Decisión 44824 de 2025 — SIC

(17 de julio de 2025) “Por la cual se resuelve un recurso” Radicación 22-178291 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución N.° 80322 del 19 de diciembre de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. identificada con NIT 800.153.993-7 de DOSCIENTOS TREINTA (230) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a VEINTISÉIS MIL SEISCIENTOS OCHENTA (26.680) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a DOSCIENTOS NOVENTA Y DOS MILLONES CIENTO SETENTA Y DOS MIL SEISCIENTOS OCHENTA PESOS M/CTE ($292.172.680), por la vulneración a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales b) y c) del artículo 4° de la misma ley, y con el artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015.

(…)

ARTÍCULO 2. ORDENAR a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., con NIT. 800.153.993-7, cumplir con la siguiente instrucción:  La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. deberá desarrollar e implementar un formato de 'Autorización para el Tratamiento de Datos Personales', que permita a los Titulares, de manera voluntaria, aceptar o rechazar cualquier finalidad que no guarde una relación directa con el propósito para el cual fueron entregados los datos o con la prestación del servicio solicitado.

Parágrafo Primero: La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., con NIT. 800.153.993-7 deberá cumplir lo ordenado en esta resolución dentro de los DOS (2) meses siguientes a la ejecutoria del presente acto administrativo. Parágrafo Segundo: La sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., con NIT. 800.153.993-7, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) días hábiles siguientes a la expiración del plazo previsto en el parágrafo anterior.

Parágrafo Tercero: Para demostrar el cumplimiento, se deberá́ remitir a esta Dirección una certificación suscrita por el representante legal de la sociedad, mediante la cual acredite que se han implementado las medidas ordenadas, sin “Por la cual se resuelve un recurso” perjuicio de que las misma puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.”1 SEGUNDO: Que la Resolución N.º 80322 del 19 de diciembre de 2024 le fue notificada mediante aviso N.° 34091 a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. el 31 de diciembre de 2024, de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio bajo radicado 22-178291- -44 del 3 de enero de 2025.

TERCERO: Que mediante escrito radicado bajo número 22-178291- -44 el 16 de enero de 2025, la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., a través de su apodera, interpuso recurso de reposición y en subsidio apelación contra la Resolución N.° 80322 del 19 de diciembre de 2024, a través del cual manifestó que: 1. La sociedad argumenta que se presentó una vulneración del derecho de defensa y del debido proceso dentro del trámite de la investigación, toda vez que la Dirección no solo modificó el acto de imputación de cargos con el fin de corregir un error previamente advertido en los descargos, sino que, con ello, alteró la estructura del proceso sancionatorio, afectando la seguridad jurídica y las garantías del procesado, al utilizar sus argumentos de defensa no para decidir a su favor, sino para subsanar vicios y continuar con la imposición de una sanción2.

Asimismo, la sociedad resalta que el proceso quedó con dos actos de formulación de cargos, contenidos en resoluciones distintas y con una diferencia de casi tres meses entre una y otra, lo que constituye una irregularidad que altera la estructura procesal, genera confusión, vulnera el debido proceso y afecta gravemente el derecho de defensa de la investigada.

Esta situación fue puesta en conocimiento de la Autoridad mediante escrito presentado el 27 de junio de 2024, solicitando el restablecimiento de sus garantías3. Al respecto, la sociedad sostiene que la Dirección omitió pronunciarse sobre dicha solicitud y continuó con el trámite sin adoptar ninguna medida frente a lo planteado, lo que incrementó la inseguridad jurídica del proceso4.

Por último, la recurrente cita lo dispuesto en la resolución y alega que no se efectuó un análisis integral de los reparos formulados, y que la única justificación ofrecida por la Dirección, esto es, la concesión de un nuevo término para presentar descargos, resulta insuficiente, al no valorar la trascendencia de lo ocurrido. En su criterio, la primera imputación surtió plenos efectos al haber sido notificada y permitir el ejercicio del derecho de defensa, lo que le confiere ejecutoria material.

En consecuencia, su modificación posterior no solo afecta la estructura lógica del proceso, sino que vulnera el principio de preclusión, al romper la secuencia ordenada de los actos procesales5. 2. La sociedad sostiene que no se configuró una vulneración a los derechos del titular en materia de hábeas data6, por cuanto no se impuso la autorización para el tratamiento de datos personales como condición para acceder al servicio, sino que dicha autorización era necesaria para validar la identidad del solicitante, requisito indispensable para adelantar el trámite requerido.

Alega que la actuación se ajustó plenamente a la normativa sobre protección de datos personales, y que en ningún momento se usó un 1 Resolución N.º 80322 del 19 de diciembre de 2024. Folios 35 a 36. 2 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 5. 3 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 6. 4 Expediente Digital 22-178291.

Consecutivo número 45. Página 3, folio 6. 5 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folios 8 a 9. 6 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 12. “Por la cual se resuelve un recurso” formato de autorización suscrito por el titular para fines distintos a los permitidos ni se efectuaron consultas indebidas a bases de datos sin contar previamente con autorización. En este sentido, reitera que la validación de identidad exigía autorización previa para el tratamiento de datos, especialmente considerando que el mecanismo utilizado podía incluir la consulta a bases de datos de información crediticia. Así, concluye que no se forzó al titular a otorgar una autorización injustificada, sino que esta era una condición legalmente necesaria para cumplir con el trámite, por lo que no se configura el incumplimiento atribuido ni se justifica la sanción impuesta en la resolución7. 3.

La sociedad argumenta que la orden administrativa impartida carece de relación directa con los hechos investigados8. Señala que la Autoridad se basó en un formato genérico de autorización para el tratamiento de datos personales de COMCEL S.A., el cual no fue suscrito por el titular XXXXX XXXXXXX XXXXXX. XXXXXXX ni fue utilizado en el trámite relacionado con la línea celular objeto de la actuación. Aclara que la autorización solicitada no fue exigida como condición para la prestación del servicio, sino como un requisito necesario para verificar la identidad del solicitante, trámite que sí era indispensable.

Además, sostiene que las finalidades cuestionadas en la decisión sancionatoria no se encuentran registradas en el formato que efectivamente fue utilizado en ese caso, por lo que no pueden considerarse como impuestas al titular. En consecuencia, afirma que la decisión se fundamenta en hechos que no guardan pertinencia con la situación concreta del caso, y que la orden impartida carece de sustento, al estar basada en elementos ajenos a los realmente verificados en el trámite.

Esto, a su juicio, configura una vulneración adicional al derecho de defensa y al debido proceso, al exigir a la empresa modificar sus formatos con base en supuestos que no corresponden a los hechos objeto de investigación ni reflejan la conducta imputada.” 9 4. Respecto a la “Imposición y graduación de la sanción” 10 la sociedad indica que la Autoridad únicamente aplicó el criterio de graduación previsto en el literal a) del artículo 24 de la Ley 1581 de 2012, sin realizar un análisis suficiente sobre la conducta reprochada ni el presunto daño causado, y sin justificar la inaplicación de los demás criterios, cuya omisión impidió considerar posibles atenuantes o circunstancias que podrían haber reducido la sanción 11 5.

Por último, la recurrente solicita que “se REVOQUE la sanción impuesta junto con la orden”12, y subsidiariamente solicita que la sanción sea dosificada adecuadamente y vinculada de manera específica con los hechos investigados. Además, solicita la modificación de la orden impartida, a fin de que se ajuste y limite a lo realmente investigado, sus finalidades y los formatos utilizados en el trámite del Titular13.

CUARTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten 7 Expediente Digital 22-178291. Consecutivo número 45.

Página 3, folios 12 a 18. 8 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 18. 9 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folios 18 a 23. 10 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 23. 11 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folios 23 a 24. 12 Expediente Digital 22-178291.

Consecutivo número 45. Página 3, folios 24 a 25. 13 Expediente Digital 22-178291. Consecutivo número 5. Página 2, folio 3. “Por la cual se resuelve un recurso” los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones: Frente a los argumentos presentados por la recurrente se encuentra que los mismos se concretan en cinco aspectos, a saber: (i) la vulneración del derecho a la defensa y el debido proceso;

(ii) la trasgresión del derecho de Habeas Data del Titular; (iii) la orden administrativa impartida; (iv) los criterios de graduación de la sanción; y (v) las pretensiones. 5.1 Frente a la vulneración del derecho a la defensa y el debido proceso La sociedad argumenta que se presentó una vulneración del derecho de defensa y del debido proceso dentro del trámite de la investigación, toda vez que la Dirección no solo modificó el acto de imputación de cargos con el fin de corregir un error previamente advertido en los descargos, sino que, con ello, alteró la estructura del proceso sancionatorio, afectando la seguridad jurídica y las garantías del procesado, al utilizar sus argumentos de defensa no para decidir a su favor, sino para subsanar vicios y continuar con la imposición de una sanción14.

De igual forma, la sociedad recalca que el proceso quedó con dos actos de formulación de cargos, contenidos en resoluciones distintas y con una diferencia de casi tres meses entre una y otra, lo que genera confusión y constituye una irregularidad que altera la estructura procesal, vulnera el debido proceso y afecta gravemente el derecho de defensa de la investigada.

Además, la sociedad sostiene que esta situación fue puesta en conocimiento de la Autoridad mediante escrito presentado el 27 de junio de 2024, solicitando el restablecimiento de sus garantías15 y “la Dirección obvió esa solicitud, omitió efectuar pronunciamiento alguno al respecto y continuó con el trámite”16. Asimismo, la recurrente cita lo dispuesto en la resolución y alega que no se efectuó un análisis integral de los reparos formulados, y que la única justificación ofrecida por la Dirección, la concesión de un nuevo término para presentar descargos, resulta insuficiente, al no valorar la trascendencia de lo ocurrido.

En su criterio, la primera imputación surtió plenos efectos al haber sido notificada y permitir el ejercicio del derecho de defensa, lo que le confiere ejecutoria material. En consecuencia, su modificación posterior no solo afecta la estructura lógica del proceso, sino que vulnera el principio de preclusión, al romper la secuencia ordenada de los actos procesales17.

Frente a los planteamientos expuestos por la sociedad, este Despacho considera necesario realizar algunas precisiones, a saber: En primer lugar, la Resolución N.° 34001 del 27 de junio de 2024, “Por la cual se modifica un acto administrativo”, se fundamenta en los hechos denunciados por el Titular y en el material probatorio recaudado durante la etapa de averiguaciones preliminares, y no, como lo afirma la sociedad, en el escrito de descargos.

La modificación adoptada obedeció al análisis de legalidad de la actuación administrativa, con base en los hechos y documentos allegados por el denunciante. En consecuencia, se reitera que el error advertido no se identificó a partir del escrito de descargos ni se fundamentó en su contenido. Tal como se indica en la citada Resolución: 14 Expediente Digital 22-178291.

Consecutivo número 45. Página 3, folio 5. 15 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 6. 16 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 6. 17 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folios 8 a 9. “Por la cual se resuelve un recurso” “Al respecto, como lo menciona el Titular XXXXX XXXXXXX XXXXXX.

XXXXXXX en la denuncia presentada ante este Despacho, el Titular le manifestó al funcionario de CLARO que no era su deseo autorizar el tratamiento de sus datos para los siguientes fines: Así, el Titular sostiene en su denuncia que le informó a la sociedad que no quería firmar el formato de autorización debido a las finalidades comerciales y publicitarias establecidas en el mismo, y que la respuesta dada por la sociedad fue que la firma era obligatoria para poder acceder al servicio.

(…) Como se evidencia, de acuerdo a lo expresado por la Corte Constitucional el principio de libertad implica que el Titular puede elegir voluntariamente si entrega su información al Responsable, y si acepta o no el tratamiento que se le va a impartir a sus datos personales. Así, resulta claro que cualquier utilización diversa de los datos debe ser autorizada de forma libre por el Titular por cuanto es una facultad y potestad del Titular decidir libremente sobre el tratamiento de sus datos.

Por lo tanto, se debe entender que por mandato legal, ningún Responsable puede impartir tratamiento sobre los datos de los Titulares de forma deliberada, ya que es facultad del Titular elegir voluntariamente las finalidades para la cuales entrega sus datos personales, salvo aquellas finalidades que resultan obligatorias para cumplir con la relación contractual existente entre las partes.

En consecuencia, se evidencia una presunta infracción por parte de LA INVESTIGADA al deber de garantizar al Titular de la Información el pleno y efectivo ejercicio del derecho de hábeas data, consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales b) y c) del artículo 4° de la misma ley, y con el artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015.” 18(Subyarado y negrilla fuera del texto original) Como se desprende de la denuncia presentada, el Titular manifestó que expresó a la sociedad su negativa a firmar el formato de autorización, en razón de las finalidades comerciales y publicitarias allí contempladas.

No obstante, según su declaración, la sociedad le informó que la firma del documento era obligatoria para acceder al servicio requerido. Adicionalmente, conforme al acervo probatorio, se estableció que la sociedad utiliza un formato estándar denominado “Autorización para el Tratamiento de Datos Personales” y que, respecto de dicho formato, la propia sociedad reconoció lo siguiente: “se aclara que en caso de que los usuarios no acepten la autorización del tratamiento de sus datos personales, no resulta procedente la continuación con el trámite en sede Empresa, debido a que el Sistema de la Compañía no permite validar la titularidad del usuario, ni efectuar modificaciones de los productos o servicios, según el caso.”19 En este contexto, se resalta que desde la etapa inicial de la investigación, con fundamento en las pruebas obrantes en el expediente y en los hechos puestos en conocimiento por el denunciante, ya se evidenciaba un presunto incumplimiento por parte de la sociedad del deber de garantizar el derecho fundamental de hábeas data del Titular.

Si bien en la formulación inicial de cargos se incurrió en un error al señalar como presunto incumplimiento la ausencia de autorización del Titular, cuando en el expediente ya reposaba copia 18 Resolución N.° 34001 de 27 de junio de 2024. Folios 4 a 6. 19 Expediente digital 22-178291. Consecutivo número 9. Página 3. Folio 12. “Por la cual se resuelve un recurso” de dicha autorización, allegada por el propio denunciante, ello no desvirtúa la existencia de una trasgresión al mencionado derecho fundamental.

La sociedad no puede desconocer que, pese a contar formalmente con una autorización, el formato de autorización utilizado contraria los principios rectores del régimen de protección de datos personales, y en particular el principio de libertad. En consecuencia, este Despacho reitera que la Resolución N.° 34001 del 27 de junio de 2024, “Por la cual se modifica un acto administrativo”, tuvo como sustento los hechos denunciados por el Titular y las pruebas recaudadas en el curso de la actuación administrativa.

Asimismo, se resalta que dicha actuación encuentra respaldo en lo dispuesto en el artículo 41 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA), el cual establece: “ARTÍCULO 41. Corrección de Irregularidades en la Actuación Administrativa. La autoridad, en cualquier momento anterior a la expedición del acto, de oficio o a petición de parte, corregirá las irregularidades que se hayan presentado en la actuación administrativa para ajustarla a derecho, y adoptará las medidas necesarias para concluirla.” De conformidad con la disposición citada, este Despacho actuó dentro del marco legal al modificar el acto de formulación de cargos, con el propósito de ajustar la actuación administrativa al ordenamiento jurídico, sin que ello implicara una vulneración al debido proceso ni al derecho de defensa de la recurrente.

En ese sentido, frente al argumento según el cual la modificación del acto de imputación tuvo como finalidad exclusiva facilitar la imposición de una sanción, este Despacho precisa que los hechos que fundamentan la presente actuación administrativa, y que configuran un presunto incumplimiento del régimen de protección de datos personales, se originan, como ya se señaló, en la denuncia presentada por el Titular y en el material probatorio recaudado durante la etapa preliminar.

Por tanto, no es procedente afirmar que la reformulación de los cargos obedeció a una intención sancionatoria, cuando la motivación real fue la necesidad de adecuar el contenido del acto a los hechos y a las pruebas debidamente recaudadas, en observancia del principio de legalidad. Lo anterior resulta aún más claro si se tiene en cuenta que los elementos obrantes en el expediente evidencian que la conducta desplegada por la sociedad comprometió el derecho fundamental de hábeas data del Titular.

En segundo lugar, no se advierte vulneración alguna al derecho al debido proceso ni al derecho de defensa de la parte recurrente, toda vez que este Despacho garantizó el pleno y efectivo ejercicio de dichas garantías procesales, al permitirle conocer los cargos formulados de manera clara y ejercer su derecho de contradicción en debida forma.

El debido proceso, consagrado como derecho fundamental en el artículo 29 de la Constitución Política de Colombia, tiene como finalidad asegurar que toda persona acceda a un trámite justo, en el cual se respeten las formas propias del procedimiento, se le informe oportunamente sobre los cargos que se le atribuyen y sobre las pruebas que obran en su contra.

Este principio garantiza la igualdad procesal y la posibilidad real de ejercer los derechos de defensa y contradicción. La Corte Constitucional ha resaltado reiteradamente la importancia de este derecho en el ámbito administrativo. En particular, en la Sentencia T-084 de 2015 señaló: “En el plano de los procedimientos administrativos, se tiene que el derecho al debido proceso representa un medio de garantía de otros derechos fundamentales de los individuos, que pueden resultar lesionados por el proceder de autoridades públicas.

En esta medida, se procura no solo porque el ejercicio de la función pública y los trámites que se surtan ante la misma se encuentren reglados y respondan a estándares de legalidad, sino que también se busca que exista un “Por la cual se resuelve un recurso” apego a la normatividad que rige el actuar estatal. En este sentido, el debido proceso se refiere tanto al establecimiento previo de las formas propias del actuar administrativo como al respeto por dicho sistema de reglas por parte de las autoridades.

Por lo tanto, el derecho al debido proceso también requiere que se dé una participación real y efectiva al administrado en el trámite de asuntos que le afectan. De esta manera se ha dicho que ‘(e)n lo que se refiere a las actuaciones administrativas, éstas deben ser el resultado de un proceso donde quien haga parte del mismo, tenga oportunidad de expresar sus opiniones e igualmente de presentar y solicitar las pruebas que demuestren sus derechos, con la plena observancia de las disposiciones que regulan la materia, respetando en todo caso los términos y etapas procesales descritas’.

En cuanto al alcance del derecho al debido proceso administrativo, se ha establecido que este, en primera medida, comprende el derecho del ciudadano a conocer la actuación administrativa que se surta en relación con sus intereses, así como a aportar, impugnar y contradecir las pruebas que en su contra se alleguen. Además, este derecho incluiría la posibilidad de atacar por medio de recursos las decisiones que el administrado considere contrarias a sus derechos.

De igual forma, el derecho al debido proceso incorpora dentro de su órbita de protección no solo la necesidad de que el funcionario en su obrar cuente con un interés legítimo y que goce de la competencia parar tramitar el asunto sino que en el cumplimiento de sus funciones acate las normas que reglan la materia y se sujete a los principios y valores constitucionales que resulten aplicables al caso en cuestión. De manera adicional, se ha dicho que el derecho al debido proceso administrativo también requiere que se respete la presunción de inocencia, el derecho de defensa y contradicción, el principio de celeridad en el ejercicio de la función pública y la prohibición de non bis in ídem.” 20 (subrayado y negrilla fuera del texto original) Tal como lo ha indicado la Corte Constitucional, el debido proceso constituye una garantía esencial para la protección de otros derechos fundamentales que podrían verse afectados por la actuación de las autoridades.

En el contexto de los procedimientos administrativos, dicho derecho impone a la Administración el deber de asegurar la participación real y efectiva de los administrados en los trámites que incidan sobre sus intereses, permitiéndoles manifestar sus argumentos, solicitar y aportar pruebas pertinentes para la defensa de sus derechos, todo ello con estricto cumplimiento de las normas procesales aplicables y dentro de los plazos legalmente establecidos.

En consonancia con lo anterior, y tal como se indicó en la Resolución N.° 80322 del 19 de diciembre de 2024, esta autoridad, con posterioridad a la expedición de la Resolución N.° 34001 de 2024, otorgó nuevamente a la sociedad el término legal correspondiente para presentar sus descargos y allegar las pruebas que considerara pertinentes, en garantía del pleno ejercicio de sus derechos procesales.

Asimismo, resulta pertinente reiterar lo señalado por el Consejo de Estado en relación con los elementos estructurales del debido proceso: “El debido proceso consagrado en el artículo 29 de la Constitución Política es una garantía y un derecho fundamental de aplicación inmediata compuesto por tres ejes fundamentales: (i) el derecho de defensa y contradicción, (ii) el impulso y trámite de los procesos conforme con las formas establecidas para cada juicio o procedimiento y (iii) que el asunto sea resuelto por el juez o funcionario competente para ello.

La grave violación de cualquiera de esos ejes comporta la vulneración de esa garantía fundamental. De hecho, es la ley, en sentido amplio, la encargada de materializar las reglas derivadas del debido proceso. En ese entendido, sobre el derecho de defensa y de contradicción, eje fundamental del debido proceso, la Sala precisa que se garantiza en la medida en que la ley, en sentido amplio, regule (i) los medios de prueba que se pueden utilizar para Corte Constitucional.

Sentencia T-084 de 25 de febrero de 2015. Magistrada Ponente: María Victoria Calle Correa “Por la cual se resuelve un recurso” demostrar determinados hechos, y, (ii) las oportunidades que se deben ofrecer para controvertir los hechos que permiten inferir cierta responsabilidad de determinados sujetos, ora mediante la oportunidad para expresar los motivos o razones de la defensa ora mediante la oportunidad para presentar las pruebas que respalden esos motivos y razones.” 21.

(Subrayado y negrilla fuera del texto original) En consecuencia, toda vez que este Despacho le otorgó a la parte recurrente la oportunidad de controvertir los hechos, ejercer su derecho de defensa, y presentar o solicitar las pruebas que estimara necesarias, no se configura vulneración alguna al debido proceso. Por el contrario, la decisión de conceder un nuevo término procesal, luego de la modificación de los cargos, garantizó adecuadamente el ejercicio de los derechos de defensa y contradicción, sin que de ello se derive situación alguna de indefensión, como lo pretende sostener la parte recurrente.

En tercer lugar, respecto a la supuesta confusión generada por la expedición de la Resolución N.° 34001 de 2024, este Despacho resalta que dicho acto fue claro en la descripción de los hechos constitutivos de la conducta infractora, en la norma presuntamente vulnerada, y en las pruebas que sustentaban la imputación. De este modo, se cumplieron los requisitos establecidos en el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo - CPACA, permitiendo a la sociedad conocer de manera precisa el cargo formulado y ejercer su defensa en condiciones de claridad y seguridad jurídica.

En cuarto lugar, frente a la afirmación de la sociedad según la cual “la Dirección obvió esa solicitud, omitió efectuar pronunciamiento alguno al respecto y continuó con el trámite” 22, este Despacho aclara que en la Resolución N.° 80322 del 19 de diciembre de 2024, mediante la cual se resolvió de fondo la investigación, se abordaron y analizaron todos los argumentos expuestos por la sociedad.

Por tanto, no resulta acertado afirmar que hubo omisión o falta de pronunciamiento, toda vez que dichos planteamientos fueron objeto de valoración expresa en el acto administrativo que decidió de manera definitiva la actuación. En quinto lugar, este Despacho considera necesario precisar que no se produjo una afectación al principio de preclusión, en la medida en que la modificación introducida a la formulación de cargos no implicó una alteración de las etapas procesales esenciales del procedimiento, sino un ajuste legítimo en la adecuación jurídica del hecho imputado, conforme a lo previsto en el artículo 41 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo CPACA).

Esta corrección fue efectuada en ejercicio de las facultades legales de la Administración para subsanar irregularidades dentro de la actuación administrativa, con el fin de ajustarla a derecho y garantizar la legalidad sustancial del trámite. Finalmente, como ya fue ampliamente analizado, los derechos de defensa y contradicción de la recurrente fueron respetados en todo momento.

Prueba de ello es que, tras la modificación de la formulación de cargos, este Despacho concedió nuevamente a la sociedad el término procesal correspondiente para presentar sus descargos y aportar o solicitar las pruebas que estimara necesarias. No obstante, fue la propia sociedad quien optó por no ejercer dicho derecho, argumentando que: “qué sentido para el investigado tiene platear argumentos de defensa en los descargos, si la Administración considera que con los mismos puede dar lugar a modificaciones de los cargos antes que a decisiones favorables a sus intereses?”23. 21 Consejo de Estado.

Sección Cuarta, de 18 de julio de 2011, Exp. 11001-03-27-000-2006-00044-00(16191), C.P. Hugo Fernando Bastidas Bárcenas 22 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 6. 23 Expediente Digital 22-178291. Consecutivo número 31. Página 3, folio 15. “Por la cual se resuelve un recurso” Tal posición, además de carecer de sustento jurídico, refleja una interpretación errada del procedimiento administrativo sancionatorio, en tanto que omitir voluntariamente el ejercicio del derecho de defensa bajo el supuesto de que ello podría dar lugar a nuevas actuaciones administrativas, no puede derivar en una supuesta vulneración por parte de la autoridad.

Por el contrario, fue la propia decisión de la sociedad de no controvertir los hechos ni ejercer su derecho de defensa la que generó la ausencia de elementos de contradicción procesal en esta etapa. Así, se destaca que una vez expedida la Resolución N.° 34001 de 2024, mediante la cual se modificó la formulación de cargos, este Despacho continuó con el trámite del proceso conforme a las etapas previstas en el procedimiento administrativo sancionatorio, garantizando en todo momento los derechos de la sociedad y el respeto al debido proceso.

En conclusión, la garantía del debido proceso en el ámbito del derecho administrativo sancionador, no se ve afectada por el ejercicio de la facultad legal de la Administración para corregir errores sustanciales dentro de la actuación, siempre que dichas correcciones no comprometan los derechos del investigado, ni alteren las etapas esenciales del procedimiento.

El principio de preclusión procesal no impide la subsanación de vicios cuando esta se realiza con anterioridad a la expedición del acto definitivo y con el propósito de ajustar la actuación a derecho. La verdadera salvaguarda de las garantías procesales radica en que el investigado disponga de oportunidades reales y efectivas para ejercer su derecho de defensa.

En tal sentido, el uso legítimo de las facultades de corrección por parte de la Administración, acompañado de la concesión de nuevos términos para controvertir los hechos y aportar pruebas, no configura una vulneración al debido proceso, sino que, por el contrario, garantiza la adopción de decisiones fundadas en hechos debidamente tipificados y susceptibles de contradicción. Por lo anterior, este Despacho no acogerá los argumentos esgrimidos por la parte recurrente respecto a la vulneración de su derecho de defensa y el debido proceso. 5.2.

Frente a la trasgresión del derecho de Habeas Data del Titular La sociedad sostiene que no se configuró un desconocimiento de los derechos del titular en materia de Hábeas Data24, por cuanto no se impuso la autorización para el tratamiento de datos personales como condición para acceder al servicio, sino que dicha autorización era necesaria para validar la identidad del solicitante, requisito indispensable para adelantar el trámite requerido.

Alega que la actuación se ajustó plenamente a la normativa sobre protección de datos personales, y que en ningún momento se usó un formato de autorización suscrito por el titular para fines distintos a los permitidos ni se efectuaron consultas indebidas a bases de datos sin contar previamente con autorización. En este sentido, reitera que la validación de identidad exigía autorización previa para el tratamiento de datos, especialmente considerando que el mecanismo utilizado podía incluir la consulta a bases de datos de información crediticia. Así, concluye que no se forzó al titular a otorgar una autorización injustificada, sino que esta era una condición legalmente necesaria para cumplir con el trámite, por lo que no se configura el incumplimiento atribuido ni se justifica la sanción impuesta en la resolución recurrida” 25 Como se evidencia, la sociedad sostiene que no “impuso” al titular la aceptación de la autorización como condición para acceder a la prestación del servició. Al respecto, la sociedad explica que para el cambio de sim era indispensable la validación de identidad del Titular y para ello se necesitaba la autorización del mismo para el tratamiento de sus datos personales.

Por lo tanto, la sociedad argumenta que procedió en estricto apego a la normativa. 24 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 12. 25 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folios 12 a 18. “Por la cual se resuelve un recurso” Sin embargo, este Despacho precisa que la controversia no recae sobre la legitimidad de solicitar al Titular la autorización para el tratamiento de sus datos personales con ocasión del trámite requerido, sino sobre el contenido y alcance del formato utilizado para tal efecto.

Como fue establecido en la Resolución N.° 80322 del 19 de diciembre de 2024: “En el presente caso, según lo manifestado por el Titular, la sociedad condicionó la realización del cambio de SIM CARD a la aceptación del mencionado formato. Lo anterior, como ya fue explicado en la Resolución N°. 34001 de 27 de junio de 2024 vulnera los principios de libertad y finalidad consagrados en la ley 1581 de 2012 toda vez que impone la obligación al Titular de aceptar el tratamiento para fines comerciales y publicitarios en aras de recibir un servicio, cuando es derecho del Titular elegir que datos entrega y si está de acuerdo con que los mismo se utilicen para otras finalidades.

Al respecto, en relación con el principio de libertad, la Corte Constitucional ha manifestado: “Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular.” (negrilla y resaltado fuera del texto) De acuerdo con lo establecido por la Corte Constitucional, el principio de libertad implica que el Titular tiene la facultad de decidir voluntariamente si entrega su información al Responsable y si consiente o no el tratamiento que se dará a sus datos personales.

En consecuencia, es claro que los Responsables del tratamiento no pueden imponer finalidades a los Titulares ni condicionarlos a aceptar dichas finalidades como requisito para la prestación de un servicio. Por lo tanto, cualquier finalidad que no guarde una relación directa con el motivo por el cual el Titular entrega sus datos debe ser aceptada por este de manera facultativa.

En este sentido, este Despacho enfatiza que la decisión sobre el tratamiento de los datos personales es un derecho exclusivo y autónomo del Titular. En virtud de lo anterior, se debe entender que, conforme al mandato legal, ningún Responsable puede tratar los datos personales de manera deliberada o arbitraria. Es el Titular quien, de manera voluntaria, determina las finalidades para las cuales autoriza el uso de su información, salvo aquellas finalidades que sean estrictamente necesarias para cumplir con la relación contractual existente entre las partes.”26 En este contexto, es preciso reiterar que el Titular debe tener la posibilidad, de autorizar el tratamiento de sus datos personales exclusivamente, para finalidades necesarias con ocasión de la relación existente entre las partes, como la validación de su identidad, sin que ello implique aceptar de manera obligatoria el uso de su información con propósitos comerciales o publicitarios.

Por tanto, la conducta cuestionada no radica en la solicitud de autorización, como mecanismo legítimo para el tratamiento de datos personales, sino en la ausencia de una estructura que permitiera al Titular, manifestar su consentimiento de manera libre, informada y específica para cada una de las finalidades contempladas. El formato presentado por la sociedad no brindaba tal posibilidad, lo cual impidió el ejercicio pleno de los derechos del Titular.

Adicionalmente, resulta claro que, desde el momento en que se requiere realizar el tratamiento de datos personales del Titular, no resulta proporcional 26 Resolución N.° 80322 del 19 de diciembre de 2024. Folios 26 a 27. “Por la cual se resuelve un recurso” condicionar la prestación del servicio a la entrega del consentimiento para una finalidad que no es necesaria ni legítima en el marco de la relación contractual.

En el presente caso, se trataba de la expedición de una tarjeta SIM, trámite que no exige, como requisito obligatorio, la autorización para el tratamiento de datos personales con fines publicitarios. Por tanto, negar la prestación del servicio por la falta de dicha autorización constituye una afectación injustificada al derecho del Titular.

En consecuencia, exigir al Titular la aceptación integral del formato de autorización, aun cuando este expresó claramente su oposición al tratamiento de sus datos con fines distintos a los estrictamente necesarios para la prestación del servicio, constituye una práctica contraria a los principios rectores del régimen de protección de datos personales.

Esta exigencia supuso la subordinación del acceso a un servicio esencial a la aceptación forzada de finalidades accesorias, lo que desnaturaliza el carácter voluntario del consentimiento y vulnera la autonomía del Titular. Por lo anterior, este Despacho concluye que, contrario a lo sostenido por la parte recurrente, en el presente caso sí se configuró una vulneración del derecho fundamental de hábeas data del Titular.

Así, se resalta que la garantía efectiva del derecho al hábeas data, no se satisface únicamente con la recolección formal del consentimiento, sino que requiere que este sea otorgado de manera libre, consciente y no condicionado. Imponer la aceptación de finalidades que pueden resultar accesorias, como requisito para acceder a un servicio esencial, constituye una práctica contraria a los principios que rigen el tratamiento de datos personales.

Por ende, los Responsables del tratamiento deben implementar mecanismos que permitan al Titular ejercer sus derechos de forma real y efectiva, sin que ello implique la renuncia a su facultad de decidir sobre el uso de sus datos personales. En consecuencia, este Despacho no acogerá los argumentos presentados por la parte recurrente en relación con la supuesta inexistencia de una vulneración al derecho fundamental de hábeas data del Titular, toda vez que su actuación desconoció el principio de libertad y limitó injustificadamente la autonomía del Titular. 5.3 Frente a la orden administrativa impartida La sociedad recalca que la orden impartida no guarda una relación directa con lo que fue objeto de investigación 27, al respecto señala que la Autoridad se basó en un formato genérico de autorización para el tratamiento de datos personales de COMCEL S.A., el cual no fue suscrito por el titular XXXXX XXXXXXX XXXXXX.

XXXXXXX ni fue utilizado en el trámite relacionado con la línea celular objeto de la actuación. Aclara que la autorización solicitada no fue exigida como condición para la prestación del servicio, sino como un requisito necesario para verificar la identidad del solicitante, trámite que sí era indispensable. Además, sostiene que las finalidades cuestionadas en la decisión sancionatoria no se encuentran registradas en el formato que efectivamente fue utilizado en ese caso, por lo que no pueden considerarse como impuestas al titular.

En consecuencia, afirma que la decisión se fundamenta en hechos que no guardan pertinencia con la situación concreta del caso, y que la orden impartida carece de sustento, al estar basada en elementos ajenos a los realmente verificados en el trámite. Esto, a su juicio, configura una vulneración adicional al derecho de defensa y al debido proceso, al exigir a la empresa modificar sus formatos con base en supuestos que no corresponden a los hechos objeto de investigación ni reflejan la conducta imputada. 28 27 Expediente Digital 22-178291.

Consecutivo número 45. Página 3, folio 18. 28 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folios 18 a 23. “Por la cual se resuelve un recurso” Al respecto, este Despacho considera que los argumentos expuestos por la sociedad se estructuran en tres aspectos principales: (i) que la orden impartida no guarda una relación directa con el objeto de la investigación;

(ii) que la autorización solicitada al Titular no fue impuesta como condición para la prestación del servicio; y (iii) que no se especificaron de manera clara las finalidades que, presuntamente, se habría obligado al quejoso a aceptar, sin que fueran necesarias para la prestación del servicio. En primer lugar, respecto al objeto de la investigación, en el presente caso, tal como fue establecido en la Resolución N.º 80322 del 19 de diciembre de 2024, el Titular XXXXX XXXXXXX XXXXXX.

XXXXXXX, presentó ante esta Superintendencia una denuncia, por la presunta vulneración de su derecho de Habeas Data por parte de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., en la cual establecía que: “El objeto de PQR es radicar la siguiente denuncia COMUNICACIONES basado en los siguientes HECHOS contra CLARO 1. Soy usuario de la línea celular # XXXXXXXXXX 2.

Ante permanentes fallas por caída de llamadas entrantes y salientes, cobertura muy deficiente en la ciudad, bajo rendimiento en los datos y en general mal servicio, me informaron vía telefónica que me acercara a la oficina para cambia la SIM 3. El 8 de abril asistí a la oficina XXXXX XXXXXXX. XXXXXXXXXX. y expuse el caso. El funcionario elaboró un formato para que lo firmara.

Observo que es una Autorización "Voluntaria" par uso de datos personales con los siguientes propósitos. 4. Le manifiesto al funcionario que NO es mi deseo AUTORIZAR estos fines y por lo tanto no quiero firmar el formato. 5. El funcionario me informa que es obligatorio firmar para hacer el cambio de la SIM, de lo contrario no puede hacerlo. 6.

Finalmente me da como opción que compre una nueva SIM 7. Considero una vulneración a mis derechos fundamentales, que la Empresa me obligue a firmar una autorización de uso de mis datos personales para fines comerciales para ofrecer un servicio adecuado de acuerdo con mi contrato de prestación de servicios. 8. Solicito se abra una investigación a Claro Comunicaciones por este abuso que comenten contra los usuarios de sus servicios y se investigue la violación a la ley HABEAS DATA.”29.

Para sustentar lo anterior, el Titular adjunto el siguiente formato de autorización para el tratamiento de datos personales implementado por la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. 30: (ESPACIO EN BLANCO) 29 Expediente digital 22-178291. Consecutivo número 0. Página 1. Folio 1. 30 Expediente digital 22-178291. Consecutivo número 0.

Página 5. Folio 1. “Por la cual se resuelve un recurso” Por lo anterior, con ocasión a la denuncia interpuesta por el Titular esta Superintendencia, requirió el 2 de junio de 2022 a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. mediante oficio de radicado 22-178291- -4, para que informara: “2. Alleguen copia del formato mediante el cual solicita la autorización para el tratamiento de los datos personales de los Titulares de la información en virtud de lo dispuesto en el artículo 9° de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.” 31 “2.

(…) De conformidad con lo solicitado por esta Coordinación se aporta el formato físico de la “Autorización para el Tratamiento de Datos Personales” en el Anexo No. 3; el cual es utilizado por la Compañía para realizar los cambios de SIM CARD de las líneas portadas. 31 Expediente digital 22-178291. Consecutivo número 0. Página 5. “Por la cual se resuelve un recurso” Igualmente, esta autorización se puede efectuarse de manera digital por parte de la Compañía, con ocasión al cambio de SIM CARD con relación a las líneas activas que no se encuentran portadas (Anexo No. 4), como se exhibe en la siguiente imagen parcial del Sistema de la Compañía: “Por la cual se resuelve un recurso” (…)”32 Debido a lo anterior, la Dirección de Investigación de Protección de Datos Personales de esta Superintendencia mediante Resolución N°. 11807 de 20 de marzo de 2024, después modificada por la Resolución N°. 34001 de 27 de junio de 2024, decidió formular pliego de cargos en contra de la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. Posteriormente, este Despacho después de analizar el escrito presentado por la sociedad, procedió a analizar las pruebas obrantes en el expediente, encontrando que el formato aportado por el Titular en la denuncia 33 coincidía con el aportado por la sociedad en la respuesta brindada a los requerimientos realizados34 y realizando las siguientes consideraciones: “Frente a este formato, la sociedad aceptó que: ‘se aclara que en caso de que los usuarios no acepten la autorización del tratamiento de sus datos personales, no resulta procedente la continuación con el trámite en sede Empresa, debido a que el Sistema de la Compañía no permite validar la titularidad del usuario, ni efectuar modificaciones de los productos o servicios, según el caso.’ En consecuencia, este Despacho advierte que la sociedad está condicionando la aceptación del formato de ‘Autorización para el Tratamiento de Datos Personales’ como requisito para la prestación de sus servicios a los usuarios.

En el presente caso, según lo manifestado por el Titular, la sociedad condicionó la realización del cambio de SIM CARD a la aceptación del mencionado formato. Lo anterior, como ya fue explicado en la Resolución N°. 34001 de 27 de junio de 2024 vulnera los principios de libertad y finalidad consagrados en la ley 1581 de 2012 toda vez que impone la obligación al Titular de aceptar el tratamiento para fines comerciales y publicitarios en aras de recibir un servicio, cuando es derecho del Titular elegir que datos entrega y si está de acuerdo con que los mismo se utilicen para otras finalidades.”35 Como se evidencia, contrario a lo afirmado por la recurrente, este Despacho sí analizó el formato pertinente, sobre el cual el Titular presentó su reclamación. En este sentido, el formato examinado en la Resolución N.° 80322 del 19 de diciembre de 2024 guarda relación directa con el objeto de la investigación. 32 Expediente digital 22-178291.

Consecutivo número 9. Página 3. Folios 4 a 6. 33 Expediente digital 22-178291. Consecutivo número 0. Página 5. Folio 1. 34 Expediente digital 22-178291. Consecutivo número 9. Página 3. Folio 5. 35 Resolución N.º 80322 del 19 de diciembre de 2024. Folios 26 a 27. “Por la cual se resuelve un recurso” En segundo lugar, en relación con el formato de autorización, la sociedad sostiene que dicho consentimiento no fue exigido como condición para la prestación del servicio, sino que se requería exclusivamente para la verificación de la identidad del Titular, trámite que, a su vez, sí constituía un requisito para efectuar el cambio de SIM.

Al respecto, tal como se analizó en el numeral 5.2 de la presente Resolución, este Despacho aclara que el cuestionamiento no recae sobre la solicitud de autorización por parte de la sociedad para el tratamiento de los datos personales del Titular con ocasión del trámite de cambio de SIM. El problema radica en que el formato utilizado para recabar dicha autorización incorporaba, de manera conjunta, finalidades distintas, entre ellas, actividades de carácter comercial y publicitario.

Cuando el Titular manifestó expresamente su desacuerdo con estas finalidades adicionales, se le indicó que debía aceptar en su totalidad el contenido del formato para poder acceder al servicio requerido. En consecuencia, lo que se reprocha no es la solicitud de autorización en sí misma, sino el hecho de que el formato proporcionado por la sociedad no permitía al Titular otorgar su consentimiento de forma diferenciada respecto de cada finalidad.

Esta circunstancia implicaba que, para acceder al servicio solicitado, esto es, el cambio de SIM, el Titular debía aceptar obligatoriamente todas las finalidades previstas por la sociedad, incluidas aquellas de naturaleza comercial y publicitaria. Sobre este punto, el propio Titular expuso en su denuncia lo siguiente: “(…) 3. El 8 de abril asistí a la oficina XXXXX XXXXXXX.

XXXXXXXXXX. y expuse el caso. El funcionario elaboró un formato para que lo firmara. Observo que es una Autorización "Voluntaria" par uso de datos personales con los siguientes propósitos. 4. Le manifiesto al funcionario que NO es mi deseo AUTORIZAR estos fines y por lo tanto no quiero firmar el formato. 5. El funcionario me informa que es obligatorio firmar para hacer el cambio de la SIM, de lo contrario no puede hacerlo. ”36.

De lo anterior se concluye que el Titular no se oponía al tratamiento de sus datos personales para las finalidades estrictamente relacionadas con la prestación del servicio solicitado, sino únicamente a su utilización con fines comerciales y publicitarios. No obstante, la sociedad condicionó la prestación del servicio a la aceptación integral de todas las finalidades previstas en el formato de autorización, sin ofrecer una opción que permitiera al Titular manifestar su consentimiento de manera diferenciada.

Esta conducta resulta contraria al principio de libertad, consagrado en el régimen de protección de datos personales, conforme al cual el tratamiento solo puede realizarse con el consentimiento previo, expreso e informado del Titular, y sin que este se vea obligado a autorizar finalidades adicionales no esenciales para la prestación del servicio.

Obligar al Titular a aceptar el tratamiento de sus datos con propósitos comerciales y publicitarios como condición para acceder al servicio vulnera su derecho fundamental al habeas data y configura una práctica contraria a los derechos que le asisten, al supeditar la entrega del servicio a la aceptación de finalidades que no son necesarias para su ejecución. 36 Expediente digital 22-178291.

Consecutivo número 0. Página 1. Folio 1. “Por la cual se resuelve un recurso” En tercer lugar, la sociedad establece que este Despacho no especificó de manera clara las finalidades que, presuntamente, se habría obligado al quejoso a aceptar, sin que fueran necesarias para la prestación del servicio, al respecto la sociedad indica que: “no precisa cuáles finalidades son las que se consideran que se obligó al quejoso a aceptar sin ser necesarias, pero en todo caso lo que si puede afirmarse es que no pueden ser aquellas que se resaltan en la decisión sanción respecto del formato cuya imagen se exhibe en la página 26 de la decisión, en la medida en que aquellas finalidades no están registradas en el trámite ni en el formato utilizado para la autorización del tratamiento de datos personales del señor XXXXX XXXXXXX XXXXXX.

XXXXXXX referido a la SIM CARD de la línea celular XXXXXXXXXX” 37 Como ya se estableció, el formato analizado en la Resolución N.° 80322 del 19 de diciembre de 2024 guarda relación directa con el objeto de la reclamación, al tratarse del mismo documento que fue aportado por el Titular junto con su denuncia. En relación con dicho formato, este Despacho fue claro al señalar las finalidades que la sociedad impuso como condición para la prestación del servicio, tal como se evidencia a continuación: En este sentido, para este Despacho resulta evidente, que la sociedad tenía pleno conocimiento de las finalidades a las que hacían referencia tanto el Titular como esta autoridad.

No obstante, intentó justificar su actuación, en un supuesto error en el formato de autorización, con el propósito de evadir su obligación de garantizar el derecho del Titular a consentir de manera libre, específica e informada, el tratamiento de sus datos personales para finalidades distintas a aquellas estrictamente necesarias para la prestación del servicio.

Con el fin de brindar mayor claridad a la parte recurrente, este Despacho procederá a identificar de manera precisa cuáles son aquellas finalidades que no se consideran necesarias para la ejecución del servicio contratado, las cuales guardan relación con los hechos narrados en la denuncia, respecto de las cuales, el Titular debe conservar la facultad de aceptarlas o rechazarlas libremente, conforme a lo dispuesto en el nuevo formato aportado por la sociedad: (ESPACIO EN BLANCO) 37 Expediente Digital 22-178291.

Consecutivo número 45. Página 3, folios 18 a 23. “Por la cual se resuelve un recurso” Así, se recalca que es deber de la sociedad observar y respetar el principio de libertad, consagrado en el régimen de protección de datos personales y ampliamente desarrollado por la jurisprudencia constitucional. Este principio implica que los Titulares deben conservar el control pleno sobre el uso y tratamiento de sus datos personales, especialmente respecto de aquellas finalidades que no resultan estrictamente necesarias para la ejecución del servicio principal ofrecido.

En consecuencia, condicionar el acceso o la prestación del servicio a la aceptación de finalidades accesorias, como las de carácter comercial o publicitario, constituye una práctica contraria a dicho principio, al generar una relación asimétrica entre el Responsable del tratamiento y el Titular de los datos. Al respecto, en relación con el principio de libertad, la Corte Constitucional en la sentencia C-748 de 2011 ha manifestado: “Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos.

También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.

Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular.” (negrilla y resaltado fuera del texto) De acuerdo con lo establecido por la Corte Constitucional, el principio de libertad implica que el Titular tiene la facultad de decidir voluntariamente si entrega su información al Responsable y si consiente o no el tratamiento que se dará a sus datos personales.

En este sentido, este Despacho enfatiza que la decisión sobre el tratamiento de los datos personales es un derecho exclusivo y autónomo del Titular. “Por la cual se resuelve un recurso” En virtud de lo anterior, se debe entender que, conforme al mandato legal, ningún Responsable puede tratar los datos personales de manera deliberada o arbitraria.

Es el Titular quien, de manera voluntaria, determina las finalidades para las cuales autoriza el uso de su información, salvo aquellas finalidades que sean estrictamente necesarias para cumplir con la relación contractual existente entre las partes. En virtud de lo anterior, se estima indispensable que los Responsables del tratamiento, implementen mecanismos que garanticen que las finalidades accesorias sean presentadas de forma clara y expresa como opcionales, de manera que el Titular pueda otorgar o negar su consentimiento respecto de las mismas, sin que ello implique una restricción o condicionamiento en el acceso al servicio principal.

Frente a los criterios de graduación de la sanción La sociedad respecto a la “Imposición y graduación de la sanción” 38 indica que la Autoridad únicamente aplicó el criterio de graduación previsto en el literal a) del artículo 24 de la Ley 1581 de 2012, sin realizar un análisis suficiente sobre la conducta reprochada ni el presunto daño causado, y sin justificar la inaplicación de los demás criterios, cuya omisión impidió considerar posibles atenuantes o circunstancias que podrían haber reducido la sanción39.

En relación con el literal a) del artículo 24 de la Ley 1581 de 2012 la sociedad indica que “no se observa un análisis suficiente o completo por parte de la Autoridad Administrativa sobre la conducta reprochada”40, por lo tanto, es pertinente precisar que en la Resolución N.° 80322 del 19 de diciembre de 2024 este Despacho estableció que: “15.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

(…) En el caso sub examine, frente al cargo único sobre por el presunto incumplimiento del deber contenido en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con los literales b) y c) del artículo 4° de la misma ley, y con el artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, quedó probado que la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., impone la obligación a los Titulares de aceptar el tratamiento de sus datos personales para fines comerciales y publicitarios en aras de recibir un servicio, violando así el principio de libertad consagrado en la Ley 1581 de 2012 y el derecho de habeas data de los titulares de la información.”41 Por ende, se evidencia que este Despacho si determinó de forma clara y precisa porque el derecho de habeas data del Titular había sido vulnerado por la sociedad. 38 Expediente Digital 22-178291.

Consecutivo número 45. Página 3, folio 23. 39 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folios 23 a 24. 40 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 24 a 25. 41 Resolución N°. 84395 de 29 de noviembre de 2022. Folios 37 a 38. “Por la cual se resuelve un recurso” Asimismo, la sociedad argumenta que no se tuvieron en cuenta la totalidad los criterios definidos por la norma en la graduación de la sanción. En relación con esto, este Despacho considera pertinente analizar los criterios de graduación establecidos en la norma, y cómo los mismos fueron aplicados en la Resolución N.° 80322 del 19 de diciembre de 2024.

El artículo 24 de la Ley 1581 de 2012 establece lo siguiente: “Artículo 24. Criterios para graduar las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Frente a estos criterios, la Corte Constitucional en la sentencia C-748 del 2011 en el análisis de constitucionalidad de la norma estableció que: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”42 Así, conforme a lo señalado por la Corte, el artículo 24 de la Ley 1581 de 2012 establece seis criterios para la graduación de sanciones, de los cuales los cinco primeros constituyen circunstancias agravantes y el último corresponde a una circunstancia atenuante.

En ese orden de ideas, si bien la sociedad sostiene que este Despacho “dejó de lado cualquier efecto de esos criterios, algunos de los cuales, precisamente por no presentarse, denotan circunstancia que deben dar lugar a atenuaciones o disminuciones sancionatorias”43, lo cierto es que, al tratarse de criterios agravantes que no concurrieron en el caso concreto, estos no fueron considerados en la decisión. En relación a esto en la Resolución N.° 80322 del 19 de diciembre de 2024, este Despacho: (i) Informó de forma clara y precisa que era aplicable solo un agravante, el literal a), toda vez que se evidenció que hubo un daño y/o puesta en peligro de los intereses jurídicos tutelados, por cuanto, quedó demostrado el actuar negligente de la sociedad al imponer la obligación a los Titulares de aceptar el tratamiento de sus datos personales para fines comerciales y publicitarios en aras de recibir un servicio, violando así el principio de libertad consagrado en la Ley 1581 de 2012 y el derecho de habeas data de los titulares de la información. (ii) Indicó a la sociedad que: “los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio 42 Cfr. Corte Constitucional, sentencia C-748/2011.

M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.23. Análisis del articulado - Artículo 24° - Criterios para graduar las sanciones. 43 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folio 24 a 25. “Por la cual se resuelve un recurso” económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho”44; siendo esta la justificación de porque los otros agravantes no fueron tenidos en cuenta para graduar la sanción. (iii) Finalmente, estableció que el único atenuante indicado en la Ley corresponde al literal f) del artículo 24 no era aplicable por cuanto la sociedad no hizo un reconocimiento expreso de la comisión de la infracción antes de la imposición de la sanción. En conclusión, se tiene que este Despacho tuvo en cuenta para la graduación de la sanción todos los criterios aplicables según la norma y la jurisprudencia. Por lo tanto, el monto de la multa impuesta a la investigada es el resultado del análisis anterior.

En relación con esto, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, se tratan de multas y/o sanciones que buscan amparar el derecho fundamental45 a la protección de datos46 y promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales, por lo que no se debe tomar como algo insignificante.

En el presente caso, la cifra estipulada como sanción en la Resolución N.° 80322 del 19 de diciembre de 2024, tiene como fundamento la información financiera aportada por la recurrente en el escrito de descargos el 12 de abril de 2024 bajo radicado 22-178291- 21. Así, la cifra es el resultado de un análisis realizado respecto del tamaño de la empresa, sus ingresos operacionales, el patrimonio y, en general, la información financiera aportada.

En consecuencia, este Despacho no acogerá los argumentos formulados por la parte recurrente en cuanto a que la graduación de la sanción se realizó sin un análisis suficiente de la conducta reprochada ni del presunto daño ocasionado, y sin justificar la inaplicación de los demás criterios previstos en la norma. 5.5. Frente a las pretensiones Respecto de la pretensión principal consistente en que “se REVOQUE la sanción impuesta junto con la orden por lo anotado en los capítulos iniciales de este recurso”47, este Despacho considera que no está llamada a prosperar, toda vez que los argumentos expuestos por la sociedad no resultan atendibles a la luz del análisis efectuado en la presente decisión. En cuanto a las solicitudes subsidiarias, orientadas a que “se dosifique de manera adecuada y se disminuya” 48 la sanción, y que “se modifique la orden impartida para que resulte acorde con lo que fue objeto de investigación”49, este Despacho estima que dichas pretensiones tampoco están llamadas a prosperar, conforme a las consideraciones expuestas en esta resolución. No obstante lo anterior, se procederá a conceder el recurso de apelación interpuesto. 44 Resolución N.° 80322 del 19 de diciembre de 2024.

Folio 34. 45 El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 46 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 47 Expediente Digital 22-178291. Consecutivo número 45. Página 3, folios 24 a 25. 48 Expediente Digital 22-178291. Consecutivo número 5. Página 2, folio 3. 49 Expediente Digital 22-178291. Consecutivo número 5. Página 2, folio 3. “Por la cual se resuelve un recurso”

SEXTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 8050 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que los argumentos del recurso de reposición y en subsidio de apelación no son de recibo.

SÉPTIMO: Conclusiones 7.1. La garantía del debido proceso en el ámbito del derecho administrativo sancionador, no se ve menoscabada por el ejercicio de la facultad legal de la Administración para corregir errores sustanciales dentro del trámite, siempre que dichas correcciones no afecten los derechos del investigado ni alteren las etapas esenciales del procedimiento.

En consecuencia, dado que este Despacho otorgó a la sociedad recurrente la oportunidad efectiva de controvertir los hechos, ejercer su derecho de defensa y aportar o solicitar las pruebas que estimara pertinentes, no se configura vulneración alguna al debido proceso. 7.2. La garantía efectiva del derecho al hábeas data, no se satisface únicamente con la recolección formal del consentimiento, sino que requiere que este sea otorgado de manera libre, consciente y no condicionada.

Imponer la aceptación de finalidades accesorias como requisito para acceder a un servicio esencial, constituye una práctica contraria a los principios que rigen el tratamiento de datos personales. Por ende, los Responsables del tratamiento deben implementar mecanismos que permitan al Titular ejercer sus derechos de forma real y efectiva. 7.3.

Es indispensable que los Responsables del tratamiento, implementen mecanismos que garanticen que las finalidades accesorias sean presentadas de forma clara y expresa como opcionales, de manera que el Titular pueda otorgar o negar su consentimiento respecto de las mismas, sin que ello implique una restricción o condicionamiento en el acceso al servicio principal.

En tal sentido, este Despacho considera que la instrucción contenida en la Resolución N.° 80322 del 19 de diciembre de 2024 debe mantenerse vigente, en la medida en que resulta necesaria para la efectiva protección del derecho fundamental de hábeas data de los Titulares. 7.4. Para la graduación de la sanción este Despacho tuvo en cuenta todos los criterios aplicables según la norma y la jurisprudencia. Además, la cifra estipulada como sanción en la Resolución N.° 80322 del 19 de diciembre de 2024, tuvo como fundamento la información financiera aportada por la recurrente en el escrito de descargos el 12 de abril de 2024, bajo radicado 22-178291- 21 y fue el resultado de un análisis realizado respecto del tamaño de la empresa, sus ingresos operacionales, el patrimonio y, en general, la información financiera aportada.

OCTAVO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A. identificada con Nit. 800.153.993-7, con el correo electrónico de notificación judicial notificacionesclaro@claro.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego 50 ARTÍCULO

80. DECISIÓN DE LOS RECURSOS. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso. “Por la cual se resuelve un recurso” seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-178291.

La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello. Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: CONFIRMAR íntegramente la Resolución N.º 80322 del 19 de diciembre de 2024, conforme con lo expuesto en la parte motiva de la presente resolución.

ARTÍCULO 2: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMUNICACIÓN CELULAR S.A. COMCEL S.A., identificada con Nit. 800.153.993-7 a través de su representante legal o su apoderada, en calidad de investigada, entregándole copia de esta.

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 17 de julio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.07.17 14:25:34 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LA Revisó: YA Aprobó: CG

Resolución sancionatoria N° 44824 de 2025

CONSIDERANDO

RESUELVE