SIC - Resolucion RE23342-2026 de 2025

Página 1 de 14

RESOLUCIÓN NÚMERO 23342 DE 2026

(31 de marzo de 2026)

“Por la cual se resuelve un recurso”

Radicación 22-389791

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante la Resolución N.° 85614 del día 22 de octubre del 2025, la Dirección de Investigación de Protección de Datos Personales sancionó

a la sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC con NIT.

830.122.5661, así:

“ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC, identificado con NIT. 830.122.566-1 de TRESCIENTOS VEINTE (320) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a TREINTA Y SIETE MIL CIENTO VEINTE (37120) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CUATROCIENTOS VEINTIOCHO

MILLONES OCHOCIENTOS DIEZ MIL DOSCIENTOS CUARENTA PESOS

MIL CIENTO VEINTE (37120) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CUATROCIENTOS VEINTIOCHO MILLONES OCHOCIENTOS DIEZ MIL DOSCIENTOS CUARENTA PESOS M/CTE ($428.810.240) , por la vulneración a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8° de la misma ley, y los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 del 2015.”

SEGUNDO: Que, la Resolución N.° 85614 del día 22 de octubre de 2025 , fue notificada a COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC., por aviso N.º 35977 el 6 de noviembre del 2025, según consta en certificación expedida por la Secretaría General Ad -Hoc esta Superintendencia, obrante en el expediente bajo el radicado N.° 22-38979162 del 12 de noviembre del 2025.

TERCERO: Que, el día 21 de noviembre del 2025 y estando dentro del término legal para el efecto, la apoderada de COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC , interpuso recurso de reposición y en subsidio de apelación contra la Resolución N.° 85614 del día 2 2 de octubre del 2025, manifestando que 3.1 La sociedad realizó un recuento detallado de los antecedentes relacionados con la investigación administrativa adelantada por la Superintendencia de Industria

contra la Resolución N.° 85614 del día 2 2 de octubre del 2025, manifestando que 3.1 La sociedad realizó un recuento detallado de los antecedentes relacionados con la investigación administrativa adelantada por la Superintendencia de Industria y Comercio, indicando que COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC fue notificada de la Resolución N.° 85614 del 22 de octubre de 2025, mediante la cual la Superintendencia de Industria y Comercio impuso una sanción pecuniaria a la sociedad por la presunta vulneración de los artículos 8 literal e) y 17 de la Ley 1581 de 2 012, así como de los artículos 2.2.2.25.2.6 y 2.2.2.25.4.3 del Decreto 1074 de 2015. La sanción impuesta asciende a la suma de $428.810.240, equivalente a 320 SMMLV y 37.120 UVB vigentes para el año 2025.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 23342 DE 2026

“Por la cual se resuelve un recurso”.

Página 2 de 14

3.2 La sociedad indicó que la Superintendencia de Industria y Comercio inició de oficio una investigación administrativa contra COLOMBIA TELECOMUNICACIONES y formuló pliego de cargos por la presunta vulneración de normas de protección de datos personales, relacionadas con el envío reiterado de mensajes de texto y llamadas de carácter comercial.

Frente a dicho act o administrativo sancionatorio, COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC anunció la impugnación de la

envío reiterado de mensajes de texto y llamadas de carácter comercial.

Frente a dicho act o administrativo sancionatorio, COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC anunció la impugnación de la decisión, solicitando su revocatoria o modificación, al considerar que no incurrió en infracción alguna y que no desconoció la normativa de protección de datos personales en el caso concreto.

3.3 La sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC . alega la caducidad de la facultad sancionatoria, manifestando lo siguiente:

Indica que la Resolución N. º 13992 de 2025 es nula, al haberse expedido y notificado fuera del término legal de tres años previsto en la Ley 1437 de 2011, lo que implicó la pérdida de competencia de la Superintendencia de Industria y Comercio y la configuración de la caducidad de la facultad sancionatoria (y del silencio administrativo positivo).

Así mismo, manifiesta que la sanción impuesta a COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC se fundamentó en una llamada comercial realizada el 13 de septiembre de 2021 . No obstante, el acto sancionatorio N.º 85614 del 22 de octubre de 2025 fue notificado únicamente el 6 de noviembre de 2025 , cuando ya había vencido el término máximo, el cual expiraba el 13 de septiembre de 2024.

En consecuencia, al haberse superado el plazo legal para expedir y notificar la sanción, la Superintendencia de Industria y Comercio carecía de competencia

expiraba el 13 de septiembre de 2024.

En consecuencia, al haberse superado el plazo legal para expedir y notificar la sanción, la Superintendencia de Industria y Comercio carecía de competencia para pronunciarse, razón por la cual la sanción impuesta debe ser revocada.

3.4 Otro argumento que plantea la Recurrente es que cuenta con medidas para garantizar los derechos de los Titulares de datos personales, así:

Afirma que dejó constancia de que la sanción impuesta desconoce las actuaciones diligentes adelantadas por COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC., orientadas a garantizar el ejercicio del derecho de hábeas data y la adecuada protección de los datos personales de los usuarios. La sociedad ha implementado políticas, normas internas y un programa integral de gestión de datos personales, encaminados a asegurar un tratamiento seguro, transparente y conforme a la normativa vigente.

Asimismo la sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC afirma que ha implementado medidas técnicas, administrativas y organizacionales, tales como controles de acceso, inventarios y registros de bases de datos, protocolos de seguridad, gestión de incidentes, capacitación del personal y mecanismos antifraude.

3.5 La sociedad Recurrente alega la inexistencia de la infracción, indicando que:

No se configuró infracción por parte de COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC, toda vez que el caso no cuestiona la supresión del dato ni la autorización para su tratamiento, sino la inclusión del número del usuario en el Registro Nacional de Excluidos (RNE). Dicha inclusión no constituye, por sí

S.A. E.S.P. BIC, toda vez que el caso no cuestiona la supresión del dato ni la autorización para su tratamiento, sino la inclusión del número del usuario en el Registro Nacional de Excluidos (RNE). Dicha inclusión no constituye, por sí misma, el envío de mensajes o llama das con fines comerciales y, por tanto, no vulnera la normativa vigente ni lo dispuesto por la Resolución 24269 de 2024 de la Superintendencia de Industria y Comercio.

Asimismo, se precisó que la Superintendencia de Industria y Comercio incurrió en una indebida imputación normativa al atribuir la conducta a disposiciones queRESOLUCIÓN NÚMERO 23342 DE 2026

“Por la cual se resuelve un recurso”.

Página 3 de 14

regulan el tratamiento de datos personales en el marco de una relación contractual, situación que no se ajusta a los hechos analizados ni al alcance de la actuación administrativa.

Finalmente, se reiteró que COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC no realiza llamadas ni envía comunicaciones publicitarias a números incluidos en el Registro Nacional de Excluidos y que, en todo caso, la compañía contaba con la autorización previa, expresa e informada del titular para el tratamiento de sus datos personales.

3.6 La sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC. cuestiona la sanción impuesta por la Superintendencia de Industria y Comercio argumentando múltiples irregularidades en su imposición y graduación. Se destaca que la sanción se fijó , atendiendo principalmente al daño causado, el cual no se probó de manera concreta por parte del investigado.

argumentando múltiples irregularidades en su imposición y graduación. Se destaca que la sanción se fijó , atendiendo principalmente al daño causado, el cual no se probó de manera concreta por parte del investigado. Según la jurisprudencia del Alto Tribunal, la Administración debe ceñirse estrictamente a la Ley al describir y cuantificar conductas sancionables, justificando sus decisiones en los criterios normativos para garantizar razonabilidad, proporcionalidad e imparcialidad. En este caso, se cuestiona a la Superintendencia de Industria y Comercio por omitir injustificadamente la aplicación de dichos criterios al cuantificar la sanción, lo que vulnera los principios de reserva de ley, tipicidad y legalidad. La sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC afirma que no se demostró una afectación real al bien jurídico protegido ni circunstancias que justificaran una reducción de la sanción, como beneficios económicos, reincidencia, resistencia u obstrucción. Asimismo, se aclara que la falta de prueba del daño no exonera de responsabilidad ni impide sancionar. Así mismo , se indica que la autoridad actuó conforme a los principios de razonabilidad y proporcionalidad, imponiendo la sanción mínima legal y descartando atenuantes, al no existir elementos que permitieran disminuirla. La sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC , en el recurso presentado, alega que el principio de proporcionalidad y/o razonabilidad en la sanción administrativa es un pilar fundamental del ejercicio de la potestad sancionatoria de la administración pública. Sostiene que las decisiones administrativas que imponen obligaciones, califican infracciones, establecen

en la sanción administrativa es un pilar fundamental del ejercicio de la potestad sancionatoria de la administración pública. Sostiene que las decisiones administrativas que imponen obligaciones, califican infracciones, establecen sanciones o restricciones deben ajustarse a los límites de la facultad otorgada, manteniendo una adecuada proporción entre los medios uti lizados y los fines públicos perseguidos, de manera que respondan estrictamente a lo necesario para el cumplimiento de sus funciones conforme a la Constitución y la ley. En cuanto a sus pretensiones, la sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC , solicita la revocatoria total de la Resolución N.° 85614 del 22 de octubre de 2025. De manera subsidiaria, pide que, en caso de no accederse a la revocatoria, se reconsidere el valor de la sanción impuesta, teniendo en cuenta los argumentos expuestos en el recurso.

CUARTO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

QUINTO: Análisis del caso

Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por la recurrente, este Despacho hará las siguientes consideraciones:RESOLUCIÓN NÚMERO 23342 DE 2026

“Por la cual se resuelve un recurso”.

Página 4 de 14

la recurrente, este Despacho hará las siguientes consideraciones:RESOLUCIÓN NÚMERO 23342 DE 2026

“Por la cual se resuelve un recurso”.

Página 4 de 14

Frente a los argumentos presentados por la recurrente se encuentra que los mismos se concretan en cuatro aspectos, a saber: (i) Frente a la caducidad de la facultad sancionatoria (ii) Frente a la implementación de medidas ordenadas (iii) Frente a la inexistencia de la infracción (iv) Frente a los criterios de graduación de las sanciones y el principio de proporcionalidad . (v) Frente a las pretensiones.

5.1 Frente a la Caducidad de la facultad sancionatoria

Indicó la recurrente que la Resolución N. º 13992 de 2025 es nula, al haberse expedido y notificado fuera del término legal de tres años previsto en la Ley 1437 de 2011, lo que implicó la pérdida de competencia de la Superintendencia de Industria y Comercio y la configuración de la caducidad de la facultad sancionatoria (y del silencio administrativo positivo).

La sanción impuesta a COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC se fundamentó en una llamada comercial realizada el 13 de septiembre de 2021.

No obstante, el acto sancionatorio N. º 85614 del 22 de octubre de 2025 fue notificado únicamente el 6 de noviembre de 2025 , cuando ya había vencido el término máximo, el cual expiraba el 13 de septiembre de 2024.

En primer lugar, este Despacho precisa que la Resolución N.° 13992 de 2025, a

término máximo, el cual expiraba el 13 de septiembre de 2024.

En primer lugar, este Despacho precisa que la Resolución N.° 13992 de 2025, a la que hace referencia la sociedad, no obra dentro del expediente. Por lo tanto, se entiende que dicha mención corresponde a un error y que en realidad se refieren a la Resolución N.° 85614 del 22 de octubre de 2025, mediante la cual se impone una sanción administrativa. En este sentido, resulta importante dejar claramente establecida esta precisión , para efectos de claridad y coherencia dentro del trámite.

Ahora bien, el titular informó que, tras adquirir un servicio en diciembre de 2020 con COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC, comenzó a recibir mensajes de texto y llamadas con contenido comercial. Además, indicó que en enero de 2021 presentó un reclamo formal solicitando no recibir más comunicaciones promocionales ya fuera por medio de mensajes de texto o llamadas telefónicas.

Así las cosas , respecto al caso objeto de discusión, a continuación se detallan las llamadas y mensajes de texto realizados por la entidad investigada al titular de la información.

1. 316 204 6112: llamada telefónica efectuada el día 13 de septiembre de 2021. 2. 316 219 8445: llamada telefónica efectuada el día 09 de noviembre de 2021. 3. 315 531 9901: llamada telefónica efectuada el día 24 de junio de 2022. 4. 316 219 8470: llamada telefónica efectuada el día 25 de septiembre de 2022. 5. 87584: mensaje de texto enviado al Titular el día 9 de enero de 2023.

4. 316 219 8470: llamada telefónica efectuada el día 25 de septiembre de 2022. 5. 87584: mensaje de texto enviado al Titular el día 9 de enero de 2023. 6. 85919: mensaje de texto enviado al Titular el día 26 de enero de 2023.

Así mismo, mediante oficio con radicado No. 22 -389791-24 del 18 de mayo de 2023, la Comisión de Regulación de Comunicaciones informó que los números cortos 85919 y 87584 se encontraban asignados a la sociedad COLOMBIA

TELECOMUNICACIONES S.A. E.S.P. BIC.

Frente al argumento de la configuración de la caducidad de la facultad sancionatoria, esta Dirección considera pertinente recordar al recurrente que el artículo 52 del Código de Procedimiento administrativo establece lo siguiente:

"Artículo 52. Caducidad de la facultad sancionatoria. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, tér mino dentro del cual el acto administrativo que impone la sanción debe haber sido expedido yRESOLUCIÓN NÚMERO 23342 DE 2026

“Por la cual se resuelve un recurso”.

Página 5 de 14

notificado. Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recur sos no se deciden en el

resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recur sos no se deciden en el término fijado en esta disposición, se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.

Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución."

En consideración a lo anterior, es claro que en el presente caso se configuró una conducta continuada, la cual se extendió en el tiempo desde el año 2020 y, por lo menos, hasta el año 2023, esto es, hasta cuando la sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC remitió al Titular un mensaje de texto el día 26 de enero de 2023 , a través del código corto N.º 85919 , lo que fácil resulta concluir que desde dicha data hasta la notificación de la Resolución N.º 85614 del 22 de octubre de 2025, no habían transcurrido los tres (3) años para que operara la caducidad de la facultad sancionatoria., como se aprecia a continuación:

(…)RESOLUCIÓN NÚMERO 23342 DE 2026

“Por la cual se resuelve un recurso”.

Página 6 de 14

Se hace énfasis que la contabilización del término de la caducidad para imponer

“Por la cual se resuelve un recurso”.

Página 6 de 14

Se hace énfasis que la contabilización del término de la caducidad para imponer la sanción de las faltas continuadas, es a partir del día siguiente que cesó la conducta, razón por la cual en el caso sub examine no ha operado el fenómeno de la caducidad.

En este orden de ideas, una vez agotadas las etapas previstas en el procedimiento administrativo sancionatorio dispuesto en el artículo 47 y siguientes de la ley 14 37 de 2011, fue posible emitir una decisión ajustada a derecho, sin desatender los principios de legalidad y debido proceso, En consecuencia, no corresponde a la realidad el argumento de defensa según el cual las actuaciones desplegadas por esta Dirección fueron arbitrarias, repentinas o improvisadas.

En suma, se tiene que el término de referencia para contabili zar la caducidad de la facultad sancionatoria como se ha venido explicando, es la fecha del mensaje de texto enviado el 26 de enero de 2023, y no aquella que indica el recurrente (13 de septiembre del 2021 ), por cuanto para esa fecha no había cesado la vulneración del derecho.

5.2 Frente a la implementación de medidas ordenadas

La sociedad COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC. indica que ya ha implementado medidas conducentes a garantizar los derechos de los titulares de datos personales Es importante aclarar que las órdenes impartidas por la Superintendencia de Industria y Comercio no constituyen sanciones , sino que se tratan de medidas correctivas y preventivas adoptadas en el marco de sus funciones de inspección,

titulares de datos personales Es importante aclarar que las órdenes impartidas por la Superintendencia de Industria y Comercio no constituyen sanciones , sino que se tratan de medidas correctivas y preventivas adoptadas en el marco de sus funciones de inspección, vigilancia y control, conforme a lo previsto en la Ley 1581 del 2012. El argumento expuesto no desvirtúa la responsabilidad ni resulta suficiente para excluir o atenuar la sanción impuesta. Si bien la sociedad afirma haber implementado políticas, normas internas y un programa integral de gestión de datos personales, así como diversas medidas técnicas, administrativas y organizacionales, dichas actuaciones corresponden a obligaciones generales y permanentes impuestas por la normativa vigente, cuyo cumplimiento no exonera el deber de observar de manera estricta las disposicione s específicas aplicables al caso concreto. De igual manera , la sociedad Colombia Telecomunicaciones no allegó pruebas de dichas implementaciones que permitan acreditar de manera efectiva la responsabilidad demostrada o desvirtuar los hechos que dieron lugar a la sanción impuesta.

Sin embargo, esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012, implican que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos. Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del

una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos. Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia "existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante 1. Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y ace rtada la información de las personas porque su

1 Cfr. Corte Constitucional, sentencia T-227 de 2003RESOLUCIÓN NÚMERO 23342 DE 2026

“Por la cual se resuelve un recurso”.

Página 7 de 14

negligencia o dolo en esta materia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015 - reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada.

El artículo 26 2 -titulado DEMOSTRACIÓNestablece que "los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley

tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012". Así, resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utiliza r cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengas como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales. Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la 'Guía para implementación del principio de responsabilidad demostrada (accountability)"3. El término 'accountability" a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la ley 1581 de 2012: Diseñar y activar un programa integral de gestión de datos (en adelante PÍGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza. Desarrollar un plan de revisión, supervisión, evaluación y control

PÍGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada -accountabilitydemanda implementar acciones de diversa naturaleza 4 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

2 El texto completo del artículo 36 del decreto 1377 de 2013 ordena lo siguiente: Articulo 25. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o eran empresa, de acuerdo con la normativa vigente. La naturaleza de los datos personales objeto del tratamiento. El tipo de Tratamiento. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

micro, pequeña, mediana o eran empresa, de acuerdo con la normativa vigente. La naturaleza de los datos personales objeto del tratamiento. El tipo de Tratamiento. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables debería suministrar a esta una descripción de tos procedimientos usados para la recolección de los datos personales, como también la descripción de las finalid ades para las cuales esta información es recolectada y una explicación sobre tal relevancia de los datos personales en cada caso. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de tos datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas 3 El texto de la guía puede consultarse en: https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 4 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que Involucran procesas y procedimientosRESOLUCIÓN NÚMERO 23342 DE 2026

“Por la cual se resuelve un recurso”.

Página 8 de 14

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar e l debido tratamiento de los datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para

El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.

Así, las actuaciones diligentes alegadas no desvirtúan la configuración de la infracción ni constituyen un criterio legal automático de exoneración o atenuación de la sanción, máxime cuando no se demostró que dichas medidas hubieran impedido, corregido de manera oportuna o mitigado los efectos de la conducta sancionada.

Toda vez que, que se comprobó que COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC continuó enviando mensajes y realizando llamadas al titular, pese a la solicitud expresa de cesar dichos contactos y a haber informado que el número no hacía parte de campañas comerciales, lo que configura una presunta infracción a los deberes previstos en la Ley 1581 de 2012 y el Decreto 1074 de 2015.

5.3 Frente a la inexistencia de la infracción

La recurrente manifiesta que no se configuró infracción por parte de COLOMBIA TELECOMUNICACIONES S.A. E.S.P. BIC , toda vez que el caso no cuestiona la supresión del dato ni la autorización para su tratamiento, sino la inclusión del número del usuario en el Registro Nacional de Excluidos (RNE). Dicha inclusión no constituye, por sí misma, el envío de mensajes o llama das con fines comerciales y, por tanto, no vulnera la normativa vigente ni lo dispuesto por la

número del usuario en el Registro Nacional de Excluidos (RNE). Dicha inclusión no constituye, por sí misma, el envío de mensajes o llama das con fines comerciales y, por tanto, no vulnera la normativa vigente ni lo dispuesto por la Resolución N.º 24269 de 2024 de la Superintendencia de Industria y Comercio.

Respecto lo anterior, la recurrente insiste en que la inclusión de la línea telefónica del señor xxxxxxxxxxxxxxxxxxxx en el Registro Nacional de Números Excluidos –RNE– no implica la supresión del dato ni la revocatoria de la autorización para el tratamiento de datos personales, y que, por tanto, no se configura vulneración alguna a las disposiciones de la Ley 1581 de 201 2 ni del Decreto 1074 de 2015. No obstante, dicho planteamiento no está llamado a prosperar.

En primer lugar, debe precisarse que, si bien la inscripción de una línea e