Superintendencia de Industria y* Córiiercio RESOLUCIÓN NÚMERO r ~ DE 2025 ( Radicación 21-59860 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E) En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artípulo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Queja. Que el señor mediante oficio radicado con el número 21-59860-00 del 11 de febrero de 2021, presentó ante esta Superintendencia una queja en contra de TUAVAL S.A.S. y BAGUER S.A.S. por la presunta vulneración de su derecho de Habeas Data.
SEGUNDO. Apertura de ia Investigación y Formuiación de Piiego de Cargos. Que, de conformidad con la citada queja y las pruebas recolectadas en la etapa preliminar, la Dirección de Investigación de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 18047 del 12 de abril de 2023, decidió abrir una investigación administrativa y formular cargos en contra de BAGUER S.A.S. (en adelante BAGUER), por la presunta vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma Ley.
TERCERO. Descargos. Que, BAGUER, a través de su Representante Legal mediante Oficios Nos. 21-59860-56, 21-59860-57 y 21-59860-58 del 8 de mayo de 2023, presentó escrito de descargos con sus respectivos anexos.
CUARTO. Periodo Probatorio. Que mediante Resolución No. 29897 del 31 de mayo de 2023, la Dirección incorporó las pruebas allegadas al expediente, agotó la etapa probatoria y se ordenó correr traslado para que le investigado presentara los alegatos de conclusión.
QUINTO. Alegatos de Conclusión. Que, a través del Oficio No. 21-59860-64 del 7 de junio de 2023, la Representante Legal de BAGUER presentó los alegatos de conclusión.
SEXTO. Decisión de Primera Instancia. Que, la Dirección consideró, conforme a las pruebas allegadas a la presente actuación, qüe BAGUER vulneró las normas contenidas en la Ley 1581 de 2012, al enviar a un tercero, información relacionada con la gestión de cobro realizada ai señor exponiendo de esta manera su información personal, razón por la cual mediante Resolución No. 1016 del 26 de enero de 2024, resolvió jo siguiente: "ARTÍCULO 1.
IMPONER una sanción pecuniaria a la sociedad BAGUER S.A.S., identificada con NIT. 804.006.601-0, de NOVENTA Y TRES MILLONES TRESCIENTOS DOS MIL QUINIENTOS VEINTE PESOS M/CTE ($93.302.520), equivalente a OCHO MIL QUINIENTAS VEINTE UNIDADES DE VALOR BÁSICO VIGENTES (8.520), por la violación del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.
( )
ARTÍCULO 2. ORDENAR a la sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, cumplircon las siguientes instrucciones: • humanas y administrativas que sean necesarias para otorgar seguridad a la Implementar todas las medidas técnicas, RESOLUCIÓN NÚMERO 8 8“““« « «» e> DE 2025 información personal,cónfénida en sus bases de datos, con el fin de evitar su adulteración; autorizado o fraudulento • pérdida, consulta, uso o acceso no p.. sx-.
Abstenerse de divulgar y compartir datos personales de tipo sensible de los titulares deinfornnación por medio de la plataforma Whatsapp."
SÉPTIMO. Oportunidad en la Presentación de los Recursos. Que, de acuerdo con lo dispuesto en el artículo 74 y siguientes del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (en adelante CPACA)\ el recurso reposición y en subsidio de apelación procede frente a los actos administrativos definitivos y se presentan ante quien expidió la decisión o ante su superior jerárquico, dentro de los diez (10) días siguientes a la notificación. Encontrándose dentro del término de ley, BAGUER a través de su Representante Legal (en adelante la RECURRENTE), mediante escrito radicado con el número 21-59860-72 del 8 de febrero de 2024, presentó recurso de reposición y en subsidio de apelación^.en contra de la decisión contenida en la Resolución No. 1016 del 26 de enero de 2024.
OCTAVO. Decisión del Recurso de Reposición. Que la Dirección, mediante Resolución No. 34564 del 28 de junio de 2024, resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 1016 del 26 de enero de 2024.
NOVENO. Que de conformidad con lo establecido en el artículo 80 del CPACA, a través de esta resolución se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes consideraciones: 9.1. Competencia de la Delegatura para la Protección de Datos Personales para resolver el recurso de apelación De conformidad con lo dispuesto en el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), este Despacho es competente para pronunciarse sobre el recurso de apelación formulado por BAGUER en el asunto de la referencia. 9.2.
Motivación dei Acto Administrativo. Modifica Con fundamento en los principios que regulan el trámite de las actuaciones administrativas sancionatorias^ corresponde a este Despacho pronunciarse respecto de los argumentos presentados por BAGUER en el recurso de apelación, con el fin de establecer, sí como lo indicó la Dirección en el acto administrativo que se revisa, se vulneraron las normas de protección de datos de la Ley 1581 de 2012.: Así mismo, de acuerdo con los principios de legalidad, tipicidad y proporcionalidad, como limitantes de la potestad sancionatoria de la administración, se verificará que respecto de la sanción impuesta se realizó el juicio de ponderación correspondiente para determinar que la misma es razonable y corresponde a la conducta reprochada. ^ Ley 1437 del 18 de enero de 2011. 2 La Resolución No.1016 del 26 de enero de 2024, fue notificada a BAGUER personalmente de manera electrónica el 26 de enero de 2024. j ^ ARTÍCULO 3o.
PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Codigo y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. ! 1.
En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación defensa y contradicción. ' En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las —san.Cl.C!nss„,Clu?IfiSUñd,Ón,,cl.e ¡nocencia..d.e no reformatio In Peius v non bis m ídem... 88- RESOLUCIÓN NÚMERO -^-DE 2025 9.3.
Del Recurso de Apelación 9.3.1.Potestad Sancionatoria de la Superintendencia de Industria y Comercio En términos generales, el derecho administrativo sancionador, pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no solo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas"^ En un pronunciamiento reciente, la Corte Constitucional^ sostuvo que el derecho administrativo sancionador "es una manifestación del ius puniendi estatal"®, esto es, de la facultad que tiene el Estado para sancionar las conductas que se consideran reprochables.
Dada su naturaleza, es una rama del derecho público que está sometida a unos principios "que operan como límite"^, entre ellos, los principios de legalidad y tipicidad®. Dicha potestad se desarrolla materialmente bajo el procedimiento administrativo establecido en el CPACA, encontrándose de esta manera, sujeta a los principios establecidos en el artículo 3 de la citada codificación. De conformidad con lo establecido en el citado artículo®, las actuaciones sancionatorias definidas en el artículo 47 y siguientes del CPACA, se desarrollarán, con arreglo al principio del debido proceso^®, en virtud del cual, se tendrán en cuenta las normas de procedimiento y competencia establecidas en la Constitución y la Ley, con plena garantía de los derechos de representación, defensa y contradicción, así como del principio de legalidad de las faltas y de las sanciones.
En lo que tiene que ver con el principio de legalidad, la doctrina ha indicado que su finalidad es garantizar la libertad de los titulares y controlar la arbitrariedad judicial y administrativa mediante el señalamiento legal previo de las penas aplicables. Y aunque la doctrina y la jurisprudencia han reconocido que en el derecho administrativo sancionador no tiene la misma rigurosidad exigible en materia penal, aún así, el comportamiento sancionadle debe estar precisado inequívocamente, como también la sanción correspondiente a fin de garantizar el derecho al debido proceso a que laude el artículo 29 Superior^^ Respecto al principio de tipicidad, se ha dicho que el legislador está obligado a describir la conducta o comportamiento que se considera ilegal o ilícito en la forma más clara y precisa posible, de modo que no quede duda alguna sobre el acto, el hecho, la omisión o la prohibición que da lugar a sanción, e igualmente debe predeterminar la sanción indicando todos aquellos aspectos relativos a ella, esto es, la clase, el término, la cuantía, o el mínimo y el máximo dentro del cual ella puede fijarse, la autoridad competente para imponerla y el procedimiento que ha de seguirse para su imposición^^.
En materia de protección de datos personales, la potestad sancionadora de esta Superintendencia se concreta en el artículo 22 de la Ley 1581 de 2012, el cual establece que, ión. deberá determinarse que hubo una vulneración a las para la imposición de una disposiciones descritas en la citada Lev. Cfr. Corte Constitucional, sentencia C-818 del de agosto de 2005.
MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.h tm ^ Sentencia C- 094 de 2021 ^ Sentencia C-412 de 2015. ® La'Corte Constitucional también ha considerado como principios del derecho administrativo^sancionador el debido proceso, el principio de proporcionalidad y la independencia entre la sanción administrativa y la sanción penal (cfr., sentencia C-748 de 2011, citada por la sentencia C-412 de 2015). 3 La aplicabilidad general de los principios previstos en el artículo 3“ del CPACA, como desarrollo directo de la Constitución Política, en leyes conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas entre los especiales.
Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, A. JUAN MANUEL. principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA. Laverde Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. clase de Efectivamente, el artículo 29 de la Constitución Política, establece que el "debido proceso" se aplicará a toda leyes preexistentes al indica que "nadie podrá ser juzgado sino conforme a actuaciones judiciales y administrativas, así mismo acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio", aspectos que se materializan en los principios de legalidad y tipicidad. en Colombia.
“ Restrepo Medina, MANUEL ALBERTO. Nieto Rodríguez MARÍA ANGELICA. El Derecho Administrativo Sancionador Editorial Universidad del Rosario. Legis. Bogotá Colombia Primera Edición 2017. Ibidem — — RESOLUCIÓN NÚMERO DE 2025 Mediante sentencia C - 748 del 6 de octubre de 2011, la Corte Constitucional cuando estudió la constitucionalidad del artículo 22 antes mencionado, manifestó: "Esa potestad es una manifestación del jus punendi, razón por la que está sometida a ios siguientes principios;
(i) el principio de legalidad, que se traduce en ia existencia de una ley que la regule; es decir, que corresponde sóio ai iegislador ordinario o extraordinario su definición, (ii) Ei principio de tipicidad que, si bien no es igual de riguroso ai penai, sí obiiga ai iegislador a hacer una descripción de la conducta o del comportamiento que da iugar a ia apiicación de la sanción y a determinar expresamente ia sanción285.
(iii) Ei debido proceso que exige entre otros, ia definición de un procedimiento, así sea sumario, que garantice ei debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción, (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar286.
(v) La. independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. Estos principios son los que debe cumplir cada una de las normas del capítulo en revisión. El artículo 22, inciso primero, cumple con el principio del debido proceso, en la medida en que señala que le corresponderá a la sancionar a los responsables y encargados del tratamiento de datos.
Por tanto, se cumple con la obligación de designar la autoridad competente para imponer las sanciones por el desconocimiento de las normas de protección del dato. En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinadle la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de ias disposiciones de ia iey, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
De esta misma generalidad adolecía el proyecto que dio origen a la Ley 1266 de 2008, y la Corte, en la sentencia C-1011 de 2008, interpretó que la infracción administrativa la constituía el desconocimient o de los deberes de los usuarios, fuentes y operadores. Esa interpretación será la misma que empleará en esta oportunidad la Sala para declarar la exequibilidad del inciso primero del artículo 22, cuando se refiere al "incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento".
Determinado lo anterior, procede el Despacho a analizar si la conducta desplegada por BAGUER, como lo consideró la Dirección, vulnera efectivamente las normas de protección de datos, por lo que es merecedora de la imposición una sanción. En el presente caso, conforme los hechos denunciados y de los cuales se hizo referencia en el numeral 1 del presente acto administrativo, la Dirección concluyó que BAGUER incumplió el deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma, los cuales establecen lo siguiente: "Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumpiir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en ia presente ley y en otras que rijan su actividad: d) Conservar ia información bajo ias condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; \., RESOLUCIÓN NÚMERO _ DE 2025 Artículo 4°.
Principios para el Tratamiento de datos personales. En el desarrollo, Interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) f) Principio de acceso y circuiación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, podiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma." Efectivamente, de conformidad con lo establecido en el literal g) del artículo 4 de la Ley 1581 de 2012, la información sujeta a tratamiento por el Responsable debe ser manejada con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los uso o acceso no autorizado o tiene un criterio eminentemente registros, y así evitar su adulteración, pérdida, consulta, fraudulento.
Nótese que el principio de seguridad preventivo, lo cual obliga a los Responsables o Encargados a adoptar medidas apropiadas y efectivas para evitar afectaciones a la seguridad de la información sobre las personas. Frente al citado principio la Corte Constitucional, mediante Sentencia C-748 de 2011, manifestó lo siguiente: "2.6.5.2.7. Principio de seguridad: Al amparo de este principio, ia información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto "diluvio de datos"[^^°^^^ a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.
Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.
En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. Así, por ejemplo, en materia de redes sociales, empieza a presentarse una preocupación de establecer medidas de [240] El término es utilizada por el Dictamen 3/2010 sobre el principio de responsabilidad, emitido por el Grupo de Protección de Datos de la Unión Europea.
RESOLUCIÓN NÚMERO -8f 0“ DE 2025 protección reforzadas, en razón al manejo de datos reservados. En el año 2009, el Grupo de Trabajo Sobre Protección de Datos de la Unión Europea señaló que en los Servicios de Redes Sociales" o "SRS debe protegerse la información del perfil en el usuario mediante el establecimiento de "parámetros por defecto respetuosos de la intimidad y gratuitos que limiten el acceso a los contactos elegidos". [24i]i4 Concordante con lo anterior, el principio acceso y circulación restringida^^ establece que el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los Datos personales, de las disposiciones de la ley y la Constitución Política.
En este sentido, el Tratamiento solo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la ley. En la mencionada sentencia, en lo que tiene que ver con el citado principio, precisó: 2.6.5.2.6. Principio de acceso y circulación restringida: En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.
Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. En relación con el primer inciso, deben hacerse las siguientes precisiones. Como se explicó anteriormente, esta Ley Estatutaria, al establecer las condiciones mínimas en el manejo de la información, no agota la regulación en materia de babeas data, y por tanto, el Tratamiento estará también sujeto a la normatividad que se expida posteriormente.
En cuanto al segundo inciso, la norma debe entenderse que también se encuentra prohibida toda conducta tendiente al cruce de datos entre las diferentes bases de información, excepto cuando exista autorización legal expresa, es decir, lo que la jurisprudencia una ha denominado el principio de individualidad del dato. Como consecuencia de lo anterior, queda prohibido generar efectos jurídicos adversos frente a los Titulares, con base, únicamente en la información contenida en una base de datos.
De otra parte, y en relación con ese segundo inciso, uno de los interviniente solicita a esta Corporación, declarar su constitucionalidad bajo los siguientes condicionamientos: (i) se debe evitar que los datos privados, semiprivados, reservados o secretos puedan estar junto con los datos públicos, y por tanto, los primeros no pueden ser objeto de publicación en línea, a menos que se ofrezcan todos los requerimientos técnicos y (ii) se debe eliminar cualquier posibilidad de acceso indiscriminado, mediante la digitación del número de identificación a los datos personales del ciudadano. Considera la Sala que tales condicionamientos no son necesarios, por cuanto la misma norma elimina estas posibilidades.
En efecto: (i) prohíbe que los datos no públicos sean publicados en Internet y (¡0 sólo podrían ser publicados si se ofrecen todas las garantías. De lo anterior se infiere que si el sistema permite el acceso con la simple [241] La seguridad, es uno de los elementos que debe contar con las garantías necesarias de protección de datos personales en los SRS.
En consecuencia, el Grupo de Trabajo diseñó ciertos parámetros bajo lós cuales el acceso a la información personal en redes sociales debe estar protegido, pues de no ser así, generaría desconfianza en el usuario, al no tener la certeza de que su información no va a ser tratada adecuadamente. Al especto se indicó; "Los SRS deberían pues establecer parámetros por defecto respetuosos de la intimidad, que permitan a los usuarios aceptar libre y específicamente que personas distintas a sus contactos elegidos accedan a su perfil, con el fin de reducir el riesgo de un tratamiento ilícito por terceros.
Los perfiles de acceso ilimitado no deberían ser localizables por los motores de búsqueda internos, incluso por la función de búsqueda por parámetros como la edad o el lugar ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;
Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los -Jitulares o.tecceros autorizados conforme a la presente lev: ' B,8-RESOLUCIÓN NÚMERO DE 2025 digitación de la cédula, no es un sistenna que cumpla requerimientos del inciso segundo del literal f) del artículo 4. con los Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella.
De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. De otra parte, cabe señalar que aún cuando se trate de información a los límites de la base de datos." específicos determinados por el objeto y finalidad pública, su divulgación y circulación está sometida Por su parte, el principio de confidenciaiidad agrega un sentido de responsabilidad a quienes realizan el tratamiento de datos personaies, pues, de acuerdo con su definición, "[t]odas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento"^®.
De acuerdo con este análisis, los Responsables del tratamiento de datos personales deben tener implementadas las medidas necesarias para que incidentes de seguridad, como la divulgación de información a personas no autorizadas, no ocurran. Resulta necesario la reglamentación y desarrollo de diferentes mecanismos que comprometan a los colaboradores en la labor de proteger el derecho de Habeas Data.
En efecto, de conformidad con el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, "Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto ".
Sobre este particular, la Corte Constitucional mediante ia sentencia C-32 de 2021 reconoció la existencia de ia responsabilidad demostrada en los siguientes términos; "219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic).
El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas. Esto de manera proporcional a: Ó) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial;
(ii) la naturaleza de los datos personales objeto de tratamiento; (Mi) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal. Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos.
A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable; (ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (Mi) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales.
El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia Literal h1 del artículo 4.de la Lev 1581, de,,,2012. a í: íí RESOLUCIÓN NÚMERO ff8-DE 2025 del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.(Destacamos) De conformidad con lo anteriormente indicado, el Responsable respecto del tratamiento de los datos personales debe estar en la capacidad de demostrar que tiene implementadas las medidas de seguridad necesarias para prevenir cualquier tipo de riesgo que pueda comprometer el tratamiento seguro de los datos personales recolectados.
Consideró la RECURRENTE que, en el presente caso, en lo que tiene que ver con el principio de seguridad, "BAGUER S.A.S desde la entrada en vigor de la Ley 1581 de 2012 ha diseñado, implementado y monitoreado un sistema de datos personales conforme a la guía accountability promulgada por la Superintendencia de Industria y Comercio, y como lo señala en su política de tratamiento de la información, "ha instituido dentro de esta Política de Protección de Datos Personales - PTI, las reglas y principios necesario para brindarle protección al Titular de los datos que se tratan dentro de la organización, de cualquier riesgo de vulneración de sus derechos, con miras a garantizarie su Dignidad Humana a partir de la implementación de medidas necesarias y efectivas para cumplir las obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios" El RECURRENTE indicó que el señor adquirió en el 2017 una obligación con ellos, informando para ese momento que su número celular de contacto sería el celular ^in embargo, el 23 de enero de 2019, el titular se comunicó desde la línea ^■1 solicitar un acuerdo de pago y manifestó su intención de actuaiizar su información. En lo que tiene que ver con la actualización de la línea celular para realizar las gestiones de cobro, este Despacho coincide con la Dirección cuando al resolver el recurso de reposición manifestó: "De conformidad con lo anterior, encuentra este Despacho que la sociedad BAGUER S.A.S. Mantuvo una comunicación permanente con el titular a través del número celular |, desde el 23 de enero de 2019 y hasta el 12 de marzo de 2019; de acuerdo con las grabaciones de las llamadas y mensajes de voz remitidas por parte de la sociedad recurrente.
Finalmente, este Despacho encuentra pertinente resaltar que, en el presente caso no se encuentra en discusión si la sociedad BAGUER SjAjSj-ealiz^^ctualizad^de datos solicitada por el titular Pues, de hecho, la sociedad BAGUER S.A.S. mantuvo una comunicación permanente con el titular, de cara a realizar las gestiones de cobranza". Además, conforme las pruebas allegadas a la presente actuación administrativa, el 11 de noviembre de 2020 BAGUER realizó una gestión de cobro vía WhatsApp al número ■[ para lo cual envió una imagen de su documento de identidad.
Igualmente, el investigado envió una información relacionada con la obligación de la cual es deudor. Quien recibe el mensaje indica, de manera clara, inmediata y contundente que el citado número no corresponde al señor y que se trata de una línea corporativa, situación que pudo verificarse conforme las imágenes remitidas en la queja presentada el 11 de febrero de 2021.
ESPACIO Efi BLAÍiCO Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021. M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.aov.co/rel atoria/2021/C-032-21.htm RESOLUCIÓN NÚMERO ' 88--' “ 15E 2025 Posteriormente, y a pesar de la advertencia que hizo el nuevo titular de la ^línea celular BAGUER insistió en la gestión de cobranza.
El 11 de febrero de 2021, yia WhatsApp, tai y como se puede apreciar en las siguientes imágenes tomadas del consecutivo 21-59860-56 y que fueran allegadas por la investigada al momento de presentar su escrito de descargos, se puede evidenciar la información que BAGUER suministró. E m. I a« H ■ V 4 RESOLUCIÓN NÚMERO \\ 8 a DE 2025 /f RESOLUCIÓN NÚMERO;8 8 DE 2025 Así las cosas, cuando BAGUER realizó las gestione^^obi^^ señor haber sido informado previamente de que la línea, pese a ya. no le pertenecía, persistió en dichas acciones.
Además, envió documentos como cartas relacionadas con el estado de cuenta de la obligación, así como una copia de la cédula de ciudadanía e imagen de la huella dactilar. Con estas acciones, BAGUER vulneró la ley de protección de datos personales, ya que no se garantizó la conservación de la información bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
De conformidad con lo establecido en el artículo 22 de la Ley 1581 de 2012, el reproche que realiza la Dirección respecto de la conducta desplegada por BAGUER se ajusta a los principios de legalidad y tipicidad, en la medida que, se comprobó a partir de las diferentes pruebas allegadas a la presente actuación administrativa el efectivo incumplimiento de las normas de protección de datos personales. 9.3.2.Proporcionalidad de la Sanción Impuesta La facultad sancionadora de la cual se ha hecho referencia a lo largo del presente acto administrativo, además de encontrarse sujeta a los principios de legalidad y tipicidad, lo está también del principio de proporcionalidad, en desarrollo del cual, la sanción a imponer debe ser "proporcional" a la falta o infracción que se quiere sancionar, esto dentro de un marco de referencia que permita la determinación de la sanción en el caso en concreto.
Ese juicio de proporcionalidad o de ponderación busca que la sanción que vaya a ser impuesta consecuente y equilibrada respecto de la conducta reprochada, es decir, debe ser las más adecuada a la norma que le da sustento, pues lo que se pretende con su imposición es promover y garantizar el cumplimiento del Régimen de Protección de Datos Personales. sea En desarrollo de los citados principios, la Ley 1581 de 2012 en sus artículos 23 y 24 establece las clases de sanciones y los criterios que deben ser tenidos en cuenta para efectos de su graduación.."ARTÍCULO 23.
SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil 12.0001 salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
( )
ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES, Las sanciones por infracciones a las que se refieren el artículo anterior, se 3 8 8-RESOLUCIÓN NÚMERO DE 2025 graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Ahora bien, respecto de la proporcionalidad de la sanción RECURRENTE manifestó en su escrito de apelación lo siguiente: "Suplico a su Despacho, se reconsidere la sanción impuesta a nuestra empresa y se entre a reconsiderar todos los argumentos expuestos por BAGUER S.A.S, a realizar nuevamente un análisis al acervo probatorio, a fin de colegir en el caso concreto, que BAGUER S.A.S S (sic) no ha vulnerado en su condición de responsable del tratamiento de los datos personales, al deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal (sic) literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.
En caso de considerar que es procedente la confirmación de imposición de una sanción, se de aplicación a las siguientes atenuantes: a) La no persistencia en la presunta infractora. ( ) b) La no reincidencia en la comisión de las infracciones en materia c) de protección al consumidor. ( ) La disposición de buscar una solución adecuada a los consumidores.
( ) d) e) La dispocisión de colaborar con las autoridades competentes. ( ) El beneficio económico que se hubiere obtenido por la presunta comisión de la infracción. f) La utilización de medios fraudulentos en la comisión de la presunta infracción y la no utilización de interpuesta persona para ocultarla e encubrir sus efectos. g) El grado de prudencia o diligencia con que se atendieron deberes y aplicaron las normas pertinentes". los En primer lugar, resulta necesario aclararle a la RECURRENTE que los criterios de atenuación respecto de la sanción impuesta y que son relacionados en su escrito de apelación, corresponden a los establecidos en el parágrafo 1 del artículo 61 de la Ley 1480 de 2011, "Por medio de la cual se expide el Estatuto del Consumidor y se dictan otras disposiciones", normatividad que, por su naturaleza no es aplicable a la presente actuación administrativa.
Aclarado lo anterior, encuentra el Despacho que la Dirección, teniendo en cuenta los presupuestos establecidos en los artículos 23 y 24 antes transcritos y los hechos que dieron origen a la presente actuación administrativa, impuso a BAGUER la sanción de multa, para lo cual realizó una ponderación de cada uno de los criterios de graduación establecidos en la norma.
En este caso la Dirección concluyó que con su conducta había vulnerado el principio de seguridad establecido en la Ley 1581 de 2012, pues compartió con un tercero la información ersonal del señor a través de la gestión de cobro realizada a la línea celular Es así como la Dirección, al momento de graduar la sanción a imponer, consideró conforme la conducta investigada y las pruebas allegadas, solo aplicó el criterio establecido en el literal a) del ya citado artículo 24, y no los establecidos en los literales b), c), d) y e) en la medida que, BAGUER: RESOLUCIÓN NÚMERO T.3 DE 2025 (i) (ii) (iii) Ov) No obtuvo un beneficio económico en virtud de ia comisión de la infracción, No reincidió en la comisión de la falta investigada, No se resistió ni obstruyó la acción investigadora de esta Superintendencia. No fue renuente al cumplimiento de las órdenes impartidas por esta Superintendencia. Destaca el Despacho que la Dirección no dio aplicación al literal f) del artículo 24 citado, en la medida que BAGUER no aceptó de manera expresa la comisión de la conducta sancionada.
Con lo anterior, el Despacho concluye que la Dirección, para la graduación de la sanción en este caso, valoró los criterios establecidos en el artículo 24 de la Ley 1581 de 2012. Sin embargo, no todos los criterios fueron "aplicados" al momento en que fue graduada la sanción impuesta, debido a que, como lo dijo a Corte Constitucional, los 5 primeros numerales establecidos en el artículo 24 son utilizados para agravar la sanción y el último para atenuarla’^®.
Así las cosas, este Despacho considera que la sanción impuesta por la Dirección se ajusta a los principios constitucionales y legales anteriormente desarrollados, en la medida que reprocha el desconocimiento de las normas de protección de datos por parte de BAGUER. Es importante aclarar que las sanciones impuestas en el marco de procesos administrativos sancionatorios no representan una cuantificación de perjuicios materiales o morales, es decir, no constituyen una estimación de daños subjetivos.
Por el contrario, las multas que impone esta superintendencia son sanciones contra de la persona natural o jurídica que viole las disposiciones de la citada Ley. Sin embargo, su propósito no se limita a castigar la violación de las normas, sino que busca también fomentar y garantizar el cumplimiento del Régimen General de Protección de Datos Personales, contribuyendo así a la protección efectiva del derecho fundamental a la protección de datos personales, entre otros^^.
La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de Datos personales, que fue positivizado por el en el artículo 15 de la Constitución Política Nacional, y que, en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana; el buen nombre; la intimidad; etc.
Se destaca igualmente que, para determinar el monto de la sanción, la Dirección consideró diversos factores, como el tamaño de la empresa, los ingresos operacionales, el patrimonio y, en general, la información financiera de la sociedad, la magnitud de la infracción, y el deber incumplido. Por lo tanto, se evidencia que todo esto se ha evaluado, en congruencia con los principios de proporcionalidad y razonabilidad.
Finalmente, en lo que tiene que ver con la multa pecuniaria impuesta, resulta pertinente resaltar lo siguiente:. La multa impuesta a BAGUER ($93.302.520), corresponde al 4.02% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). • El monto de dicha sanción es el resultado del análisis de la puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa por el incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables. • La Resolución recurrida fue proferida con la debida observancia de los principios que irgen las actuaciones administrativas y corresponde al resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de babeas data y en particular de los mandatos legales señalados. 18 La Corte Constitucional en sentencia C-748 de 2011, respecto de los criterios de graduación establecidos en el artículo 24 de a la Constitución, en la medida en que corresponde al legislador la Ley 1581 de 2012 manifestó: "Este precepto se ajusta establecer parámetros para aue las autoridades, al momento de aplicar determinada sanción, puedan hacer el graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, precepto analizado consagra en los primeros S literales, circunstancias de agravación de la sanción, mientras_el último, el literal f) consagra una causal de disminución", (resaltado fuera de texto) 18 Las sanciones impuestas en función del derecho administrativo sandonatorio pretenden asegurar el orden público y Ponente funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Ines Vargas. el correcto --.a RESOLUCIÓN NÚMERO DE 2025 Las sanciones que se innponen dentro de esta clase de actuaciones no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre Tratamiento de Datos personales. • 9.3.3. Respecto de las órdenes impartidas en el Artículo 2 de la Resolución No. 1016 dei 26 de enero de 2024 Frente este punto en particular considera el Despacho importante señalar a la RECURRENTE que éstas son de carácter preventivo y busca que la vulneración al régimen de protección de datos personales no se repita.
Se pretende igualmente generar conciencia en los Responsables para que realicen todas las tareas necesarias en aras de fortalecer las medidas que puedan tener ya implementadas para que éstas estén acordes con las disposiciones constitucionales y legales vigentes que protegen el derecho de babeas data. Conforme lo anterior, este Despacho considera necesario modificar el artículo 2 de la Resolución No. 1016 del 26 de enero de 2024 con el fin de que las obligaciones establecidas en ese artículo sean más precisas y claras para el RECURRENTE.
El artículo quedará así: "ORDENAR a la sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0: Estabiecer, adecuar y fortaiecer, según sea ei caso, las medidas de seguridad para ei tratamiento de los datos personales con lo cual le permita prevenir, de manera eficiente, ia adulteración, pérdida, consuita, uso, acceso o difusión no autorizada o frauduienta de los datos personales contenidos en sus bases de datos.
Asegurar y verificar que el uso y tratamiento de los datos personales para el cobro de cartera se realice de acuerdo con la autorización que haya dado el titular. Informar de manera oportuna, clara y precisa a los titulares de los datos personales sobre la modificación y adecuación de las políticas de protección de los datos personales, en especial lo relacionado con la política de seguridad.
Abstenerse de divulgar y compartir datos personales de tipo sensible de los titulares de la información por medio de la plataforma Whatsapp." 9.4. a. Conclusiones BAGUER incumplió con el deber establecido en ei iiteral d) dei artícuio 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la citada norma, cuando envió a un tercero no autorizado información personal del señor b. Los criterios de atenuación de las sanciones relacionadas en el escrito de apelación por la RECURRENTE solo son aplicables al régimen sancionatorio establecido en ia Ley 1480 de 2011, "Por medio de la cual se expide el Estatuto de Consumidor y se dictan otras disposiciones".
Debido a esto, ios criterios enunciados por el RECURRENTE en su apelación no pueden ser aplicados a este caso concreto. c. La sanción impuesta en la Resolución No. 1016 dei 26 de enero de 2024, cumple con los principios de legalidad, tipicidad y proporcionalidad, en la medida que para su imposición se valoraron cada uno de los criterios de graduación establecidos en ei artícuio 24 de la Ley 1581 de 2012. d. Este Despacho considera necesario modificar las órdenes impartidas en el artículo 2 de la Resolución No, 1016 dei 26 de enero de 2024. e. La multa impuesta a BAGUER corresponde ai 4.02% del máximo iegai permitido (2000 salarios mínimos iegales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). - RESOLUCIÓN NÚMERO DE 2025 En mérito de lo expuesto, este Despacho RESUELVE:
ARTÍCULO 1. CONFIRMAR el ARTÍCULO 1 de la Resolución No. 1016 del 26 de enero de 2024, de conformidad con lo expuesto en la parteimotiva'/de la presente resolución.
ARTÍCULO 2. MODIFICAR el ARTÍCULO 2 de la Resolución No. 1016 del 26 de enero de 2024, de conformidad con lo expuesto en la parte motiva de la presente resolución, el cual quedará así:
ARTÍCULO 2. ORDENAR a la sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0: Establecer, adecuar y fortalecer, según sea el caso, las medidas de seguridad para el tratamiento de los datos personales con lo cual le permita prevenir, de manera eficiente, la adulteración, pérdida, consulta, uso, acceso o difusión no autorizada o fraudulenta de los datos personales contenidos en sus bases de datos.
Asegurar y verificar que el uso y tratamiento de los datos personales para el cobro de cartera se realice de acuerdo con la autorización que haya dado el titular. Informar de manera oportuna, clara y precisa a los titulares de los datos personales sobre la modificación y adecuación de las políticas de protección de los datos personales, en especial lo relacionado con la política de seguridad.
Abstenerse de divulgar y compartir datos personales de tipo sensible de los titulares de la información por medio de la plataforma Whatsapp. Parágrafo primero. La sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, deberá cumplir lo ordenado en esta resolución dentro de los treinta (30) días siguientes a la ejecutoria del presente acto administrativo.
Parágrafo segundo. La sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo suscrita por el representante legal de la propiedad horizontal.
Parágrafo tercero. El incumplimiento de lo ordenado en el presente acto administrativo hará a la sociedad BAGUER S.A.S. identificada con NIT. 804.006.601-0, acreedora de las sanciones previstas en la ley".
ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad BAGUER S.A.S., identificada con el NIT 804.006.601-0, a través de su representante legal o apoderado, entregándole copla de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 4. COMUNICAR el contenido del presente acto administrativo^e^e^ identificado con la cédula de ciudadanía No. RESOLUCIÓN NÚMERO m-DE 2025 ARTÍCULO 5. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 0 7 ENE 2025 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES (E), MARIA"CATALINA 6ASTELBONDQXHRIVÍ Proyectó: NTU Revisó: NTL Aprobó: MCG NOTIFICACIÓN: Entidad: BAGUER S.A.S. Identificación: Nit. No. 804.006.601-0 Representante Legal: MARIA ELIZABETH ARENAS AMADO Identificación: Dirección: C.C. 60.351.363 Ciudad: Centro Industrial y Logístico SAN Jorge Bodega 66 Anillo Vial Kilómetro 7 Vía Palenque Floridablanca.
Girón (Santander) Correo Electrónico: notificaciones@baauer.com.co COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: