SIC - Resolucion RE14613-2025 de 2025

Página 1 de 27

RESOLUCIÓN NÚMERO 14613 DE 2025

(25 de marzo de 2025)

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Radicación: 22-264069

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la FUNDACIÓN BIOENTORNO, (en adelante “la investigada”), identificada con Nit. 900.254.750 -0, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX en su queja radicada el

7 de julio de 2022 con radicado 22-264069-00000:

1.1 Informa que el 13 de mayo de 2022 recibió una oferta de servicios en su correo electrónico persona XXXXXXXXXXXXXXXXX remitido desde la dirección de correo electrónico comercial@bioentomo.prg.

1.2 Que, con base en lo anterior, el titular presentó una reclamación a la FUNDACIÓN BIOENTORNO el 17 de mayo de 2022 , para que “por favor me informara dónde y por qué medio había obtenido mi dirección personal.”1

1.2 Que, con base en lo anterior, el titular presentó una reclamación a la FUNDACIÓN BIOENTORNO el 17 de mayo de 2022 , para que “por favor me informara dónde y por qué medio había obtenido mi dirección personal.”1

1.3 Frente a lo cual, la investigada respondió mediante comunicación del 14 de junio de 2022 afirmando :” (…) que ellos la habían obtenido primero la dirección de correo electrónico y el teléfono de la sociedad Higea Farmacéutica S.A.S., sociedad de la cual soy su representante legal, teléfono al que llamaron y en el cual supuestamente le suministraron mi dirección personal de correo electrónico.” 2

1.4 Al respecto, el titular asegura que: “ Puedo dar fe primero que estos señores de Bioentomo jamás llamaron a la empresa y segundo que en la compañía jamás les hubieran suministrado un dato tan privado como es mi dirección personal de correo electrónico.”3

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: el literal b) del artículo 17 de la ley 1581 de 2012, en concordancia con el literal c) del artículo

1 Expediente digital, consecutivo 0, página 1, folio 1 2 Expediente digital, consecutivo 0, página 1, folio 1 3 Expediente digital, consecutivo 0, página 1, folio 1

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 14613 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 2 de 27

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 14613 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 2 de 27

4, artículos 9 y el literal a) del 12 de la Ley 1581 de 2012, así como los incisos primero y segundo del artículo 2.2.2.25.2.1 y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, el 24 de septiembre de 2024, se inició la presente inves tigación administrativa mediante la expedición de la Resolución N.º 55548 4por medio de la cual se formuló un (1) cargo a la FUNDACIÓN BIOENTORNO, identificada con Nit. 900.254.750-0.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

TERCERO: Que la Resolución 55548 del 24 de septiembre de 2024 se notificó personalmente a la sociedad FUNDACIÓN BIOENTORNO el 25 de septiembre de 2024, de conformidad con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia con radicación 22-264069- -20 del 27 de septiembre de 2024.

CUARTO: Que mediante escrito radicado el día 16 de octubre de 2024 con

AD-HOC de esta Superintendencia con radicación 22-264069- -20 del 27 de septiembre de 2024.

CUARTO: Que mediante escrito radicado el día 16 de octubre de 2024 con radicado 22-264069- -00022 el apoderado de la FUNDACIÓN BIOENTORNO, dio respuesta a la formulación de cargos informando lo siguiente:

4.1 Indicó que el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX no cumplió con el requisito de procedibilidad.5

4.2 Informó que la investigada recibió una reclamación por parte del titular como representante legal de la sociedad HIGEA FARMACÉUTICA S.A.S EN LIQUIDACIÓN y no como persona natural, e indica que el titular: “(…) pide como representante legal de la compañía, que le den respuesta a la reclamación de la sociedad que él representa (…) al correo XXXXXXXXXXXXXX y no al de notificaciones que se encuentra en el certificado de existencia y representación legal de la sociedad HIGEA FARMACÉUTICA S.A.S. el cual tiene la anotación de que la sociedad para la fecha de los hecho (sic) no había cumplido con la obligación de renovar matricula mercantil”6

4.3 El apoderado asegura que la FUNDACIÓN BIOENTORNO contrario a lo que afirma el titular , si realizó la llamada a la sociedad HIGEA FARMACÉUTICA S.A.S EN LIQUIDACIÓN de acuerdo con el registro de llamadas de Movistar: “se evidencia que el día 12 de mayo de 2022 a las 15:48 LA INVESTIGADA SÍ realizó la llamada al número 8269822 de la sociedad HIGEA FARMACÉUTICA S.A.S. con una duración de 2 minutos.”7

4.4 Por otra parte, el apoderado afirma que el correo electrónico del titular es

sociedad HIGEA FARMACÉUTICA S.A.S. con una duración de 2 minutos.”7

4.4 Por otra parte, el apoderado afirma que el correo electrónico del titular es un dato público, toda vez que se encuentra publicado en una página web bajo la dirección bajo la dirección: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

XXXXXXXXXXXXXXXX 8

4.5. Así mismo, el apoderado afirma que la dirección de correo electrónico del titular no es privada porque este solicitó que se le respondiera su reclamación enviada a la investigada el 17 de mayo de 2022 al correo electrónico XXXXXXXXXXXXXXXXX, de igual manera, el correo enviado por la investigada para ofrecer sus servicios iba dirigido a la sociedad HIGEA FARMACÉUTICA S.A.S EN LIQUIDACIÓN y no al titular. 9

4 Resolución No. 55548 obrante en el expediente 22-264069 5 Expediente digital, consecutivo 22, página 18, folio 2 6 Expediente digital, consecutivo 22, página 18, folio 2 7 Expediente digital, consecutivo 22, página 18, folio 2 8 Expediente digital, consecutivo 22, página 18, folio 3 9 Expediente digital, consecutivo 22, página 18, folio 3RESOLUCIÓN NÚMERO 14613 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 3 de 27

4.6 El apoderado señala que el señor XXXXXXXXXXXXXXXXXXXXXXXX pretende desacreditar a FUNDACIÓN BIOENTORNO: “dado que él, como representante legal de HIGEA FARMACEUTICA ha sido presidente de la Junta directiva de la CORPORACIÓN PUNTO AZUL por varios años y

pretende desacreditar a FUNDACIÓN BIOENTORNO: “dado que él, como representante legal de HIGEA FARMACEUTICA ha sido presidente de la Junta directiva de la CORPORACIÓN PUNTO AZUL por varios años y mantiene estrechos lazos con ella, LA CUAL ES COMPETENCIA DIRECTA

de LA FUNDACIÓN BIOENTORNO”.10

4.7 También afirma que esta Superintendencia vulneró el derecho al debido proceso de la investigada al proferir la Resolución N.º 55548 de 2024 en donde hace la apertura de la investigación y formula un cargo “ con un pobre material probatorio ” sin que la investigada tuviera el tiempo suficiente para ejercer su derecho de defensa.11

4.8 El apoderado aduce que esta Superintendencia no determinó en la formulación de cargos si la conducta que presuntamente infringió la norma por parte de la investigada fue a título de dolo o culpa, por cual vulneró su derecho al debido proceso.

4.9 El apoderado dice que no existió peligro o daño alguno con relación a los datos personales del titular, por cuanto, la mencionada dirección de correo electrónico es usada por HIGEA FARMACEUTICA S.A.S EN LIQUIDACIÓN, y de igual forma, el dato fue suprimido por la investigada.

4.10 Señala que la Resolución N.º 55548 de 2024 esta viciada por ser un acto administrativo contrario a la Ley, debido a que se hizo apertura de una investigación administrativa y formulación de cargos sin el cumplimiento del requisito de procedibilidad.12

4.11 De igual forma, solicitó que se decreten las siguientes pruebas: “B.

DECLARACIÓN DE PARTE: Sírvase citar a la FUNDACIÓN BIOENTORNO

del requisito de procedibilidad.12

4.11 De igual forma, solicitó que se decreten las siguientes pruebas: “B.

DECLARACIÓN DE PARTE: Sírvase citar a la FUNDACIÓN BIOENTORNO identificada con el NIT. 900.254.750-0 a través de su representante legal la señora SILVANA MARIA MOJICA MORENO. (…) C. INTERROGATORIO DE PARTE: Sírvase citar al Seños XXXXXXXXXXXXXXX (EL QUEJOSO)”13

QUINTO: Que mediante Resolución N.º 77577 del 12 de diciembre de 2024 14, esta Dirección incorporó las pruebas obrantes en el expediente radicado bajo el número 22-264069, con el valor legal que les corresponda, negó las pruebas solicitadas por el apoderado de la investigada declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que dentro del plazo otorgado por la Resolución N.º 77577 del 12 de diciembre de 2024, la sociedad investigada mediante comunicado del 23 de diciembre de 2024 con radicado 22 -264069- -00029, presentó alegatos de conclusión reiterando lo señalado en los descargos.

SÉPTIMO: Competencia de la Superintendencia de Industria y

Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso

corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso

10 Expediente digital, consecutivo 22, página 18, folio 3 11 Expediente digital, consecutivo 22, página 18, folio 12 12 Expediente digital, consecutivo 22, página 18, folio 16 13 Expediente digital, consecutivo 22, página 18, folio 18 y 19 14 Resolución No. 77577 del 12 de diciembre de 2024 obrante en el expediente 22 -264069RESOLUCIÓN NÚMERO 14613 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 4 de 27

8.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 15, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley , esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(I) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(II) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del: literal b) del artículo 17 de la ley 1581 de 2012, en concordancia con el literal c) del artículo 4, artículos 9 y el literal a) del 12 de la Ley 1581 de 2012, así como los incisos primero y segundo del artículo 2.2.2.25.2.1 y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente.

8.2 Valoración probatoria y conclusiones

así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente.

8.2 Valoración probatoria y conclusiones

8.2.1 Respecto del deber de solicitar y conservar la autorización del Titular para el Tratamiento de sus datos personales

El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

El artículo 4 de la Ley 1581 de 2012, contempla los principios para el Tratamiento de datos personales, entre los cuales se encuentra el principio de libertad, al disponer:

“Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

15 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 14613 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 5 de 27

c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

(…)”.

consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

(…)”.

Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de Ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente:

“Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que rel eve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad . En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”.

El principio de libertad es desarrollado, entre otros, por el artículo 9 y el literal

humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”.

El principio de libertad es desarrollado, entre otros, por el artículo 9 y el literal b) del artículo 17 de la Ley 1581 de 2012. El primero de ellos señala que “[s]in perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior ”. En el segundo se expresa que es deber de los Responsables del Tratamiento “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.

Así, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, ad emás, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgado por el mismo, dispuesto en el literal b) del artículo 17 del mismo compendio normativo. Al respecto, la Corte Constitucional mediante la sentencia C-748 de 2011 expresó:

“En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas datadel titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación:

que responden a los principios de la administración de datos y a los derechos –intimidad y habeas datadel titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación:

(i) Solicitar y conservar la autorización para el tratamiento del dato – en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato (...)”.

Además de lo anterior, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente:RESOLUCIÓN NÚMERO 14613 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 6 de 27

“Artículo 2.2.2.25.2.2. Autorización . El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales serán recolectados así como todas las finalidades específicas del Tratamiento para cuales se obtiene consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.

En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales pued an afectar el

En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales pued an afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.

(…)

Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de confo rmidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada

Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”. (Se subraya fuera de texto)

ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los

ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”.

En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, así pues, el Titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el Responsable del Tratamiento, y así poder hacer uso de la libertad frente al poder informático y la autodeterminación informática.

En este sentido, esta Dirección encontró preliminarmente que la FUNDACIÓN BIOENTORNO remitió un correo electrónico a la dirección electrónica XXXXXXXXXXXX el 13 de mayo de 2022, de acuerdo con la queja presentada por el titular. Por otra parte, en virtud de la respuesta otorgada por parte de la investigada al requerimiento realizado por este Despacho, este dato personal fue suministrado por la recepcionista de la sociedad HIGEA FARMACÉUTICA S.A.S EN LIQUIDACIÓN como dato de contacto del Titular en calidad de Representante Legal.

No obstante, en la queja allegada a este Despacho, el Titular aseguró que dicho dato corresponde a su correo electrónico personal y que no otorgó autorizaciónRESOLUCIÓN NÚMERO 14613 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 7 de 27

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 7 de 27

a la investigada para su tratamiento. Así las cosas, conforme al material probatorio aportado, este Despacho encontró que no fue posible vincular este correo electrónico a la profesión u oficio del Titular.

Adicionalmente, según la información contenida dentro del Certificado de Existencia y Representación Legal de la sociedad HIGEA FAMACÉUTICA S.A.S EN LIQUIDACIÓN se tiene que el Titular ostenta la calidad de Representante Legal, sin embargo, también se encontró que el correo de notificación judicial consignado en dicho documento corresponde a lab_higea@hotmail.com y no al correo XXXXXXXXXXXXXXXXXX.

Así mismo, la investigada mediante respuesta del 18 de julio de 2023 con radicado 22-264069- -00008 aseguró que16:

“RESPUESTA: Teniendo en cuenta que la información que nosotros enviamos tal como lo describe la respuesta del numeral 2 fue a HIGEA FARMACEUTICA S,A,S . Y NO A : XXXXXXXXXXXXXXXXXXXXXXXX, a través del correo electrónico que informó la compañía, y así mismo tampoco enviamos ni procesamos ni recolectamos los datos personales del señor XXXXXXXXXXXXXXXXXXXXXXXXX, por todo lo anterior no contamos con la autorizacion por parte de alguien que no nos correspondía tenerla.” Subraya y negrilla por fuera del texto original.

Por consiguiente, esta Dirección advirtió un presunto incumplimiento por parte de la FUNDACIÓN BIOENTORNO del deber de solicitar y conservar la autorización previa, expresa e informada otorgada por los Titulares para el tratamiento de sus datos personales.

Al respecto, este Despacho encuentra que en el Certificado de Existencia y

de la FUNDACIÓN BIOENTORNO del deber de solicitar y conservar la autorización previa, expresa e informada otorgada por los Titulares para el tratamiento de sus datos personales.

Al respecto, este Despacho encuentra que en el Certificado de Existencia y Representación Legal de la sociedad HIGEA FARMACÉUTICA S.A.S EN LIQUIDACIÓN se establece claramente que la persona jurídica quedó disuelta y se encuentra en liquidación mediante Acta No. 17 del 23 de marzo de 2022, inscrita en la Cámara de Comercio el 22 de julio de 2022, razón por la cual, se infiere que dicha sociedad no ha ren ovado la matrícula mercantil, porque se encuentra en proceso de liquidación, no obstante, se debe resaltar que el correo registrado para recibir notificaciones judiciales en dicho documento es lab_higea@hotmail.com, y no el correo XXXXXXXXXXXXXXXXX. Sobre esto se debe tener en cuenta que, la investigada consultó el Certificado de Existencia y Representación Legal de la sociedad HIGEA FARMACÉUTICA S.A.S EN LIQUIDACIÓN para obtener el número de contacto de la misma y ofrecer sus servicios, de manera que habría podido enviar la publicidad al correo electrónico señalado para dicho fin.

Por otra parte, el apoderado afirma que el correo electrónico del titular es un dato público, toda vez que se encuentra publicado en una página web bajo la dirección:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX 17. Así mismo, afirma que la dirección de correo electrónico del titular no es privada porque este solicitó que se le respondiera su reclamación enviada a la investigada el 17 de mayo de 2022 al correo electrónico XXXXXXXXXXXXXXXXX de igual manera, el correo enviado por la investigada

electrónico del titular no es privada porque este solicitó que se le respondiera su reclamación enviada a la investigada el 17 de mayo de 2022 al correo electrónico XXXXXXXXXXXXXXXXX de igual manera, el correo enviado por la investigada para ofrecer sus servicios iba dirigido a la sociedad HIGEA FARMACÉUTICA S.A.S EN LIQUIDACIÓN y no al titular. 18

Sobre este punto, se encuentra necesario aclarar lo siguiente:

• Concepto de dato personal y análisis del correo electrónico

Para determinar el alcance del concepto de “ dato personal”, se hace necesario traer a colación la definición del literal c) del artículo 3 de la Ley 1581 de 2012,

16 Expediente digital, consecutivo 8, página 3, folio 2 17 Expediente digital, consecutivo 22, página 18, folio 3 18 Expediente digital, consecutivo 22, página 18, folio 3RESOLUCIÓN NÚMERO 14613 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 8 de 27

conforme con el cual, el dato personal es “(c)ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

Para la Corte Constitucional, el dato personal goza de las siguientes características en contraposición al dato impersonal:

“i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de

gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”

Como se observa, el dato personal conlleva un componente (en mayor o menor medida) que contribuye a la identificación de una persona y está circunscrito a aspectos propios de su titular, lo cual, además, le brinda un grado tal de individualización que lo hace excluyente respecto de la información recogida de personas distintas. En otras palabras, el dato personal determina o permite determinar al titular del mismo a partir de su individualización.

En concreto, el correo electrónico, como servicio de red que permite recibir y enviar mensajes a través de sistemas de comunicación electrónica, requiere, para su funcionamiento, que el mismo se dirija a un destinatario para cumplir con su finalidad comunicativa, esto es, debe remitirse a una persona o institución específica. Este destinatario es entonces el dueño o administrador de la cuenta de correo, pues es él quien tiene acceso a la misma y puede verificar el contenido del mensaje de datos.

Ahora, la dirección de correo puede componerse de signos, números o palabras elegidas por el dueño de la cuenta, la cual, en muchas ocasiones puede referirse al nombre o apellidos del titular, por lo cual es claro que con la sola dirección electrónica puede identificarse a una persona natural. Piénsese por ejemplo en una cuenta de correo que se denomine “pedroperez@gobierno.com.co”, es claro que si se fracciona dicha dirección entre el dominio de primer nivel 19 y el de

electrónica puede identificarse a una persona natural. Piénsese por ejemplo en una cuenta de correo que se denomine “pedroperez@gobierno.com.co”, es claro que si se fracciona dicha dirección entre el dominio de primer nivel 19 y el de segundo20 podría llegar a concluirse que el dueño de la cuen