SIC - Resolucion RE24388-2025 de 2025

Página 1 de 17

RESOLUCIÓN NÚMERO 24388 DE 2025

(29 de abril de 2025)

“Por la cual se impone una sanción administrativa”

Radicación 22-177990

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales (a) y (b) del artículo 21 de la Ley 1581 de 2012, y el numeral (4) artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución 29085 del 30 de mayo de 202 3, la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa en contra de la sociedad CONFIAR EES S.A.S. EN LIQUIDACIÓN, identificada con NIT.901.527.726-1, en calidad de Responsable del tratamiento de dat os, por la presunta contravención de las siguientes

disposiciones normativas: (i) “El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015.

(ii) El literal k) del artículo 17 en concordancia con el literal e) del artículo 4

Reglamentario 1074 de 2015.

(ii) El literal k) del artículo 17 en concordancia con el literal e) del artículo 4 de la Ley 1581 de 2012 y los artículos 2.2.2.25.2.1 y 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

(iii) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4º de la misma norma y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015”.

1.1 Que mediante queja anónima presentada el 27 de abril de 2022 1, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012, por parte de la Sociedad CONFIAR EES S.A.S., identificada con el Nit. 901.527.726-1, con base en los siguientes hechos e imágenes que la soportan:

“Esta sociedad actualmente presta servicios de préstamos de dinero por medio de aplicaciones tales como acticredito en una actividad ilícita no regulada con un cobro usurero de intereses y con una prá ctica abusiva cobrando gastos administrativos costosos e iregulares (sic) y en un plazo de 8 días para el pago total de la obligación y con practicas engañosas ya que ofrecen plazos de 90 días al 7 dia inician con una persecución y un cobro agresivo por pe rsonas inescrupolosas (sic) que cobran peor que un pagadiario adicional se.roban la información del celular y en caso de no

que ofrecen plazos de 90 días al 7 dia inician con una persecución y un cobro agresivo por pe rsonas inescrupolosas (sic) que cobran peor que un pagadiario adicional se.roban la información del celular y en caso de no pago contactan a los contactos e informan que es malapaga un ladrón unas practicas abusivas que deben ser compulsadas ante la fiscalía por usura y

1 Rad. 22-177990-0-2

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 24388 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 2 de 17

robo de la información se deben tomar medidas y sanciones para que esto pare y no ocurra más por un préstamo (sic) por 8 días de $96060 cobraron $53.940 ni el gota a gota más usurero estas conductas fueron denunciadas por séptimo dia hay que tomar partida y sancionar a estos criminales”

SEGUNDO: Que, teniendo en cuenta las múltiples denuncias recibidas en contra de la sociedad CONFIAR EES S.A.S. EN LIQUIDACIÓN , al expediente 22177990 han sido acumuladas las quejas radicadas bajo los números 22-158269, 22-354919, 22-291725, 22-267645, 22-395192, 22-393503, 22-235817, 22236509, 22-234438, 23-162058, 23-163176 y 23-175735.

TERCERO: Que la Resolución 29085 del 30 de mayo de 2023 le fue notificada mediante Aviso 12762 a JUAN CAMILO JARAMILLO CUENCA en representación de la sociedad CONFIAR EES S.A.S. EN LIQUIDACIÓN, el 09

mediante Aviso 12762 a JUAN CAMILO JARAMILLO CUENCA en representación de la sociedad CONFIAR EES S.A.S. EN LIQUIDACIÓN, el 09 de junio de 2023, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-17799033 del 05 de julio de 2023. Así mismo, el referido acto administrativo le fue comunicado a los denunciantes dentro de la presente actuación administrativa.

CUARTO: Que, mediante escrito radicado bajo los números 22-177990-35 y 36 del 06 de julio de 2023, la sociedad investigada, a través de su representante legal presentó ante esta Superintendencia los descargos, así como el material probatorio que pretende hacer val er en la presente investigación.

QUINTO: Que mediante Resolución 14689 del 25 de marzo de 2025, la Dirección de Investigaciones de Protección de Datos Personales ordenó:

“ARTÍCULO 1: INCORPORAR y tener como prueba, las obrantes a la fecha en el expediente 22 -177990 con el valor probatorio que les corresponda.

ARTÍCULO 2: RECHAZAR la prueba solicitada por el representante de la sociedad CONFIAR EES. S.A.S. EN LIQUIDACIÓN , conforme a lo expuesto en la parte motiva del presente acto administrativo”.

5.1 Que la Resolución 14689 del 25 de marzo de 2025 le fue comunicada a YILEI CHEN , en representación de la sociedad CONFIAR EES S.A.S. EN LIQUIDACIÓN el 25 de marzo de 2025, según consta en la certificación expedida para el efecto por la Secretaría General Ad -Hoc de esta

YILEI CHEN , en representación de la sociedad CONFIAR EES S.A.S. EN LIQUIDACIÓN el 25 de marzo de 2025, según consta en la certificación expedida para el efecto por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 22 -177990-41 del 26 de marzo de 2025.

SEXTO: Que mediante oficio radicado bajo el número 22-177990-42-1 del 27 de marzo de 2025, la Coordinación del Grupo de Trabajo de investigaciones administrativas corrió traslado a la sociedad investigada por el término de diez (10) días hábiles, para que de encontrarlo procedente, presentara sus alegatos de conclusión.

Que vencido el término concedido para el efecto, la sociedad investigada guardó silencio.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.RESOLUCIÓN NÚMERO 24388 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 3 de 17

OCTAVO: Análisis del caso

8.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 2, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción

siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

Atendiendo los parámetros señalados por la citada jurispr udencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisit os dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los denunciantes, el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en: El literal b) del artí culo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015; el literal k) del artículo 17 en concordancia con el literal e) del artículo 4 de la Ley 1581 de 2012 y los

Único Reglamentario 1074 de 2015; el literal k) del artículo 17 en concordancia con el literal e) del artículo 4 de la Ley 1581 de 2012 y los artículos 2.2.2.25.2.1 y 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015; y, el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4º de la misma norma y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.

Por tanto, c orresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la impos ición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por las denunciantes, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones

8.2.1 Del deber de solicitar y conservar copia de la respectiva autorización para el tratamiento de los datos personales.

El artículo 15 de nuestra Constitución contempla el derecho fundamental que tienen todas las personas a conocer, actualizar y rectificar toda la información que sobre ellas se haya recogido en las bases de datos. De esta prerrogativa de orden superior se derivan unos principios y deberes cuya observancia corresponde a quienes intervengan en el proceso de rec olección, tratamiento y circulación de datos personales, en los términos señalados por la Corte Constitucional en la sentencia C-748 de 2011, así:

“DERECHO AL HABEAS DATA EN TRATAMIENTO DE DATOS

datos personales, en los términos señalados por la Corte Constitucional en la sentencia C-748 de 2011, así:

“DERECHO AL HABEAS DATA EN TRATAMIENTO DE DATOS PERSONALES-Principios y garantías constitucionales

2 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 24388 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 4 de 17

El proyecto de ley estatutaria establece en materia de tratamiento de datos personales los principios de legalidad, el de finalidad, de libertad, de veracidad o calidad, de transparencia, de acceso y circulación restringida, de seguridad y el principio de con fidencialidad, principios éstos que no obstan para que en el proceso de administración de bases de datos se dé aplicación a los principios rectores derivados directamente de la Constitución al igual que a aquellos derivados del núcleo temático del proyecto de ley estatutaria, los cuales pese a no encontrase numerados se entiende incorporados en razón de una lectura sistemática del proyecto de Ley Estatutaria”.

En el citado pronunciamiento también se determinan las características de los datos personales, a saber: i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se

persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”3, peculiaridades que se armonizan con el concepto de dato personal establecido en la Ley, consistente en un derecho que al asociarse a una persona natural, radica precisamente en cabeza del titular.

Ahora bien, el artículo 17 de ese cuerpo normativo contempla los deberes que les asisten, en particular a los responsables, siendo este “ aquel que define los fines y medios esenciales para el tratamiento del dato4”, con el propósito de garantizar, de una parte el pleno ejercicio del derecho fundamental de háb eas data, y de otra, una correcta administración de la información personal. Dentro de esos deberes se encuentra enlistado el de obtener la autorización previa, expresa e informada por parte de los titulares de la información, para hacer el respectivo tratamiento de sus datos personales.

A su turno los principios de legalidad y libertad establecen un marco dentro del cual solo el consentimiento de los titulares faculta para realizar tratamiento sobre los datos que les sean asociados. En palabras de la Honorable Corte Constitucional es el “(…) pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

(…)

En igual sentido, en la Sentencia SU-082 de 1995, la Corte basó toda la ratio decidendi, en el concepto de autodeterminación informática, cuyo elemento esencial recaía en el consentimiento. Sobre la particular la Corte se preguntó: “¿Cuál es el núcleo esencial del habeas data? A juicio de la Corte, está integrado por el derecho a la auto determinación informática y por la libertad, en general, y en especial económica. La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales.” Esa posición ha sido reiterada, entre muchas otras, en las Sentencias T-580 de 1995, T-448 de 2004, T-526 de 2004, T-657 de 2005, TT-684 de 2006, C-1011 de 2008, T-017 de 2011”.

Ahora bien, en el caso objeto de estudio observó este Despacho, en el curso de las actuaciones preliminares adelantadas, que la sociedad CONFIAR EES S.A.S. EN LIQUIDACIÓN , a través de la aplicación móvil ACTICREDITO estaría

3 Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Prete lt Chaljub, seis (6) de octubre de dos mil once (2011).

EN LIQUIDACIÓN , a través de la aplicación móvil ACTICREDITO estaría

3 Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Prete lt Chaljub, seis (6) de octubre de dos mil once (2011). 4 Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 24388 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 5 de 17

llevando a cabo operaciones de tratamiento de los datos personales de sus usuarios, adquirientes u obligados frente a los créditos, como también de titulares (referencias y/o contactos) sin acreditar haber obtenido las respectivas autorizaciones para el tratamiento de los datos personales recolectados.

Según se evidenció en las denuncias recibidas, dentro del proceso de cobranza que adelanta la sociedad CONFIAR EES S.A.S. EN LIQUIDACIÓN, se entabla el contacto de las personas cuyos datos fueron suministrados por el solicitante del crédito a modo de referencia y/o de personas cuyos datos fueron tomados del directorio de contactos de los suscriptores de las obligaciones crediticias, sin que estas hubieran otorgado autorización alguna para el tratamiento de sus datos personales, en los términos que a continuación se cita:

“Esta sociedad actualmente presta servicios de préstamos de dinero por medio de aplicaciones tales como acticredito en una actividad ilícita no regulada con un cobro usurero de intereses y con una práctica abusiva cobrando gastos administrativos costosos e iregulares (sic) y en un plazo

medio de aplicaciones tales como acticredito en una actividad ilícita no regulada con un cobro usurero de intereses y con una práctica abusiva cobrando gastos administrativos costosos e iregulares (sic) y en un plazo de 8 días para el pago total de la obligación y con prácticas engañosas ya que ofrecen plazos de 90 d ías al 7 día inician con una persecución y un cobro agresivo por personas inescrupolosas (sic) que cobran peor que un pagadiario adicional se.roban la informacion del celular y en caso de no pago contactan a los contactos e informan que es malapaga un ladron unas practicas abusivas que deben ser compulsadas ante la fiscalía por usura y robo de la información se deben tomar medidas y sanciones para que esto pare y no ocurra más por un prestamo por 8 días de $96060 cobraron $53.940 ni el gota a gota más usure ro estas conductas fueron denunciadas por séptimo dia hay que tomar partida y sancionar a estos criminales”5 (Negrita fuera de texto)

(…)

“El día 7 solicite (sic) un préstamo con promesas para pagarlo en un lapso de 91 días, dado esto estaba tranquilo pero cuando se cumplió la fecha de pago comenzaron a llamar a mis contactos y a tomar información personal amenazando y extorsionando con publicar que era un ladrón l a app se llama acticredito, manejan también appplata y bien presta ayúdeme a frenar el acoso.”6 (Negrita fuera de texto)

(…)

“Denuncio que descargue la app ActiCredito por Google play Prestan una cantidad de dinero y depositan menos, el nivel de usura es elevado y

a frenar el acoso.”6 (Negrita fuera de texto)

(…)

“Denuncio que descargue la app ActiCredito por Google play Prestan una cantidad de dinero y depositan menos, el nivel de usura es elevado y amenazan para realizar los cobros, acceden a la info de contactos y dicen que uno hace fraude dañan el buen nombre de las personas , no tienen canal de petición quejas y recursos el vocabulario que emplean no es el adecuado solo amenazan y amenaz an por un préstamo de $800.000 consignaron 512.000 y ahora me cobran $926.400, indican en la publicidad que se paga en 90 días, sin embargo a los 8 días empiezan con el acoso el desembolso lo generan des una empresa llamada pago digital colombia sas”7 (Negrita fuera de texto)

(…)

“realice (sic) un préstamo por esa plataforma por necesidad y m dijeron q m prestaban a 120 días 150000 mil pesos y m consiganaron (sic) 96000mil y ahora m (sic) dicen q tengo q pagar 150000mil por solo 7 días y con amenazas para mí y para mis contactos” (Negrita fuera de texto)

En virtud de lo descrito, el Grupo de Trabajo de Informática Forense y Seguridad Digital de esta Superintendencia procedió a hacer una verificación, consignando

5 Denuncia Rad. 22-177990 6 Denuncia Rad. 22-354919 7 Denuncia Rad. 22-395192RESOLUCIÓN NÚMERO 24388 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 6 de 17

los hallazgos obtenidos en el acta de preservación de páginas web de la

“Por la cual se impone una sanción administrativa”.

Página 6 de 17

los hallazgos obtenidos en el acta de preservación de páginas web de la aplicación móvil ACTICREDITO, obrante bajo el radicado 22-177990-4 del 27 de mayo de 2022, dentro de los cuales en efecto se pudo constatar lo que, a continuación se cita:

Sobre el particular, quien representa los intereses de la sociedad investigada expresó en su escrito de descargos que “(…) nos permitimos enviar prueba de la copia de la respectiva autorización otorgada por los titulares de la información por medio de arch ivo CSV., misma que prueba el cumplimiento del artículo 17 literal b). Este documento prueba que esta aceptación se produjo de la Política de Protección de Datos Personales, misma que contempla el consentimiento, previo, expreso e informado del titular de los respectivos datos que serán tratados. Del mismo modo, se deja constancia que no nos es posible probar que los datos han sido divulgados a terceras personas sin previa autorización en la medida en que los mismos solo han sido tratados por la sociedad CONFIAR EES S.A.S. por medio de sus funcionarios contratados para el tratamiento de sus datos.

Por último, se manifiesta que la sociedad CONFIAR EES S.A.S. en ningún momento realiza la recolección de información a través de sus celulares, contactos o de imágenes de sus dispositivos pues nuestra plataforma no cuenta con ninguna tecnología que permita realizar dicha recolección y la única información suministrada es la que nos permite identificar el perfil de la persona, sus datos de contacto y los mecanismos por medio de los cuáles podemos realizar el cobro de los dineros que son entregados en virtud del contrato suscrito

información suministrada es la que nos permite identificar el perfil de la persona, sus datos de contacto y los mecanismos por medio de los cuáles podemos realizar el cobro de los dineros que son entregados en virtud del contrato suscrito denominado “Términos y Condiciones de uso”.

Sobre este punto, es necesario destacar de una parte que las autorizaciones reseñadas por la s ociedad investigada no fueron aportadas a la presente investigación administrativa de carácter sancionatorio, tal como fue señalado en la Resolución 14689 del 25 de marzo de 2025, por tanto no se encuentran piezas probatorias que acrediten el consentimiento de los titulares para el tratamiento de su información personal.

De otra parte, una vez revisado el material obrante en el expediente encuentra el Despacho que, producto de la inspección realizada a la aplicación ACTICREDITO se estableció que la socied ad CONFIAR EES S.A.S. EN LIQUIDACIÓN en el curso de la solicitud de créditos u otros productos financieros, sí requiere el acceso a los datos de contacto del titular en circunstancias y con propósitos que no resultan del todo claros. En ese contexto, sí pudo evidenciarse de acuerdo con las denuncias y pruebas aportadas a esta Superintendencia que la investigada usó los datos de referencias de los deudoresRESOLUCIÓN NÚMERO 24388 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 7 de 17

como un instrumento para realizar gestiones de cobranza, sin que para esos fines mediara la autorización previa, expresa e informada de cada uno de ellos.

Frente a los “ referidos” que proporcionan los usuarios de Acticredito

App:

como un instrumento para realizar gestiones de cobranza, sin que para esos fines mediara la autorización previa, expresa e informada de cada uno de ellos.

Frente a los “ referidos” que proporcionan los usuarios de Acticredito

App:

Con respecto a la figura de “ referidos” que proporcionan los usuarios de Acticredito App, debe ponerse de presente que el uso de referidos con el fin de realizar un estudio del perfil del deudor es una práctica común en el mercado colombiano y específicamente en el mercado de otorgamiento de préstamos. Los referidos son rutinariamente solicitados por entidades que otorgan présta mos, independientemente si son vigiladas por la Superintendencia Financiera o no.

Incluso la Delegatura para la Protección de Datos Personales ha avalado el uso de la figura de referidos y ha establecido que “al respecto, esta Dirección ha sido enfática al señalar que la figura de “referencia”, típica en el ámbito comercial (…) solo puede ser utilizada para efectos de verificar la identidad de la persona con quien ha de entablarse una relación contractual y su comportamiento con las obligaciones adquiridas”

De esta forma, y como lo ha reconocido la Delegatura misma, se demuestra la existencia de una costumbre mercantil en el mercado consistente en que: (i) se solicitan referencias personales a un potencial deudor con el fin de realizar un estudio del perfi l de este, (ii) esta información la entregue directamente el potencial deudor, y (iii) sea el potencial deudor quien obtenga el consentimiento previo, expreso e informado de los titulares que allegó como referencias para el tratamiento de sus datos personales”. Así las cosas, advierte el Despacho la necesidad de hacer hincapié en el impacto

previo, expreso e informado de los titulares que allegó como referencias para el tratamiento de sus datos personales”. Así las cosas, advierte el Despacho la necesidad de hacer hincapié en el impacto negativo que genera la conducta desplegada por la investigada al utilizar datos de los contactos de sus clientes con fines para los cuales, de una parte no se encuentra debidamente autorizada, y de otra genera una afectación a la intimidad de los titulares, deviniendo así en un comportamiento a todas luces abiertamente contradictorio a nuestro ordenamiento jurídico en materia de protección de datos personales. Conforme a todo lo descrito encuentra acreditado esta Dirección que la sociedad CONFIAR EES S.A.S. EN LIQUIDACIÓN ha realizado un uso indebido de información biométrica en lo referente a la autorización para el tratamiento de datos de carácter privado, como son los datos de contacto, sin contar con la autorización previa, expresa e informada de los respectivos titulares. 8.2.2 Del deber de desarrollar e implementar una política de tratamiento de la información Conforme a las disposiciones en cita, es deber del Responsable del tratamiento de datos personales desarrollar, implementar y poner en conocimiento de los titulares de la información una Política de tratamiento de datos bajo los lineamientos y previsiones hechas por el Gobierno Nacional en el Decreto Único Reglamentario 1074 de 2015.

Nótese como la disposición normativa hace referencia expresa a la necesidad y deber de toda organización que trate información personal cuente con unos procedimientos para la recolección, almacenamiento, uso, circulación y supresión de información, con el fin de que a lo largo del ciclo de vida del dato se garanticen y respeten los preceptos legales que van desde la recolección de

procedimientos para la recolección, almacenamiento, uso, circulación y supresión de información, con el fin de que a lo largo del ciclo de vida del dato se garanticen y respeten los preceptos legales que van desde la recolección de la información hasta la disposición final de la misma, de tal suerte que no se empleen medios e ngañosos o fraudulentos para recolectar y tratar los datos personales y que siempre se utilicen para las finalidades que fueron autorizadas en su momento por el Titular, en el entendido de que la información se utilice únicamente para la finalidad que fue informada, lo que adicionalmente implica la supresión segura de la información y la correspondiente documentación de este procedimiento.RESOLUCIÓN NÚMERO 24388 DE 2025

“Por la cual se impone una sanción administrativa”.

Página 8 de 17

Adicionalmente, el principio de transparencia definido en el literal e) del artículo 4 de la Ley 1581 de 2012 establece que los Responsables del Tratamiento están obligados a garantizarle al Titular, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan. El anterior principio se materializa, entre otros mecanismos jurídicos, a través de la Política de Tratamiento de Información Personal.

Al respecto, el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 señala que los Responsables del Tratamiento deberán (i) escribir sus políticas para el tratamiento de l os datos personales; (ii) implementarlas en medio físico o electrónico, en un lenguaje claro y sencillo; y (iii) ser puestas en conocimiento de los Titulares. El artículo también especifica la información

políticas para el tratamiento de l os datos personales; (ii) implementarlas en medio físico o electrónico, en un lenguaje claro y sencillo; y (iii) ser puestas en conocimiento de los Titulares. El artículo también especifica la información que debe incluir en la política, que en ningún caso debe ser inferior a lo establecido en dicha norma.

En el presente caso, este Despacho encuentra que la sociedad investigada fue requerida mediante comunicación obrante bajo el radicado 22-177990-5 del 1 de junio de 2022, con el propósito de que aportara copia de la política de tratamiento de datos personales. Al respecto, la investigada respondió por medio de la comunicación radicada bajo el número 22-177990-7 del 9 de junio de 2022 en la cual señaló que “(…) Se adjunta al procedimiento administrativo la documentación solicitada en relación las políticas de protección de datos personales, aviso de privacidad y términos y condiciones adoptadas por la sociedad para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a la información sujeta a tratamiento (…)”, allegando a su vez los documentos denominados “ Aviso de Privacidad ” y “ MANUAL INTERNO DE BUENAS PRACTICAS PARA EL TRATAMIENTO DE DATOS PERSONALES CONFIAR EES S.A.S. ”, documentos que no corresponden a una Política de Tratamiento de Datos Personales, conforme al deber en mención.

Sin perjuicio de lo descrito, este Despacho llevó a cabo una consulta en la página web https://www.acticredito.com/ en la cual accedió a la Política de Tratamiento de Datos Personales, la cual se encuentra disponible a los Titulares de la Información que incluye, en principio, la información requerida por el artículo

web https://www.acticredito.com/ en la cual accedió a la Política de Tratamiento de Datos Personales, la cual se encuentra disponible a los Titulares de la Información que incluye, en principio, la información requerida por el artículo 2.2.2.25.3.1. En la inspección se observó, lo que a continuación se señala:

I. La Pol ítica de Tratamiento de la Información no señala el