(27 de octubre 2025) “Por la cual se resuelve un recurso de apelación” Radicado 21-340773 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16, del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que la sociedad PARTNERS TELECOM COLOMBIA S.A.S. EN REORGANIZACIÓN, con NIT 901.354.361-1, presentó denuncias ante esta Superintendencia en contra de la sociedad COLOMBIA MÓVIL S.A. ESP, identificada con NIT 830.114.921-1, por la presunta vulneración del derecho de habeas data de sus clientes. Dichas denuncias se fundamentan en múltiples quejas relacionadas con el tratamiento indebido de datos personales, específicamente a través de la realización de llamadas telefónicas y mensajes de texto con fines publicitarios y de prospección comercial, sin que los titulares de los datos hubieran otorgado su consentimiento para dicho tratamiento.
SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 42757 del 28 de julio de 2023, decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b) y c) del artículo 4 y el artículo 9 de la misma norma, así mismo con los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.
TERCERO. Que la Dirección determinó, con base en las pruebas obrantes en el expediente, que la sociedad COLOMBIA MÓVIL S.A. ESP realizó, desde el año 2022, tratamiento de datos personales de algunos usuarios de los servicios de telecomunicaciones de la sociedad PARTNERS COLOMBIA TELECOM S.A.S. sin contar con la autorización previa, expresa e informada de los titulares.
Por lo anterior, mediante Resolución No. 32609 del 29 de mayo de 2025, resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COLOMBIA MÓVIL S.A. ESP, identificada con Nit Nit 830.114.921 -1 de DOSCIENTOS QUINCE (215) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTICUATRO MIL NOVECIENTOS CUARENTA (24.940) Unidades de Valor Básico – UVB Vigentes para el año 2025 –equivalentes a DOSCIENTOS OCHENTA Y OCHO MILLONES CIENTO SEIS MIL OCHOCIENTOS OCHENTA PESOS M/CTE (288.106.880), por la vulneración de lo dispuesto en el literal (b) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales (b) y (c) del artículo 4 y artículo 9 de la misma norma, así mismo con los artículos 2.2.2.25.2.2., 2.2.2.25.2.4 y 2.2.2.25.2.5. del Decreto Único Reglamentario 1074 de 2015.”
CUARTO. Que, dentro del término legal establecido para el efecto, el 24 de junio de 2025, COLOMBIA MÓVIL S.A. ESP (en adelante la RECURRENTE), a través de apoderada general, interpuso recurso de reposición y, en subsidio, de “Por la cual se resuelve un recurso de apelación” apelación1 contra de la decisión contenida en la Resolución No. 32609 del 29 de mayo de 2025, mediante escrito radicado con el número 21-340773-61.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: 4.1 Ausencia de tipicidad de la conducta. La RECURRENTE sostiene que una conducta sólo puede ser sancionada si está expresamente prevista como infracción en una norma previa, escrita y clara, y que la SIC aduce que la sociedad transgredió el literal b) del artículo 17 de la Ley 1581 de 2012.
Es decir, el deber de solicitar y conservar copia de la respectiva autorización otorgada por el titular. Sin embargo, la sociedad afirma que la imputación no se ajusta a Derecho porque tanto en los descargos como en los alegatos de conclusión han dejado claro que sí solicitan y conservan, para el tratamiento de números aleatorios, la autorización de los titulares.
La autorización se obtiene de forma oral, al inicio de la llamada previo al “inicio efectivo de la comunicación con el usuario”, antes de ofrecer cualquier tipo de producto o servicio, en donde se solicita expresamente la autorización para el tratamiento de datos personales, informando al interesado los fines de la recolección y tratamiento de estos y los canales por medio de los cuales puede solicitar la corrección o eliminación de dichos datos, en cualquier momento.
Se guardan y conservan los registros de las llamadas y autorizaciones para tratamiento de datos personales de acuerdo con la legislación vigente, en especial lo dispuesto en los artículos 2.1.4.13 y 2.1.5.8 de la Resolución 5050 de la CRC. Aclara que esta actividad se da “en ejercicio de una actividad lícita, la cual tiene como finalidad o como eje rector conectar cada vez a más colombianos” y que, en el caso en que un titular no esté conforme con el tratamiento, almacenamiento o los fines para los que se utilizarán dichos datos, la llamada finaliza y los mismos no son incluidos en las bases de datos. 4.2 Caducidad de la facultad sancionatoria.
La RECURRENTE sostiene que la potestad sancionatoria del Estado no es perpetua y que, de conformidad con lo establecido en el artículo 52 del CPACA, si se toma la fecha de presentación de la denuncia: 25 de agosto de 2021, de los hechos denunciados: mayo, junio y julio de 2021 o la fecha en que la SIC conoció los hechos denunciados: agosto de 2021, la caducidad ya operó. Por tanto, afirma, la Resolución No. 32609 del 29 de mayo de 2025 fue expedida sin competencia, pues la facultad sancionatoria caducó en el primer semestre de 2024, según la fecha de los supuestos hechos; y en todo caso en agosto de 2024, si se toma la fecha de la denuncia, por lo que “dicha resolución fue emitida vulnerando las garantías mínimas, vulnerando el derecho de defensa y acarreando consigo varias causales de nulidad, como se expondrá líneas adelante”.
En tal sentido, afirma que se incurre en dos causales de nulidad: (i) expedición irregular y (ii) falta de competencia. 4.3 Proporcionalidad y legalidad de la sanción. Indebida valoración probatoria. La RECURRENTE sostiene que la SIC aduce que COLOMBIA MÓVIL omitió su deber de dar correcto manejo a las bases de datos y en general incumplir las obligaciones propias del régimen de habeas data; sin embargo, ignora todos los pronunciamientos, pruebas, esfuerzos y medios que desplegó para demostrar el cumplimiento de la legislación supuestamente transgredida, “rechazando de plano lo dicho, presumiendo la culpabilidad y dando pleno valor probatorio a lo dicho por WOM, sin tener ni siquiera pruebas, testimonios o indicios graves que pudiesen soportar lo dicho por el denunciante y limitándose simplemente a presumir la veracidad de los hechos”.
La Resolución No. No. 32609 del 29 de mayo de 2025, fue notificada por aviso a la RECURRENTE el 10 de junio de 2025. “Por la cual se resuelve un recurso de apelación” Asimismo, señala que los mensajes enviados corresponden a “ofertas genéricas” para la totalidad de los consumidores del mercado de servicios de comunicaciones móviles y no estaban direccionadas a ningún actor en particular, por lo cual, afirma que no se estaba infringiendo ninguna norma de habeas data.
Señala que la SIC se limitó a transcribir los hechos, pruebas y alegatos expuestos, mas no efectuó una consideración de fondo sobre el asunto. Afirma que, respecto de la tacha de falsedad presentada, “se puede evidenciar la mala fe de la SIC” pues teniendo la facultad legal de decretar la práctica de pruebas de manera oficiosa para corroborar lo dicho por COLOMBIA MÓVIL en aras de desvirtuar la denuncia de WOM, optó por desacreditar de plano dicha solicitud y darle presunción de legalidad a lo dicho por el denunciante.
Violación del principio de proporcionalidad. Indica la RECURRENTE que la SIC desconoce el principio de proporcionalidad e impone una sanción totalmente desproporcionada sin tener en cuenta las pruebas que demuestran que se cumplió cabalmente el régimen de habeas data y protección de datos personales. La sanción es desproporcionada respecto del bien jurídico que se protege al no tener en cuenta que cumplió con su deber de dar el correcto y debido tratamiento a los datos personales.
Violación al principio de legalidad - Indebida aplicación de los factores de graduación de la sanción. La RECURRENTE alega que la SIC incurrió en un defecto fáctico pues valoró de manera indebida el expediente de la presente actuación y, en sede de graduación de la sanción, incurrió en falsa motivación. Señala que la SIC adoptó la decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta.
Considera que se analizó de manera aislada la existencia de una afectación al interés general sin especificar cuáles son los daños y perjuicios ocasionados al mismo, y cuáles son los datos reales que sustentan este supuesto daño al interés jurídico tutelado, ya que el caso analizado parte de un hecho concreto relacionado con la queja de otro operador por supuestos hechos que no lograron ser probados.
Aunque la discrecionalidad permite al fallador imponer sanciones según su criterio, debe justificar la razón y proporcionalidad de la multa impuesta para que el sancionado pueda controvertirla. La sanción debe basarse en criterios legales y no en una apreciación subjetiva. En este caso, la SIC actuó sin sustento legal ni fáctico suficiente, al imponer la sanción sin explicar los criterios de graduación ni demostrar los daños reales al interés general o al régimen de protección de datos personales.
Expedición irregular del acto administrativo con infracción a las normas en que debía fundarse. Señala que la ley establece requisitos de apariencia o formación de los actos administrativos y su desconocimiento conducirá a que se configure la causal de nulidad en estudio, es decir, expedición irregular del acto administrativo o vicios de forma.
Afirma que en el asunto se transgredieron diversas reglas procesales dando lugar a la violación expuesta. “La SIC tergiversó y malinterpretó uno de los supuestos fácticos de la norma, y los soportes probatorios allegados para justificar las medidas y posteriormente sancionar a COLOMBIA MÓVIL, pasando por alto el contenido estricto de las normas en las que debía fundarse su actuación como autoridad administrativa”.
Afirma que se infringió el artículo 29 de la constitución frente a COLOMBIA MÓVIL, “al haber ejecutado acciones y actuaciones contrarias al debido proceso como: (i) expedir la Resolución sin existir prueba idónea que permitiera imputar responsabilidad, ni proferir la sanción impuesta a COLOMBIA MÓVIL; (ii) deducir la responsabilidad de COLOMBIA MÓVIL con fundamento en medios de convicción indebidamente valorados; y (iii) sancionar a COLOMBIA MÓVIL sin la debida observancia de la graduación en la sanción”.
Señala que se vulnera el principio de buena fe y la presunción de inocencia pues la Resolución sancionatoria es el resultado una serie de prejuzgamientos, falta de valoración probatoria y conceptos manifiestamente equivocados y contrarios “Por la cual se resuelve un recurso de apelación” a la realidad que lesionaron la garantía de la presunción de inocencia de COLOMBIA MÓVIL.
Falsa motivación. La RECURRENTE afirma que no hay una motivación lógica, coherente ni articulada que pudiera sustentar la imposición de esta sanción. Por ende, la motivación plasmada en la Resolución por parte de la SIC es falsa, pues no corresponde con la realidad de los hechos demostrados con las pruebas que obran en el expediente. Y al ser falsa la motivación quiere decir que la decisión no tiene en realidad un motivo, una razón de ser, y la hace, a todas luces, arbitraria y nula.
QUINTO. Que la Dirección, mediante la Resolución No. 74284 del 23 de septiembre de 2025, resolvió el recurso de reposición interpuesto, confirmando lo dispuesto en la Resolución No. 32609 del 29 de mayo de 2025. En su decisión, concluyó que, de las piezas probatorias obrantes en el expediente, se evidencia una conducta reiterada y sistemática por parte de la sociedad COLOMBIA MÓVIL que se prolongó desde el año 2021, cuando menos, hasta el 14 de octubre de 2022, razón por la cual, es a partir de esta última fecha que se contabiliza la caducidad, por lo que la decisión se encuentra dentro del término legal.
Se dejó claro que a largo de toda la investigación administrativa se señalaron con claridad las disposiciones trasgredidas partiendo de uno de los deberes contemplados en el artículo 17 de la Ley 1581 de 2012, literal b) respecto a solicitar y conservar copia de la autorización previa, expresa e informada para el tratamiento de datos personales, cumpliendo así con la tipicidad de la conducta.
En tal sentido, las pruebas recaudadas permitieron constatar el uso de los números de contacto para hacer ofrecimientos de carácter comercial, sin que la investigada demostrara contar con el consentimiento de sus respectivos titulares. Se confirmó que sí se llevó a cabo una correcta valoración probatoria de las imágenes aportadas por la sociedad WOM, en estricto apego a las reglas procesales establecidas en el ordenamiento jurídico, lo anterior quedó expresamente consignado en el procedimiento para la tacha de falsedad descrito en los folios 14 al 16 de la Resolución 32609 de 2025.
Por lo que, al existir un procedimiento reglado para controvertir el material probatorio recaudado en el plenario, no le es exigible a la Administración pronunciarse de fondo respeto a aquellas pruebas inconducentes o que carecen de vocación para desvirtuar los hechos endilgados, como sucede con la grabación de una llamada aportada por la recurrente.
La sociedad investigada no acreditó la cesación de la operación de almacenamiento de los datos personales, por lo que la conducta se considera continuada. En consecuencia, conforme al inciso segundo del artículo 52 del CPACA, el término de tres (3) años para la caducidad de la facultad sancionatoria se cuenta a partir del día siguiente a aquel en que cese la infracción. Finalmente, aclaró que para graduar el monto de la sanción se tuvieron en cuenta los criterios de dosificación de la sanción pecuniaria contemplados en el artículo 24, aplicando el literal a) en tanto existió una afectación al derecho de habeas data de los titulares cuya información fue tratada sin que mediara un consentimiento.
Dicha tasación, fue establecida en ejercicio del margen de discrecionalidad teniendo en cuenta la situación financiera de la sociedad.
SEXTO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral, 8 del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022) 6.1. Ausencia de tipicidad de la conducta “Por la cual se resuelve un recurso de apelación” El principio de tipicidad en el derecho administrativo sancionador exige la concurrencia de tres elementos: (i) que la conducta sancionable esté descrita de manera específica en la norma o pueda ser determinada a partir de disposiciones jurídicas aplicables;
(ii) que la sanción correspondiente esté definida en la ley; y (iii) que exista una correlación entre la conducta infractora y la sanción impuesta2. La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
(…) En este sentido, el listado de deberes de responsables y encargados del tratamiento otorga un marco normativo suficientemente definido para la identificación de infracciones. En el caso analizado, tanto la formulación de cargos como la decisión sancionatoria recurrida cumplen con las exigencias derivadas del principio de tipicidad. En la formulación de cargos se describió de manera clara y precisa la conducta presuntamente infractora, se identificó el deber normativo que se estimó incumplido y se sustentó la imputación en disposiciones legales concretas.
Por su parte, en la decisión recurrida se verificó el incumplimiento del deber señalado y se impuso la sanción correspondiente, en estricta coherencia y correlación con el cargo previamente formulado. El deber identificado corresponde a: • Solicitar y conservar copia de la respectiva autorización otorgada por el titular, en las condiciones previstas en la ley, conforme al literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b) y c) del artículo 4 y el artículo 9 de la misma norma, así como con los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.
El incumplimiento de este deber constituye precisamente el objeto de la sanción. Asimismo, el tipo de sanción impuesta se encuentra previsto, de forma expresa, en el artículo 23 de la Ley 1581 de 2012, disposición que faculta a la autoridad competente para imponer las medidas correctivas y sancionatorias correspondientes ante el incumplimiento de los deberes establecidos en dicha norma.
En este caso, la formulación de cargos advirtió de manera expresa la posibilidad de imposición de sanción conforme a dicha disposición, con lo cual se garantizó el respeto del derecho de defensa y del principio de legalidad, al haberse informado oportunamente al investigado sobre las consecuencias jurídicas derivadas de la conducta atribuida.
En el caso bajo estudio se encontró que, de la valoración de las pruebas obrantes en el expediente y de las manifestaciones realizadas por la propia sociedad, se encuentra plenamente acreditado que esta adelantaba actividades de tratamiento de datos personales consistentes en la realización de llamadas Cfr. Corte Constitucional, sentencia C-748 de 2011, de fecha 6 de octubre del 2011.
M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.21.3.2. Cfr. Corte Constitucional, sentencia C-748 de 2011, de fecha 6 de octubre del 2011. M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.21.3.2. “Por la cual se resuelve un recurso de apelación” telefónicas a distintos titulares. En dichas comunicaciones, la sociedad manifestó que aprovechaba el contacto con el titular para solicitar su autorización para el tratamiento de los datos personales.
Tal como se aprecia en la imagen que la sociedad allegó dentro del escrito de descargos y reiteró en el recurso de apelación: Tal proceder evidencia un incumplimiento del deber legal de solicitar y conservar copia de la autorización previa, expresa e informada del titular, conforme a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b) y c) del artículo 4 y artículo 9 de la misma norma, así mismo con los artículos 2.2.2.25.2.2., 2.2.2.25.2.4 y 2.2.2.25.2.5. del Decreto Único Reglamentario 1074 de 2015.
La normativa es clara en señalar que ningún tratamiento de datos personales puede llevarse a cabo sin contar, de manera previa, con la autorización del titular, salvo las excepciones taxativamente previstas en la ley. En este caso, la conducta reconocida por la sociedad implica que el tratamiento de los datos, particularmente, la utilización de números telefónicos para realizar llamadas, se efectuó antes de obtener el consentimiento del titular.
Esto supone una vulneración directa del derecho fundamental de hábeas data, en tanto se ejerció una actividad de tratamiento sin el presupuesto esencial de legitimidad que constituye la autorización. El hecho de que la autorización se pretendiera obtener durante la llamada no subsana la infracción, pues el uso del dato de contacto para realizar la comunicación ya constituye un acto de tratamiento, que solo sería legítimo de haber contado previamente con el consentimiento informado del titular.
En consecuencia, la actuación de la sociedad no solo desconoce los principios de legalidad y finalidad en el tratamiento de los datos personales, sino que vulnera de manera directa el derecho fundamental de los titulares contactados y genera un riesgo para el del derecho fundamental de titulares indeterminados, al propiciar la repetición de una práctica contraria a los principios del tratamiento de datos personales.
En consecuencia, esta Delegatura desestimará el alegato sobre un supuesto incumplimiento del principio de tipicidad, en tanto: (i) la conducta infractora fue descrita de manera clara y precisa en la Ley 1581 de 2012, particularmente en su artículo 17; (ii) la sanción aplicada se encuentra expresamente prevista en el artículo 23 de la misma ley, habiendo sido advertida en la formulación de cargos; y (iii) existe una correlación directa entre las conductas imputadas y la sanción impuesta. 6.2.
Caducidad de la facultad sancionatoria Con el propósito de efectuar un análisis específico sobre la caducidad en el presente asunto, resulta necesario hacer referencia a lo previsto en el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA), que dispone: “ARTÍCULO
52. CADUCIDAD DE LA FACULTAD SANCIONATORIA. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.
Dicho acto sancionatorio es diferente de los “Por la cual se resuelve un recurso de apelación” actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición, se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.
Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución.” (resaltado fuera del texto) De la lectura de la norma se concluye que el procedimiento sancionatorio administrativo comprende dos etapas claramente diferenciadas: 1. Una primera etapa, que abarca desde el inicio de la actuación administrativa hasta la notificación del acto administrativo sancionatorio. 2.
Una segunda etapa, relativa al trámite y resolución de los recursos que eventualmente se interpongan contra dicho acto. Para efectos de determinar la caducidad de la facultad sancionatoria, en relación con la primera etapa del procedimiento administrativo sancionatorio, debe tenerse en cuenta el lapso de tiempo que transcurre entre la ocurrencia del hecho o de la conducta sancionable y la notificación del acto administrativo que impone la sanción. Es importante tener en cuenta que en las hipótesis de conductas de ejecución continuada el término comienza a contarse a partir de la fecha en que cesa la ejecución o los efectos de dicha conducta.
Sobre este punto, el Consejo de Estado4 ha sido claro en señalar que: “Las conductas instantáneas se agotan en un solo momento, en tanto que las de ejecución sucesiva se prolongan en el tiempo, lo que significa que la comisión de la conducta objeto de investigación tiene el carácter de permanente o continuada, de tal suerte que la facultad sancionatoria de la administración debe computarse a partir de la comisión o realización del último acto de ejecución. En efecto, en el evento de investigarse una conducta permanente o continuada, el Consejo de Estado ha sostenido que el término de caducidad para imponer la sanción5 “comienza a contarse a partir de la fecha en la cual cesa dicha conducta.
De allí que en los demás casos, dicho plazo se contabilizará en la forma establecida por el artículo 38 del C.C.A., esto es, desde que el hecho se produce”6 (resaltado fuera del texto) Al revisar la posición adoptada por la Dirección en relación con la caducidad de la facultad sancionatoria, se observa que esta autoridad concluyó que la conducta atribuida a la sociedad tenía el carácter de conducta continuada.
En efecto, se estableció que las infracciones relacionadas con el tratamiento de datos personales sin contar con la autorización previa, expresa e informada de los titulares no se circunscribieron a un hecho aislado, sino que respondieron a un comportamiento persistente y sostenido en el tiempo. Señaló que, si bien las denuncias iniciales datan de los años 2021 y 2022, la Dirección precisó que la vulneración identificada, consistente en el tratamiento de datos personales con fines de prospección comercial sin haber obtenido la debida autorización, corresponde a una conducta reiterada y sistemática por Consejo de Estado, Sección Sección Primera, en sentencia de 22 de mayo de 2014 (Expediente núm. AC-2013-02392-00, M.P. Marco Antonio Velilla Moreno “Dado lo anterior, quedó demostrado que esta Corporación ha realizado un análisis sobre el término de la caducidad de la facultad sancionatoria concerniente a hechos distintos, como las infracciones en materia de energía que fueron en forma continuada donde la ocurrencia del hecho se contó a partir del último acto, o en el caso aduanero que a pesar de tener norma especial que regula el tema, se parte que existe conocimiento de la falta desde que la entidad inicie el trámite administrativo…” Consejo de Estado, Sección Quinta, Sentencia del 12 de abril de 2018, M.P. Carlos Enrique Moreno Rubio, Radicación número: 25000-23-24-000-2012-00788-01, actor: ALIANSALUD ENTIDAD PROMOTORA DE SALUD S. A. Consejo de Estado, Sección Primera, Sentencia del 18 de agosto de 2011, M.P. Rafael E. Ostau de Lafont Pianeta, Radicación número: 11001-03-24-000-2007-00013-00, posición reiterada en providencia del 8 de febrero de 2018, exp. 25000-23-24-000-2008-00045-02, M.P. Rocío Araújo Oñate, actor: Empresa de Acueducto y Alcantarillado de Bogotá (EAAB).
“Por la cual se resuelve un recurso de apelación” parte de la sociedad COLOMBIA MÓVIL S.A. E.S.P., que se prolongó desde el año 2021, cuando menos, hasta el 14 de octubre de 2022. Asimismo, se resaltó que, al no haberse acreditado la cesación de la operación de almacenamiento de los datos personales destinatarios de las comunicaciones, la conducta debía considerarse continuada, en la medida en que los efectos de la infracción persistían en el tiempo.
En consecuencia, la Dirección reconoció que la naturaleza prolongada y permanente de la conducta vulneratoria impedía considerar agotado el periodo de afectación al derecho fundamental de habeas data, configurando así una infracción de carácter continuado que incide directamente en el cómputo del término de caducidad de la facultad sancionatoria.
En el presente caso se observa que, si bien en el expediente obran múltiples pruebas que dan cuenta de contactos con fines de prospección comercial a números de teléfono y mensajes de texto, para cuyo tratamiento la investigada no estaba previamente autorizada, y que dichas pruebas refieren a hechos sucedidos entre los años 2021 y 2022, tanto en la formulación de cargos como en la resolución sancionatoria, únicamente se destacaron las pruebas fechadas entre junio de 2021 y febrero de 2022: (…) “Por la cual se resuelve un recurso de apelación” (…) De la revisión del acervo probatorio se advierte que las pruebas documentales que integran el síndrome probatorio del caso, y que le sirvieron de fundamento fáctico a la decisión sancionatoria ahora bajo examen, datan de entre los meses de junio de 2021 y febrero de 2022, mientras que la resolución sancionatoria fue proferida el 29 de mayo de 2025.
Esta constatación lleva a esta Delegatura a advertir que, desde aquellas calendas de febrero de 2022, última fecha en la que se constataron los hechos que dieron origen al incumplimiento del deber sancionado, y la expedición del acto sancionatorio ahora bajo examen en mayo de 2025, en efecto, transcurrieron más de tres (3) años. Para este Despacho no existe duda de que se encuentra plenamente demostrada la existencia de la conducta vulneratoria atribuida a la sociedad, como se afirmó con claridad en la consideración 6.1 de esta Resolución. Sin embargo, no comparte en su totalidad la tesis sostenida por la Dirección en torno a la configuración de una conducta continuada en el tiempo que se habría mantenido, cuando menos, hasta octubre de 2022.
En efecto, al analizar los fundamentos de la decisión recurrida, se advierte que la configuración de la infracción se sustentó, en gran medida, en documentos y elementos probatorios que dan cuenta de hechos ciertos, asociados al tratamiento indebido de datos personales, ocurridos hace más de tres años, contados a partir de la fecha en que se expidió la Resolución ahora bajo examen.
Aun cuando el acervo probatorio evidencia la materialización de la conducta infractora, este Despacho advierte que la valoración probatoria efectuada por la Dirección se apoyó principalmente en hechos cuya antigüedad supera el término legal para la imposición de sanciones, lo cual incide directamente en la validez temporal del ejercicio de la facultad sancionatoria.
El término de tres años, previsto en el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA) para el ejercicio de la facultad sancionatoria por parte de la administración es una garantía esencial para los administrados, en cuanto delimita temporalmente la potestad sancionadora del Estado y salvaguarda los principios de seguridad jurídica y debido proceso.
Así, el ejercicio de la función sancionatoria debe ceñirse estrictamente a los plazos establecidos en la ley, de modo que la actuación administrativa se mantenga dentro de los límites que rigen el ejercicio del poder sancionador del Estado. Por tanto, al haber transcurrido más de tres (3) años desde la ocurrencia de los hechos que dieron origen a la actuación sancionatoria, esto es, de los ejercicios “Por la cual se resuelve un recurso de apelación” de contacto indebido adelantados mediando el uso de los datos personales de los clientes de WOM sin contar con su consentimiento previo, y que sirvieron de soporte fáctico a la Resolución ahora recurrida, se advierte la configuración de la caducidad de la facultad sancionatoria de la administración. En efecto, para el 29 de mayo de 2025, fecha en que se expide la Resolución ahora recurrida, la autoridad había perdido competencia para ejercer sus facultades sancionatorias.
En consecuencia, y por esta exclusiva razón, esta Delegatura accederá a la pretensión de la RECURRENTE en el sentido de revocar la decisión sancionatoria bajo examen. Finalmente, teniendo en cuenta que la Resolución será revocada en su totalidad, esta Delegatura, en virtud del principio de economía, estima innecesario emitir pronunciamientos adicionales sobre los demás argumentos del recurso.
SÉPTIMO. Conclusiones. • Al haberse verificado que transcurrió un período superior a tres (3) años desde la ocurrencia de los hechos que dieron origen a la actuación sancionatoria y en los que se fundamentó fácticamente la Resolución ahora recurrida, se configuró, para este caso, la caducidad de la facultad sancionatoria prevista en el artículo 52 de la Ley 1437 de 2011.
En consecuencia, la autoridad carecía de competencia temporal para imponer una sanción con base en tales hechos y pruebas, motivo por el cual se accederá a la pretensión de la recurrente de revocar, en su totalidad, la Resolución No. 32609 del 29 de mayo de 2025. En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO 1. REVOCAR en todas sus partes la Resolución No. 32609 del 29 de mayo de 2025, de conformidad con lo establecido en la parte motiva de la presente Resolución.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente Resolución a COLOMBIA MÓVIL S.A. ESP identificada con el Nit. 830.114.921-1, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra ella no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente Resolución a la sociedad PARTNERS TELECOM COLOMBIA S.A.S. EN REORGANIZACIÓN, identificada con NIT. 901.354.361-1, a través de su representante legal y/o apoderado.
ARTÍCULO 4. INFORMAR el contenido de la presente Resolución, a la Dirección de investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C., 27 de octubre 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. Firmado digitalmente JUAN CARLOS JUAN CARLOS por UPEGUI MEJIA UPEGUI MEJIA Fecha: 2025.10.27 16:22:14 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU