SIC - Resolucion RE17874-2025 de 2025

Página 1 de 39

RESOLUCIÓN NÚMERO 17874 DE 2025

(04 de abril de 2025)

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Radicación: 22-386528

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S., (en adelante “la investigada”), con Nit. 900.644.9793, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por la señora XXXXXXXXXXXXXXXXX XXXXXXX1: “El día 11 de agosto de 2022, la empresa CODISPLAN SAS envió un boletín informativo sobre avances del proyecto inmobiliario Parque de Teusa, del cual soy compradora; mi correo fue copiado a más de 100 personas sin mi autorización. Lo que ocasionó que una d e ellas me enviara un correo alertando sobre alzas en el precio del inmueble y retrasos en la entrega, antes de saberlo por parte de la constructora. Solicito se haga resarcimiento por parte de CODISPLAN SAS dado que han utilizado mis datos personales

alertando sobre alzas en el precio del inmueble y retrasos en la entrega, antes de saberlo por parte de la constructora. Solicito se haga resarcimiento por parte de CODISPLAN SAS dado que han utilizado mis datos personales de forma inadecuada y que se imponga la multa máxima que de lugar en este caso. Es de aclarar que el día 7 de septiembre luego de recibir el correo de la tercera persona ajena a la constructora, envié a CODISPLAN SAS correo que adjunto como soporte, solicitando aclaración de lo sucedido sin embargo a la fecha no he tenido respuesta.”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:

(I) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

(II) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem.

(III) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015. (IV) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el

2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015. (IV) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

1 Expediente digital, consecutivo 0, página 1

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 17874 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 2 de 39

(V) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

El 6 de marzo de 2024 se inició la presente investigación administrativa mediante la expedición de la Resolución N.º 75952 por medio de la cual se formularon cinco (5) cargos a la sociedad CONSTRUCCIONES Y DISEÑOS

PLANIFICADOS S.A.S, con Nit. 900.644.9793.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabal idad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabal idad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

TERCERO: Que la investigada fue notificada de la Resolución N.º 7595 del 6 de marzo de 2024 de forma electrónica el 6 de marzo de 2024, de acuerdo con la certificación expedida por la secretaria AD -HOC de esta Superintendencia, disponible a consecutivo 14 del expediente.

CUARTO: Que, vencido el término otorgado para presentar descargos, la sociedad investigada guardó silencio.

QUINTO: Que mediante Resolución N.º 53897 del 18 de septiembre de 20243, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 22 -386528, consecutivos 0 a 15, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Que de acuerdo con los documentos allegados al expediente 22-386528 esta instancia incorporó las siguientes pruebas:

5.1 Queja presentada por la señora XXXXXXXXXXXXXXXXXXXXXXXXXX del 29 de septiembre de 2022 con radicado 22-386528-- 00000-000.4

5.2 Correo electrónico con asunto “Boletín informativo Parque de Teusa” del 11 de agosto de 2022.5

5.3 Correo electrónico con asunto “Boletín informativo Parque de Teusa” del 7 de septiembre de 2022 enviado por la señora XXXXXXXXXX

XXXXXXXXXXXXX a CONSTRUCCIONES Y DISEÑOS

11 de agosto de 2022.5

5.3 Correo electrónico con asunto “Boletín informativo Parque de Teusa” del 7 de septiembre de 2022 enviado por la señora XXXXXXXXXX

XXXXXXXXXXXXX a CONSTRUCCIONES Y DISEÑOS

PLANIFICADOS S.A.S.6

5.4 Comunicación de este Despacho dirigida a la señora XXXXXXXXX XXXXXXXXXXXXXX del 13 de diciembre de 2022 con radicado 22386528- -4. 7

5.5 Requerimiento a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. del 13 de diciembre de 2022 con radicado 22386528- -5.8

2 Resolución No. 7595 del 6 de marzo de 2024 obrante en el expediente bajo radicado 22-386528 3 Resolución No. 53897 del 18 de septiembre de 2024 obrante en el expediente bajo radicado 22-386528 4 Expediente digital, consecutivo 0, página 1 5 Expediente digital, consecutivo 0, página 2 6 Expediente digital, consecutivo 0, página 3 7 Expediente digital, consecutivo 4 8 Expediente digital, consecutivo 5RESOLUCIÓN NÚMERO 17874 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 3 de 39

5.6 Respuesta al requerimiento del 26 de diciembre de 2022 con radicado 22386528- -00007 de parte de la sociedad CONSTRUCCIONES Y

DISEÑOS PLANIFICADOS S.A.S.9

5.7 Respuesta de parte de la sociedad CONSTRUCCIONES Y DISEÑOS

386528- -00007 de parte de la sociedad CONSTRUCCIONES Y

DISEÑOS PLANIFICADOS S.A.S.9

5.7 Respuesta de parte de la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. a la petición radicada por la señora XXX XXXXXXXXXXXXXXXX del 3 de octubre de 2022.10

5.8 Correo electrónico con asunto “Boletín informativo Parque de Teusa” del 20 de octubre de 2022 enviado por la señora XXXXXXXXXXXX

XXXXXXXXXXXXXX a CONSTRUCCIONES Y DISEÑOS

PLANIFICADOS S.A.S.11

5.9 Petición de información presentada por la señora XXXXXXXXXX XXXXXXXXXXXXX ante esta Superintendencia el 26 de abril de 2023 con radicado 22-386528- -00008.12

5.10 Respuesta a la petición de la señora XXXXXXXXXXXXXXXXXX XXXXXXX mediante oficio del 6 de septiembre de 2024 con radicado 22386528- -15.

SEXTO: Que la investigada fue comunicada de la Resolución N.º 53897 del 18 de septiembre de 2024 el 18 de septiembre 2024, de acuerdo con la certificación expedida por la secretaria AD -HOC de esta Superintendencia, disponible a consecutivo 19 del expediente.

SÉPTIMO: Que dentro del plazo otorgado por la Resolución N.º 53897 del 18 de septiembre de 2024, la sociedad investigada mediante comunicado del 30 de septiembre de 2024 con radicado 22-386528- -00020 presentó alegatos de

conclusión señalado lo siguiente13:

7.1 Indicó que no existe nexo causal sobre la responsabilidad de la investigada respecto al incumplimiento de la norma, por cuanto14:

conclusión señalado lo siguiente13:

7.1 Indicó que no existe nexo causal sobre la responsabilidad de la investigada respecto al incumplimiento de la norma, por cuanto14:

“El suscrito acredita con las pruebas documentales que se aportan, que la sociedad comercial CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. - CODISPLAN S.A.S. cumple con recelo la protección de los datos personales de cada uno de los compradores de las unidad es inmobiliarias Vis del proyecto de Teusa.”

7.2 Manifestó que cumplió el deber de protección de los datos personales y sensibles de los compradores de bienes inmuebles y afirma que15:

“Aunado, la titular de la información entrego de manera libre, previa, expresa y espontanea su información personal que permitió incluirla en la base de datos de CODISPLAN SRS.”

7.3 También señala que16:

“En consecuencia, no se vislumbra dolo o culpa grave que haya generado responsabilidad de la sociedad comercial CODISPLAN S.A.S. y daño sobre el titular de la información, cuando bien se acredita con suficiencia el corrector actuar de la sociedad comercial.”

9 Expediente digital, consecutivo 7 10 Expediente digital, consecutivo 7, página 2, folio 3 11 Expediente digital, consecutivo 7, página 2, folio 4 12 Expediente digital, consecutivo 8 13 Expediente digital, consecutivo 20 14 Expediente digital, consecutivo 20, página 2, folio 5 15 Expediente digital, consecutivo 20, página 2, folio 6 16 Expediente digital, consecutivo 20, página 2, folio 6RESOLUCIÓN NÚMERO 17874 DE 2025

15 Expediente digital, consecutivo 20, página 2, folio 6 16 Expediente digital, consecutivo 20, página 2, folio 6RESOLUCIÓN NÚMERO 17874 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 4 de 39

OCTAVO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso

9.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 17, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley , esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que le asisten a los responsables del tratamiento respecto del manejo de los

específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que le asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. (ii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem. (iii) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1 074 de 2015. (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. (v) El

concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. (v) El literal k) del artículo 17 de la Ley 1581 de 2 012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en el escrito de alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente.

17 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 17874 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 5 de 39

9.2 Valoración probatoria y conclusiones

9.2.1 Respecto del deber de conservar y solicitar a la Titular autorización previa, expresa e informada para el Tratamiento de sus datos personales

Que se deriva del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso

sus datos personales

Que se deriva del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, que preceptúan lo siguiente:

Ley 1581 de 2012

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)

Artículo 4°. Principios para el tratamiento de datos personales . En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

(…)

Artículo 9°. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

Decreto 1074 de 2015

previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

Decreto 1074 de 2015

“Artículo 2.2.2.25.2.2. Autorización . El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados , así cómo todas las finalidades específicas del Tratamiento para las cuáles se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cuál se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualq uier persona siempre y cuando, por su naturaleza, sean datos públicos.

En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuáles pued an afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además,RESOLUCIÓN NÚMERO 17874 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 6 de 39

deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento”.

órdenes administrativas”

Página 6 de 39

deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento”.

Al respecto, la Corte Constitucional en la sentencia C-748/11 ha señalado lo siguiente:

“Principio de libertad : El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha si do obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad . En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática”.

Con relación a esto, en etapa preliminar la Titular informó a esta Superintendencia que, el día 11 de agosto de 2022 la investigada remitió un correo electrónico a varios destinatarios (incluida la Titular) sin haber ocultado la dirección de correo electró nico de la quejosa, dentro de la lista de destinatarios.

correo electrónico a varios destinatarios (incluida la Titular) sin haber ocultado la dirección de correo electró nico de la quejosa, dentro de la lista de destinatarios.

Con base en lo anterior, este Despacho, a través del Grupo de Trabajo de Investigaciones Administrativas, dirigió a la investigada, el oficio con número de radicado 22 -386528-5 del día 13 de diciembre de 2022, para que, entre otras cosas, informara si cont aba con la autorización previa, expresa e informada de la Titular para el Tratamiento de sus datos personales, especialmente para compartir su dirección de correo electrónico con terceros durante la remisión de correos electrónicos.

La investigada remitió su respuesta mediante el número de radicado 22238528-7 del 27 de diciembre de 2022, pronunciándose sobre los hechos objeto de queja por parte de la Titular; sin embargo, más allá de señalar que el día 06 de noviembre de 2020 la Titu lar se contactó con la sociedad para vincularse al Proyecto Parque de Teusa, ubicado en la ciudad de Bogotá D.C., y que para dicho fin brindó sus datos personales (p. ej. nombres, número de identificación, dirección física, correo electrónico, etc.), no aportó prueba de la autorización previa, expresa e informada otorgada por la Titular.

Por lo anterior, se concluyó preliminarmente que, la investigada no contaba con autorización previa, expresa e informada de la Titular para realizar el Tratamiento de sus datos personales. Esta conducta se subsume típicamente en una presunta infracción al deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el

Tratamiento de sus datos personales. Esta conducta se subsume típicamente en una presunta infracción al deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso 1° del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente:RESOLUCIÓN NÚMERO 17874 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 7 de 39

• Correo electrónico del 11 de agosto de 2022 enviado por

CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S a varios

titulares18:

• Queja radicada por la señora XXXXXXXXXXXXXXXXXXXXXX a

CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S el 7 de

septiembre de 202219:

18 Expediente digital, consecutivo 0, página 2, folio 1 19 Expediente digital, consecutivo 0, página 3RESOLUCIÓN NÚMERO 17874 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 8 de 39

• Requerimiento de información a la sociedad CONSTRUCCIONES Y

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 8 de 39

• Requerimiento de información a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. del 13 de diciembre de 2022 con radicado 22-386528- -5, en la que se solicitó entre otras cosas:

“(…)

4. En los términos del artículo 9° de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, informen si ustedes cuentan con la autorización previa, expresa e informada de la Titular XXXXXXXXXXXXXXXXXXXXXXXXX para el Tratamiento de sus datos personales, especialmente para compartir su dirección electrónica con terceros durante la remisión de correos electrónicos por parte de ustedes.

En caso de ser afirmativa su respuesta, remitan copia del formulario a través del cual se obtuvo dicha autorización y adicionalmente, se informaron a la señora XXXXX sobre las finalidades del Tratamiento y los derechos que le asistían en calidad de Titular de la información.

(…)” • La investigada remitió respuesta al anterior requerimiento el 26 de diciembre de 2022 con radicado 22-386528- -0000720: “(…)

4. Como fue expresado en el numeral I: "Por un error técnico involuntario al enviar por correo electrónico uno de esos boletines, "al seleccionar contactos" se fue sin la restricción de copia oculta o CCO, a los destinatarios. Los boletines informativos los enviamos a los correos electrónicos de 143 personas que han comprado apartamento en este proyecto.

seleccionar contactos" se fue sin la restricción de copia oculta o CCO, a los destinatarios. Los boletines informativos los enviamos a los correos electrónicos de 143 personas que han comprado apartamento en este proyecto.

(…) "

Acerca de lo argumentado por la investigada en los alegatos de conclusión, se debe señalar que dentro de las pruebas aportadas no se encuentra la autorización previa, expresa e informada del titular para el tratamiento de sus datos, ni se puede inferir que por el hecho de entregar sus datos personales el titular está manifestando expresamente el consentimiento para que los mismos sean tratados para diversas finalidades. Así mismo se debe tener en cuenta el deber de informar al titular sobre el uso y la finalidad para la cual están tratando sus datos personales, por lo que tampoco se aprecia en el expediente, la forma como la sociedad investigada, cumplió con este deber. Por lo anterior, se concluye que, la investigada no cuenta con la autorización previa, expresa e informada para realizar el tratamiento de los datos personales de la titular, no obstante, realizó el envío de un correo electrónico masivo de información general acerca del proyecto inmobiliario “Parque de Teusa” a varios titulares incluida la señora XXXXXXXXXXXXXXXXXXXXXXXX sin copia oculta, exponiendo su correo electrónico personal sin contar con el consentimiento para dicho fin. Sobre este punto, es importante señalar que los Responsables del tratamiento deben obtener la autorización previa, expresa e informada de los titulares para el tratamiento de sus datos personales, a más tardar al momento de la recolección de los mismos, pu es no solo basta con el acto de suministrar sus datos para considerar que están aceptando expresamente el tratamiento de los

el tratamiento de sus datos personales, a más tardar al momento de la recolección de los mismos, pu es no solo basta con el acto de suministrar sus datos para considerar que están aceptando expresamente el tratamiento de los mismos, también se requiere su consentimiento expreso, el cual debe ser

20 Expediente digital, consecutivo 7, página 2RESOLUCIÓN NÚMERO 17874 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 9 de 39

obtenido por un medio que permita su consulta posterior y el titular tiene derecho a ser informado acerca del uso y las finalidades para la cual se están tratando sus datos. Esto se encuentra establecido en el Artículo 9 de la Ley 1581 de 2012: “Artículo 9°. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Por otra parte, una vez revisados los documentos aportados por la investigada en los alegatos de conclusión, este Despacho no encontró prueba de la autorización previa, expresa e informada otorgada por la titular, para el tratamiento de sus datos personale s, por lo cual se concluye que CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. vulneró el deber consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de

concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de

2015. En consecuencia, procede una sanción pecuniaria. 9.2.2 Respecto del deber de conservar la información personal bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento El cual se deriva del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem, que preceptúan lo

siguiente:

Ley 1581 de 2012

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)

Artículo 4°. Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

(…)”.

Sobre los principios establecidos en los literales f), g) y h) del artículo 4 de la Ley 1581 de 2012, la Corte Constitucional en la sentencia C -748 de 2011 señaló:RESOLUCIÓN NÚMERO 17874 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 10 de 39

“Principio de acceso y circulación restringida: En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. (…) En efecto: (i) prohíbe que los datos no públicos sean publicados en Internet y (ii) sólo podrían ser publicados si se ofrecen todas las garantías. De lo anterior se infiere que si el sistema permite el acceso con la simple digitación de la cédula, no es un sistema que cumpla con los requerimientos del inciso segundo del literal f) del artículo 4.

Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella. De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular.

(…)

De este principio [de seguridad] se deriva entonces la responsabilidad que recae en el administrador del dato . El

contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular.

(…)

De este principio [de seguridad] se deriva entonces la responsabilidad que recae en el administrador del dato . El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”, a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior(sic) transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento