(22 de septiembre 2025) “Por la cual se resuelve un recurso de apelación” Radicado 22-386528 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que, el 11 de agosto de 2022, esta Superintendencia, tuvo conocimiento de la denuncia interpuesta por la señora XXXXX XXXXXX XXXXXXX XXXXXXXX, mediante comunicación obrante en el expediente bajo el radicado 22-386528-0, en contra de la CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S., identificada con NIT 900.644.979-3, por la presunta vulneración de su derecho fundamental al habeas data, ocasionada por el envío no autorizado de un correo electrónico masivo en el que se hicieron visibles 143 direcciones electrónicas, entre ellas la correspondiente a la denunciante.
SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 7595 del 6 de marzo de 2024, después de adelantar averiguaciones previas y solicitar cierta información decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;
(ii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem; (iii) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015; (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015;
(v) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
TERCERO. Que la Dirección determinó, con base en las pruebas aportadas a la presente actuación, que CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. (i) no acreditó contar con la autorización de la titular para tratar sus datos personales; (ii) tampoco tener implementadas medidas de seguridad necesarias y adecuadas permitiendo el acceso sin autorización de 143 direcciones de correo electrónico;
(iii) no tener implementado un manual de políticas de seguridad; y (iv) tampoco tener implementado un manual para la atención de consultas y reclamos. Por lo que impuso una sanción respecto de los cargos primero, segundo, cuarto y quinto respectivamente. Respecto del cargo tercero, se impartieron unas órdenes para adecuar la política de tratamiento al contenido mínimo establecido en la Ley.
Por lo anterior, mediante Resolución No. 17874 del 4 de abril de 2025, resolvió: “Por la cual se resuelve un recurso de apelación” “ARTÍCULO 1: Imponer una sanción pecuniaria a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit. 900.644.979-3 de CIENTO TREINTA Y DOS (132) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes QUINCE MIL TRESCIENTOS DOCE (15.312) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CIENTO SETENTA Y SEIS MILLONES OCHOCIENTOS OCHENTA Y CUATRO MIL DOSCIENTOS VEINTICUATRO PESOS M/CTE (176.884.224) por la violación a lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
(ii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem. (iii)El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
(…)
ARTÍCULO 2: Ordenar a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit. 900.644.979-3, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses hábiles siguientes a la ejecutoria de la presente decisión. Las ordenes son: • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar un formato para solicitar la autorización previa, expresa e informada de los titulares sobre los cuales realiza tratamiento, que incluya entre otras la finalidad de enviar información general sobre sus proyectos inmobiliarios a sus direcciones electrónicas. • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar y documentar un Manual de Seguridad de la información, de conformidad con la estructura interna de la organización, el tamaño de la sociedad y sus características, para lo cual se sugiere tener en cuenta la “Guía para la implementación del principio de responsabilidad demostrada” y el “Estudio de medidas de seguridad en el tratamiento de datos personales” los cuales son mandatos de optimización con el fin de que la sociedad como Responsable implemente el manual de forma adecuada. • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar procedimientos en materia de seguridad de la información en especial un protocolo de seguridad para el envío de correos electrónicos masivos de información general a los titulares ocultando sus datos personales. • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá realizar los siguientes ajustes en la Política de Tratamiento de Datos Personales: 1.
Aportar prueba de que se puso en conocimiento de los titulares la Política de Tratamiento de Datos Personales. 2. Incluir el número de teléfono de la sociedad como Responsable del tratamiento. 3. Señalar en la Política de Tratamiento de Datos Personales el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los datos personales. 4.
Informar la finalidad del tratamiento de los datos personales que serán tratados por la sociedad como Responsable del tratamiento. 5. Indicar la fecha de entrada en vigencia de la Política de Tratamiento de Datos Personales. 6. Indicar el periodo de vigencia de las bases de datos 7. Actualizar la normatividad del Régimen de Protección de Datos Personales señalada al inicio del documento. • La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar y documentar el Manual para la atención de consultas y reclamos relacionados con el Tratamiento de datos personales.”
CUARTO. Que, dentro del término legal establecido para el efecto, el 24 de abril de 2025, CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. (en adelante la RECURRENTE), a través de su representante legal, interpuso “Por la cual se resuelve un recurso de apelación” recurso de reposición y, en subsidio, de apelación1 contra la decisión contenida en la Resolución No. 17874 del 4 de abril de 2025, mediante escrito radicado con el número 22-386528-28.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: • Atipicidad de la conducta. La sociedad recurrente Señala que el artículo 29 de la Constitución reconoce la potestad sancionadora del Estado, pero la supedita al debido proceso y al principio de legalidad, dentro del cual se enmarca la tipicidad.
Este exige que las conductas sancionables estén previamente definidas en la ley, conforme lo ha reiterado la Corte Constitucional. La Ley 1581 de 2012, que regula la protección de datos personales, establece tales límites, deberes y responsabilidades. En este marco, mediante la Resolución 17874 de 2025, el Despacho concluyó que CODISPLAN S.A.S. desconoció los deberes previstos en los literales b), d) y k) del artículo 17 de dicha ley, razón por la cual impuso sanciones y ordenó adoptar medidas de cumplimiento. • Respecto de los manuales y la política de tratamiento.
Señala que implementó un manual de políticas de tratamiento de datos conforme al artículo 17 de la Ley 1581 de 2012 y cuestiona que la Dirección concluya que dicho manual y las medidas de seguridad están desactualizados, sin haber solicitado previamente documentación que lo demostrara. • Respecto del deber de seguridad. Sostiene que corresponde a la Dirección demostrar la ilicitud, lo cual no ocurrió, pues no se acreditó daño alguno derivado del envío de información a terceros por correo electrónico.
Asimismo, que acreditó, con las pruebas documentales aportadas al proceso, que “cumple con recelo la protección de los datos personales de cada uno de los compradores de las unidades inmobiliarias Vis del proyecto de Teusa”. Reconoce el envío del correo electrónico, pero sostiene que cumplió con la Ley 1581 de 2012 y su manual de políticas, garantizando la protección de los datos de los compradores. • Respecto de la autorización previa.
Afirma que la Dirección desconoce que la denunciante entregó su información personal de manera libre, previa, expresa y espontánea, lo que justificó su inclusión en la base de datos, hecho que se acredita con la promesa de compraventa y la carta de instrucciones suscritas por la titular. La recurrente señala que, en virtud del contrato, debía cumplir con la Ley 1581 de 2012 y demás normas aplicables.
No obstante, insiste en que corresponde a la Dirección demostrar que la conducta era típica y sancionable. Añade que la denunciante entregó voluntariamente su información personal, la cual fue incluida legítimamente en la base de datos y resultaba necesaria para la escrituración y entrega de los inmuebles. Finalmente, solicita se tenga en cuenta que actualmente la sociedad recolecta los datos personales de los distintos titulares mediante una autorización expresa, en cumplimiento con lo establecido en el manual de políticas de tratamiento de datos personales. • Respecto de la responsabilidad objetiva.
Sostiene que está prohibida la responsabilidad objetiva y que las sanciones solo proceden a título de dolo o culpa. • Respecto la proporcionalidad de la sanción. La sociedad recurrente alega que, conforme al principio de proporcionalidad, la sanción debe ajustarse a la gravedad de la infracción. Sostiene que cumplió con el deber La Resolución No. 17874 del 4 de abril de 2025, fue notificada personalmente a la RECURRENTE el 9 de abril de 2025.
“Por la cual se resuelve un recurso de apelación” de proteger los datos personales y sensibles de los compradores del proyecto Parque Teusa y que dicha información, contenida en los contratos de promesa de compraventa y anexos, era necesaria para el proceso de escrituración. Invoca la responsabilidad contractual y extracontractual. Además alega que la sanción impuesta no cumple con los criterios del artículo 24 de la Ley 1581 de 2012, pues la Dirección no analizó aspectos como la capacidad económica, la reiteración de la infracción o la colaboración del investigado.
A su vez, sostiene que debió aplicarse el criterio de atenuación previsto en dicha norma, ya que la sociedad reconoció voluntariamente la infracción como un error involuntario, lo cual quedó acreditado en el expediente.
QUINTO. Que la Dirección, mediante la Resolución No. 50009 del 28 de julio de 2025, resolvió el recurso de reposición interpuesto y confirmó la Resolución No. 17874 del 4 de abril de 2025. En su decisión, la Dirección concluyó que se cumplió con el principio de tipicidad, toda vez que la conducta reprochable fue claramente detallada desde la formulación de cargos, teniendo en cuenta los deberes establecidos en el artículo 17 de la Ley 1581 de 2012.
La sociedad recurrente no acreditó que contaba con la autorización previa, expresa e informada de la titular para el tratamiento de sus datos personales. A su vez, la Dirección precisó que el suministro de los datos por parte de la denunciante no implica consentimiento para realizar su tratamiento para cualquier finalidad que decida el responsable, y también que no se tuvo en cuenta el criterio de graduación establecido en el literal f) del artículo 24 de la Ley 1581 de 2011, puesto que la sociedad no aceptó la infracción de ninguno de los deberes formulados.
Destacó que la sanción impuesta fue proporcional a la capacidad financiera de la sociedad, a la dimensión del daño o peligro a los intereses causado con el incumplimiento de los deberes señalados y a la vulneración del derecho de habeas data de la titular.
SEXTO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 092 de 2022). 6.1. Respecto de la presunta falta de tipicidad de la conducta El principio de tipicidad en el derecho administrativo sancionador exige la concurrencia de tres elementos: (i) que la conducta sancionable esté descrita de manera específica en la norma o pueda ser determinada a partir de disposiciones jurídicas aplicables;
(ii) que la sanción correspondiente esté definida en la ley; y (iii) que exista una correlación entre la conducta infractora y la sanción impuesta2. La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 Cfr. Corte Constitucional, sentencia C-748 de 2011, de fecha 6 de octubre del 2011.
M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.21.3.2. Cfr. Corte Constitucional, sentencia C-748 de 2011, de fecha 6 de octubre del 2011. M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.21.3.2. “Por la cual se resuelve un recurso de apelación” y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
(…) En este sentido, el listado de deberes de responsables y encargados del tratamiento otorga un marco normativo suficientemente definido para la identificación de infracciones. En el caso analizado, tanto la formulación de cargos como la decisión sancionatoria recurrida satisfacen las exigencias del principio de tipicidad. En la formulación de cargos se señalaron de manera clara y precisa las conductas presuntamente infractoras, se identificaron los deberes normativos que se estimaron incumplidos y se fundamentaron las imputaciones en disposiciones legales específicas.
A su vez, en la decisión recurrida se verificó el incumplimiento de dichos deberes y se impuso la sanción correspondiente, en estricta correlación con los cargos previamente formulados. Los deberes son los siguientes: 1. Solicitar y conservar copia de la respectiva autorización otorgada por el titular, en las condiciones previstas en la ley, conforme al literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4, el artículo 9 de la misma ley y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 2.
Conservar la información bajo condiciones de seguridad adecuadas y necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, de acuerdo con el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4 ibídem. 3. Adoptar un manual interno de políticas y procedimientos para garantizar el cumplimiento del principio de seguridad, previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma norma y el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015. 4.
Adoptar un manual interno de políticas y procedimientos para la atención de consultas y reclamos en materia de tratamiento de datos personales, conforme al literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 de la misma ley y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015. Ahora bien, para cada uno de estos cargos quedó plenamente acreditada la conducta vulneratoria: • Primer cargo: se demostró que la sociedad trató los datos personales de la denunciante sin contar con su autorización previa, expresa e informada. • Segundo cargo: se verificó que la sociedad no adoptó medidas de seguridad adecuadas para proteger los datos personales, en tanto remitió un correo electrónico en el que quedaron visibles 143 direcciones electrónicas, lo que permitió el acceso de terceros no autorizados a dicha información. • Tercer cargo: la sociedad no acreditó la existencia de un manual de seguridad. • Cuarto cargo: la sociedad tampoco acreditó contar con un manual para la atención de consultas y reclamos relacionados con el tratamiento de datos personales.
En consecuencia, esta Delegatura desestimará el alegato sobre un supuesto incumplimiento del principio de tipicidad, en tanto: (i) las conductas infractoras fueron descritas de manera clara y precisa en la Ley 1581 de 2012, particularmente en su artículo 17; (ii) la sanción aplicada se encuentra “Por la cual se resuelve un recurso de apelación” expresamente prevista en el artículo 23 de la misma ley, habiendo sido advertida en la formulación de cargos; y (iii) existe una correlación directa entre las conductas imputadas y la sanción impuesta.
Por lo anterior, esta Delegatura concluye que la sanción impuesta se ajusta a los principios rectores del derecho administrativo sancionador y que, durante toda la actuación, se garantizó el respeto del debido proceso y del derecho de defensa de la sociedad investigada. 6.2. Respecto de la política de tratamiento de datos personales y los manuales internos de políticas y procedimientos En el marco de la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015, es necesario distinguir entre la política de tratamiento de datos personales y los manuales internos de procedimientos.
Estos documentos cumplen finalidades y tienen alcances diferentes. La política de tratamiento de datos personales referida en el inciso 3, del artículo 25 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015, constituye un documento externo y público, dirigido a los titulares de los datos.
Su finalidad es poner en conocimiento de estos, de manera clara y accesible, las reglas bajo las cuales la sociedad recolecta, utiliza, almacena, circula y suprime la información personal. Dicha política debe contener, como mínimo, los aspectos previstos en la Ley y el Decreto Reglamentario, entre ellos la identificación del responsable, el tratamiento al cual serán sometidos los datos, los derechos de los titulares y los procedimientos para el ejercicio de estos.
En consecuencia, se trata de un instrumento de transparencia y garantía de los derechos de los titulares. Por su parte, los manuales internos de políticas y procedimientos referidos en el literal k, del artículo 17 de la Ley 1581 de 2012, tienen una naturaleza distinta. Estos corresponden a documentos de carácter interno y operativo, cuyo destinatario principal son los funcionarios y colaboradores de la sociedad.
Su contenido no se encuentra predeterminado de manera taxativa en la Ley, sino que depende de las necesidades, procesos y riesgos específicos de la organización. Dentro de estos manuales se encuentran, entre otros, (i) el manual de seguridad, exigido por el artículo 17 literal k) de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, y (ii) el manual para la atención de consultas y reclamos, previsto en el artículo 17 literal k) de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 de la misma Ley y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015.
Su finalidad es fijar los procedimientos internos, protocolos, controles y responsabilidades que deben seguir los trabajadores para garantizar la aplicación efectiva de los principios y deberes legales en materia de protección de datos personales. De esta manera, mientras que la política de tratamiento es un documento de divulgación frente a los titulares, los manuales internos son instrumentos de gestión y cumplimiento destinados al ámbito organizacional.
Ahora bien, en el caso bajo estudio se encuentra que la Dirección solicitó a la sociedad recurrente mediante requerimiento de radicado 21-386528-5 del día 13 de diciembre de 2022, la remisión, entre otras, de: (i) copia de la Política de Tratamiento de datos personales adoptada e implementada por la sociedad; (ii) copia del Manual de Políticas de Seguridad de la Información desarrollado e implementado por la sociedad con el objetivo de evitar la adulteración, pérdida, consulta uso o acceso no autorizado o fraudulento de datos personales; y (iii) copia del Manual de procedimientos desarrollados e implementados por la sociedad para la atención de consultas y reclamos relacionados con el Tratamiento de datos personales.
“Por la cual se resuelve un recurso de apelación” Mediante comunicación con número de radicado 21-238528-7 del día 27 de diciembre de 2022, la sociedad no se pronunció ni aportó copia de ninguno de los documentos mencionados, razón por la cual se formularon los cargos tercero, cuarto y quinto respectivamente. Posteriormente, en el escrito de alegatos de conclusión radicado bajo el número 22-386528-20, la sociedad manifestó aportar el “Manual de Políticas de Tratamiento de Datos implementado y ejecutado por CODISPLAN S.A.S.”, anexando el documento denominado “Manual de Políticas de Seguridad y Privacidad de la Información”.
La Dirección procedió a analizar su contenido y, atendiendo a la fecha de elaboración allí consignada y aplicando el principio de buena fe, se abstuvo de sancionar a la sociedad por el cargo tercero, relativo al incumplimiento del deber de contar con una política de tratamiento de datos personales. No obstante, se verificó que el documento no satisfacía el contenido mínimo exigido en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, motivo por el cual mediante la Resolución No. 17874 de 2025 se impartieron órdenes específicas dirigidas a que la sociedad adecúe su política de tratamiento de datos a los parámetros legales y reglamentarios.
En cuanto a los cargos cuarto y quinto, relacionados con la obligación de contar con manuales internos de políticas y procedimientos en materia de seguridad de la información y de atención de consultas y reclamos, se constató que la sociedad no allegó documento alguno que acreditara su existencia o contenido. Cabe precisar que la inclusión de apartados generales sobre seguridad de la información o sobre atención de consultas y reclamos dentro de la política de tratamiento de datos personales no constituye cumplimiento de la obligación legal de contar con manuales internos específicos.
Dichos manuales cumplen funciones distintas, de carácter operativo y detallado, orientadas a la implementación efectiva de los principios y deberes previstos en la Ley 1581 de 2012 y su normativa reglamentaria, y no pueden equipararse con las disposiciones generales contenidas en la política pública de tratamiento. La sociedad sostiene que “en cumplimiento de la Ley 1581 de 2012, implementó el manual de política de tratamiento de datos, obligándose la sociedad a cumplir los deberes enmarcados en el artículo 17 de la mencionada norma” y que, en consecuencia, “no es de recibo que el Despacho de manera afirmativa en resolución recurrida, sin existir requerimiento alguno por este para que se aportará documentación relacionada con actualizaciones del manual de políticas de tratamiento de datos de la sociedad, afirme que no se encuentre actualizado el anotado manual y sus medidas internas de seguridad de la información”.
Esta Delegatura estima que dicho argumento carece de sustento fáctico. En efecto, está demostrado que desde la etapa de indagación preliminar la Dirección solicitó expresamente la remisión de una copia del manual de seguridad, y del manual para la atención de consultas y reclamos. Pese a que la investigación se inició precisamente por el presunto incumplimiento de los deberes relativos a la inexistencia o no adopción de dichos manuales, la sociedad no aportó en ningún momento documento alguno que acreditara la “Por la cual se resuelve un recurso de apelación” existencia, implementación y contenido de los mencionados instrumentos.
En ninguno. Ni siquiera ahora en el recurso de apelación. En consecuencia, el argumento planteado por la RECURRENTE carece de mérito, motivo por el cual esta Delegatura confirmará la decisión sancionatoria respecto de los cargos cuarto y quinto, así como de las órdenes segunda, cuarta y quinta, relacionadas con la implementación de los documentos en cuestión. 6.3.
Respecto del deber de seguridad El literal d) del artículo 17 de la Ley 1581 de 2012 impone a los responsables del tratamiento de datos personales el deber de conservar la información bajo las condiciones de seguridad necesarias que permitan impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Este deber se encuentra estrechamente vinculado con el literal f) del artículo 4 de la misma Ley, que consagra el principio de seguridad, según el cual la información sujeta a tratamiento por parte de los responsables y encargados de datos personales debe manejarse con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
La norma establece, por tanto, un estándar mínimo de diligencia en cabeza de los responsables del tratamiento, quienes no solo deben abstenerse de divulgar la información de manera indebida, sino también implementar de forma proactiva y permanente medidas de seguridad idóneas que garanticen la integridad, disponibilidad y confidencialidad de los datos personales bajo su custodia.
Estas medidas pueden variar en función de la naturaleza de los datos tratados, el tipo de tratamiento, el tamaño de la organización y los riesgos particulares asociados, pero en todo caso deben ser suficientes para reducir al mínimo la posibilidad de accesos no autorizados o incidentes de seguridad. Este deber no se limita a la sola existencia de políticas generales de protección de datos, sino que exige la adopción efectiva de controles de seguridad concretos, tales como procedimientos internos, restricciones de acceso, protocolos técnicos y capacitación del personal, de modo que se pueda demostrar en todo momento que se actuó con la diligencia debida en la protección de la información. En conclusión, el mandato contenido en el literal d) del artículo 17, en armonía con el principio de seguridad del artículo 4 literal f), busca prevenir riesgos y mitigar vulneraciones a los derechos de los titulares.
El incumplimiento de este deber no solo genera una infracción administrativa sancionable, sino que además constituye una vulneración directa al derecho fundamental al habeas data, en tanto expone la información personal a posibles usos indebidos o accesos no autorizados. En el caso concreto, quedó demostrado, y así lo reconoció la sociedad recurrente, que el 11 de agosto de 2022 envió un correo electrónico a 143 direcciones electrónicas sin utilizar la opción de copia oculta, lo que permitió que todos los destinatarios pudieran visualizar y, en consecuencia, acceder sin autorización a las demás direcciones de correo incluidas en el envío. “Por la cual se resuelve un recurso de apelación” Este hecho constituye una vulneración directa del deber de conservar la información bajo condiciones de seguridad adecuadas, previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4 de la misma norma, pues la sociedad estaba obligada a implementar medidas técnicas y organizativas que impidieran el acceso no autorizado a los datos personales bajo su custodia.
Al omitir el uso de una herramienta básica como la copia oculta (CCO), la sociedad expuso innecesariamente los datos de contacto de los titulares, configurando una actuación negligente en el tratamiento de la información. Esta omisión no solo contraviene los principios de seguridad y confidencialidad, sino que además incrementa el riesgo de uso indebido o acceso no autorizado a los datos personales.
Frente al argumento de la RECURRENTE, según el cual corresponde a la Dirección acreditar un daño derivado del envío masivo de información por correo electrónico, debe precisarse que el régimen de protección de datos personales consagrado en la Ley 1581 de 2012 tiene un carácter preventivo. Ello se evidencia en que el literal a) del artículo 24 de la misma ley establece como criterio para la graduación de sanciones no solo la existencia de un daño efectivo, sino también la puesta en peligro del interés jurídico tutelado, que en este caso corresponde al derecho fundamental a la protección de datos personales.
Para que se engendre la responsabilidad administrativa en materia de protección de datos personales, no se requiere la acreditación de un daño efectivo. El régimen sancionador de la Ley 1581 de 2012 es de carácter preventivo y de peligro. La sola exposición indebida de los datos personales, como ocurrió con el envío masivo de correos a 143 destinatarios visibles, vulnera el deber de seguridad y compromete el derecho fundamental de habeas data.
En efecto, los hechos del caso bajo estudio no evidencian un riesgo abstracto. Durante la investigación quedó demostrado que, mediante el envío masivo de un correo electrónico, el 11 de agosto de 2022 a 143 direcciones visibles, la sociedad recurrente expuso los datos personales de la denunciante a terceros no autorizados, comprometiendo directamente su derecho fundamental a la protección de datos personales.
Adicionalmente, esa misma acción comprometió los derechos de todos los titulares cuyos correos fueron compartidos sin su consentimiento, y puso en peligro el interés jurídico tutelado de titulares indeterminados, al evidenciar deficiencias en las prácticas de gestión de la información que revelan el riesgo de que otros datos personales en custodia de la sociedad sean compartidos de forma indebida.
“Por la cual se resuelve un recurso de apelación” La dirección de correo electrónico es un dato personal conforme a la Ley 1581 de 2012, pues identifica o permite identificar a su titular. Su tratamiento, a partir de bases de datos o listados, debe sujetarse a los principios rectores de legalidad, finalidad, circulación restringida y confidencialidad.
Se destaca que el envío de un correo electrónico masivo a 143 direcciones personales visibles entre sí, sin utilizar la herramienta de copia oculta, constituye una vulneración directa al derecho fundamental al habeas data, en tanto expone y divulga sin autorización la dirección electrónica de cada uno de los titulares ante un universo de destinatarios no legitimados para conocer dicha información. Además de la infracción normativa que identificó correctamente la Dirección, esta práctica es particularmente lesiva porque expone a los titulares a riesgos reales como el envío no deseado de información (spam), intentos de fraude, suplantación de identidad, o incluso ataques cibernéticos.
El correo electrónico es hoy un punto de acceso medular a la vida digital de las personas, y su exposición indebida incrementa el riesgo de daños. Por lo anterior, es indispensable que los sujetos obligados comprendan que esta práctica no es un error menor o un descuido administrativo, sino un incumplimiento a un deber legal con vocación de afectar a un número elevado de titulares, compromete la confianza depositada en el responsable del tratamiento y erosiona las garantías constitucionales que el habeas data busca proteger.
El deber de adoptar medidas de seguridad no es opcional: el uso de copia oculta en envíos masivos es una medida mínima, básica y elemental que toda organización debe implementar para cumplir con la obligación legal de proteger los datos personales bajo su custodia. Ignorar esta práctica equivale a incumplir un estándar esencial de seguridad en el tratamiento de datos.
Por lo anterior, se confirma la sanción impuesta respecto del cargo segundo y la orden tercera relacionada con la implementación de procedimientos en materia de seguridad de la información, en especial, de un protocolo para el envío de correos electrónicos masivos. 6.4. Respecto de la autorización previa de la titular El literal b) del artículo 17 de la Ley 1581 de 2012 impone a los responsables del tratamiento de datos personales el deber de solicitar y conservar copia de la autorización otorgada por el titular, en las condiciones establecidas por la ley.
Este deber garantiza que el tratamiento de datos personales solo se realice con el consentimiento válido del titular y que exista un respaldo documental que permita verificar, en cualquier momento, que dicho consentimiento fue otorgado conforme a derecho. Este deber se articula con el principio de libertad consagrado en el literal c) del artículo 4 de la Ley 1581 de 2012, el cual establece que los datos personales solo pueden ser tratados con la autorización previa, expresa e informada del titular o en los casos expresamente previstos por la ley.
En consecuencia, la entrega de datos por parte del titular no puede entenderse como un consentimiento tácito o implícito para fines indeterminados, sino que requiere un acto claro que refleje su voluntad. De igual manera, el artículo 9 de la Ley 1581 de 2012 dispone que la autorización debe obtenerse de forma previa e informada, y que puede ser obtenida por cualquier medio, siempre que este permita su posterior consulta.
Esto implica que la autorización debe ser verificable y que el responsable del tratamiento debe conservar evidencia suficiente para demostrar, ante cualquier requerimiento, que cumplió con esta obligación. Finalmente, el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 desarrolla este mandato, al reiterar que la “Por la cual se resuelve un recurso de apelación” autorización debe quedar disponible para consulta y que, en todo caso, corresponde al responsable del tratamiento la carga de la prueba sobre la existencia de la misma.
Es decir, no basta con alegar que el titular entregó sus datos; la sociedad debe demostrar que obtuvo de manera previa, expresa e informada su consentimiento para tratarlos. En el caso bajo estudio se evidencia que la sociedad no solo recolectó los datos personales de la titular denunciante, sino que, tal como lo reconoce en el escrito del recurso, los almacenó en bases de datos de “CODISPLAN S.A.S. y Alianza Fiduciaria”, los utilizó para el envío de información relacionada con el “Proyecto de Teusa P.H.” a través de correo electrónico, y adicionalmente los compartió con terceros mediante el envío masivo de correos.
En consecuencia, resulta claro que, en su calidad de responsable del tratamiento, la sociedad tenía la obligación de acreditar que contaba con la autorización previa, expresa e informada otorgada por la titular para el tratamiento de sus datos personales. No obstante, se advierte que la sociedad no acreditó la existencia de dicha autorización, ni a lo largo de la investigación, ni antes de la decisión de primera instancia, ni en el recurso de la apelación. La sociedad se limitó a sostener que, por el hecho de haber suscrito un contrato con la titular y haber ella suministrado libremente sus datos, contaba con la autorización suficiente para adelantar su tratamiento.
Al revisar los documentos allegados, a saber: (i) copia del contrato de promesa de compraventa sobre el bien inmueble VIS Proyecto de Teusa P.H.; y (ii) copia de la carta de instrucciones del Fideicomiso P.A. Teusa, se observa que en ninguno de ellos obra cláusula o manifestación expresa de la voluntad de la titular respecto de la autorización para el tratamiento de sus datos personales con las finalidades invocadas por la sociedad.
Debe aclararse que la única autorización identificada, en el parágrafo quinto del “Contrato De Promesa De Compraventa De Bien Inmueble (Vis) Proyecto Parque De Teusa P.Н.”, corresponde exclusivamente al reporte y consulta de sus datos personales ante los operadores de información en el marco de la Ley 1266 de 2008. Autorización que no suple el consentimiento previo, expreso e informado exigido por la Ley 1581 de 2012 para el tratamiento de datos personales para finalidades indeterminadas.
Por otra parte, constata esta Delegatura que el tratamiento indebido evidenciado por la Dirección no guarda relación con la actividad señalada por la recurrente relativa al “proceso de escrituración”. En efecto, la conducta sancionada no se refiere al uso de los datos personales para adelantar un proceso de escrituración. En conclusión, se encuentra demostrado que la sociedad no acreditó en ningún momento contar con la autorización previa, expresa e informada de la titular para el tratamiento de sus datos personales para finalidades adicionales, tales como el envío de información sobre proyectos inmobiliarios, incluso como en el caso, para el proyecto inmobiliario en el que la titular podría estar interesada.
Por lo que se confirma la decisión sancionatoria respecto del cargo primero. Finalmente, en relación con el argumento expuesto por la sociedad, según el cual “actualmente recolecta los datos personales de los distintos titulares mediante una autorización expresa, en cumplimiento con lo establecido en el manual de políticas de tratamiento de datos personales de la sociedad CODISPLAN S.A.S. y la Ley 1581 de 2012”, se debe aclarar lo siguiente: El objeto de la presente actuación administrativa es establecer si, al momento en que ocurrieron los hechos investigados, la sociedad cumplió con los deberes legales en materia de tratamiento de datos personales.
Por tanto, la adecuación posterior de sus prácticas o la implementación de mecanismos de autorización que se encuentren vigentes actualmente no desvirtúan la infracción ya cometida, ni constituyen prueba válida de “Por la cual se resuelve un recurso de apelación” cumplimiento respecto de los hechos investigados, que se encuentran plenamente delimitados en el tiempo.
El hecho de que presuntamente la sociedad haya implementado o esté en proceso de implementación de estándares, lineamientos o prácticas más acordes con la normativa no constituye un eximente de responsabilidad ni un criterio que permita eliminar la infracción, de conformidad con el artículo 24 de la Ley 1581 de 2012. No pueden retroactivamente subsanar la falta de autorización respecto de los hechos concretos materia de investigación. En consecuencia, si bien esta Delegatura valora positivamente que la sociedad haya decidido implementar mecanismos para recolectar de manera expresa el consentimiento de los titulares, ello en modo alguno desvirtúa ni exonera la conducta infractora ya demostrada en el expediente.
Por tanto, las medidas adoptadas con posterioridad no eliminan la responsabilidad derivada de la omisión constatada ni inhiben la procedencia de la sanción. Adicionalmente, se precisa que, al no haberse aportado documento alguno que demuestre la implementación del formato para recabar la autorización y, ante la imposibilidad de verificar si resulta idóneo para dar cumplimiento al deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, se confirma la orden primera, consistente en implementar un formato de autorización previa, expresa e informada de los titulares, que contemple, entre otros aspectos, la finalidad de remitir información general sobre los proyectos inmobiliarios a sus direcciones electrónicas. 6.4.
Respecto de la responsabilidad objetiva El ejercicio de la facultad sancionatoria de la Superintendencia de Industria y Comercio-Delegatura para la protección de datos personales no exige la demostración ni la tasación de un perjuicio específico sufrido por los titulares, basta la verificación, a partir de la actividad probatoria adelantada, de la verificación del incumplimiento de al menos uno de los deberes establecidos en la Ley 1581 de 2012.
Así lo ha precisado el Consejo de Estado al señalar4: “El segundo presupuesto para imponer una sanción administrativa es que el comportamiento además de ser típico sea antijurídico. En la construcción tradicional del derecho penal se ha exigido que la conducta no sólo contradiga el ordenamiento jurídico (antijuridicidad formal) sino que además dicha acción u omisión lesione de manera efectiva un bien jurídico o por lo menos lo coloque en peligro (antijuridicidad material).
Esta construcción constituye el punto de partida para la delimitación de este presupuesto en el derecho administrativo sancionatorio, sin embargo, como ocurre con otras instituciones y principios es inevitable que sea objeto de matización y por ende presente una sustantividad propia [94]5. Siempre se ha sostenido que el derecho penal reprocha el resultado, incluso en los denominados delitos de peligro, comoquiera que se requiere una puesta efectiva en riesgo del bien jurídico objeto de protección. Esta situación no se presenta en el ámbito administrativo en el que por regla general la “…esencia de la infracción radica en el incumplimiento de la norma [95]6”, de allí que se sostenga que el reproche recae sobre “la mera conducta”.
En derecho sancionatorio, interesa la potencialidad del comportamiento, toda vez que el principal interés a proteger es el cumplimiento de la legalidad, de forma tal que tiene sustancialidad (antijuridicidad formal y material) “la violación de un precepto que se establece en interés colectivo, porque lo que se sanciona es precisamente el desconocimiento de deberes genéricos impuestos en los diferentes sectores de actividad de la administración [96]7.” En efecto, para la configuración de la responsabilidad administrativa sancionatoria en materia de protección de datos personales, no se requiere acreditar la existencia de un daño concreto o individualizable, puesto que la sanción se fundamenta en el incumplimiento de los deberes previstos en la Ley Consejo de Estado – Subsección C).
Radicación número: 05001-23-24-000-1996-00680-01(20738) Bogotá, D.C., veintidós (22) de octubre de dos mil doce (2012). Consejero ponente: ENRIQUE GIL BOTERO. [94] RINCÓN CÓRDOBA, Jorge Iván. Derecho Administrativo Laboral. Bogotá, Universidad Externado de Colombia. Pág. 595. [95] Ibídem. [96] BIELSA, Rafael. Derecho Administrativo. Tomo IV.
El Poder de Policía. Limitaciones Impuestas a la Propiedad Privada en Interés Público. Administración Fiscal. Buenos Aires, Depalma. 1956. Pág. 69. “Por la cual se resuelve un recurso de apelación” 1581 de 2012. Así, resulta suficiente demostrar que la conducta desplegada es típica y antijurídica, en tanto contraviene el ordenamiento jurídico y pone en riesgo los bienes jurídicos protegidos.
En este sentido, la mera potencialidad lesiva del comportamiento es suficiente para justificar la imposición de la sanción, en aras de garantizar el respeto a la legalidad y la protección del interés colectivo. En el presente caso la Dirección encontró demostrado que la sociedad incurrió en las siguientes conductas concretas: (i) omitir la solicitud y conservación de la autorización previa, expresa e informada del titular;
(ii) incumplir el deber de seguridad al enviar un correo masivo con 143 direcciones visibles; (iii) no adoptar un manual interno de políticas y procedimientos en materia de seguridad; y (iv) omitir la implementación de un manual para la atención de consultas y reclamos. De tales omisiones se desprende, como mínimo, una actuación negligente, toda vez que la empresa dejó de: (i) establecer un mecanismo idóneo para la recolección del consentimiento informado;
(ii) implementar una medida elemental de seguridad, el uso de la copia oculta, ampliamente reconocida como estándar de seguridad básico en el tratamiento de datos personales; y (iii) adoptar los manuales internos de seguridad y de atención de consultas y reclamos. Estas falencias reflejan una falta de diligencia exigible a cualquier responsable del tratamiento, lo que permite imputar responsabilidad subjetiva de tipo administrativo por la infracción de los deberes legales, ligados a la garantía del derecho fundamental a la protección de datos personales.
En consecuencia, la sanción impuesta no responde a un esquema de responsabilidad objetiva, sino a la comprobación de la inobservancia de deberes legales específicos, previamente definidos y exigibles. En otros términos, la decisión recae sobre la acreditación de comportamientos reprochables atribuibles a la sociedad investigada, en cumplimiento de los principios de tipicidad y debido proceso que rigen el ejercicio de la potestad sancionadora. 6.5.
Respecto de la proporcionalidad de la sanción En la decisión recurrida, tal como se analizó en el numeral 6.1. del presente acto administrativo, quedó plenamente demostrado que la sociedad incumplió deberes legales específicos y que se acreditaron hechos constitutivos de infracción que justificaron la imposición de la sanción. Concretamente, se acreditó que la sociedad: (i) recolectó, almacenó y utilizó los datos personales de la denunciante sin contar o sin poder demostrar que contaba con la autorización respectiva;
(ii) compartió datos personales bajo su custodia con terceros no autorizados, mediante un correo masivo en el que quedaron visibles 143 direcciones electrónicas; (iii) omitió implementar manuales internos de seguridad y (iv) omitió implementar manuales internos de atención de consultas y reclamos, instrumentos indispensables para garantizar un tratamiento adecuado de datos personales.
Asimismo, de conformidad con el literal a) del artículo 24 de la Ley 1581 de 2012, no se requiere la constatación de un daño efectivo para la procedencia de la sanción, siendo suficiente que la conducta desplegada ponga en peligro los intereses jurídicos tutelados por la ley. En el presente caso, se determinó que el actuar de la sociedad no solo generó un riesgo, sino que materializó una afectación concreta al derecho fundamental de un titular identificado, así como de los demás 142 titulares cuyos correos electrónicos quedaron expuestos.
Adicionalmente, la conducta puso en peligro los intereses jurídicos de titulares indeterminados cuyos datos se encuentran bajo la custodia de la sociedad, en tanto se evidenció la ausencia de medidas adecuadas de seguridad y para la recolección de la autorización. Tales conductas, en conjunto, no solo comprometieron el derecho fundamental de la denunciante y de los otros 142 titulares de las direcciones de correo electrónico expuestas, sino que también pusieron en peligro los intereses jurídicos de titulares indeterminados cuyos datos obran en custodia de la sociedad.
Por lo anterior, la aplicación del criterio “Por la cual se resuelve un recurso de apelación” agravante previsto en el literal a) del artículo 24 de la Ley 1581 de 2012 resulta plenamente justificada. Adicionalmente, se aclara que la Dirección, en ejercicio del margen de discrecionalidad limitada que le confiere la Ley 1581 de 2012, valoró los distintos criterios establecidos en el artículo 24 para determinar el monto de la sanción. Para ello, tuvo en cuenta factores como la dimensión del daño o peligro, el tamaño de la empresa, su situación financiera y la conducta desplegada.
En este contexto, la sanción fue calculada de manera proporcional con base en el patrimonio y la capacidad económica de la sociedad, garantizando así un efecto disuasorio. Respecto de los demás criterios de graduación previstos en el artículo 24 de la Ley 1581 de 2012, es importante recordar que su aplicación está condicionada a su pertinencia en el caso concreto, en atención a su específica y particular naturaleza.
“ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” (resaltado fuera del texto) Sobre estos criterios, la Corte Constitucional señaló en la Sentencia C-748 de 2011 que los primeros cinco corresponden a circunstancias agravantes, mientras que el literal f) opera como la única causal atenuante.
Así lo expresó: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(resaltado fuera de texto) En consecuencia, la Dirección determinó que, para el presente caso, únicamente resultaba aplicable el criterio agravante previsto en el literal a), dado que se constató la afectación o el riesgo a los intereses jurídicos tutelados. Los otros criterios agravantes no fueron considerados. Por tanto, contrario a lo sostenido por la RECURRENTE, la ausencia de hechos que permitieran aplicar otros criterios de graduación con efectos agravantes no podría conducir, en sana lógica, a la obligación de reducir el monto de la sanción impuesta.
La no verificación de dichos factores simplemente impidió su consideración para un posible aumento de la sanción, no para su atenuación. La inexistencia de agravantes no equivale a la existencia de atenuantes ni genera, por sí sola, un deber de disminución del valor sancionatorio. De otro lado, respecto del criterio de atenuación del literal f), en este caso no se configuró ya que la sociedad investigada no aceptó expresamente la comisión de la infracción con anterioridad a la imposición de la sanción, lo cual habría permitido una eventual disminución de la multa.
Es pertinente precisar que, aunque la sociedad sostiene en el escrito de apelación que habría cometido un “error involuntario”, lo cierto es que dicha “Por la cual se resuelve un recurso de apelación” afirmación no tiene sustento procesal. En efecto, la sociedad no presentó descargos dentro del término correspondiente y, en los alegatos de conclusión, no hizo referencia expresa a una aceptación de responsabilidad respecto de ninguno de los cuatro cargos sancionados.
En consecuencia, se reitera que la sociedad no reconoció de manera previa a la imposición de la sanción la comisión de ninguna de las infracciones acreditadas, razón por la cual no resulta procedente la aplicación del criterio atenuante previsto en el literal f) del artículo 24 de la Ley 1581 de 2012. Finalmente es importante resaltar que la sanción impuesta se ajusta a los límites establecidos en el artículo 23 de la Ley 1581 de 2012, ya que se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales vigentes.
En efecto, la sanción equivale al 6,8% del umbral máximo permitido. De tal forma que no solo cumple con los parámetros legales, sino que también es proporcional y acorde con la capacidad económica de la sociedad recurrente. Ahora bien, en relación con lo expuesto por la sociedad RECURRENTE, quien en su escrito de apelación invoca de manera genérica la responsabilidad contractual y extracontractual, es necesario precisar que dicha invocación carece de claridad y de una relación directa con los hechos objeto del presente análisis.
La sociedad no desarrolla en qué medida estas categorías jurídicas resultarían aplicables al caso ni cómo podrían incidir en la determinación de su responsabilidad administrativa en materia de protección de datos personales. Aun, si se aceptara su referencia a dichas figuras, lo cierto es que no resulta jurídicamente válido pretender justificar el tratamiento indebido de datos personales bajo su custodia, tratamiento que incluyó la omisión de obtener la autorización previa, expresa e informada del titular y la exposición de información a terceros no autorizados mediante un correo masivo, a partir de consideraciones propias de la responsabilidad contractual o extracontractual.
SÉPTIMO. Conclusiones. • Se confirmó que la sociedad incumplió los siguientes deberes: (i) solicitar y conservar copia de la autorización previa, expresa e informada de la titular; (ii) garantizar la seguridad de la información para evitar usos no autorizados; (iii) adoptar un manual interno de políticas y procedimientos en materia de seguridad; y (iv) contar con un manual interno para la atención de consultas y reclamos. • La sanción impuesta cumple con el principio de tipicidad, se fundamenta en conductas previstas en la Ley 1581 de 2012 y en sanciones reguladas en la misma, y guarda correspondencia con los cargos formulados.
La decisión respeta los principios del derecho administrativo sancionador y garantiza el debido proceso y el derecho de defensa de la sociedad investigada. • Se comprobó que, pese a los requerimientos realizados por la Dirección, la sociedad no allegó oportunamente los manuales internos de seguridad de la información ni de atención de consultas y reclamos, limitándose a presentar de forma extemporánea un documento que, además de no cumplir con los requisitos legales mínimos, no suple dichas obligaciones específicas. • Se acreditó que la sociedad, al enviar un correo electrónico a 143 destinatarios sin utilizar copia oculta, permitió el acceso no autorizado a direcciones de terceros, vulnerando el deber de seguridad previsto en la Ley 1581 de 2012.
Esta conducta expuso innecesariamente datos personales, configurando una actuación negligente que compromete el derecho fundamental a la protección de datos personales. • La sanción impuesta en la Resolución No. 17874 de 2025 se ajusta a la Ley 1581 de 2012, pues se fundamentó en la constatación de conductas “Por la cual se resuelve un recurso de apelación” específicas respecto de las cuales se aplicó de manera justificada el criterio agravante de la dimensión del daño o peligro previsto en el literal a) del artículo 24; y respecto de la cual no se aplicó el criterio atenuante del literal f) del artículo 24, ya que la sociedad no aceptó expresamente la comisión de las infracciones antes de la imposición de la sanción. • La multa impuesta a CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. ($176.884.224), corresponde al 6,8% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012).
Una suma proporcional frente a los hechos, conforme a lo previsto en el artículo 24 de la Ley 1581 de 2012. En efecto, dicho monto es el resultado de las circunstancias específicas de este caso incluidos, el tipo de deberes incumplidos, el tamaño de la empresa, su situación financiera y el análisis sobre agravantes y atenuantes ya referido.
En mérito de lo expuesto, y de acuerdo con lo dispuesto en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Delegatura RESUELVE:
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 17874 del 4 de abril de 2025, de conformidad con lo establecido en la parte motiva de la presente Resolución.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente Resolución a CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit. 900.644.979-3, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra ella no procede recurso alguno.
ARTÍCULO 3. COMUNICAR el contenido de la presente Resolución a la señora XXXXX XXXXXX XXXXXXX XXXXXXXX, identificada con la X.x. x.xxx.xxx.xxx.
ARTÍCULO 4. INFORMAR el contenido de la presente resolución, a la Dirección de investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C., 22 de septiembre 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. Firmado digitalmente JUAN CARLOS JUAN CARLOS por UPEGUI MEJIA UPEGUI MEJIA Fecha: 2025.09.22 12:29:22 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU