(08 de septiembre de 2025) “Por la cual se resuelve un recurso de apelación” Radicado 22-113525 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que, el 25 de mayo de 2022, la señora XXXXXX XXXXXX XXXXXXX XXXXXXX presentó ante esta Superintendencia, mediante radicado 22-113525-0, una denuncia en contra de la sociedad CREDICRÉDITOS S.A.S., identificada con NIT 901.244.661-4, por la presunta vulneración de su derecho fundamental al habeas data, al haberse permitido el acceso no autorizado de terceros a sus datos personales, sin que la titular hubiera otorgado autorización para su divulgación a sus empleadores y compañeros de trabajo, quienes habrían sido contactados para fines de cobro.
SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 12531 del 22 de marzo de 2024, decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.
TERCERO. Que la Dirección estableció, con fundamento en las pruebas recaudadas dentro de la presente actuación, que la sociedad CREDICRÉDITOS S.A.S. no acreditó la adopción de medidas técnicas, administrativas y humanas suficientes para garantizar el tratamiento adecuado de los datos personales, conforme a la Ley 1581 de 2012, al divulgar indebidamente información financiera de la titular a terceros no autorizados, mediante correo electrónico de fecha 17 de marzo de 2022, remitido a la dirección contactenos@refinancia.co, en el que puso en conocimiento del empleador y de compañeros de trabajo de la titular información relacionada con una obligación crediticia contraída con la mencionada compañía. Por lo anterior, mediante Resolución No. 9927 del 4 de marzo de 2025, resolvió: “ARTÍCULO 1.
IMPONER una sanción pecuniaria a la sociedad CREDICRÉDITOS S.A.S., identificada con NIT. 901.244.661-4, de DIEZ (10) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a MIL CIENTO SESENTA (1.160) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a TRECE MILLONES CUATROCIENTOS MIL TRESCIENTOS VEINTE PESOS M/CTE ($13.400.320) por la transgresión al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.”
CUARTO. Que, dentro del término legal establecido para el efecto, el 13 de marzo de 2025, CREDICRÉDITOS S.A.S. (en adelante la RECURRENTE), a través de su representante legal, interpuso recurso de reposición y, en subsidio, “Por la cual se resuelve un recurso de apelación” de apelación1 contra de la decisión contenida en la Resolución No. 9927 del 4 de marzo de 2025, mediante escrito radicado con el número 22-113525-41.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: • Desproporcionalidad en la sanción. La multa impuesta no tuvo en cuenta la aceptación expresa de responsabilidad ni las medidas correctivas adoptadas por la sociedad, que debieron ser valoradas como atenuantes. • Principio de favorabilidad. Solicita aplicar el principio pro homine en caso de duda normativa, conforme a la Constitución y al CPACA. • Falta de análisis integral del contexto probatorio.
Alega que no se valoró adecuadamente la autorización previa otorgada por la titular ni que los datos compartidos no eran sensibles ni excedían las finalidades autorizadas. • Vulneración al debido proceso. Afirma que no se demostró de manera fehaciente que la sociedad hubiera actuado fuera del marco de la autorización conferida como responsable del tratamiento. • Admisión de infracciones, medidas correctivas y políticas de mejora.
Reconoce errores en el manejo de la información (incluido el envío por error de datos a un tercero), aclara que no existió beneficio económico, que se trató de un hecho aislado y que se implementaron medidas correctivas. Destaca la adopción de acciones posteriores, como el nombramiento de un oficial de cumplimiento, capacitaciones al personal y procedimientos más estrictos para prevenir hechos similares.
QUINTO. Que la Dirección, mediante la Resolución No. 52181 del 31 de julio de 2025, resolvió el recurso de reposición interpuesto, confirmando lo dispuesto en la Resolución No. 9927 del 4 de marzo de 2025. En su decisión, concluyó que CREDICRÉDITOS S.A.S. divulgó de manera negligente información crediticia de una titular sin adoptar las medidas de seguridad exigidas, configurando una infracción al régimen de protección de datos.
En consecuencia, se impuso una sanción de 10 SMLMV, tras aplicarse la reducción del 50% por reconocimiento expreso de la infracción. Respecto del principio de favorabilidad o pro homine, se concluyó que en el presente caso no se configuró tal situación, pues las normas infringidas fueron claras y determinadas al momento de imponer la sanción. Asimismo, respecto de la presunta falta de análisis integral del contexto probatorio, se acreditó que CREDICRÉDITOS S.A.S. divulgó indebidamente información crediticia a terceros no autorizados, configurando una vulneración del principio de confidencialidad.
SEXTO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022) 6.1. Respecto de la presunta desproporcionalidad en la sanción El principio de seguridad, consagrado en el literal g) del artículo 4 de la Ley 1581 de 2012, impone a responsables y encargados la obligación de tratar los datos personales “con las medidas técnicas, humanas y administrativas La Resolución No. 9927 del 4 de marzo de 2025, fue notificada electrónicamente la RECURRENTE el 4 de marzo de 2025.
“Por la cual se resuelve un recurso de apelación” necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”. Ese mandato se concreta, para los responsables, en el literal d) del artículo 17, que exige “conservar la información bajo las condiciones de seguridad” adecuadas. La garantía de seguridad incluye controlar quiénes pueden acceder a los datos.
Por lo tanto, el artículo 13 de la misma ley limita el suministro de información personal a tres sujetos: (i) el titular, sus causahabientes o representantes; (ii) autoridades públicas en ejercicio de sus funciones o por orden judicial; y (iii) terceros autorizados por el propio titular o por la ley. Cualquier filtración fuera de ese círculo configura una violación del principio de acceso y circulación restringida (artículo 4 literal. f).
Sobre este punto, la Corte Constitucional ha reiterado, en la sentencia C-748 de 2011, que los datos no públicos sólo pueden circular si existen todas las garantías de seguridad y confidencialidad; de lo contrario, el responsable y el encargado responderán por los perjuicios que se causen2. Asimismo, la Corte, sobre el deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, precisó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos-intimidad y habeas data-del titular del dato personal.
Específicamente se dispone que son deberes de esta parte de la relación: (…) (iii)Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuere de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.
Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento-literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares-literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.” (Negrilla original) En el caso objeto de análisis, se determinó que la sociedad RECURRENTE vulneró el derecho fundamental de habeas data de la denunciante, al incumplir el deber de conservar la información personal bajo condiciones de seguridad adecuadas que impidieran su acceso no autorizado.
Dicha vulneración se materializó el 17 de marzo de 2022, cuando la sociedad remitió, mediante correo electrónico dirigido a la cuenta contactenos@refinancia.co, información relativa a una obligación crediticia contraída con la sociedad. Este envío fue recibido por el empleador y varios compañeros de trabajo de la titular, tal como quedó demostrado con las pruebas obrantes en el expediente.
Imágenes tomadas del Radicado 22-113525-0 página 3 folio 2. 2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Considerando 2.6.5.2.7 “Por la cual se resuelve un recurso de apelación” Lo anterior fue expresamente reconocido por la propia sociedad en su escrito de descargos y en los alegatos de conclusión, al admitir que, por un error, se divulgaron los datos personales de la denunciante a un “tercero no autorizado”.
En consecuencia, resulta claro y plenamente acreditado que la sociedad incumplió el deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma, al compartir información personal de la denunciante con terceros no autorizados, con el propósito de realizar gestiones de cobro, lo que implicó el acceso indebido a sus datos por parte de compañeros de trabajo y superiores jerárquicos en la empresa donde labora la titular.
Ahora bien, el artículo 22 de la Ley 1581 de 2012 establece que, una vez comprobado el incumplimiento de las disposiciones en materia de protección de datos personales por parte del responsable o encargado del tratamiento, la imponer las sanciones correspondientes. Por su parte el artículo 23, establece las sanciones que podrá imponer esta entidad a los responsables y encargados del tratamiento de datos, por la vulneración de las normas de protección de datos personales.
“ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles”;
(resaltado fuera del texto) Asimismo, para la graduación de las sanciones esta Superintendencia cuenta con los criterios establecidos en el artículo 24 de la Ley 1581 de 2012, de los cuales únicamente se tendrán en cuenta aquellos que sean aplicables, de acuerdo la conducta investigada que dio origen a la actuación administrativa de carácter sancionatorio.
“ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” (resaltado fuera del texto) Respecto del citado artículo, la Corte Constitucional mediante sentencia C – 748 de 2011, manifestó lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(resaltado fuera de texto) “Por la cual se resuelve un recurso de apelación” Por lo anterior, es claro que los cinco primeros literales del artículo 24 corresponden a circunstancias de agravación, mientras que el literal f) constituye la única causal de atenuación de la sanción. La Dirección, al momento de graduar la sanción concluyó, con base en la conducta investigada y las pruebas allegadas, que únicamente resultaba aplicable el criterio agravante previsto en el literal a) del artículo 24 de la Ley 1581 de 2012, relativo a la dimensión del daño o peligro causado.
Al respecto, en el acto administrativo recurrido, la Dirección precisó que, conforme a dicho literal, no se exige la demostración de un daño efectivo para la imposición de la sanción, sino que basta con acreditar que la conducta genera un riesgo o una afectación potencial al derecho fundamental a la protección de datos personales. En el presente caso, se acreditó que la conducta de la sociedad no solo generó un riesgo abstracto, sino que produjo una afectación concreta al derecho fundamental de habeas data de un titular específico.
Además, constituyó un peligro real para los intereses jurídicos tutelados de titulares indeterminados cuyos datos personales también son tratados por la sociedad. Por tanto, la aplicación del criterio agravante previsto en el literal a) del artículo 24 de la ley se encuentra plenamente justificada. Ahora bien, en lo que concierne a los demás criterios de graduación agravantes, previstos en los literales b), c), d) y e), no resultan aplicables, toda vez que la sociedad recurrente: (i) (ii) (iii) (iv) no obtuvo beneficio económico derivado de la infracción; no incurrió en reincidencia; no se resistió ni obstruyó la actuación investigadora de esta Superintendencia; y no fue renuente al cumplimiento de las órdenes impartidas.
Finalmente, se aplicó el único criterio de atenuación previsto en el literal f) del citado artículo, en virtud del reconocimiento expreso realizado por la sociedad sobre la comisión de la infracción. En consecuencia, conforme a lo señalado en el numeral 12.1.2 de la resolución recurrida, el monto de la sanción fue reducido en un 50%. Con lo anterior, se concluye que los criterios de graduación fueron debidamente valorados por la Dirección, contrario a lo sostenido por la RECURRENTE.
No obstante, no todos resultaban aplicables al momento de graduar la sanción, en la medida en que, como lo precisó la Corte Constitucional, los cinco primeros criterios tienen carácter agravante y, por ende, no pueden operar como atenuantes cuando no se configuran, tal como lo pretende la sociedad. De igual forma, se confirma que el reconocimiento expreso de la infracción sí fue tenido en cuenta y dio lugar a la disminución del monto de la sanción impuesta.
Adicionalmente, se aclara que la Dirección, en ejercicio de la discrecionalidad reglada conferida por la Ley 1581 de 2012, al determinar el monto de la sanción, no solo valoró los criterios de graduación previstos en la norma, sino también factores relevantes como el tamaño de la empresa, su situación financiera, la naturaleza del deber incumplido y de los datos personales comprometidos, la duración de la vulneración, el número de titulares afectados y la conducta desplegada durante el trámite.
En consecuencia, la sanción fue fijada de manera proporcional, considerando el patrimonio y la capacidad económica de la sociedad, garantizando su eficacia y un efecto disuasorio frente a futuras infracciones. Finalmente, es importante destacar que la sanción impuesta se encuentra dentro de los límites establecidos en el artículo 23 de la Ley 1581 de 2012, que permite la imposición de multas de hasta 2.000 salarios mínimos “Por la cual se resuelve un recurso de apelación” legales mensuales vigentes.
En este caso, la sanción equivale al 0,51% del umbral máximo permitido, lo cual refleja que se respetaron los parámetros legales y que el monto impuesto es proporcional y razonable frente a la capacidad económica de CREDICRÉDITOS S.A.S. 6.2. Sobre el principio de favorabilidad En relación con el principio de favorabilidad cabe precisar que este tiene como fundamento el artículo 29 de la Constitución Política, que consagra su aplicación tanto en el ámbito penal como en el derecho administrativo sancionador, en virtud del carácter punitivo de este último.
Dicho principio impone a la autoridad la obligación de aplicar la norma más benigna para el investigado, en aquellos casos en que concurran diferentes regímenes jurídicos aplicables, o cuando se presenten dudas interpretativas respecto del alcance de una disposición normativa3. No obstante, en el caso bajo estudio, no se configura escenario alguno que permita aplicar la favorabilidad, pues la sanción se impuso con fundamento en la Ley 1581 de 2012, norma que se encuentra vigente desde su promulgación y que regula de manera integral el régimen de protección de datos personales en Colombia.
No existe, por tanto, una norma posterior que modifique, derogue o establezca un tratamiento sancionatorio distinto que pudiera resultar más favorable para la sociedad investigada. Adicionalmente, el acto sancionatorio se fundó en una interpretación clara y precisa de las disposiciones aplicables, sin que mediara duda alguna sobre su alcance normativo.
En consecuencia, no es procedente invocar la aplicación del principio de favorabilidad en este caso, dado que no existe conflicto normativo, sucesión legislativa, ni ambigüedad interpretativa que justifique su operatividad. 6.3. Respecto de la presunta falta de análisis integral del contexto probatorio y la presunta vulneración al debido proceso Pese a que la RECURRENTE sostiene que no se valoró de manera integral el “contexto probatorio”, bajo el argumento de que contaba con la autorización de la titular y que no se compartieron datos sensibles, lo que presuntamente vulneró el debido proceso, es necesario precisar lo siguiente: En relación con la autorización presentada, la Dirección efectuó un análisis exhaustivo en la Resolución No. 9927 de 2025, particularmente en el numeral 10.2.2., respecto del documento denominado “Formato único de solicitudes”.
De dicho examen se concluyó que en ningún aparte se advierte que la titular hubiera autorizado a CREDICRÉDITOS S.A.S. para remitir sus datos personales a terceros no autorizados, y menos aún a su empleador. Por el contrario, quedó plenamente demostrado, y fue expresamente aceptado por la propia sociedad, que se realizó un tratamiento indebido de la información suministrada por la titular en el marco de una relación comercial, incumpliendo los deberes que como responsable le impone la Ley 1581 de 2012.
La autorización general presentada por la sociedad no legitima la divulgación de datos a terceros, pues esta finalidad debe constar de manera expresa y específica en el consentimiento del titular. Al no estar prevista, la autorización aportada carece de eficacia para validar el tratamiento indebido realizado. 3 Sentencia Corte Constitucional T-1087/05, MP Dr. Álvaro Tafur Galvis.
“Por la cual se resuelve un recurso de apelación” De igual forma, no puede perderse de vista que el derecho fundamental al habeas data protege toda la información personal, independientemente de que sea o no sensible. La alegación de que los datos divulgados no correspondían a esta última categoría para disminuir o revocar el monto de la sanción carece de relevancia jurídica, pues la simple comunicación de datos personales a terceros no autorizados constituye, por sí sola, una vulneración grave del principio de confidencialidad y de las garantías de seguridad que deben regir el tratamiento de datos.
Este tipo de conductas comprometen de manera directa el control que le corresponde a cada titular sobre su información y generan un riesgo para sus derechos fundamentales. Asimismo, debe señalarse que esta conducta excede de manera evidente las facultades que los titulares otorgan en el marco de una autorización para el tratamiento de sus datos personales y configura una vulneración significativa de los derechos jurídicamente protegidos.
Al divulgar información a personas no autorizadas, la sociedad desconoció el principio de confidencialidad, elemento basilar de la protección de datos, lo que compromete la seguridad y control que le asiste al titular sobre su información. El hecho de compartir datos personales con terceros no autorizados, como ocurrió en el presente caso, no solo vulnera de manera directa y grave el derecho fundamental al hábeas data del titular, sino que también puede afectar de forma significativa su esfera privada, reputación e incluso su estabilidad laboral y social.
Ahora bien, si en la divulgación se hubiesen incluido datos personales de carácter sensible, como lo sugiere la RECURRENTE, la gravedad de la conducta sería aún mayor, pues el tratamiento de dichos datos se encuentra proscrito por la Ley 1581 de 2012 y solo resulta admisible en circunstancias excepcionales y taxativamente previstas. En tal escenario, la sanción necesariamente habría sido más severa, atendiendo los criterios de graduación aplicables.
En este sentido, resulta claro que la Dirección, al momento de fijar el monto de la sanción, valoró, entre otros factores, la naturaleza de los datos personales comprometidos. Por ello, la sanción impuesta equivale únicamente al 0,51 % del umbral máximo legal permitido, tal como se explicó en el numeral 6.1 del presente acto administrativo, lo que demuestra que la graduación se realizó de manera proporcional, razonable y ajustada a derecho.
En consecuencia, el argumento de la RECURRENTE relativo a una supuesta falta de análisis integral del contexto probatorio no está llamado a prosperar, toda vez que las pruebas obrantes en el expediente fueron debidamente valoradas en su conjunto, conforme a las reglas de la sana crítica, y permitieron establecer de manera clara y contundente la responsabilidad de la sociedad en la infracción investigada.
En este orden, se resalta que el análisis probatorio se desarrolló con plena observancia de las garantías procesales y del derecho de defensa, de modo que no se configura vulneración alguna al debido proceso. 6.4. Respecto de las presuntas medidas correctivas y políticas de mejora Ahora bien, en relación con las presuntas medidas correctivas y políticas referidas en el escrito de recurso, es preciso señalar que la sociedad no allegó prueba alguna que permita acreditar su efectiva implementación, fecha de adopción, contenido, alcance, impacto o relación directa con el deber incumplido.
En consecuencia, no es posible verificar, para el caso objeto de estudio, su idoneidad ni eficacia. Si bien no obra en el expediente prueba que permita establecer la fecha exacta de implementación de las medidas alegadas, la propia RECURRENTE reconoce que estas fueron adoptadas “desde el incidente” y “para garantizar que hechos similares no vuelvan a ocurrir”.
Ello permite concluir que tales actuaciones se “Por la cual se resuelve un recurso de apelación” implementaron con posterioridad a la ocurrencia de los hechos vulneratorios, razón por la cual no pueden ser consideradas como eximentes de responsabilidad ni incidir en la graduación de la sanción, en la medida en que no eliminan la vulneración ya consumada al derecho fundamental de habeas data.
Al haber sido adoptadas después de configurada la infracción, dichas medidas no acreditan el cumplimiento del principio de responsabilidad demostrada frente al deber específico incumplido ni frente a la conducta que dio origen a la sanción. Este Despacho valora positivamente que la sociedad, con posterioridad a la vulneración, haya adoptado medidas y políticas orientadas a evitar la repetición de hechos como el denunciado, lo cual constituye una manifestación del principio de responsabilidad demostrada y del cumplimiento de los deberes previstos en la Ley 1581 de 2012.
Sin embargo, frente a la sanción objeto del recurso, dichas actuaciones posteriores no pueden considerarse como un atenuante ni como un eximente de responsabilidad, ni tampoco tienen la virtualidad de suprimir la infracción cometida. Adicionalmente, la implementación de correctivos posteriores no borra la vulneración ya configurada al derecho fundamental de habeas data de la denunciante, ni el riesgo generado para los demás titulares cuyos datos personales son tratados por la sociedad en su calidad de responsable.
Pretender que estas acciones posteriores tengan como efecto la exclusión de la consecuencia sancionatoria equivaldría a desconocer la naturaleza reparadora y preventiva del régimen sancionatorio en materia de protección de datos personales, el cual busca garantizar la efectividad de los derechos de los titulares y prevenir futuras afectaciones.
Finalmente, se aclara que, si bien la RECURRENTE alega que la conducta corresponde a un hecho aislado, ello no la exonera de la sanción ni elimina la vulneración cometida. En efecto, la Dirección tuvo en cuenta la cantidad de titulares directamente afectados y el alcance del riesgo generado para otros titulares al momento de calcular el monto de la sanción, lo que se reflejó en una graduación proporcional y razonable.
Sin embargo, el carácter singular del hecho no elimina la responsabilidad de la sociedad, toda vez que la normativa no supedita la existencia de la infracción al número de incidentes, sino a la sola configuración de la vulneración del derecho fundamental al habeas data.
SÉPTIMO. Conclusiones. • Está demostrado que la sociedad divulgó los datos personales de la titular a terceros no autorizados, a través de correo electrónico, sin contar con medidas efectivas para impedir dicho tratamiento indebido, lo cual constituye una infracción al principio de seguridad y al deber legal previsto en el literal d) del artículo 17 de la Ley 1581 de 2012. • Los argumentos de defensa presentados resultan insuficientes, pues no aportó pruebas idóneas ni verificables que demostraran la existencia, implementación y eficacia de medidas y políticas presuntamente implementadas. • El desconocimiento del deber legal de seguridad en el tratamiento de datos personales generó una afectación concreta al derecho fundamental a la protección de datos personales de un titular plenamente identificado y un riesgo real para otros titulares indeterminados, justificando así la aplicación del criterio agravante previsto en el literal a) del artículo 24 de la Ley 1581 de 2012. • La aceptación expresa de la comisión de la infracción fue debidamente valorada por la Dirección al momento de determinar el monto de la sanción, lo que condujo a la aplicación del criterio de atenuación previsto en la Ley 1581 de 2012 y, en consecuencia, a la reducción del monto de la multa inicialmente calculado en un cincuenta por ciento (50%).
“Por la cual se resuelve un recurso de apelación” • La multa impuesta a CREDICRÉDITOS S.A.S. ($13.400.320), corresponde al 0,51% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). • La sanción impuesta fue determinada con base en una valoración individual del caso, dentro del marco legal y de manera proporcional a la gravedad de la conducta, la naturaleza de los datos comprometidos y a la capacidad económica de la sociedad, sin que los argumentos de la RECURRENTE desvirtúen la legalidad ni la razonabilidad de la medida adoptada. • La sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, es adecuada al tipo de falta y a su magnitud, redunda en la garantía efectiva del derecho fundamental al habeas data de titulares identificados o identificables y sirve al propósito de generar un efecto disuasorio que evite la repetición de la infracción por este o por cualquier responsable o encargado del tratamiento de datos personales.
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Delegatura procederá a confirmar en su integridad la Resolución No. 9927 del 4 de marzo de 2025 por lo que, en mérito de lo expuesto, RESUELVE:
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 9927 del 4 de marzo de 2025, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a CREDICRÉDITOS S.A.S. identificada con el Nit. 901.244.661-4, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión a la señora XXXXXX XXXXXX XXXXXXX XXXXXXX, identificada con cédula de ciudadanía No. x.xxx.xxx.xxxx.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución, a la Dirección de investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C., 08 de septiembre de 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. JUAN CARLOS UPEGUI MEJIA Firmado digitalmente por JUAN CARLOS UPEGUI MEJIA Fecha: 2025.09.08 13:19:46 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU