SIC - Resolucion RE50009-2025 de 2025

Página 1 de 18

RESOLUCIÓN NÚMERO 50009 DE 2025

(28 de julio de 2025)

“Por la cual se resuelve un recurso”

Radicación: 22-386528

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S., (en adelante “la recurrente”), con Nit. 900.644.9793, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por la señora XXXXXXXXXXXXXXXXXX XXXXXX1: “El día 11 de agosto de 2022, la empresa CODISPLAN SAS envió un boletín informativo sobre avances del proyecto inmobiliario Parque de Teusa, del cual soy compradora; mi correo fue copiado a más de 100 personas sin mi autorización. Lo que ocasionó que una d e ellas me enviara un correo alertando sobre alzas en el precio del inmueble y retrasos en la entrega, antes de saberlo por parte de la constructora. Solicito se haga resarcimiento por parte de CODISPLAN SAS dado que han utilizado mis datos personales

alertando sobre alzas en el precio del inmueble y retrasos en la entrega, antes de saberlo por parte de la constructora. Solicito se haga resarcimiento por parte de CODISPLAN SAS dado que han utilizado mis datos personales de forma inadecuada y que se imponga la multa máxima que de lugar en este caso. Es de aclarar que el día 7 de septiembre luego de recibir el correo de la tercera persona ajena a la constructora, envié a CODISPLAN SAS correo que adjunto como soporte, solicitando aclaración de lo sucedido sin embargo a la fecha no he tenido respuesta.”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:

(I) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

(II) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem.

1 Expediente digital, consecutivo 0, página 1

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 50009 DE 2025

“Por la cual se resuelve un recurso”

Página 2 de 18

(III) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con

“Por la cual se resuelve un recurso”

Página 2 de 18

(III) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015.

(IV) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

(V) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

El 6 de marzo de 2024 se inició la presente investigación administrativa mediante la expedición de la Resolución N.º 75952 por medio de la cual se formularon cinco (5) cargos a la sociedad CONSTRUCCIONES Y DISEÑOS

PLANIFICADOS S.A.S, con Nit. 900.644.9793.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabal idad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabal idad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

TERCERO: Que la investigada fue notificada de la Resolución N.º 7595 del 6 de marzo de 2024 de forma electrónica el 6 de marzo de 2024, de acuerdo con la certificación expedida por la secretaria AD -HOC de esta Superintendencia, disponible a consecutivo 14 del expediente.

CUARTO: Que, vencido el término otorgado para presentar descargos, la sociedad investigada guardó silencio.

QUINTO: Que mediante Resolución N.º 53897 del 18 de septiembre de 20243, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 22 -386528, consecutivos 0 a 15, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la recurrente para q ue rindiera los alegatos de conclusión respectivos.

SEXTO: Que la investigada fue comunicada de la Resolución N.º 53897 del 18 de septiembre de 2024 el 18 de septiembre 2024, de acuerdo con la certificación expedida por la secretaria AD -HOC de esta Superintendencia, disponible a consecutivo 19 del expediente.

SÉPTIMO: Que dentro del plazo otorgado por la Resolución N.º 53897 del 18 de septiembre de 2024, la sociedad recurrente mediante comunicado del 30 de septiembre de 2024 con radicado 22-386528- -00020 presentó alegatos de conclusión.

de septiembre de 2024, la sociedad recurrente mediante comunicado del 30 de septiembre de 2024 con radicado 22-386528- -00020 presentó alegatos de conclusión.

OCTAVO: Que mediante Resolución N.º 17874 del 4 de abril de 2025 4, l a Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit . 900.644.979-3 de CIENTO TREINTA Y DOS (132) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes QUINCE MIL TRESCIENTOS DOCE (15.312) Unidades de Valor Básico – UVB Vigentes para el año 2025 –

equivalentes a CIENTO SETENTA Y SEIS MILLONES OCHOCIENTOS OCHENTA Y CUATRO MIL DOSCIENTOS VEINTICUATRO PESOS M/CTE (176.884.224) por la violación a lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto

2 Resolución No. 7595 del 6 de marzo de 2024 obrante en el expediente bajo radicado 22-386528 3 Resolución No. 53897 del 18 de septiembre de 2024 obrante en el expediente bajo radicado 22-386528

4 Resolución No. 17874 del 4 de abril de 2025 obrante en el expediente bajo radicado 22-386528RESOLUCIÓN NÚMERO 50009 DE 2025

“Por la cual se resuelve un recurso”

Página 3 de 18

Único Reglamentario 1074 de 2015. (ii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem. (iii)El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artícul o 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

Así mismo, impartió las siguientes ordenes:

“ARTÍCULO 2: Ordenar a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit . 900.644.979-3, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses hábiles siguientes a la ejecutoria de la presente decisión.

Las ordenes son:

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar un formato para solicitar la autorización previa, expresa e informada de los titulares sobre los cuales realiza

Las ordenes son:

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar un formato para solicitar la autorización previa, expresa e informada de los titulares sobre los cuales realiza tratamiento, que incluya entre otras la finalidad de enviar información general sobre sus proyectos inmobiliarios a sus direc ciones electrónicas.

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar y documentar un Manual de Seguridad de la información, en función de la organización interna, el tamaño de la sociedad y sus características, para lo cual se sugiere tener en cuenta la “ Guía para la implementación del principio de responsabilidad demostrada”5 y el “Estudio de medidas de seguridad en el tratamiento de datos personales” 6 los cuales son mandatos de optimización con el fin de que la sociedad como Responsable implemente el manual de forma adecuada.

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar procedimientos en materia de seguridad de la información en especial un protocolo de seguridad para el envío de correos electrónicos masivos de información general a los titulares ocultando sus datos personales.

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá realizar los siguientes ajustes en la Política de Tratamiento de

Datos Personales:

1. Aportar prueba de que se puso en conocimiento de los titulares la

Política de Tratamiento de Datos Personales.

2. Incluir el número de teléfono de la sociedad como Responsable del tratamiento.

3. Señalar en la Política de Tratamiento de Datos Personales el tipo de Tratamiento –manual o automatizadoal cual serán sometidos los datos personales.

2. Incluir el número de teléfono de la sociedad como Responsable del tratamiento.

3. Señalar en la Política de Tratamiento de Datos Personales el tipo de Tratamiento –manual o automatizadoal cual serán sometidos los datos personales.

4. Informar la finalidad del tratamiento de los datos personales que serán tratados por la sociedad como Responsable del tratamiento.

5. Indicar la fecha de entrada en vigencia de la Política de Tratamiento de

Datos Personales.

6. Indicar el periodo de vigencia de las bases de datos

7. Actualizar la normatividad del Régimen de Protección de Datos Personales señalada al inicio del documento.

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar y documentar el Manual para la atención de

5 https://www.sic.gov.co/centro-de-publicaciones?field_global_topic_tid=7037&field_anos_p_value=All 6 https://www.sic.gov.co/centro-de-publicaciones?field_global_topic_tid=7037&field_anos_p_value=AllRESOLUCIÓN NÚMERO 50009 DE 2025

“Por la cual se resuelve un recurso”

Página 4 de 18

consultas y reclamos relacionados con el Tratamiento de datos personales.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los tema s que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.”

NOVENO: Que la Resolución N.º 17874 del 4 de abril de 2025 fue notificada

involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.”

NOVENO: Que la Resolución N.º 17874 del 4 de abril de 2025 fue notificada personalmente el 9 de abril de 2025 a la sociedad investigada, a través de la persona autorizada por el representante legal, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado radicado 22-386528- -27 del 11 de abril de 2025.

DÉCIMO: Que mediante correo electrónico con radicado 22-386528- -00028 del 24 de abril de 2025, a través de su represenante legal, la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución N.º 17874 del 4 de abril de 2025 para que se revoque la sanción

impuesta, con fundamento en:

10.1 Manifiesta que se presenta atipicidad de la conducta, toda vez que la sociedad implementó una política de tratamiento de datos personales, con el fin de cumplir con sus deberes como Responsable, por lo tanto, no está de acuerdo con que este Despacho h aya afirmado que dicha política no se encuentra actualizada junto con las medidas de seguridad de la información, sin antes haber realizado algún requerimiento respecto a las actualizaciones del mencionado documento.7

10.2 Señala que la sociedad recurrente demostró a lo largo de la investigación que, cumple con la protección de los datos personales de los compradores de las unidades inmobiliarias del proyecto de Teusa.8

10.3 Alega que este Despacho desconoce que la titular entregó su información

que, cumple con la protección de los datos personales de los compradores de las unidades inmobiliarias del proyecto de Teusa.8

10.3 Alega que este Despacho desconoce que la titular entregó su información personal de manera libre, expresa, previa y espontánea para incluirla en la base de datos de CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. y Alianza Fiduciaria, tal como se encuentra acreditado en las pruebas documentales aportadas al proceso como son: i) Copia del contrato de Promesa de Compraventa sobre el bien inmueble VIS entre la señora XXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXX y la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S.-CODISPLAN S.A.S, ii) Cuadro de resumen del negocio de promesa de compraventa suscrito en la misma fecha por las partes contractuales, iii) Copia de la Carta de Instrucciones suscrita del Fideicomiso P.A. Teusa por la señora

XXXXXXXXXXXXXXXXXXXXXX.9

10.4 Declara que la sanción impuesta es desproporcionada, puesto que el representante legal considera que este Despacho no hizo un análisis de fondo de los criterios para la dosificación de la sanción establecidos en el artículo 24 de la Ley 1581 de 2012.10

10.5 Considera que este Despacho no tuvo en cuenta el criterio de aceptación de la falta para determinar el monto de la sanción, teniendo en cuenta que la sociedad recurrente presentó un memorial el 22 de diciembre de 2022 en donde indica que si bien fue u n error involuntario del Responsable del tratamiento, la recurrente aceptó la comisión de la infracción. 11

7 Expediente digital, consecutivo 28, página 3, folio 2

indica que si bien fue u n error involuntario del Responsable del tratamiento, la recurrente aceptó la comisión de la infracción. 11

7 Expediente digital, consecutivo 28, página 3, folio 2 8 Expediente digital, consecutivo 28, página 3, folio 2 9 Expediente digital, consecutivo 28, página 3, folio 3 10 Expediente digital, consecutivo 28, página 3, folio 7 11 Expediente digital, consecutivo 28, página 3, folio 7RESOLUCIÓN NÚMERO 50009 DE 2025

“Por la cual se resuelve un recurso”

Página 5 de 18

10.6 La recurrente presenta las siguientes pretensiones12:

“Primero. Se Revoque la Resolución No. 17874 del 04 de abril de 2025 "Por la cual se impone una sanción y se imparten órdenes administrativas" en contra de la sociedad comercial CONSTRUCCIONES

Y DISEÑOS PLANIFICADOS S.A.S. -CODISPLAN S.A.S., con domicilio

comercial en la ciuda d de Bogotá D.C., identificada con N.I.T. 900.644.979-3.

Segundo. Que se valoren las pruebas enunciadas para eliminar la medida administrativa impuesta en la medida en que la sociedad actualmente recolecta los datos personales de los distintos titulares mediante una autorización expresa.

Pretensión subsidiaria : Como pretensión subsidiaria solicito la

siguiente:

Primero. De forma subsidiaria y en caso de no prosperar la primera petición que se revoque parcialmente la Resolución No. 17874 del 04 de abril de 2025 en su Resuelve (sic), disminuyendo la sanción en la

siguiente:

Primero. De forma subsidiaria y en caso de no prosperar la primera petición que se revoque parcialmente la Resolución No. 17874 del 04 de abril de 2025 en su Resuelve (sic), disminuyendo la sanción en la medida en que los criterios de atenuación por reconocimient o de la infracción se encuentran probados.”

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y

Comercio

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

DÉCIMO SEGUNDO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagra los requisitos para la presentación de los recursos y el artículo 78 de la misma Ley, las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto:

12.1 El recurso fue interpuesto por el representante legal de la sociedad recurrente dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Tercero de la parte resolutiva de la Resolución N.º 17874 del 4 de abril de 2025 y acorde con el artículo 76 de la Ley 1437 de 2011. Esto en consideración a:

otorgado en el Artículo Tercero de la parte resolutiva de la Resolución N.º 17874 del 4 de abril de 2025 y acorde con el artículo 76 de la Ley 1437 de 2011. Esto en consideración a:

12.1.1 La sociedad recurrente fue notificada personalmente el 9 de abril de 2025 de la Resolución N.º 17874 del 4 de abril de 2025, a través de la persona autorizada por el representante legal, de acuerdo con certificación expedida por la Secretaría General AD -HOC de la Superintendencia de Industria y Comercio con radicado 22 -38652827 del 11 de abril de 2025.

12.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 24 de abril de 2025 a través de correo electrónico con radicado 22-386528- -00028, encontrándose dentro del término legal.

12.1.3 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución N.º 17874 del 4 de abril de 2025, los cuales fueron expuestos en el numeral considerativo décimo de esta resolución.

12 Expediente digital, consecutivo 28, página 3, folio 7RESOLUCIÓN NÚMERO 50009 DE 2025

“Por la cual se resuelve un recurso”

Página 6 de 18

12.1.4 Respecto de los documentos aportados como pruebas por la recurrente: Mediante el correo electrónico con radicado 22-386528- - 00028 del 24 de abril de 2025, allegó lo siguiente:

• Escrito de recurso de reposición y en subsidio de apelación. 13

recurrente: Mediante el correo electrónico con radicado 22-386528- - 00028 del 24 de abril de 2025, allegó lo siguiente:

• Escrito de recurso de reposición y en subsidio de apelación. 13 • Carta de instrucciones Fideicomiso P.A Teusa No. XXXXXXXXX.14 • Contrato de promesa de compraventa de bien inmueble (vis) Proyecto Parque de Teusa P.h.15 • Certificado de existencia y representación legal de

CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S.16

12.1.5 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio:

• El representante legal en el escrito con radicado 22-386528- - 00028 del 24 de abril de 2025, con el cual interpone recuso de reposición y en subsidio de apelación contra la Resolución N.º 17874 del 4 de abril de 2025 , señala nombre, dirección y correo electrónico de la recurrente para notificaciones.

DÉCIMO TERCERO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en tres (3) aspectos a saber: (i) Respecto de la tipicidad de la conducta investigada (ii) Respecto de la autorización para el tratamiento de los datos de la titular (iii) Sobre los factores de graduación de la sanción (iv) Sobre la proporcionalidad de la sanción impuesta

(iii) Pretensiones. 13.1 Respecto de la tipicidad de la conducta investigada

Al analizar las conductas que dieron lugar a la sanción impuesta, se encontró que estaban tipificadas como un incumplimiento de algunos de los deberes de

(iii) Pretensiones. 13.1 Respecto de la tipicidad de la conducta investigada

Al analizar las conductas que dieron lugar a la sanción impuesta, se encontró que estaban tipificadas como un incumplimiento de algunos de los deberes de los Responsables del tratamiento, definidos en el artículo 17 de la Ley 1581 de 2012, los cuales son:

(I) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. (II) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem. (III) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015. (IV) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. (V) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo

Decreto Único Reglamentario 1074 de 2015. (V) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

Ahora bien, la Corte constitucional en sentencia C-748/11 declara como exequible el artículo 17 de la Ley 1581 de 2012 que contiene la lista de deberes exigibles al Responsable del tratamiento, de modo que, en este caso el incumplimiento de tres de estos deberes llevó a la imposición de la sanción:

“Lo anterior significa que corresponderá a la autoridad de protección de datos como a las autoridades judiciales en el ámbito de su competencia,

13 Expediente digital, consecutivo 28, página 3 14 Expediente digital, consecutivo 28, página 2 15 Expediente digital, consecutivo 28, página 4 16 Expediente digital, consecutivo 28, página 5RESOLUCIÓN NÚMERO 50009 DE 2025

“Por la cual se resuelve un recurso”

Página 7 de 18

garantizar al titular del dato o sus causahabientes, la protección que exige el ejercicio de su derecho al habeas data, el cual no puede quedar sujeto a limitaciones basadas en la exclusión de la responsabilidad frente a los deberes que cada sujeto involuc rado en el tratamiento del dato pueda argumentar, con fundamento en la ley. Es cierto que el legislador estatutario hizo un esfuerzo por describir los deberes que le asiste a uno y otro sujeto que participan en el tratamiento del dato,

dato pueda argumentar, con fundamento en la ley. Es cierto que el legislador estatutario hizo un esfuerzo por describir los deberes que le asiste a uno y otro sujeto que participan en el tratamiento del dato, pero ello no signifi ca que el titular del derecho no pueda exigir otros que puedan resultar para la plena garantía del mismo en concordancia con los principios que regulan la administración de datos. En otras palabras, los deberes enunciados en los artículos bajo estudio, respecto del titular del derecho al habeas data, no son taxativos sino enunciativos, lo que significa que responsables y encargados tendrán otros deberes derivados del derecho al habeas data, que corresponderán a las prerrogativas que otorga el derecho, en ta nto sujetos pasivos de dicha garantía constitucional. No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, sí operan como una lista taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplim iento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a las sanciones administrativas previstas por el mismo proyecto de ley. Por las anteriores, la Corte declarará la exequibilidad de los artículos 17 y 18 del proyecto de ley” Así mismo, respecto del análisis del artículo 23 en el cual se establecen las posibles sanciones a imponer, la corte indica: “Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es

“Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expr esamente la sanción[285]. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar[286]. (v) La i ndependencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. (…) Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de

Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos[290]. En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad:RESOLUCIÓN NÚMERO 50009 DE 2025

“Por la cual se resuelve un recurso”

Página 8 de 18

“El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador. Los preceptos examinados, con las remisiones y concor dancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norm a de conducta y la norma de sanción; (iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria”[291]. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que

encargados del ejercicio de la potestad sancionatoria”[291]. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.” (resaltado fuera del texto) Al analizar las conductas que dieron lugar a la sanción imputada a la recurrente, se encontró que estaban tipificadas como un incumplimiento de varios de los deberes de los Responsables del tratamiento definidos en el artículo 17 de la Ley 1581 de 2012. Pues dentro de la investigación se acreditó en primer lugar que la recurrente, realizó el tratamiento de los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXX sin contar con su autorización previa, expresa e informada, para el envío de un correo electrónico a varios titulares, exponiendo sus direcciones de e -mail, sin contar con el consentimiento de ninguno de ellos para dicho fin.

En segundo lugar, la anterior conducta también implicó el incumplimiento del deber de seguridad de la información, al no establecerse un protocolo de envío de correos electrónicos masivos por parte del Responsable que oculte los datos personales de todos l os destinatarios, con el propósito de evitar que fueran expuestos a terceros no autorizados, lo cual derivó en la imposición de una sanción.

En tercer lugar, durante la investigación la sociedad recurrente no acreditó contar con un Manual de Políticas de Seguridad de la Información y un Manual para la atención de consultas y reclamos relacionados con el Tratamiento de datos personales, por lo tanto, se encontraron razones suficientes para imponer una sanción, al ser estos documentos de obligatoria implementación por parte

para la atención de consultas y reclamos relacionados con el Tratamiento de datos personales, por lo tanto, se encontraron razones suficientes para imponer una sanción, al ser estos documentos de obligatoria implementación por parte de los Responsables del trat