SIC - Concepto Jurídico 6074 de 2026

Bogotá D .C ., abril de 2026

A su n to: R adicación: 26-64523

Folios: 24

R eciba un cordial saludo:

D e conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el D erecho Fundam ental de Petición y se sustituye un título del C ódigo de Procedim iento Adm inistrativo y de lo C ontencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . C U ES TIÓ N P R EV IA

Reviste de gran im portancia precisar, en prim er lugar, que la S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO a través de su O ficina Asesora Jurídica no le asiste la facultad de dirim ir situaciones de carácter particular, debido a que, una lectura en tal sentido im plicaría la flagrante vulneración del debido proceso com o garantía constitucional. Al respecto, la C orte C onstitucional ha establecido en la Sentencia C-542 de 2005:

“Los conceptos em itidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se

de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto adm inistrativo. N o pueden reem plazar un acto adm inistrativo. D ada la naturaleza m ism a de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recom endaciones que em ite la adm inistración pero que dejan al adm inistrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se sum inistrarán las herram ientas de inform ación y elem entos conceptuales necesarios que le perm itan absolver las inquietudes por U sted m anifestadas.

2 . FA C U LTA D ES D E LA S U P ER IN TEN D EN C IA D E IN D U S TR IA Y C O M ER C IO EN M A TER IA D E P R O TEC C IÓ N D E D A TO S P ER S O N A LES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:2  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadano s acerca del

los mismos;  Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadano s acerca del ejercicio y garantía del derecho fundamental a la protección de datos;  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley;  Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el numeral 2 de este escrito, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acción sobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o complementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Oficina se pronuncie expresamente sobre los interrogantes de su consulta. Sin perjuicio de lo anterior, a continuación, daremos respuesta a las inquietudes presentadas.

3. CONSIDERACIONES EN TORNO A LA CONSULTA

La Oficina Asesora Jurídica de la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO no tiene competencia para pronunciarse sobre situaciones particulares. Por consiguiente, no puede referirse específicamente a la situación planteada por el peticionario. Esta Oficina Asesora Jurídica solamente brindará lineamientos generales, considerando sus competencias en el marco del régimen de protección de datos personales, en particular de la Ley 1581 de 2012, el

planteada por el peticionario. Esta Oficina Asesora Jurídica solamente brindará lineamientos generales, considerando sus competencias en el marco del régimen de protección de datos personales, en particular de la Ley 1581 de 2012, el Capítulo 25 del Decreto 1074 de 2015, la Ley 2300 de 2023 y demás normas complementarias

Pregunta

“1. En el envío masivo de SMS intervienen quien contrata el servicio y quien ejecuta materialmente el envío. ¿Cuál de ellos ostenta la calidad3 de responsable y cuál la de encargado en los términos de la Ley 1581 de 2012?”.

Respuesta

Para responder su pregunta, nos referiremos, en pri mer lugar, a las calidades de responsable y encargado de tratamiento (1). En segundo lugar, abordaremos la cuestión de la distinción entre esas dos calidades cuando realizan el tratamiento de datos personales (2).

1. Las calidades de responsables y encargados de tratamiento

Cuando las personas naturales o jurídicas realizan el tratamiento de datos personales, la ley establece las categorías del responsable y del encargado del tratamiento, a los cuales les asigna los deberes que deben observar para e l cumplimiento del régimen de protección de datos personales.

Por una parte, de conformidad con el literal e) del artículo 3º de la ley 1581 de 2012, se considera responsable del tratamiento:

“e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;”

En los términos anteriores, toda persona, ya sea natural o jurídica, que de

o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;”

En los términos anteriores, toda persona, ya sea natural o jurídica, que de manera individual o en conjunto con otros, gestiona el t ratamiento de datos personales o de una base de datos, es considerado responsable del tratamiento. Todo responsable del tratamiento debe cumplir los deberes enumerados en el artículo 17 de la ley 1581 de 2012, además de las demás normas que integran el régimen de protección de datos personales en nuestro ordenamiento jurídico.

Por otra parte, de conformidad con el literal d) del artículo 3º de la ley 1581 de 2012, se considera encargado del tratamiento:

“d) Encargado del Tratamiento : Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento”;

De acuerdo con lo anterior, se considera como encargado del tratamiento a la persona que, por sí m isma o asocio con otros, realiza el tratamiento de datos personales por cuenta de un responsable del tratamiento. A título de ilustración, es considerado un encargado de tratamiento la persona a quien el responsable transmite los datos personales recolecta dos para que los administre siguiendo sus instrucciones. Todo encargado de tratamiento debe cumplir los deberes enumerados en el artículo 1 8 de la ley 1581 de 2012 , además de las demás4 normas que integran el régimen de protección de datos personales en nue stro ordenamiento jurídico.

En síntesis, la persona natural o jurídica que, en ejercicio de cualquier actividad, trata datos personales puede ser considerado responsable o encargado de

normas que integran el régimen de protección de datos personales en nue stro ordenamiento jurídico.

En síntesis, la persona natural o jurídica que, en ejercicio de cualquier actividad, trata datos personales puede ser considerado responsable o encargado de tratamiento. En dichas calidades, deben cumplir los deberes establecidos por la ley, así como todas las demás normas que rigen el tratamiento de datos personales, en particular la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas concordantes.

2. La distinción entre los responsables y los encargados de tratamiento de datos personales

La Corte Constitucional, con ocasión del estudio de constitucionalidad de la Ley Estatutaria Ley 1581 de 2012, se refirió a las definiciones del responsable y encargado de tratamiento contenidas en los literales d) y e) del artículo 3º de dicha ley, en los siguientes términos.

“El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos. También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable.

Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación,

es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable.

Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmentelos fines y medios del tratamiento. Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis. Así, el concepto de responsable puede cobijar tanto a la fuente como al usuario, en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera.5 De otro lado, el criterio de delegación coincide con el término “por cuenta de” utilizado por el literal e), lo que da a entender una relación de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato.

(…)

También es necesario precisar, como lo señala la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el

no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad. En ese orden de ideas, corresponderá a la autoridad competente de asegurar la vigilancia, control y garantía del dato personal, examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad.

Finalmente, como ejemplifica la Directiva referida –ejemplos que la Sala considera también son aplicables a nuestro caso, el responsable del tratamiento puede surgir: (i) cuando en el cumplimiento de una determinada función, se impone la recolección de datos, por ejemplo, en el caso de la seguridad social; la directiva en comento denomina esta situación competencia legal explícita; (ii) cuando en el ámbito propio de la actividad se produce el tratamiento, se trata del caso de los empleadores frente a sus trabajadores, lo que se denomina competencia jurídica implícita; y (iii) cuando sin existir las competencias anteriores, se tiene la capacidad de determinación, hecho que se denomina capacidad de influencia de hecho”1.

A la luz de lo anterior, el responsable realiza el tratamiento de los datos personales por cuenta propia. Esto significa, por una parte, que el responsable es quien determina los fines y los medios esenciales del tratamiento de los datos personales, y, en relación con estos últimos, tiene el control de los medios o determina sus elementos principales, como el tiempo que los datos deben

personales por cuenta propia. Esto significa, por una parte, que el responsable es quien determina los fines y los medios esenciales del tratamiento de los datos personales, y, en relación con estos últimos, tiene el control de los medios o determina sus elementos principales, como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc. Además, el responsable del tratamiento es quien tiene el poder de decisión sobre el tratamiento de los datos personales, de manera que no actúa por delegación ni tampoco debiendo cumplir las instrucciones de otra persona.

1 Corte Constitucional, sentencia C-748 de 2011.6 Al contrario, el encargado del tratamiento actúa por cuenta de un responsable, de manera que para el tratamiento de los datos debe observar sus instrucciones, especialmente aquellas contenidas en el contrato de transmisión de datos2. La actividad del encargado se circunscribe así a las operaciones de tratamiento que le fueron encomendadas o delegadas por el responsable del tratamiento. El encargado no define ni los fines ni los medios esenciales para el tratamiento de los datos personales.

Como el encargado obra por cuenta del responsable del tratamiento, este último responde por todas las actuaciones que realice el encargado. Por lo anterior, el incumplimiento de las obligaciones que integran el régimen de protección de datos personales por el encargado del tratamiento podría generar consecuencias también para el responsable del tratamiento, sin perjuicio de la eventual responsabilidad contractual del encargado de tratamiento frente al responsable3.

En todo caso, si se evidencia que una persona natural o jurídica, aun cuando haya sido designado formalmente como encargado del tratamiento, determina en la práctica los fines y medios esenciales del tratamiento de los datos personales, se considerará responsable del tratamiento y, en tal condición,

En todo caso, si se evidencia que una persona natural o jurídica, aun cuando haya sido designado formalmente como encargado del tratamiento, determina en la práctica los fines y medios esenciales del tratamiento de los datos personales, se considerará responsable del tratamiento y, en tal condición, asumirá las obligaciones previstas en el régimen de protección de datos personales para quienes tienen este rol.

Por último, como lo señala el parágrafo del artículo 18 de la Ley 1581 de 2012, “En el evento en que concurran las calidades de Responsable del Tratamiento y Encargado del Tratamiento en la misma persona, le será exigible el cumplimiento de los deberes previstos para cada uno”.

Pregunta

“2. ¿El envío de mensajes SMS sin autorización previa del titular configura una infracción administrativa sanc ionable por esa Superintendencia o existen excepciones que lo permitan?”

Respuesta

Para responder la pregunta, es necesario tener en cuenta que, salvo los datos de naturaleza pública, el tratamiento de datos personales requiere la autorización previa, expresa e informada del titular (1). En segundo lugar, tratándose del envío de mensajes SMS, se debe considerar lo dispuesto por la ley 2300 de 2023, por la cual se establecen medidas que protegen el derecho a

2 Véase, Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.5.2. 3 En este sentido, ya se había pronunciado esta Oficina Asesora Jurídica. Véase concepto radicado bajo el no. 22 -401941, en cual puede ser descargado en el siguiente enlace: https://sedeelectronica.sic.gov.co/sites/default/files/boletin-juridico/conceptos/22bajo el no. 22 -401941, en cual puede ser descargado en el siguiente enlace: https://sedeelectronica.sic.gov.co/sites/default/files/boletin-juridico/conceptos/22401941%20.pdf7 la intimidad y al habeas data de los consumidores (2). Nos referiremos a cada uno de esos puntos sucesivamente.

1. La necesidad de una autorización previa, expresa e informada del titular de los datos personales

En el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión , debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 2012 así:

“c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, ex preso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”;

En los anteriores términos, salvo los datos de naturaleza pública, el tratamiento de los datos personales solo puede realizarse cuando exista autorización previa, expresa e informada del titular, con el fin de garantizar que el titular conozca en dónde están almacenados sus datos personales, para qué propósitos han sido recolectados y qué mecanismos tiene a su disposición para solicitar su actualización, rectificación o supresión.

Como correlato de dicho principio, la Ley 1581 de 2012 establece, dentro de los deberes de los responsables del tratamiento, el siguiente:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes,

deberes de los responsables del tratamiento, el siguiente:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”;

En consecuencia, el responsable de tratamiento debe solicitar la autorización del titular para el tratamiento de sus datos personales . Dicho deber de obtener la autorización fue reglamentado por medio del Decreto 1074 de 2015, que dispuso lo siguiente:

“ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales8 que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)".

Por lo anterior , cualquier forma de tratamiento está sujeta a la obligación del responsable de tratamiento de obtener la autorización del titular a más tardar al momento de la recolección de la información. Al respecto, es importante tener en cuenta lo dispuesto en el artículo 2.2.2.25.2.4. del Decreto 1074 de 2025:

“2.2.2.25.2.4 Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los R esponsables del Tratamiento de datos personales establecerán

“2.2.2.25.2.4 Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los R esponsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada.

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

En los términos precedentes, se entiende que el titular de la información ha dado su autorización para el tratamiento de los datos personales cuando: (i) sea por escrito; (ii) de forma oral o (iii) mediante conductas inequívocas que permitan concluir razonablemente que otorgó su autorización. El silencio no puede asimilarse a una conducta inequívoca. Cuando se trate de datos personales sensibles la autorización para el tratamiento de tales datos deberá hacerse de manera explícita.

Por su parte, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización:

“ARTÍCULO 12. Deber de informar al Titular . El Responsable del

información que el responsable de tratamiento debe suministrar al titular de los datos personales al momento de obtener su autorización:

“ARTÍCULO 12. Deber de informar al Titular . El Responsable del Tratamiento, al momento de solicitar al Titular la autori zación, deberá informarle de manera clara y expresa lo siguiente:

a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.

b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.

c) Los derechos que le asisten como Titular.9 d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

En consecuencia, el responsable del tratamiento al solicitar la autorización al titular de los datos personales le debe informar: (i) el tratamiento al cual serán sometidos sus datos personales en cuanto a su recolección, almacenamiento, uso, circulación, supresión o cualquier otra operación sobre los datos personales; (ii) la finalidad específica del tratamiento de los datos personales; (iii) el carácter facultativo de la respuesta, cuando el tratamiento se pretenda realizar sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iv) los derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que el titular pueda ejercer sus derechos.

De acuerdo con lo anterior, el tratamiento de los datos personales, deberá

derechos que le asisten como titular y (v) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento para que el titular pueda ejercer sus derechos.

De acuerdo con lo anterior, el tratamiento de los datos personales, deberá realizarse con arreglo a lo dispuesto por la Ley 1581 de 2012 y el Decreto 1074 de 2015, por lo cual el responsable del tratamiento deberá contar con la autorización previa, expresa e informada del titular de los datos personales.

2. La aplicación de la Ley 2300 de 2023 al contacto por parte de los productores y proveedores de bienes y servicios a los consumidores con fines de prospección comercial

De conformidad con el artículo 1º de la Ley 2300 de 2023, su objeto 4 es el siguiente:

“Artículo 1o. Objeto. La presente ley tiene por objeto proteger el derecho a la intimidad de los consumidores, estableciendo los canales, el horario y la periodicidad en la que estos pueden ser contactados por las entidades vigiladas por la Superintendencia Financiera y todas las personas naturales y jurídicas que adelanten gestiones de cobranzas de forma directa, por medio de terceros o por cesión de la obligación.

4 En la exposición de motivos de la Ley 2300 de 2003 se expone lo siguiente en cuanto a su objetivo: “(...) implementar mecanismos que hagan eficaz el ejercicio del derecho fundamental a la intimidad de los usuarios del sector financiero, durante los lapsos en que están suspendidas las actividades productivas, como las horas inhábiles, los fines de semana y los días festivos. Se trata de proteger el ámbito privado del individuo y su familia, de la injerencia externa e invasiva, durante

actividades productivas, como las horas inhábiles, los fines de semana y los días festivos. Se trata de proteger el ámbito privado del individuo y su familia, de la injerencia externa e invasiva, durante las horas reservadas a la intimidad individual y familiar, particularmente de la actividad de los acreedores financieros, casas de cobranza, agencias externas, que alteran e interfieren el ejercicio de ese derecho a través de mecanismos como llamadas, mensajes de texto, mensajes de datos, correos electrónicos y similares” . [ https://leyes.senado.gov.co/proyectos/index.php/textosradicados-senado/p-ley-2021-2022/2534-proyecto-de-ley-384-de-2022]10 PARÁGRAFO. Las disposiciones aquí señaladas serán aplicadas por todas las personas naturales y jurídicas que ade lanten gestiones de cobranza de forma directa, por tercerización o por cesión de la obligación financiera o crediticia.”

Además de lo anterior, la Ley 2300 de 2023 extendió su aplicación al contacto por parte de los productores y proveedores de bienes y s ervicios a los consumidores con fines de prospección comercial, al señalar los siguiente:

“Artículo 5o. Lo dispuesto en la presente ley se aplicará en los mismos términos a las relaciones comerciales entre los productores y proveedores de bienes y servic ios privados o públicos y el consumidor comercial frente al envío de mensajes publicitarios a través de Mensajes Cortos de Texto (SMS) , mensajería por aplicaciones o web, correos electrónicos y llamadas telefónicas de carácter comercial o publicitario.

El Gobierno nacional a través del Ministerio de las Tecnologías de la Información y las Comunicaciones coordinará con la Comisión de

web, correos electrónicos y llamadas telefónicas de carácter comercial o publicitario.

El Gobierno nacional a través del Ministerio de las Tecnologías de la Información y las Comunicaciones coordinará con la Comisión de Regulación de Comunicaciones la implementación de las medidas técnicas necesarias para adaptar el Registro de Números Excluid os conforme lo establecido en la presente ley con un plazo de seis (6) meses” (…) (negrilla fuera del texto original).

De acuerdo con lo anterior, en lo que respecta al contacto con fines de prospección comercial al que se refiere el transcrito artículo 5º, la Ley 2300 de 2023 se aplica a las relaciones comerciales entre los productores y proveedores de bienes y servicios privados o públicos, por un lado, y los consumidores o potenciales consumidores, por el otro.

Para cumplir dicho mandato, la Ley 2300 de 2023 creó el Registro de Números Excluidos (RNE). Los consumidores podrán así inscribirse en dicho registro para solicitar la exclusión de sus datos para no ser contactados con fines comerciales y publicitarios a través de ninguno de esos canales –mensajes cortos de texto (SMS), mensajería por aplicaciones web, correos electrónicos y llamadas telefónicas– o escoger los canales a través de los cuales pueden ser contactados.

Antes de enviar cualquier mensaje publicitario a los consumidores o potenciales consumidores por los canales antes indicados, los productores y proveedores deben consultar el “Registro de Números Excluidos” (RNE) para conocer si están inscritos y los canales que tienen restringidos.

En cualquier caso, tratándose de cualquier medio de contacto a través del cual se puedan enviar mensajes publicitarios al consumidor, el productor o proveedor

inscritos y los canales que tienen restringidos.

En cualquier caso, tratándose de cualquier medio de contacto a través del cual se puedan enviar mensajes publicitarios al consumidor, el productor o proveedor tuvo que haber obtenido su autorización previa, expresa e informada. En otros términos, el productor o proveedor no puede enviar mensajes publicitarios a un consumidor por canales de contacto que no autorizó. Lo anterior, como ya se11 explicó, en aplicación de las disposiciones que gobiernan el tratamiento de datos personales, en particular la Ley 1581 de 2012 y el Capítulo 25 del Decreto Único Reglamentario 1074 de 2015, las cuales se aplican concurrentemente con la Ley 2300 de 2023.

Además de lo anterior, la ley 2300 de 2023, también establece como medidas de protección del consumidor con fines de prospección comercial las siguientes:

“Artículo 5º.

(…)

PARÁGRAFO 3 . En todo caso el envío de mensajes publicitarios a través de mensajes cortos de texto (SMS), mensajería por aplicaciones o web, correos electrónicos y que realicen llamadas telefónicas de carácter comercial o publicitario, solo podrán hacerlo por dentro se los horarios establecidos en el artículo 3.

En los términos anteriores, los horarios señalados por la ley para gestiones de cobro también se aplicarán para el contacto del consumidor a través de mensajes SMS con fines de prospección comercial.

Por último, e s importante señalar que la Ley 2300 de 2023 c