SIC - Resolucion RE58966-2025 de 2025

Página 1 de 21

RESOLUCIÓN NÚMERO 58966 DE 2025

(15 de agosto de 2025)

“Por la cual se impone una sanción administrativa”

Radicado 24-415851

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución N.º 86583 del 05 de diciembre de 2022, expedida por la Dirección de Hábeas Data, se ordenó lo siguiente:

“ARTÍCULO PRIMERO: Ordenar a la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S. identificada con el Nit. No. 901.314.716 – 1, para que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, suprima los datos personales, del señor XXXX XXXX XXXXXXX XXXXXXX identificado con C.C. No. XXXXXXXXXX de sus bases de datos, toda vez que se observó el posible incumplimiento al deber contenido en el literal b) del artículo 17 de la ley 1581 de 2012.

PARÁGRAFO PRIMERO : La sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S. deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la

TURISTICAS (sic) Y COMERCIALES ATB S.A.S. deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

PARÁGRAFO SEGUNDO : El inc umplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S. acreedora de las sanciones previstas en la Ley. (…)” 1

SEGUNDO: Que, la sociedad REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB S.A.S. fue notificada de la Resolución N.º 86583 del 05 de diciembre de 2022, mediante aviso el día 16 de diciembre de 2022, de acuerdo con la certificación expedida por la secretaria general AD -HOC de esta Superintendencia disponible bajo el número de radicado 22-83977-13 del 16 de diciembre de 2022.

TERCERO: Que, en la parte motiva de la Resolución N.º 86583 del 05 de diciembre de 2022, expedida por la Dirección de Hábeas Data, de acuerdo con la queja presentada ante esta Superintendenci a por el señor XXXXX XXXX XXXXX XXXXXXX, identificado con cédula de ciudadanía número XXXXXXXXXXX, en contra de la sociedad REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB S.A.S ., co n NIT. 901.314.716 -1, se consideró lo

siguiente:

“6.1 Respecto al silencio guardado por el Responsable de los Datos

Y COMERCIALES ATB S.A.S ., co n NIT. 901.314.716 -1, se consideró lo siguiente:

“6.1 Respecto al silencio guardado por el Responsable de los Datos

1 Obrante en la Resolución No. 86583 del 05 de diciembre de 2022. Páginas No. 7 - 8.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 58966 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 21

El artículo 17 de la Ley 1581 de 2012 contempla para los Responsables y Encargados del Tratamiento el cumplimiento de ciertos deberes, sin perjuicio de las demás disposiciones previstas en el Régimen General de Protección de Datos Personales y en otras que rijan su actividad, al interior de la cual el literal o) establece ‘Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio’.

En el presente caso, el día 31 de marzo d e 2022 este Despacho requirió a la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S. con el fin de que se pronunciara sobre los hechos materia de la denuncia presentada por el señor XXXXXXXXXXXXXXXXXXXX y aportara las pruebas que pretendi era hacer valer para el trámite de la actuación administrativa.

En consecuencia, esta Dirección observó que una vez vencido el término concedido en el escrito de solicitud de explicaciones la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S., no ejerció su derecho de defensa y contradicción, pese a qu e esta

concedido en el escrito de solicitud de explicaciones la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S., no ejerció su derecho de defensa y contradicción, pese a qu e esta Superintendencia remitió la solicitud de explicaciones el día 31 de marzo de 2022, a la dirección de notificación judicial que se registra en el Certificado de Existencia y Representación Legal de la Cámara de Comercio de Medellín, que para el efect o corresponde a la dirección de correo electrónico XXXXXXXXXXXXXXXXXXXXXXX, y fue recibida por dicha sociedad el día 31 de marzo de 2022, como consta en el certificado de envío:

(…)

Teniendo en cuenta que la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S. guardó silencio y no aportó la documentación solicitada frente al requerimiento realizado por este Despacho, es preciso indicar que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo establece lo siguiente:

‘Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión que será motivada’.

Aunado a lo anterior, el artículo 176 del Código General del Proceso señala que:

‘Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana crítica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos (…)’.

Atendiendo las reglas citadas, este Despacho tendrá por ciertos los hechos narrados por la reclamante. Por los cuales manifiesta que no ha otorgado

ley sustancial para la existencia o validez de ciertos actos (…)’.

Atendiendo las reglas citadas, este Despacho tendrá por ciertos los hechos narrados por la reclamante. Por los cuales manifiesta que no ha otorgado ninguna autorización para el tratamiento de los datos personales por parte de la sociedad investigada. Lo anterior debido a que la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S. guardó silencio y no aportó pruebas al expediente con el fin de controvertir lo relatado por el titular.

6.2 Deber de cumplir las instrucciones y requerimientos que impa rta la Superintendencia de Industria y Comercio.

El artículo 17 de la Ley 1581 de 2012 contiene los deberes de los Responsables del Tratamiento, estableciendo en el literal o) ‘Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y comercio.’

Igualmente, el artículo 21 de la mencionada Ley establece las funciones de la Superintendencia de Industria y Comercio, entre ellas, el literal f) ‘Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.’RESOLUCIÓN NÚMERO 58966 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 21

Al respecto, el Grupo de Trabajo de Tratamiento de Datos Personales, requirió a la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S., a través del oficio radicado bajo el No. 2283977 consecutivo 3 del 31 de marzo de 2022, para que se pr onunciara

requirió a la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S., a través del oficio radicado bajo el No. 2283977 consecutivo 3 del 31 de marzo de 2022, para que se pr onunciara en un plazo máximo de quince (15) sobre los hechos materia de la denuncia. Sin embargo, la referida sociedad suministró guardó silencio (sic). Por lo tanto, presuntamente incumplió el deber contenido en el literal o) del artículo 17 de la Ley 1581 de 2012.

Como consecuencia, este Despacho considera procedente EXHORTAR a la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S., para que adopte medidas efectivas para atender los requerimientos y suministre la información solicitada p or la Superintendencia de Industria y Comercio.

6.3 Respecto a la solicitud de supresión de información personal del Titular.

(…)

Ahora bien, en el caso bajo examen, se observa que el Titular manifiesta que ha recibido múltiples llamadas con contenido comercial y publicitario a su número celular 300 658 7867, por parte de la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES AT B S.A.S., a pesar de no haber otorgado su autorización para el tratamiento de sus datos personales.

Al respecto, esta Superintendencia requirió a la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S. con el fin de que se pronunciara sobre los hechos del reclamo presentado por el titular y aportara las pruebas que pretendiera hacer valer, frente a lo cual, la mencionada sociedad no se pronunció y guardó silencio.

el fin de que se pronunciara sobre los hechos del reclamo presentado por el titular y aportara las pruebas que pretendiera hacer valer, frente a lo cual, la mencionada sociedad no se pronunció y guardó silencio.

Frente a lo anterior, este Despacho procedió a valorar las pruebas obrantes en el plenario, evidenciando que el titular de la información allegó copia de la reclamación enviada a la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S., de la siguiente forma:

(…)

Así pues, este Despacho observa que la sociedad RE PRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S., no ejerció su derecho de defensa y contradicción. Por lo anterior la sociedad investigada no allegó evidencia que permita demostrar la existencia la autorización para el tratamiento de datos persona les otorgada por el Titular. Así como tampoco se demostró la eliminación de la información del Titular.

Así las cosas, esta Dirección encuentra que es procedente ordenar en el término establecido en la parte resolutiva de este acto administrativo, a la sociedad REPRESENTACIONES TURISTICAS (sic) Y COMERCIALES ATB S.A.S. que suprima los datos personales del señor XXXX XXXXXX XXXXXXX XXXXXXX de sus bases de datos, como medida para la protección de su derecho fundamental de habeas data, toda vez que se observó el posible incumplimiento del deber contenido en el literal b) del artículo 17 de la ley 1581 de 2012 por parte de la sociedad investigada.

(…)”2 .

CUARTO: Que junto con la Resolución N.° 86583 del 5 de diciembre de 2022,

artículo 17 de la ley 1581 de 2012 por parte de la sociedad investigada.

(…)”2 .

CUARTO: Que junto con la Resolución N.° 86583 del 5 de diciembre de 2022, expedida por la Dirección de Habeas Data , se trasladaron las siguientes

pruebas:

4.1 Copia del reclamo interpuesto el día 21 de octubre de 2021 ante la

sociedad REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB

S.A.S3

2 Ibidem. Páginas No. 4 - 7. 3 Expediente Virtual consecutivo 0 Página 2 Folio 10 -11RESOLUCIÓN NÚMERO 58966 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 21

4.2 Solicitud de explicaciones remitido a la sociedad REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB S.A.S. con fecha del 31 de marzo de 20224.

4.3 Segunda s olicitud de explicaciones remitido a la sociedad REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB S.A.S. enviado a la dirección electrónica XXXXXXXXXXXXXXXXXXXXXX (registrada para efectos de notificación judicial dentro del Certificado de Existencia y Representación Legal expedido por la Cámara de Comercio de Medellín) con fecha del 23 de julio del 2024.

4.4 Notificación por aviso N.º 34476 de la Resolución N.° 86583 del 5 de diciembre de 2022, radicado bajo el No 22-83977-13 del 16 de diciembre de 2022.

QUINTO: Que, con base en los hechos anotados, a partir de los cuales se

diciembre de 2022, radicado bajo el No 22-83977-13 del 16 de diciembre de 2022.

QUINTO: Que, con base en los hechos anotados, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, y en particular las disposiciones contenidas en:

1. El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° de la misma norma, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

1. El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma.

Esta Dirección, mediante Resolución N.º 59184 del 3 de octubre del 2024, inició la presente investigación administrativa y formuló cargo único a la sociedad

REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB S.A.S.

SEXTO: La mencionada resolución le fue notificada a la sociedad REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB S.A.S., mediante aviso N.º 24354 del 15 de octubre de 2024, de conformidad con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia el 21 de octubre de 2024, radicada bajo el número 24-415851-8

SÉPTIMO: Que, una vez vencido el término para presentar escrito de descargos, la sociedad REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB S.A.S. guardó silencio.

SÉPTIMO: Que, una vez vencido el término para presentar escrito de descargos, la sociedad REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB S.A.S. guardó silencio.

OCTAVO: Que, a través de la Resolución N.º 24889 del 30 de abril del 2025, esta Dirección incorporó las pruebas obrantes en el expediente radicado bajo el número 24-415851, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Las pruebas incorporadas se relacionan a continuación:

8.1. Soportes documentales radicados bajo el consecutivo 24-415851-0 del 26 de septiembre de 2024.

NOVENO: Que, una vez vencido el término para presentar alegatos de conclusión, la sociedad REPRESENTACIONES TURÍSTICAS Y COMERCIALES ATB S.A.S. guardó silencio.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que

4 Expediente Virtual consecutivo 0 Página 2 Folio 14RESOLUCIÓN NÚMERO 58966 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 21

en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso

Página 5 de 21

en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso

11.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 5, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurispru dencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requi sitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a lo dispuesto en:

a) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con

desplegada por la investigada se concreta en la posible vulneración a lo dispuesto en:

a) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° de la misma norma, así como el i nciso primero del artículo 2.2.2.25.2.2 del Decreto Ú nico Reglamentario 1074 de 2015.

b) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma.

En ese orden de ideas, correspond e a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las piezas probatorias obrantes en el expediente de la referencia.

11.1.1 Respecto del deber solicitar y conservar autorización previa, expresa e informada del titular para el tratamiento de sus datos personales Para referirse a este cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: "ARTÍCULO 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en ba ncos de datos y en archivos de entidades públicas y privadas".

5 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 58966 DE 2025

privadas".

5 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 58966 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 21

Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos. Al respecto, la Corte Constitucional ha señalado lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su info rmación personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarro llo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática2"

como el de intimidad y el libre desarro llo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática2" Igualmente, es importante indicar que, en virtud del princ ipio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada. Relacionado con dicho deber, se encuentra el principio de finalidad dispuesto en el literal b) del artículo 4 de la Ley 1581 de 2012, en los siguientes términos:

ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (...) b) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (...) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. "ARTÍCULO 17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; (...)."RESOLUCIÓN NÚMERO 58966 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 21

Decreto Único Reglamentario 1074 de 2015

"ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales a quellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este

cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento". (Subrayado y Negrita fuer a del texto original) "ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos".

Definición del consentimiento: En la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a). El artículo 9 estable ce que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundame ntos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

las excepciones o los otros fundame ntos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc. Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C748 del 2011 de la siguiente manera: "En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la informac ión recogen y divulgan hábitos de pago sin el consentimiento de su titular. La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos "en los procesos informáticos, aunado a la necesidad de que aq uel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática."RESOLUCIÓN NÚMERO 58966 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 21

esenciales para salvaguardar su derecho a la autodeterminación informática."RESOLUCIÓN NÚMERO 58966 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 21

En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (...) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso. Así, desde el artículo 3 se dice que éste debe ser "previo, expreso e informado". Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea "obtenida por cualquier medio que pueda ser objeto de consulta posteriorJ'. Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal. (...) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar

existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal. (...) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su auto rización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma. Además, a pesar de que se presente la autorización, el Responsable y Encar gado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales. Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez, (...)" No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario,

el plazo de su validez, (...)" No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corle en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales. Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal.RESOLUCIÓN NÚMERO 58966 DE 2025

“Por la cual se impone una sanción administrativa”

Página 9 de 21

Elementos del consentimiento: (i) Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifes