Protección de datos personales
SIC ordena cierre definitivo de cuatro apps de crédito por usar datos personales para extorsionar a usuarios en Colombia
SIC ordena cierre de apps de crédito por uso indebido de datos personales en Colombia
La Superintendencia de Industria y Comercio (SIC) ordenó el cierre definitivo de las operaciones de las aplicaciones de crédito POPCASH, EASTBAY, MOVIL CRÉDITO y VIDA LUJA, administradas por la sociedad CONSTRUIR COMUNDO S.A.S. en liquidación, tras concluir que incurrieron en graves irregularidades relacionadas con el tratamiento de datos personales de sus usuarios.
La decisión fue adoptada mediante la Resolución 6717 de 2026, como resultado de una investigación administrativa iniciada en agosto de 2022, en la que se acumularon más de 1.500 denuncias de ciudadanos de distintas regiones del país.
¿Qué encontró la SIC?
De acuerdo con la investigación, estas aplicaciones no solo ofrecían créditos en condiciones cuestionadas por múltiples denunciantes, sino que además habrían implementado mecanismos de cobro abiertamente intimidatorios, utilizando información personal de sus usuarios para ejercer presión sobre ellos.
Según las denuncias recopiladas, el patrón era repetitivo:
- se ofrecían créditos por montos inferiores a los inicialmente aprobados;
- se imponían plazos de pago muy cortos, en algunos casos de apenas siete días;
- se aplicaban intereses calificados por los usuarios como altos;
- y, ante cualquier retraso en el pago, incluso de un solo día, se activaban prácticas de cobro invasivas.
Lo más grave, según estableció la SIC, fue que la empresa aprovechaba los permisos otorgados al instalar la aplicación para acceder al directorio de contactos, fotografías y otra información almacenada en el celular del usuario.
Uso de contactos, fotos y cédulas para presionar pagos
La autoridad de protección de datos encontró que las aplicaciones accedían a la información del dispositivo móvil y posteriormente enviaban mensajes por WhatsApp a personas del entorno social, familiar o laboral del deudor.
En varios casos denunciados, estos mensajes incluían:
- fotografías del usuario;
- imágenes editadas de la cédula de ciudadanía;
- capturas de pantalla de contactos recientes;
- y textos humillantes o intimidatorios, en los que se presentaba a la persona como “mala paga” o se insinuaba la comisión de fraude o evasión de obligaciones.
Esta práctica, además de afectar la intimidad y la honra de los usuarios, alcanzaba a terceros que nunca tuvieron relación alguna con la aplicación ni con el crédito otorgado.
Una de las denuncias recogidas en el expediente señaló que la afectada recibió un mensaje con una foto editada de su documento de identidad, una selfie y referencias a sus contactos, acompañadas de mensajes denigrantes destinados a presionarla públicamente.
Infracciones a la Ley 1581 de 2012
La SIC concluyó que existieron infracciones graves al régimen de protección de datos personales en Colombia, especialmente a la Ley 1581 de 2012.
Entre los principales hallazgos, la autoridad destacó:
1. Tratamiento inadecuado de datos sensibles
Se evidenció el uso de fotografías de los denunciantes y otros datos de carácter sensible o semiprivado, sin contar con una autorización previa, expresa e informada para esa finalidad.
2. Falta de información sobre la finalidad real del tratamiento
Los usuarios no habrían sido informados de forma clara sobre el uso real que se daría a sus datos personales, especialmente sobre el acceso a sus contactos, imágenes y otra información contenida en sus dispositivos.
3. Desconocimiento de los derechos de los titulares
La empresa tampoco informó adecuadamente a los titulares sobre sus derechos a:
- Conocer sus datos;
- Actualizarlos;
- Rectificarlos;
- Solicitar su supresión;
- Y revocar la autorización otorgada.
4. Incumplimiento frente a la autoridad
La SIC señaló además que las respuestas de la sociedad investigada fueron evasivas, dilatorias e injustificadas, incumpliendo su deber legal de colaborar con la autoridad de control.
Relación entre la empresa y las aplicaciones investigadas
Dentro del expediente, la relación entre CONSTRUIR COMUNDO S.A.S. y las cuatro aplicaciones fue confirmada por la Fiscalía General de la Nación, en respuesta a un requerimiento elevado por la SIC durante el curso de la investigación.
Este elemento fue determinante para vincular formalmente a la sociedad con la administración de las plataformas digitales involucradas.
¿Por qué la SIC impuso cierre definitivo?
La Directora de Investigaciones de Protección de Datos Personales concluyó que la medida procedente era el cierre inmediato y definitivo de todas las operaciones que involucraran tratamiento de datos sensibles.
Aunque la gravedad de la conducta permitía imponer también una multa de hasta 2.000 salarios mínimos legales mensuales vigentes, la SIC tuvo en cuenta que la empresa se encontraba en proceso de liquidación judicial desde septiembre de 2022, lo que hacía ineficaz, en la práctica, el cobro de una sanción económica.
Impacto de la decisión para la protección de datos personales
Esta decisión tiene especial relevancia para el debate sobre protección de datos personales en Colombia, porque ratifica que el acceso a la información contenida en un teléfono móvil no puede convertirse en una herramienta de presión, humillación o cobro extrajudicial.
La resolución también refuerza una idea central: el derecho a la protección de datos personales no es un asunto menor ni meramente formal, sino una garantía ligada directamente a otros derechos fundamentales como:
- La intimidad;
- La dignidad humana;
- El buen nombre;
- La honra;
- Y la autodeterminación informativa.
Cuando una empresa usa datos personales para intimidar, exponer o presionar indebidamente a una persona, no solo incumple la ley: compromete seriamente derechos fundamentales.
Recomendaciones de la SIC para los ciudadanos
Frente a este tipo de aplicaciones, la SIC recordó a los usuarios la importancia de adoptar medidas preventivas antes de instalar plataformas de crédito o servicios financieros digitales.
Entre las recomendaciones más relevantes se encuentran:
- revisar cuidadosamente los permisos que solicita la aplicación;
- desconfiar si exige acceso a contactos, galería de fotos, micrófono, ubicación u otros datos que no parecen necesarios para el servicio;
- leer la política de tratamiento de datos personales antes de aceptar;
- evitar compartir información sensible sin garantías claras de seguridad;
- mantener actualizado el dispositivo móvil;
- y estar alerta frente a cualquier práctica de amenaza, exposición o uso indebido de información personal.
La entidad recordó además que todo titular de datos personales tiene derecho a:
- Conocer qué información se recolecta;
- Solicitar su actualización o corrección;
- Revocar la autorización;
- Y reclamar frente a tratamientos irregulares, salvo que exista un deber legal o contractual que justifique su conservación.
El caso evidencia cómo algunas plataformas tecnológicas pueden convertir el acceso a datos personales en un mecanismo de abuso cuando no existen límites claros, transparencia ni respeto por la ley.
También demuestra que, en el entorno digital, el consentimiento no puede interpretarse como una autorización ilimitada. Que una persona instale una aplicación no significa que renuncie a su intimidad ni que autorice el uso de su información para fines intimidatorios o contrarios a la ley.
La protección de datos personales exige que todo tratamiento sea:
- Previo,
- Expreso,
- Informado,
- Proporcional,
- Y ajustado a finalidades legítimas.
La orden de cierre definitivo contra POPCASH, EASTBAY, MOVIL CRÉDITO y VIDA LUJA marca un precedente importante en Colombia frente a las aplicaciones que usan de manera abusiva la información personal de sus usuarios.
La decisión de la SIC recuerda que los datos personales no pueden ser usados como arma de presión ni como mecanismo de cobro. En un entorno cada vez más digital, este tipo de actuaciones refuerzan la necesidad de exigir mayor responsabilidad a las plataformas tecnológicas y más cuidado por parte de los ciudadanos al momento de autorizar el acceso a su información.
Si aún no has tomado las medidas necesarias para cumplir con la ley de protección de datos personales, o si ya lo hiciste, pero no sabes cuáles son sus ventajas; te damos 5 beneficios directos al cumplir con la Ley 1581 de 2012 y demás decretos reglamentarios relacionados con la protección de datos Personales.
JAVIER ANDRES RODRIGUEZ GOMEZ
