(19 de mayo 2025) “Por la cual se resuelve un recurso de apelación” Radicado 23-259878 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO: Que con ocasión de la queja presentada por la señora XXXXXX XXXXXXXXX XXXXXX XXXXXXXX1, la Dirección de Habeas Data, mediante Resolución No. 46095 del 19 de julio de 2022, impartió una orden encaminada a que la sociedad COLOMBIA MOVIL S.A. E.S.P. identificada con el Nit. 830.114.921-1 eliminara de sus bases de datos, los datos personales de la señora XXXXXX, toda vez que se observó un posible incumplimiento al deber contenido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la norma en mención.
SEGUNDO. Que, con ocasión del traslado realizado de las actuaciones mencionadas en el numeral anterior, la Dirección de Investigaciones de Datos Personales (en adelante la Dirección), mediante la Resolución No. 34193 del 22 de junio de 2023, decidió abrir una investigación administrativa y formular cargos contra la sociedad COLOMBIA MOVIL S.A. E.S.P., por la presunta vulneración de lo dispuesto en: el literal a) del artículo 17, de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8, de la ley en cita y del artículo 2.2.2.25.2.6 del Decreto único Reglamentario 1074 de 2015.
TERCERO. Que la Dirección, con fundamento en las pruebas obrantes en el expediente, concluyó que la sociedad COLOMBIA MÓVIL S.A. E.S.P. continuó realizando tratamiento de los datos personales de la titular, a pesar de que esta ejerció en tres ocasiones su derecho fundamental de hábeas data solicitando su eliminación y de que esta Dirección había impartido una orden expresa de supresión mediante la Resolución ya mencionada en el numeral primero, mediante Resolución No. 37975 del 11 de julio de 2024 resolvió lo siguiente: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COLOMBIA MÓVIL S.A. E.S.P, identificada con NIT. 830.114.921-1 de DOSCIENTOS CUARENTA (240) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTISIETE MIL OCHOCIENTOS CUARENTA (27.840) UNIDADES DE VALOR BÁSICO – vigentes para el año 2024 – equivalentes a TRESCIENTOS CUATRO MILLONES OCHOCIENTOS SETENTA Y CINCO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($304.875.840), por la vulneración a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, así como los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.
ARTÍCULO 2: ORDENAR a la sociedad COLOMBIA MÓVIL S.A. E.S.P, identificada con NIT. 830.114.921-1, cumplir con la siguiente instrucción: Queja identificada con el Radicado No 21-483121 del 4 de diciembre de 2021. “Por la cual se resuelve un recurso de apelación” • La sociedad COLOMBIA MÓVIL S.A. E.S.P deberá eliminar cualquier información sobre la quejosa del sistema interno de la compañía.”
CUARTO. Que, en el término legal establecido para el efecto2, el 5 de agosto de 2024, COLOMBIA MOVIL S.A. E.S.P. (en adelante la RECURRENTE), a través de su apoderado general y mediante escrito radicado con el número 23-25987826, interpuso recursos de reposición y apelación en contra de la decisión contenida en la Resolución No. 37975 del 11 de julio de 2024.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: (i) Sobre el caso en particular. La recurrente admite la comisión de la conducta infractora y manifiesta que, a la fecha, los datos personales de la titular han sido eliminados de sus bases de datos. Resalta que no existió intención de vulnerar los derechos de la titular y que lo sucedido obedeció a fallas en los procedimientos internos, las cuales impidieron atender de manera efectiva la solicitud de supresión. (ii) Sobre las mejoras implementadas.
La compañía reconoce que, pese a los esfuerzos realizados para cumplir con la normativa en materia de protección de datos, se presentó una vulneración al literal a) del artículo 17 de la Ley 1581 de 2012. En consecuencia, con el propósito de garantizar el adecuado tratamiento de los datos personales y evitar la repetición de situaciones similares, implementó diversos procesos correctivos y de mejora.
Señaló, en términos generales, las siguientes medidas: la implementación de un Programa Integral de Gestión de Datos Personales; la adopción de un procedimiento para verificar que los procesos de “contactabilidad” comercial se abstengan de ejecutarse sin la debida autorización del titular; el diseño de un mecanismo para atender de forma inmediata las solicitudes de rectificación y/o supresión de datos; la disposición de canales gratuitos, robustos y accesibles para la atención de solicitudes de revocatoria de autorización y supresión; y la elaboración de un instructivo para fortalecer el monitoreo continuo de las PQRs relacionadas con datos personales.
(iii) Sobre la cuantificación de la sanción. La sociedad argumenta que, conforme a lo previsto en la sentencia C-145 de 2004, el proceso radicado 200600873, en providencia de 1 de noviembre de 2019, y la sentencia del 4 de junio de 2020 del Tribunal Administrativo de Cundinamarca - Sección Primera respecto de la Ley 1341 de 2009 y el artículo 81.2 de la Ley 142 de 1994, las sanciones administrativas deben calcularse con base en el salario mínimo legal vigente al momento de la comisión de la infracción. En ese sentido, sostiene que, para el caso concreto, el valor de referencia aplicable es el salario mínimo correspondiente al año 2021, y no el vigente al momento de la expedición de la resolución sancionatoria.
Finalmente, solicita imponer la sanción mínima establecida en la norma, teniendo en cuenta la aceptación expresa de la comisión de la infracción y lo ateniente a la proporcionalidad.
QUINTO. La Dirección, mediante la Resolución No. 1373 del 27 de enero de 2025, resolvió el recurso de reposición interpuesto, confirmando en su totalidad lo dispuesto en la Resolución No. 37975 del 11 de julio de 2024. En dicha decisión, se concluyó que la sociedad COLOMBIA MÓVIL S.A. E.S.P. incumplió el deber de garantizar en todo momento el derecho de habeas data de la titular, respecto a la solicitud de supresión. Se estableció que la sociedad fue reincidente en tres ocasiones, lo que se consideró como agravante conforme al literal c) del artículo 24 de la Ley 1581 de 2012.
No obstante, se aplicó un criterio atenuante previsto en el literal f) del mismo artículo, debido al reconocimiento expreso de la infracción por parte de la sociedad. Además, al no La Resolución No. 37975 del 11 de julio de 2024, fue notificada electrónicamente a la RECURRENTE, el 23 de julio de 2024. “Por la cual se resuelve un recurso de apelación” comprobarse otros agravantes contemplados en los literales b), d) y e), no se impuso una sanción más severa.
Asimismo, se reconoció que la sociedad adoptó medidas administrativas para prevenir la repetición de conductas como las analizadas, en cumplimiento del principio de responsabilidad demostrada. No obstante, dichas acciones no exoneran su responsabilidad ni justifican la omisión que dio lugar a la sanción.
SEXTO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16 del Decreto 4886, del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022) 6.1. Sobre el caso El literal a) del artículo 17, de la Ley 1581 de 2012, establece entre los deberes esenciales de los responsables del tratamiento de datos personales: “(…) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”.
En relación con el contenido del derecho fundamental al hábeas data, la Corte Constitucional, en la Sentencia C-748 de 2011, mediante la cual realizó el control de constitucionalidad del entonces proyecto de ley estatutaria que dio origen a la Ley 1581 de 2012, precisó que este derecho confiere a las personas una serie de facultades básicas, entre las que se destacan: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho [de habeas data] encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;
(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada y corregida, de tal manera que concuerde con la realidad;
(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa”. (Negrilla fuera de texto) Como puede advertirse, el derecho al habeas data comprende las facultades del titular de acceder, corregir, actualizar, adicionar, excluir y/o eliminar su información personal de las bases de datos, de forma libre y en cualquier momento.
Por consiguiente, resulta esencial que los responsables y encargados de la información actúen de conformidad, implementando las medidas y procedimientos necesarios y suficientes para garantizar al titular el pleno y efectivo ejercicio de su derecho fundamental. En ese mismo sentido, el literal e) del artículo 8, de la Ley 1581 de 2012 establece expresamente que los titulares tienen derecho a: "Artículo 8.
Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;
(…)". Por su parte, el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2012, establece de manera clara que: “Por la cual se resuelve un recurso de apelación” “ARTÍCULO 2.2.2.25.2.6. Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.
La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.
Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” En consecuencia, es claro que, de conformidad con la normativa en cita, el titular, en ejercicio de su derecho fundamental al habeas data puede solicitar, en cualquier momento, la revocatoria de la autorización otorgada y/o la supresión de su información, salvo que exista un fundamento legal o contractual que justifique su conservación. Esta solicitud debe ser atendida de manera oportuna y efectiva por el responsable del tratamiento, quien está obligado a garantizar su pleno ejercicio, tal como lo exige la Ley 1581 de 2012 y su reglamentación. En el caso bajo estudio se encontró demostrado y fue aceptado por la misma recurrente que, pese a las solicitudes de supresión presentadas por la titular, la recurrente continuó tratando los datos personales de la reclamante y contactándola para fines de prospección comercial, incluso después de la orden de eliminación inmediata impartida, mediante la Resolución No. 46095 del 19 de julio de 2022, por la Dirección de Habeas Data.
La admisión expresa de la comisión de la conducta infractora por parte de la sociedad fue valorada por la Dirección al momento de calcular el monto de la sanción, como un criterio atenuante, conforme a lo dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012. Sin embargo, ello no constituye un eximente de responsabilidad, ni elimina el hecho cierto y demostrado de que se vulneró el derecho fundamental de habeas data de la titular.
El cumplimiento tardío de la orden de supresión, posterior a tres solicitudes de la titular y a una orden administrativa expresa de la Dirección de Habeas Data, no puede ser considerado como una acción que niegue la infracción ni inhiba la facultad sancionatoria. Por el contrario, confirma la negligencia en el cumplimiento del deber legal consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, que impone al responsable del tratamiento garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio de su derecho de habeas data.
Frente a las manifestaciones de la recurrente, respecto a que no existió intención de vulnerar los derechos del titular, se aclara que estas no desvirtúan el hecho de que efectivamente estos fueron vulnerados, ni elimina el riesgo en que se pusieron los derechos de otros titulares cuyos datos obran bajo la custodia de la responsable. El daño al interés jurídico tutelado, la protección de los datos personales ocurrió con independencia de que la conducta haya sido dolosa o culposa.
Finalmente, la alegación de que lo ocurrido obedeció a “fallas en los procedimientos internos” no exonera a la sociedad de su deber legal y constitucional. La existencia de tales fallas es, en sí misma, una manifestación de la ausencia de medidas adecuadas para garantizar el cumplimiento normativo y, por tanto, no puede utilizarse como justificación del incumplimiento, ni desplaza la obligación que tienen los responsables del “Por la cual se resuelve un recurso de apelación” tratamiento de implementar las acciones necesarias para proteger los derechos de los titulares.
Es fundamental que los responsables del tratamiento implementen y mantengan procedimientos efectivos y robustos para garantizar el cumplimiento de las solicitudes de los titulares y la ejecución de las instrucciones de la autoridad de protección de datos de manera oportuna, como parte de su obligación de proteger los derechos fundamentales establecidos por la Ley.
Por lo tanto, la negligencia de la sociedad en sus procedimientos internos no puede considerarse como una justificación para exculpar su responsabilidad frente a la vulneración reiterada el derecho fundamental de la titular. 6.2. Sobre las mejoras implementadas Frente al principio de responsabilidad demostrada, es necesario recordar que la sección 6 del Decreto Único Reglamentario 1074 de 2015 establece lo siguiente: “SECCIÓN 6 RESPONSABILIDAD DEMOSTRADA FRENTE AL TRATAMIENTO DE DATOS PERSONALES ARTÍCULO 2.2.2.25.6.1.
Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, cómo también la descripción de las finalidades para las cuáles esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas: (Decreto 1377 de 2013, art. 26)
ARTÍCULO 2. 2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2. 25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.
Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.
La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. “Por la cual se resuelve un recurso de apelación” La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.
(Decreto 1377 de 2013, art. 27)” (resaltado fuera del texto) El principio de responsabilidad demostrada reúne un conjunto de obligaciones, que pesan sobre responsables y encargados, relacionadas con el cumplimiento efectivo de las regulaciones aplicables, y con la posibilidad de demostrar que las acciones implementadas son útiles, pertinentes y eficaces en la práctica.
Por lo tanto, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Se trata de una actividad constante, que exige demostrar un cumplimiento real y efectivo en la práctica de sus labores donde orientada por el principio de precaución. En virtud de lo anterior, y conforme con la normativa citada, queda claro que la verificación del cumplimiento del principio de responsabilidad demostrada “será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley”.
Es decir, que si la Autoridad encuentra que, respecto del caso objeto de estudio, la sociedad acredita cumplir el principio de responsabilidad demostrada, esto debe ser tenido en cuenta al momento de calcular el monto de la sanción. Ahora bien, para que el principio de responsabilidad demostrada sea tenido en cuenta al momento de fijar la sanción es necesario que la sociedad recurrente, para la fecha de ocurrencia de los hechos denunciados, hubiese adoptado medidas pertinentes, útiles, efectivas y verificables, que garanticen el cumplimiento del deber sancionado que, en este caso concreto es el de “Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”, asimismo, que hubiese implementado medidas que evitaran los hechos por los que ha sido sancionada.
Una vez revisado el material probatorio aportado junto con el escrito de recurso, así como el acervo probatorio obrante en el expediente, este Despacho encuentra que la sociedad no aportó prueba alguna que acredite la fecha de implementación, el impacto de las medidas implementadas, ni la efectividad y/o verificabilidad de las mismas, ni el contenido de ninguna de las medidas previamente señaladas.
Por lo que no es posible verificar si fueron implementadas con anterioridad a la fecha de ocurrencia de los hechos denunciados y si están directamente encaminadas al cumplimiento del deber objeto de sanción y a impedir que hechos como el denunciado ocurrieran o volviesen a ocurrir. Por lo tanto, este Despacho constata que la sociedad recurrente no acreditó el cumplimiento del principio de responsabilidad demostrada para el caso bajo estudio, por lo que no accederá a lo solicitado en relación con estos argumentos. 6.2.
Sobre la cuantificación de la sanción Frente a la presunta determinación del monto de la sanción con base en el valor de los salarios mínimos vigentes al momento de los hechos, es decir, en el año 2021, este Despacho aclara que el argumento expuesto por la recurrente no es aplicable al caso objeto de estudio. La Ley 1581 de 2012 establece de manera clara y expresa el criterio para la liquidación de las multas impuestas por la personales.
En efecto, el artículo 23 de la citada ley en su literal a) dispone que la Superintendencia podrá imponer multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Esta norma establece “Por la cual se resuelve un recurso de apelación” un criterio expreso y autónomo, distinto al aplicado en el régimen cambiario analizado en la Sentencia C-145 de 2004, el cual se refería a la imposición de sanciones conforme al salario mínimo vigente en la fecha de formulación del pliego de cargos.
De igual manera, respecto de las otras decisiones invocadas por la recurrente se aclara que (i) la providencia del Consejo de Estado - Sección Primera, radicado 2006-00873 de 1 de noviembre de 2019, se refiere a la Superintendencia de Servicios Públicos Domiciliarios y la aplicación de sanciones conforme al artículo 81.2 de la Ley 142 de 1994; y (ii) la sentencia del Tribunal Administrativo de Cundinamarca - Sección Primera de 4 de junio de 2020, aborda una sanción impuesta por la Superintendencia de Industria y Comercio en el marco del régimen de protección de usuarios de telecomunicaciones, regulado por la Ley 1341 de 2009.
Así pues, es claro que la normativa aplicable en materia de protección de datos personales no remite ni guarda relación con el precedente invocado, sino que fija una regla distinta y específica, conforme a la cual la liquidación de la sanción debe realizarse con base en el salario mínimo vigente al momento de la imposición de la sanción, tal como se ha aplicado en el presente caso.
Por lo tanto, el argumento de la recurrente carece de fundamento jurídico y no da lugar a un ajuste o modificación del monto sancionatorio. En cuanto a la solicitud de imponer la sanción mínima prevista en la normativa, con fundamento en la aceptación expresa de la infracción y en las acciones correctivas adoptadas con posterioridad por la sociedad, esta no puede ser acogida en los términos pretendidos.
Si bien la admisión de la conducta infractora fue valorada como un criterio atenuante, conforme a lo dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012, dicha circunstancia no conlleva automáticamente la imposición de la sanción mínima, ni desvirtúa la gravedad de los hechos reprochados. En el presente caso, se acreditó una vulneración reiterada y prolongada del derecho fundamental de hábeas data, al punto que la titular se vio obligada a presentar tres solicitudes formales de supresión de sus datos personales, sin obtener una respuesta efectiva.
Además, la sociedad incurrió en el incumplimiento de una orden administrativa expresa, impartida por esta Dirección mediante acto administrativo que ordenaba la eliminación inmediata de los datos personales. Pese a dicha orden, la sociedad persistió en el tratamiento indebido de la información, al continuar contactando a la titular con fines publicitarios, lo que no solo agravó la afectación de sus derechos, sino que evidenció el incumplimiento del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, consistente en garantizar en todo tiempo el pleno y efectivo ejercicio del derecho de hábeas data.
Las acciones correctivas adoptadas con posterioridad a la comisión de la infracción, si bien se valoran positivamente bajo el principio de responsabilidad demostrada, no justifican el incumplimiento previo, no atenúan el impacto de la afectación generada, ni constituyen fundamento suficiente para reducir la sanción a su mínima expresión. La aplicación del principio de proporcionalidad en materia sancionatoria exige una valoración equilibrada de todos los factores concurrentes, tanto atenuantes como agravantes.
En este caso, se acreditaron dos circunstancias agravantes relevantes: • La reincidencia, demostrada por la comisión de la misma infracción en al menos tres oportunidades, conforme a lo dispuesto en el literal c) del artículo 24 de la Ley 1581 de 2012, y • La dimensión del daño o del riesgo generado a los intereses jurídicos tutelados, en los términos del literal a) del mismo artículo, en tanto la conducta del responsable no solo afectó los derechos de la titular, sino que puso en riesgo los datos personales de otros titulares bajo su “Por la cual se resuelve un recurso de apelación” custodia, reflejando una deficiente gestión en el cumplimiento de sus obligaciones legales.
Adicionalmente, la cuantificación de la sanción por parte de la Dirección de Investigaciones se realizó con sujeción a los parámetros del artículo 24 de la Ley 1581 de 2012, en concordancia con el principio de legalidad. En ese proceso, se tuvo en cuenta el deber específico incumplido, la duración de la afectación, así como la situación económica de la empresa, valorando elementos como su tamaño, ingresos operacionales y patrimonio, entre otros factores relevantes para la adecuada graduación de la sanción. Es relevante destacar que la sanción impuesta, esto es de 240 salarios mínimos legales mensuales, no excedió el límite establecido en el artículo 23 de la Ley 1581 de 2012, en tanto se encuentra en el rango de 1 a 2000 salarios mínimos legales mensuales.
En consecuencia, esta autoridad concluye que la sanción económica impuesta se ajusta a los principios de legalidad, razonabilidad y proporcionalidad que rigen el ejercicio de la potestad sancionatoria del Estado, y no procede su modificación en los términos solicitados por la recurrente.
SÉPTIMO. Que esta Delegatura arribó a las siguientes conclusiones: • Se corroboró la negligencia en el cumplimiento de lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, ya que la titular presentó varias solicitudes de supresión de sus datos personales para evitar la recepción continua de contenido comercial y publicitario y, a pesar de la respuesta favorable de la sociedad, esta persistió en el envío de dicha información, lo que llevó a la Dirección a proteger el derecho del Titular mediante la emisión de la Resolución No. 47256 del 28 de julio de 2021. • Ante una solicitud de supresión de datos por parte de un titular, es esencial que se dé curso a dicha solicitud de manera inmediata y eficiente, eliminando la información correspondiente dentro de los plazos establecidos por la Ley. • Pese a haber informado algunas medidas presuntamente implementadas para cumplir con los deberes y exigencias establecidos en la Ley, la sociedad no acreditó que, para la fecha de los hechos denunciados, tenía implementadas medidas efectivas y verificables tendientes a cumplir el deber sancionado y a evitar sucesos como el denunciado. • La multa impuesta a COLOMBIA MOVIL S.A por $304.875.840 corresponde al 11,7% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes “al momento de la imposición de la sanción”) y se fijó según los específicos términos del artículo 23 de la Ley 1581 de 2012. • El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados según las circunstancias específicas de este caso.
En su valoración se estimaron, al mismo tiempo, los hechos que activaron la causal de atenuación, relacionada con el reconocimiento expreso de la conducta infractora (art. 24, lit., f, Ley 1581 de 2012), como los que activaron la causal de agravación, relacionada con la reincidencia en la comisión de la infracción (art. 24, lit., c, Ley 1581 de 2012). • La vulneración del derecho de habeas data no solo afectó a la titular cuyos datos personales fueron indebidamente tratados, también puso en riesgo el derecho al habeas data de titulares indeterminados. • La sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, garantizando la protección efectiva del derecho fundamental al habeas data.
Su objetivo no es solo sancionar la conducta individual, sino generar un efecto disuasorio que evite la repetición de la infracción. “Por la cual se resuelve un recurso de apelación” De tal forma que, de conformidad con el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la resolución 37975 del 11 de julio de 2024 y, en mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución 37975 del 11 de julio de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a COLOMBIA MOVIL S.A. E.S.P. identificada con el Nit. 830.114.921-1, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente decisión a la señora XXXXXX XXXXXXXXX XXXXXX XXXXXXXX, identificado con la cédula de ciudadanía No. xx.xxx.xxx.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución, a la Dirección de investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C., 19 de mayo 2025 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. digitalmente por JUAN CARLOS Firmado JUAN CARLOS UPEGUI MEJIA 2025.05.19 10:57:19 UPEGUI MEJIA Fecha: -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU “Por la cual se resuelve un recurso de apelación” NOTIFICACIÓN Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: COLOMBIA MOVIL S.A. E.S.P. NIT. 830.114.921-1 CARLOS TOMAS ALBERTO BLANCO SPOSITO C.E 8.008.672 Carrera 50 # 95-98 Bogotá D.C. notificacionesjudiciales@tigo.com.co Apoderado: Identificación: Dirección: Correo electrónico: Ciudad: WALTHER TRIANA SOSA C.C. 1.013.611.218 Carrera 50 # 96 - 12 notificacionesjudiciales@tigo.com.co Bogotá D.C. COMUNICACIÓN Titular Nombre: Identificación: Correo electrónico: XXXXXX XXXXXXXXX XXXXXX XXXXXXXX C.C. No. xx.xxx.xxx xxxxxxxxXXXXXX@YAHOO.COM