SIC - Resolucion RE18493-2026 de 2025

Página 1 de 12

RESOLUCIÓN NÚMERO 18493 DE 2026

(17 de marzo de 2026)

“Por la cual se resuelve un recurso”

Radicación: 23-159904

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante la Resolución N.° 64940 del 29 de agosto de 2025, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM, con NIT. 900.262.398-4, de OCHO (8) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes NOVECIENTOS VEINTIOCHO (928) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIEZ MILLONES SETECIENTOS VEINTE MIL DOSCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($10.720.256), por la violación a lo dispuesto en literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.

De igual manera se ordenó lo siguiente:

“(…)

b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.

De igual manera se ordenó lo siguiente:

“(…) • La FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM deberá implementar un procedimiento para el envío de correos electrónicos con las certificaciones de asistencia a los cursos ofrecidos, en el que se establezca que únicamente se enviara el certificado al titular que asistió al curso a su correo electrónico, y no se enviaran correos masivos con las certificaciones de los demás asistentes a varios titulares al mismo tiempo.

• La FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM deberá llevar a cabo como mínimo dos (2) capacitaciones al año para sus empleados respecto a las medidas de seguridad que deben tener en cuenta frente al tratamiento de datos personales, especialmente con relación al envío de correos electrónicos.

• La FUNDACIÓN UNIVERSITARIA CAFAM deberá eliminar el código QR que se incluye en los certificados de asistencia o implementar una medida adicional de seguridad de tal manera que sólo pueda acceder al mismo el Titular autorizado, con el fin de que se restrinja el acceso a terceros no autorizados con el número de cédula del Titular.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 18493 DE 2026

“Por la cual se resuelve un recurso”

Página 2 de 12

• La FUNDACIÓN UNIVERSITARIA CAFAM deberá reforzar las medidas de seguridad para impedir el acceso a los certificados de asistencia a los cursos por parte de terceros no autorizados, y permitir que la consulta de los mismos solo sea realizada por el Titular.”

• La FUNDACIÓN UNIVERSITARIA CAFAM deberá reforzar las medidas de seguridad para impedir el acceso a los certificados de asistencia a los cursos por parte de terceros no autorizados, y permitir que la consulta de los mismos solo sea realizada por el Titular.”

SEGUNDO: Que la Resolución N.º 64940 del 29 de agosto de 2025 fue notificada por Aviso No. 28065 el 9 de septiembre de 2025 a la sociedad investigada, a través de su apoderada especial, de acuerdo con certificación expedida por la Secretaría General AD-HOC de la Superintendencia de Industria y Comercio con radicado radicado 23-159904- -31 del 9 de septiembre de 2025.

TERCERO: Que mediante correo electrónico con radicado 23-159904- -00032 del 19 de septiembre de 2025, a través de su apoderado especial la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución N.º 64940

del 29 de agosto de 2025, con fundamento en:

3.1 Señaló que la naturaleza de un dato no está dado por la finalidad para la cual el titular autoriza el tratamiento, sino por la definición de la Ley.1

3.2 Adujo que en ningún momento la Ley señala que la naturaleza del dato puede mutar, modificarse o alterarse por la autorización para el tratamiento conferida por el titular. 2

3.3 Aseguró que los datos tratados en este caso son públicos, al tratarse del nombre, apellidos y número de cédula, por lo tanto, no requieren autorización para ser divulgados a terceros, de manera que el daño a los

3.3 Aseguró que los datos tratados en este caso son públicos, al tratarse del nombre, apellidos y número de cédula, por lo tanto, no requieren autorización para ser divulgados a terceros, de manera que el daño a los intereses tutelados fue menor. 3

3.4 Reconoció que, pese a lo anterior, estos datos “(…) no debieron compartirse por correo electrónico.” 4

3.5 Consideró que la tasación de la sanción se llevó a cabo como si los datos fueran privados, pero realmente son datos públicos, de forma que la gravedad del incumplimiento es otra.5

3.6 Mencionó que en la resolución de formulación de cargos se indicó que la presunta conducta infractora consistió en que se remitieron archivos adjuntos referentes a los certificados de los participantes en el curso, pero en dicho acto administrativo nunca se habló acerca del uso de los códigos QRs, que permiten verificar la autenticidad de los certificados emitidos. De manera que las ordenes impartidas violan el derecho al debido proceso, porque no se le permitió a la sociedad recurrente ejercer su derecho de defensa sobre este asunto. 6

3.7 Explicó que los códigos QRs permiten corroborar por parte de terceros que en efecto los diplomas son documentos auténticos y que la información es fidedigna, de modo que el hecho de que se pueda acceder a los mismos con el número de cédula no es una vulneración al derecho de habeas data, porque es un dato público y los certificados hacen parte de la educación y formación profesional, por lo tanto, también son datos públicos. 7

3.8 Por lo anterior, solicitó que se revoque la orden de eliminar los códigos

porque es un dato público y los certificados hacen parte de la educación y formación profesional, por lo tanto, también son datos públicos. 7

3.8 Por lo anterior, solicitó que se revoque la orden de eliminar los códigos QRs, de los diplomas educativos expedido por la sociedad recurrente. 8

1 23-159904. Consecutivo 32. Página 4. Folio 2 2 23-159904.Consecutivo 32. Página 4. Folio 2 3 23-159904. Consecutivo 32. Página 4. Folio 3 4 23-159904. Consecutivo 32. Página 4. Folio 3 5 23-159904. Consecutivo 32. Página 4. Folio 3 6 23-159904. Consecutivo 32. Página 4. Folio 5 7 23-159904. Consecutivo 32. Página 4. Folio 6 8 23-159904. Consecutivo 32. Página 4. Folio 7RESOLUCIÓN NÚMERO 18493 DE 2026

“Por la cual se resuelve un recurso”

Página 3 de 12

3.9 La recurrente también solicitó lo siguiente:

• Que no se impongan sanciones pecuniarias y en cambio se imponga una sanción pedagógica. 9 • Que se revoque la orden de eliminar los códigos QRs de los diplomas y certificaciones emitidos por la sociedad recurrente.10

CUARTO: Competencia de la Superintendencia de Industria y Comercio

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la

CUARTO: Competencia de la Superintendencia de Industria y Comercio

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagra los requisitos para la presentación de los recursos y el artículo 78 de la misma Ley, las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición

recibido para el caso en concreto, por cuanto:

5.1 El recurso fue interpuesto por el apoderado de la sociedad investigada dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Tercero de la parte resolutiva de la Resolución N.º 64940 del 29 de agosto de 2025 y acorde con el artículo 76 de la Ley 1437 de 2011.

Esto en consideración a:

5.1.1 La sociedad recurrente fue notificada mediante Aviso No. 28065 el 9 de septiembre de 2025 de la Resolución N.º 64940 del 29 de agosto de 2025, a través de su apoderado especial, de acuerdo con certificación expedida por la Secretaría General Ad -Hoc de la S uperintendencia de Industria y Comercio con radicado 23-159904- -31 del 9 de septiembre de 2025.

a través de su apoderado especial, de acuerdo con certificación expedida por la Secretaría General Ad -Hoc de la S uperintendencia de Industria y Comercio con radicado 23-159904- -31 del 9 de septiembre de 2025. 5.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 19 de septiembre de 2025 a través de correo electrónico con radicado 23159904- -00032, encontrándose dentro del término legal. 5.1.3 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución N.º 64940 del 29 de agosto de 2025 , los cuales fueron expuestos en el numeral considerativo tercero de esta resolución. 5.1.4 Respecto de los documentos aportados como pruebas por la recurrente: mediante el correo electrónico con radicado 23-159904- -00032 del 19 de septiembre de 2025, allegó lo siguiente:

• Escrito de recurso de reposición y en subsidio de apelación.11 • Poder especial otorgado por la recurrente a la sociedad CAVELIER ABOGADOS S.A.S. con NIT 860041367-3.12 • Sustitución de poder de la abogada LINA MARÍA DIAZ al abogado JAVIER ESCANDÓN JARAMILLO de la firma CAVELIER ABOGADOS S.A.S.13 5.1.5 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio:

• El apoderado especial en el escrito con radicado 23-159904- - 00032 del 19 de septiembre de 2025, con el cual interpone recuso de reposición y en subsidio de apelación contra la

• El apoderado especial en el escrito con radicado 23-159904- - 00032 del 19 de septiembre de 2025, con el cual interpone recuso de reposición y en subsidio de apelación contra la

9 23-159904. Consecutivo 32. Página 4. Folio 7 10 23-159904. Consecutivo 32. Página 4. Folio 7 11 23-159904. Consecutivo 32. Página 4 12 23-159904. Consecutivo 32. Página 2 13 23-159904. Consecutivo 32. Página 3RESOLUCIÓN NÚMERO 18493 DE 2026

“Por la cual se resuelve un recurso”

Página 4 de 12

Resolución N.º 64940 del 29 de agosto de 2025, señala nombre, dirección y correo electrónico de la recurrente para notificaciones.

SEXTO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en CUATRO (4) aspectos a saber: (i) Naturaleza de los datos personales, (ii) Vulneración al derecho al debido proceso

(iii) Uso del código QR en lo s diplomas del curso “Cuidando al Cuidador ” (iv) Pretensiones. 6.1 Respecto naturaleza de los datos personales

En primer lugar, es importante traer a colación los tipos de datos personales establecidos en la Ley 1266 de 2008:

“ARTÍCULO 3°. Definiciones. Para los efectos de la presente ley, se entiende por:

(…)

e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse

entiende por:

(…)

e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la pres ente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados;

f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en document os públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas;

g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato fina nciero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.

h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.

(…)”

El numeral 2 del artículo 2.2.2.25.1.3. del Decreto 1074 de 2015, por su parte, define el Dato Público en los siguientes términos:

“ARTÍCULO 2.2.2.25.1.3. Definiciones. Además de las definiciones

define el Dato Público en los siguientes términos:

“ARTÍCULO 2.2.2.25.1.3. Definiciones. Además de las definiciones establecidas en el artículo 3 de la Ley 1581 de 2012, para los efectos del presente capítulo se entenderá por:

2. Dato público. Es el dato que no sea semiprivado, privado o sensible.

Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.”

Al respecto, es importante señalar que los datos expuestos en los diplomas del curso “ Estrategia Educativa Acompañando al Cuidador ” corresponden al nombre completo y al número de cédula de los asistentes, los cuales pertenecen a la categoría de datos públicos.RESOLUCIÓN NÚMERO 18493 DE 2026

“Por la cual se resuelve un recurso”

Página 5 de 12

Pues bien, por regla general no se requiere la autorización previa, expresa e informada para el tratamiento de los datos personales que sean de naturaleza pública. Sin embargo, el artículo 10 de la Ley 1581 de 2012 contempla algunos casos excepcionales en los cuales es posible realizar dicho tratamiento sin el consentimiento del titular.

No obstante, el hecho de que la Ley permita el tratamiento de ciertos datos sin autorización no implica que estos datos o sus titulares queden desprotegidos.

casos excepcionales en los cuales es posible realizar dicho tratamiento sin el consentimiento del titular.

No obstante, el hecho de que la Ley permita el tratamiento de ciertos datos sin autorización no implica que estos datos o sus titulares queden desprotegidos.

En efecto, el inciso final del artículo 10 dispone expresamente que “quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. De esta manera, el tratamiento de datos públicos no exime al Responsable y al Encargado del tratamiento del cumplimiento de los principios y deberes previstos en la Ley, en especial los de finalidad, necesidad, circulación restringida y confidencialidad.

En consecuencia, la ausencia de autorización no elimina la protección de los datos personales públicos, ni de los derechos de sus titulares. Por lo tanto, los datos que pueden ser tratados sin autorización igualmente requieren de la implementación de medidas de seguridad adecuadas, entre otros mecanismos, para garantizar el cumplimiento integral de la normativa sobre protección de datos personales, independientemente de su naturaleza pública.

Ahora bien, conforme al artículo 4 de la Ley 1581 de 2012, el tratamiento de cualquier dato personal —incluidos los de carácter público— debe realizarse con una finalidad legítima, específica y conocida por el titular. Esto significa que, aunque los nombres y números de cédula puedan considerarse datos públicos, su uso y divulgación deben limitarse al propósito para el cual fueron recolectados.

En el mismo sentido, es pertinente mencionar la naturaleza del dato personal de acuerdo con la Ley 1266 de 2008 que dice lo siguiente: “ (…) e) Dato personal.

recolectados.

En el mismo sentido, es pertinente mencionar la naturaleza del dato personal de acuerdo con la Ley 1266 de 2008 que dice lo siguiente: “ (…) e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados;” Subraya y negrita por fuera del texto original.

Así mismo el literal h) de la Ley 1266 de 2008, prevé lo siguiente:

” (…) h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.”

Así pues, en primer lugar, el dato personal se considera cualquier pieza de información que se vincule a una persona determinada, por lo que la información contenida en los referidos diplomas en su conjunto, contienen información que solo le interesa al Ti tular respecto del cual, es este quien decide a quién le comparte esta información. En este sentido, aunque en los diplomas se incluyen datos como el nombre y el documento de identidad de los Titulares, en dichos documentos también se certifica que partici paron en el curso “ Estrategia Educativa Acompañando al Cuidador ”, así como las fechas y la intensidad horaria del mismo. Por lo tanto, el conjunto de información contenido en el diploma permite inferir aspectos relacionados con la participación del Titular en un proceso formativo específico, lo que hace que estos datos adquieran la connotación de datos personales de naturaleza privada. En consecuencia, su

diploma permite inferir aspectos relacionados con la participación del Titular en un proceso formativo específico, lo que hace que estos datos adquieran la connotación de datos personales de naturaleza privada. En consecuencia, su tratamiento debe garantizar una protección especial, particularmente en lo relacionado con la circulación restringida y el control por parte del Titular sobre su divulgación con terceros.RESOLUCIÓN NÚMERO 18493 DE 2026

“Por la cual se resuelve un recurso”

Página 6 de 12

En este caso, se observó que mediante correo electrónico enviado el 19 de diciembre de 2022 desde la dirección electrónica educacioncontinuada@unicafam.edu.co al correo de la titular XXXXXXXXXXXXXXXXXXXXX, se adjuntaron los certificados de asistencia al curso “Estrategia Educativa Acompañando al Cuidador” correspondientes a doce participantes. Cada archivo se encontraba guardado con el número de identificación de su respectivo titular y, adicionalmente, los certificados incluían los nombres completos y números de cédula de los participantes. De esta manera, en los documentos remitidos se evidencian datos personales asociados a cada uno de los titulares.

14

Ahora bien, es claro que tanto el nombre como el número de cédula de los titulares, fueron recolectados con el fin de certificar la participación individual de los asistentes al curso mencionado, sin embargo, estos datos fueron divulgados de manera masiva, en el momento en que se remitió un correo electrónico a la titular con archivos adjuntos que contenían los certificados de asistencia

los asistentes al curso mencionado, sin embargo, estos datos fueron divulgados de manera masiva, en el momento en que se remitió un correo electrónico a la titular con archivos adjuntos que contenían los certificados de asistencia correspondientes tanto a ella como a otros participantes del curso “Estrategia Educativa ‘Acompañando al Cuidador ”, sin antes solicitar la autorización a los titulares para hacer el envío masivo de los certificados.

Por lo tanto, al compartir dichos diplomas o certificaciones de asistencia al curso con terceros no autorizados, l a sociedad en su calidad de Encargado del tratamiento incumplió la finalidad original para la cual fueron recolectados los datos, que era acreditar la participación individual de cada estudiante en el curso. En consecuencia, se expuso la información personal de 12 personas sin contar con su autorización ni con una justificación que legitimara su divulgación.

Por tanto, no es correcto afirmar que la gravedad de la conducta sea mínima por el solo hecho de tratarse de datos públicos, pues se realizó un tratamiento indebido, ya que la finalidad del mismo no fue informada ni autorizada por los titulares. En efecto, aunque los certificados contienen datos como el nombre y

14 23-159904. Consecutivo 0. Página 2RESOLUCIÓN NÚMERO 18493 DE 2026

“Por la cual se resuelve un recurso”

Página 7 de 12

el número de identificación, su divulgación conjunta con información relacionada con la participación de los titulares en el curso “Estrategia Educativa ‘Acompañando al Cuidador’, así como con las fechas y la intensidad horaria del curso, constituye un tratamiento de datos que excede la finalidad para la cual dicha información fue recolectada.

‘Acompañando al Cuidador’, así como con las fechas y la intensidad horaria del curso, constituye un tratamiento de datos que excede la finalidad para la cual dicha información fue recolectada.

Además, la remisión de estos documentos a terceros no autorizados implicó la circulación de información personal de varios titulares sin que mediara autorización previa o una justificación válida para su divulgación, desconociendo los principios que rigen el tratamiento de datos personales, en particular los relacionados con la finalidad y la circulación restringida. En consecuencia, la tasación de la sanción se basó en un incumplimiento relevante, de manera que, el monto impuesto resulta proporcional a la conducta infractora.

Así lo ha precisado la Sentencia T-561 de 2023, que recordó que el principio de acceso y circulación restringida implica que:

“202. El principio de acceso y circulación restringida refiere a que (i) el tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la ley y la Constitución, por lo cual el tratamiento sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la ley; y (ii) los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido a los titulares o a terceros autorizados conforme a la ley.” (Subrayado fuera del texto)

Adicionalmente, la Sentencia T-254 de 2024 señala que la divulgación de datos públicos sin atender a la finalidad legítima constituye una vulneración al derecho al habeas data:

fuera del texto)

Adicionalmente, la Sentencia T-254 de 2024 señala que la divulgación de datos públicos sin atender a la finalidad legítima constituye una vulneración al derecho al habeas data:

“43. La anterior clasificación, empero, no se puede aplicar de manera automática a los datos personales que se estudian en un caso concreto, ya que el contexto y el propósito de su uso puede impactar la categoría que se asigna a un dato específ ico. Por ejemplo, en las sentencias judiciales ejecutoriadas, documentos de carácter público que, en principio, permitiría concluir que solo contienen datos públicos en virtud de la clasificación presentada, pueden aparecer datos sensibles o semiprivados que, por su naturaleza particular, exijan una restricción a su acceso [39]. De igual manera, puede haber datos públicos que en un contexto particular se usen para generar discriminación contra su titular, lo que permitiría calificarlos como datos sensibles según el artículo 5 de la Ley 1581 de 2012.” (Subrayado fuera del texto)

Por consiguiente, la clasificación de los datos personales no puede aplicarse de manera automática, pues el contexto y el propósito de su uso pueden alterar la categoría que se les asigne. De esta manera, incluso tratándose de datos públicos, su tratamiento debe observar los principios rectores del tratamiento de datos personales y responder a un propósito legítimo, específico y proporcional.

En efecto, si bien el nombre y el número de cédula corresponden a datos de naturaleza pública, en el presente caso su asociación con la información contenida en los diplomas —esto es, la certificación de que los titulares participaron en el curso denominado “Estrategia Educativa Acompañando al

naturaleza pública, en el presente caso su asociación con la información contenida en los diplomas —esto es, la certificación de que los titulares participaron en el curso denominado “Estrategia Educativa Acompañando al Cuidador”, junto con las fechas y la intensidad horaria— configura un conjunto de información que permite conocer aspectos de la esfera personal de los titulares. En ese sentido, el hecho de que terceros conozcan que una persona participó en un proceso formativo específico constituye información que pertenece al ámbito íntimo y reservado del titular, por lo que el conjunto de datos contenidos en dicha certificación adquiere la connotación de datos personales de naturaleza privada . En consecuencia, esta información noRESOLUCIÓN NÚMERO 18493 DE 2026

“Por la cual se resuelve un recurso”

Página 8 de 12

podía ser compartida con terceros sin contar previamente con la autorización del titular, en la medida en que su divulgación excede la finalidad para la cual fue recolectada y desconoce el carácter reservado que adquiere la información cuando se analiza de manera integral.

En consecuencia, los diplomas no debían ser compartidos masivamente, pues de esta manera se excedió la finalidad de su tratamiento original que era enviar el certificado del curso a cada uno de los participantes, por tanto, se concluye que la sociedad recurrente vulneró el derecho de habeas data de la titular y demás asistentes frente al uso inadecuado de su información personal.

6.2 Vulneración al derecho al debido proceso

En relación con la afirmación según la cual se violó el derecho al debido proceso porque en la resolución de formulación de cargos no se hizo referencia expresa al uso de los códigos QR incluidos en los certificados, es preciso señalar que no

En relación con la afirmación según la cual se violó el derecho al debido proceso porque en la resolución de formulación de cargos no se hizo referencia expresa al uso de los códigos QR incluidos en los certificados, es preciso señalar que no se configura dicha vulneración.

En primer lugar, se debe señalar que el debido proceso se garantizó a la sociedad recurrente desde la resolución de formulación de cargos, en la que se señalaron de manera clara y suficiente los hechos y la conducta por la cual se presumió la comisión de la infracción a la norma. Igualmente, se le otorgó el termino para ejercer su derecho de defensa y contradicción en las etapas de descargos y alegatos de conclusión.

Es preciso resaltar que en la formulación de cargos se describió de manera precisa la conducta investigada, consistente en el envío de archivos adjuntos con los certificados de los participantes del curso “Estrategia Educativa Acompañando al Cuidador”, en los cuales se encontraban los datos personales de los titulares como nombre, número de cédula, el curso en el que participaron los titulares, las fechas y la intensidad horaria.

El hecho de que dichos certificados incluyeran un código QR que permite verificar su autenticidad, no constituye un elemento nuevo o ajeno a los hechos señalados en la formulación, sino que se trata de una característica técnica inherente al mismo documento que fue objeto de tratamiento y divulgación. Por tanto, el análisis sobre la existencia y uso del código QR se enmarca dentro del mismo hecho investigado, que es la remisión de los certificados, por lo cual, no introduce una nueva conducta infractora ni un cambio en el cargo formulado, que haya impedido ejercer adecuadamente la defensa a la sociedad recurrente.

hecho investigado, que es la remisión de los certificados, por lo cual, no introduce una nueva conducta infractora ni un cambio en el cargo formulado, que haya impedido ejercer adecuadamente la defensa a la sociedad recurrente.

En consecuencia, las órdenes impartidas en la resolución sancionatoria no excedieron los límites del pliego de cargos, ya que no introdujeron hechos nuevos, sino que estuvieron fundamentadas en los mismos elementos fácticos puestos en conocimiento por la sociedad recurrente y en la denuncia de la titular durante el trámite de la presente investigación administrativa.

En este sentido, es importante precisar que las órdenes administrativas tienen como finalidad garantizar la protección efectiva de los datos personales de los titulares y asegurar el cumplimiento de la normativa en materia de protección de datos, por lo qu e constituyen medidas orientadas a corregir prácticas que puedan afectar el adecuado tratamiento de la información personal. Por lo cual, dichas órdenes no implican por sí mismas la determinación de nuevos incumplimientos, sino que buscan prevenir la reite ración de los hechos investigados y adoptar medidas que permitan restablecer las garantías de protección de los datos personales. En consecuencia, las medidas adoptadas se encuentran dentro del marco de las competencias de la Autoridad y resultan acordes c on el propósito de salvaguardar los derechos de los titulares de la información.

Por todo lo anterior, no se configuró vulneración del derecho al debido proceso, puesto que la sociedad investigada tuvo pleno conocimiento de los hechos objetoRESOLUCIÓN NÚMERO 18493 DE 2026

“Por la cual se resuelve un recurso”