULO 6: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son:  Correo Superintendencia Comercio: contactenos@sic.gov.co de Industria y “Por la cual se impone una sanción y se imparten órdenes administrativas”  Sede Principal: Calle 24 Nº 7-43 Local 108 en la ciudad de Bogotá D.C, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 11 de noviembre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Carolina Garcia Molina Firmado digitalmente por Carolina Garcia Molina Fecha: 2025.11.11 14:31:11 -05'00' CAROLINA GARCÍA MOLINA Elaboró: LA Revisó: YA Aprobó: CG