SIC - Resolucion RE10151-2025 de 2025

Página 1 de 26

RESOLUCIÓN NÚMERO 10151 DE 2025

(05 de marzo de 2025)

“Por la cual se impone una sanción administrativa”

Radicado 23-412642

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad EXPOFARO S.A.S., identificada con NIT. 800.080.027-2, por lo que decidió iniciar la presente investigación administrativa mediante la expedición de la Resolución No. 57526 del 26 de septiembre de 2023, por medio de la cual se formularon cargos a la sociedad en mención, por

la presunta infracción a lo dispuesto en:

1. El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejusdem, y los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. ii) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y artículos 14 y 15 ejusdem.

1. El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y artículos 14 y 15 ejusdem.

La mencionada resolución le fue notificada a la investigada de forma electrónica el día 27 de septiembre de 2023, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23412642-8 del 23 de octubre de 2023, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

Igualmente, se comunicó de dicha actuación a la denunciante.

SEGUNDO: Que, la sociedad EXPOFARO S.A.S. aportó escrito de descargos, junto con anexos, bajo el radicado número 23 -412642-7 del 19 de octubre de 2023, en la que realizó un recuento de los hechos ocurridos y manifestó, entre

otras cosas, lo siguiente:

• El día 27 de febrero de 2021, el titular otorgó su autorización previa, expresa e informada para el tratamiento de sus datos personales por parte de la sociedad EXPOFARO S.A.S. , con las siguientes finalidades: i) Proveer información sobre productos y servicios ofrecidos por la compañía; ii) campañas, estudios, promociones, o concursos de carácter comercia o publicitarios; iii) programas de fidelización o actualización de clientes; iv) informar sobre cambios de productos o servicios de la compañía. - El día 15 de julio de 2021 el titular, por medio de una comunicación,

comercia o publicitarios; iii) programas de fidelización o actualización de clientes; iv) informar sobre cambios de productos o servicios de la compañía. - El día 15 de julio de 2021 el titular, por medio de una comunicación, solicitó la supresión de sus datos personales de las bases de datos de la compañía. - Debido a una errónea configuración del correo electrónico, la compañía conoció la solicitud de supresión d el titular hasta el día 18 de marzo de

2022. La sociedad EXPOFARO S.A.S. le dio prioridad a esta solicitud y eliminó los datos del titular en la misma fecha referida anteriormente

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 10151 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 26

únicamente para fines publicitarios y de mercadeo; sin embargo, la compañía le aclaró al titular que mantendría sus datos personales para efectos de facturación en cumplimiento de sus deberes legales de registro y reporte de transacciones ante las entidades correspondientes. - El 25 de agosto de 2022, la Superintendencia de Industri a y Comercio expidió la resolución No. 57176 del 2022, por medio de la cual archivó la actuación administrativa adelantada en contra de la compañía debido a que encontró que se configuró un hecho superado. - El día 31 de marzo, debido a un error humano en el manejo de la base de datos que mantiene la compañía en cumplimiento de sus deberes legales, el titular recibió un mensaje con contenido publicitario, razón por la cual el titular le solicitó a la Superintendencia la reapertura del expediente adelantado en contra de la compañía.

datos que mantiene la compañía en cumplimiento de sus deberes legales, el titular recibió un mensaje con contenido publicitario, razón por la cual el titular le solicitó a la Superintendencia la reapertura del expediente adelantado en contra de la compañía. - El 12 de abril de 2023, la sociedad investigada envió una comunicación al titular reconociendo los hechos sucedidos y ofreciendo disculpas por la situación, y le confirmó al titular que se tomaron las medidas correctivas necesarias para evitar que sus datos sean utilizados con fines publicitarios o promocionales. - La sociedad EXPOFARO S.A.S. reconoció y aceptó la comisión de la infracción en los cargos imputados a través de la Resolución No. 57526 de 2022, y solicitó la aplicación del criterio de atenuación de la sanción establecido en el literal f) del artículo 24 de la Ley 1581 de 2012. - La sociedad investigada destacó que ha desarrollado e implementado varias medidas en virtud de principio de responsabilidad demostrada, entre las que se encuentran: un oficial de protección de datos, planes de auditoría interna, identificación y gestión de riesgos, respuestas a incidentes de seguridad, implementación de medidas de seguridad desde el diseño y por defecto, entre otras medidas.

TERCERO: Que, mediante Resolución No. 19960 del 23 de abril de 2024 se incorporaron las pruebas allegadas a la presente actuación administrativa.

Las pruebas incorporadas son las siguientes:

3.1. Radicación de documentación de fecha 15 de septiembre de 20231.

3.1.1. Copia de Resolución No. 57176 del 25 agosto de 20222. 3.1.2. Solicitud de eliminación de datos del Titular de fecha 22 de agosto del

3.1.1. Copia de Resolución No. 57176 del 25 agosto de 20222. 3.1.2. Solicitud de eliminación de datos del Titular de fecha 22 de agosto del 2021, junto con la publicidad enviada a su teléfono y copia de comunicación con la sociedad3. 3.1.3. Solicitud de e xplicaciones dirigida a la sociedad EXPOFARO S.A.S. de fecha 16 de marzo del 20224. 3.1.4. Respuesta a solicitud de explicaciones por parte de la investigada, con anexos, de fecha 5 de abril del 20225. 3.1.4.1. Relación de correos del Titular y respuesta de la investigada6. 3.1.4.2. Certificación de eliminación de datos del Titular7. 3.1.4.3. Cadena de correos de la investigada al encargado del tratamiento para la eliminación de datos8. 3.1.4.4. Manual de Políticas para el Tratamiento de Datos Personales y Habeas Data de la sociedad EXPOFARO S.A.S.9 3.1.4.5. Aviso de Privacidad de la sociedad EXPOFARO S.A.S.10 3.1.4.6. Manual de Procedimientos para la atención de consultas y reclamos, código 01 y versión 0111.

1 Radicado No. 23-412642-0, página 1. 2 Radicado No. 23-412642-0-1, página 2, folios 1 al 9. 3 Radicado No. 23-412642-0-1, página 2, folios 10 al 16. 4 Radicado No. 23-412642-0-1, página 2, folios 17 al 18. 5 Radicado 23-412642-0-1, página 2, folios 19 al 23.

4 Radicado No. 23-412642-0-1, página 2, folios 17 al 18. 5 Radicado 23-412642-0-1, página 2, folios 19 al 23. 6 Radicado 23-412642-0-1, página 2, folios 24 al 27. 7 Radicado 23-412642-0-1, página 2, folio 28. 8 Radicado 23-412642-0-1, página 2, folios 29 al 31. 9 Radicado 23-412642-0-1, página 2, folios 32 al 46. 10 Radicado 23-412642-0-1, página 2, folios 47 al 48. 11 Radicado 23-412642-0-1, página 2, folios 49 al 56.RESOLUCIÓN NÚMERO 10151 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 26

3.2. Certificado de Existencia y Representación Legal de la sociedad EXPOFARO S.A.S de fecha 26 de septiembre del 202312.

3.3. Escrito de descargos del 20 de octubre de 202313.

3.3.1. Carpeta con anexos14 3.3.1.1. Poder especial 3.3.1.2. Documento titulado “Finalidades autorizadas” 3.3.1.3. Certificación de contabilidad 3.3.1.4. Políticas de Seguridad de la Información código 01, versión 03 de febrero del 2022 3.3.1.5. Enlace a la publicación web del documento Manual de Procedimientos para la atención de consultas y reclamos, código 01 y versión 01 3.3.1.6. Capacitación interna sobre políticas de tratamiento de datos

febrero del 2022 3.3.1.5. Enlace a la publicación web del documento Manual de Procedimientos para la atención de consultas y reclamos, código 01 y versión 01 3.3.1.6. Capacitación interna sobre políticas de tratamiento de datos 3.3.1.7. Capacitación régimen de protección de datos personales 3.3.1.8. Protocolo de respuesta a incidentes y violaciones de protección de datos personales 3.3.1.9. Certificación del esquema de seguridad de la información del 13 de octubre de 2023 3.3.1.10. Certificado de Existencia y Representación Legal de la sociedad EXPOFARO S.A.S. de fecha 18 de octubre de 2023.

La mencionada resolución le fue comunicada a la sociedad investigada el 23 de abril de 2024, de conformidad con la certificación del 24 de abril de 2024, expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-412642-12.

CUARTO: Que, la sociedad EXPOFARO S.A.S. presentó alegatos de conclusión, por medio de comunicación con radicado número 23-412642-13 del 06 de mayo de 2024, en los que reiteró lo manifestado en el escrito de descargos.

QUINTO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los pr incipios, derechos, garantías y procedimientos previstos en la mencionada ley.

SEXTO: Análisis del caso

corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los pr incipios, derechos, garantías y procedimientos previstos en la mencionada ley.

SEXTO: Análisis del caso

6.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 2011, estableció́ lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”15. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará́ lugar

12 Radicado 23-412642-1, página 3. 13 Radicado 23-412642-7-1, página 3. 14 Radicado 23-412642-7-2, página 2. 15 Corte Constitucional. Sentencia C -748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011. Expediente PE032.RESOLUCIÓN NÚMERO 10151 DE 2025

“Por la cual se impone una sanción administrativa”

032.RESOLUCIÓN NÚMERO 10151 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 26

a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

1. De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a lo

consagrado en:

 El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejusdem, y los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.  El literal j) del artículo 17 de la Ley 1581 de 2012, en con cordancia con el literal e) del artículo 4° y artículos 14 y 15 ejusdem. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dar á́ lugar o no a la imposición de una sanción, para lo cual se deberá́ tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así́ como el conjunto de pruebas allegadas al expediente. 6.2. Valoración probatoria y conclusiones

6.2.1. Respecto del deber de garantizar al Titular el pleno y efectivo ejercicio del derecho de hábeas data.

El artículo 17 de la Ley 1581 de 2012 establece los deberes que le asisten a los

6.2.1. Respecto del deber de garantizar al Titular el pleno y efectivo ejercicio del derecho de hábeas data.

El artículo 17 de la Ley 1581 de 2012 establece los deberes que le asisten a los Responsables del tratamiento, entre los que se encuentra el siguiente: “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…)”. A su turno, el literal e) del artículo 8 del cuerpo normativo en cita, señala lo siguiente:

"Artículo 8. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos:

(...)

e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;

(…)”.

En relación con los artículos en cita, la Corte Constitucional, mediante sentencia C-748 de 2011, realizó las siguientes precisiones:

“(…)

En ese sentido, se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular, en todo tiempo, el pleno

“(…)

En ese sentido, se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular, en todo tiempo, el pleno y efectivo derecho de habeas data, ello inc luye que se cumplan los principios para la administración de datos y los derechos de los titulares.”RESOLUCIÓN NÚMERO 10151 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 26

‘Examen del ordinal e)

Esta disposición establece en Colombia el llamado derecho a la oposición. La norma señala que el Titular del dato podrá revocar la autorización y/o solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales y (ii) siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución.

(…)

Entonces, el interesado o ind ividuo titular del dato, bajo el estándar Europeo, tiene derecho a oponerse a su utilización: (i) por razones personales, si no existe ninguna obligación legal que le imponga la permanencia del dato, (ii) en cualquier momento cuando el dato ha sido tratado sin su consentimiento; (iii) el tratamiento es utilizado para fines distintos a los establecidos inicialmente y, (iv) cuando es tratado con fines de prospección de mercadeo por parte de terceras personas. Es decir, cuando se utiliza para fines publicitarios, y el Titular del dato ya no desea recibir más información sobre el producto.

(…)”.

de prospección de mercadeo por parte de terceras personas. Es decir, cuando se utiliza para fines publicitarios, y el Titular del dato ya no desea recibir más información sobre el producto.

(…)”.

Por su parte, el Decreto Único Reglamentario 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.6. Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de facil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” “Artículo 2.2.2.25.4.3. Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el

artículo 22 de la Ley 1581 de 2012.” “Artículo 2.2.2.25.4.3. Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento.”

De la normatividad y los extractos jurisprudenciales en cita, se tiene que, de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de Habeas Data permite a los Titulares solicitar la exclusión de información que haya sido recogida en bases de datos, pues el Titular podrá solicitar la supresión del dato cuando, además de que no se respeten los principios, derechos y garantías constituc ionales y legales, no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos y sea su voluntad no permanecer en ella.RESOLUCIÓN NÚMERO 10151 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 26

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargo por la presunta vulneración al deber de garantizar al Titular el pleno y efectivo ejercicio del derecho de Habeas Data, mediante la Resolución No. 38804 del 10 de julio de 2023, al considerar que:

“(…)

deber de garantizar al Titular el pleno y efectivo ejercicio del derecho de Habeas Data, mediante la Resolución No. 38804 del 10 de julio de 2023, al considerar que:

“(…)

Respecto a lo anterior, esta Dirección, a través del Grupo de Trabajo de Hábeas Data, remitió a LA INVESTIGADA oficio con número de radicado 21-335275-8 del 16 de marzo de 2022, para q ue, entre varios temas, informara y acreditara “si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta.”. LA INVESTIGADA mediante comunicación del 21-335275-9 del 08 de abril de 2022 allegó documento “ANEXO 4” donde se resalta lo siguiente:

1. Respuesta del 18 de marzo de 2022, a la solicitud realizada por el

Titular, en donde manifestaron:

“Queremos disculparnos por no dar respuesta inmediata a tu solicitud, esto debido a que apenas hoy advertimos un error en la configuración de este correo electrónico. Por lo anterior, solo hasta hoy conocemos tu solicitud. En vista de esto, como responsables de los datos personales obtenidos a través de nuestros distintos canales de atención, le dimos la prioridad más alta a la supresión de tus datos de nuestra base de datos destinada a fines publicitarios y de mercadeo de nuestros productos, en cumplimiento de la Ley 1581 de 2012, el Manual de Políticas de Tratamiento de Datos Personales y el Manual de Políticas de Seguridad de la Información de la Compañía.”

2. Solicitudes realizadas por el Titular con fecha del 15 de julio de 2021,

de Políticas de Tratamiento de Datos Personales y el Manual de Políticas de Seguridad de la Información de la Compañía.”

2. Solicitudes realizadas por el Titular con fecha del 15 de julio de 2021, 22 de agosto de 2021, 5 de septiembre de 2021 en donde el Titular solicita la supresión de sus datos personales, las cuales fueron respondidas hasta el 18 de marzo de 2022, siendo una fecha posterior al envió del oficio con número de radicado 21-335275-8 del 16 de marzo de 2022.

Adicionalmente, mediante el Anexo 5, LA INVESTIGADA allegó prueba que los datos del Titular habían sido eliminados de sus bases de datos. Sin embargo, esta Superintendencia ha sido enfática en señalar que:

No puede convertirse en práctica empresarial que el titular del dato tenga que insistir varias veces para que se garantice el respeto de sus derechos. Con una sola solicitud es suficiente y le corresponde al responsable hacer efectivo el derecho a las dentro del plazo máximo legal establecido en la ley. Los derechos de los titulares [sic] son para respetarlos en el tratamiento de datos personales y no para dilatar su cumplimiento o su efectividad en la práctica

(…)

Dado lo anterior, se encuentra que el Titular tuvo que solicitar en más de una ocasión la supresión de sus datos personarles y que la INVESTIGADA no contaba con un canal debidamente habilitado para la recepción de dicha solicitud. Así las cosas, en virtud del ejercicio del derecho fundamental de habeas data que se refiere el literal a) del artículo 17 de la ley 1581 de 2012, los titulares pueden solicitar la exclusión o supresión de la información que reposen las bases de datos de los

derecho fundamental de habeas data que se refiere el literal a) del artículo 17 de la ley 1581 de 2012, los titulares pueden solicitar la exclusión o supresión de la información que reposen las bases de datos de los responsables o encarga dos del tratamiento, siempre que no exista un deber legal o contractual que lo impida.

Por lo tanto, teniendo en cuenta que LA INVESTIGADA remitió prueba que acreditara la eliminación de los datos personales de la Titular de sus bases de datos, pero que dicha eliminación se realizó de manera extemporánea y tras múltiples solicitudes por parte del Titular, se tiene entonces que, preliminarmente LA INVESTIGADA no garantizó a la Titular el pleno y efectivo ejercicio del derecho de hábeas data. Esta conducta se subsume típicamente en una presunta infracción al deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, enRESOLUCIÓN NÚMERO 10151 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 26

concordancia con el literal e) del artículo 8° ejusdem, y con los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reg lamentario 1074 de 2015.

(…)”.

De conformidad con lo manifestado en el escrito de denuncia, el Despacho encontró que el titular presentó la solicitud de supresión de datos y re vocó su autorización para el tratamiento de estos en relación con el envío de publicidad sobre los servicios que ofrece la sociedad investigada, en las fechas julio 15 de 2021, agosto 20 de 2021 y agosto 22 de 2021.

autorización para el tratamiento de estos en relación con el envío de publicidad sobre los servicios que ofrece la sociedad investigada, en las fechas julio 15 de 2021, agosto 20 de 2021 y agosto 22 de 2021.

Con el fin de recolectar las pruebas necesa rias para continuar con la actuación administrativa, este Despacho requirió a la sociedad EXPOFARO S.A.S., por medio de comunicación con radicado número 21-335275-8 del 16 de marzo de 2022, para que informara “(…) si el Titular ha presentado una reclamació n o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta (…)”.

La sociedad EXPOFARO S.A.S. dio respuesta al requerimiento referido anteriormente, mediante comunicación con radicado número 21-335275-9 del 07 de abril de 2022, en el que manifestó que el titular presentó las solicitudes de supresión de datos para efectos de publicidad y re vocó su autorización para el tratamiento de estos en las siguientes fechas: 15 de julio de 2021, 2 0 de agosto de 2021, 22 de agosto de 2021, 05 de septiembre de 2021, 22 de marzo de 2022 y 31 de marzo de 2023.

La sociedad investigada afirma que dio respuesta a las solicitudes de la siguiente manera:

• A la solicitud de fecha 15 de julio de 2021: La soc iedad investigada dio respuesta el día 18 de marzo de 2022, en la que le manifestó al titular que debido a un error en la configuración del correo electrónico no habían dado respuesta a su solicitud, pues la conocieron solo hasta el día en que respondieron. Así mismo, le informó al titular que no recibiría más

que debido a un error en la configuración del correo electrónico no habían dado respuesta a su solicitud, pues la conocieron solo hasta el día en que respondieron. Así mismo, le informó al titular que no recibiría más información sobre los productos ofrecidos por la sociedad y que los datos que permanecían en sus bases de datos serían utilizados únicamente para cumplir con sus deberes legales.

• A la solicitud de fecha 22 de marzo de 2022: La sociedad investigada dio respuesta el día 06 de abril de 2022, en la que indicó, nuevamente, que se presentó una dificultad técnica con el correo

habeasdata@farogroup.com.co y que por esta razón su solicitud fue conocida y respondida tiempo después. Adicionalmente, le indicó al titular que ya no recibiría más información relacionada con los productos que ofrece la sociedad y que únicamente almacenará los datos que sean pertinentes para cumplir con sus deberes legales.

• A la solicitud de fecha 31 se marzo de 2023: La sociedad investigada dio respuesta el día 12 de abril de 2023, en la que le indicó al titular que aun cuando sus datos personales fueron eliminados con el fin de que no recibiera más publicidad, se conservaron los datos necesarios para realizar la facturación y cumplir sus deberes legales. Por un error de la sociedad, al momento de realizar un procedimiento técnico sobre las bases de datos específica en la que se encontraban sus datos, estos fueron utilizados para el envío de información publicitaria el día 31 de marzo de 2023. La sociedad nuevamente le afirmó que sus datos personales fueron eliminados con el fin de que no reciba información publicitaria.

Adicionalmente, en escrito de descargos, la sociedad EXPOFARO S.A.S. ,

sociedad nuevamente le afirmó que sus datos personales fueron eliminados con el fin de que no reciba información publicitaria.

Adicionalmente, en escrito de descargos, la sociedad EXPOFARO S.A.S. , radicado bajo el número 23 -412642-7 del 19 de octubre de 2023, manifestó, entre otras cosas, lo siguiente:

• El titular solicitó por primera vez la supresión de sus datos personales y revocó su autorización para el tratamiento de estos.RESOLUCIÓN NÚMERO 10151 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 26

• Que, por una configuración del correo electrónico, la sociedad investigada conoció la solicitud de supresión hasta el día 18 de marzo de 2022, razón por la cual dio prioridad al requerimiento referenciado y eliminó los datos del titular para efectos de envío de publicidad, aclarando que únicamente conservaría los datos para tramitar la facturación en cumplimiento de sus deberes legales. - El 31 de marzo de 2023, debido a un error humano, el titular recibió nuevamente un mensaje con contenido publicitario. El 12 de abril de 2023 la sociedad investigada reconoció la falta cometida y le confirmó al titular que se realizaron los correctivos correspondientes para que sus datos no fueran usados con fines publicitarios. - La sociedad EXPOFARO S.A.S. reconoció y aceptó expresamente los cargos formulados por medio de la Resolución No. 57526 del 26 de septiembre de 2023. - La sociedad investigada resaltó que ha implementado varias medidas en virtud de principio de responsabilidad demostrada, entre las que se encuentran: un oficial de protección de datos y planes de auditoría

septiembre de 2023. - La sociedad investigada resaltó que ha implementado varias medidas en virtud de principio de responsabilidad demostrada, entre las que se encuentran: un oficial de protección de datos y planes de auditoría interna, identificación y gestión de riesgos, respuestas a incidentes de seguridad, implementación de medidas de seguridad desde el diseño y por defecto, entre otras medidas. - La sociedad EXPOFARO S.A.S. solicitó que, teniendo en cuenta el reconocimiento y la aceptación expresa de la comisión de la infracción, se imponga la sanción más baja posible, en aplicación del literal f) del artículo 24 de la Ley 1581 de 2012.

Así las cosas, este Despacho evidenció que, de conformidad con lo manifestado por el denunciante y la sociedad investigada, el Titular presentó la solicitud de supresión de sus datos en seis (06) oportunidades:

• Julio 15 de 2021

Imagen No. 1. Tomada del radicado número 21-335275-9 del 08 de abril de 2022.

- Agosto 20 de 2021RESOLUCIÓN NÚMERO 10151 DE 2025

“Por la cual se impone una sanción a