SIC - Resolució 81572 de 2025

Página 1 de 16

RESOLUCIÓN NÚMERO 81572 DE 2025

(10 de octubre de 2025)

“Por la cual se impone una sanción administrativa”

Radicado 22-452097

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, los numerales 4 y 5 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO. Que mediante traslado de la denuncia por parte de la SUPERINTENDENCIA FINANCIERA DE COLOMBIA radicado con número 22-4520971 y 22-452097-12 del 16 de noviembre de 2022, 22-452097-23 y 22452097-34 del 24 de noviembre de 2022, en donde el titular XXXXXX XXXXXX XXXX XXXXXX con cédula de ciudadanía N.º XXXXXXXXXX, informó a este Despacho que, presuntamente el día 2 7 de octubre del 2022, la sociedad SECURITY CONSULTING OF AMERICAS LTDA con NIT. 900.023.360-0, había consultado su historia de crédito ante el Operador de Información CIFIN S.A.S., sin contar con una finalidad legítima o la autorización previa, expresa del Titular de la información.

SEGUNDO. Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos

del Titular de la información.

SEGUNDO. Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 20 de marzo del 202 5 se inició la presente investigación administrativa mediante la expedición de la Resolución N.° 13910, por medio de la cual se formuló un cargo a la sociedad SECURITY CONSULTING OF AMERICAS LTDA, con el NIT. 900.023.360-0 por el presunto incumplimiento de las disposiciones contenidas en el numeral 1 del artículo 9° de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma.

TERCERO. Que la Resolución N.º 13910 del 20 de m arzo del 2025 le fue notificada a la investigada mediante aviso N .º 7655 del 1 de abril del 2025, conforme a la certificación expedida por la Secretaria General de esta Superintendencia AD-HOC con número de radicado 22-452097-26 del 4 de abril de 20255.

En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa. Así mismo la referida actuación le fue comunicada al denunciante.

1 Expediente Digital 22-452097, consecutivo número 0, Página 1 a 7. 2 Expediente Digital 22-452097, consecutivo número 1, Página 1 a 7.

denunciante.

1 Expediente Digital 22-452097, consecutivo número 0, Página 1 a 7. 2 Expediente Digital 22-452097, consecutivo número 1, Página 1 a 7. 3 Expediente Digital 22-452097, consecutivo número 2, Página 1 a 7. 4 Expediente Digital 22-452097, consecutivo número 3, Página 1 a 7. 5 Expediente Digital 22-452097. Consecutivo número 28. Página 1.

VERSIÓN PÚBLICA

RESERVADARESOLUCIÓN NÚMERO 81572 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 16

CUARTO. Que vencido el término establecido en Resolución N.º 13910 del 20 de marzo del 2025, se evidencia que la sociedad investigada guardó silencio y no presentó ante este Despacho los respectivos descargos.

QUINTO. Que a través de la Resolución N.º 38146 del 19 de junio del 2025, esta Dirección incorporó las pruebas obrantes en el expediente radicado bajo el número 22-452097, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Las pruebas incorporadas se relacionan a continuación:

5.1. Escrito de petición d e información presentada por el titulara la sociedad investigada.6 5.2. Respuesta a requerimiento realizado por Experian Colombia S.A. radicación 22-452097- -00009-001.7 5.3. Respuesta a requerimiento realizado por SECURITY CONSULTING OF

investigada.6 5.2. Respuesta a requerimiento realizado por Experian Colombia S.A. radicación 22-452097- -00009-001.7 5.3. Respuesta a requerimiento realizado por SECURITY CONSULTING OF AMERICAS LTDA , radicación: 22-452097-00008-001-2023-05-24 11:28:28” de fecha 02 de junio de 2023.8 5.4. Cadena de correos entre el titular. y la sociedad investigada.9 5.5. Respuesta a requerimiento realizado por SECURITY CONSULTING OF AMERICAS LTDA de fecha Radicación “22-452097-00008-001-2023-05 24 11:28:28”, de fecha 2 de junio de 2023.10 5.6. Respuesta de TransUnion allegado el 9 de junio de 2024 con “Asunto: 22 452097- -00010-001”.11 5.7. Resultado consulta información comercial TransUnion.12 5.8. Mensaje de correo electrónico de la investigada con el asunto “Respuesta requerimiento Radicación 2245209-1717-1 – (…)” de fecha 03 de enero de 2024”.13 5.9. Contrato individual de trabajo a término indefinido fechado el 01 de mayo de 2014.14

5.10. Contrato individual de trabajo a término indefinido del 01 de mayo de 2014. 15 5.11. Certificado de existencia y representación Legal de SECURITY CONSULTING OF AMERICAS LTDA de fecha 2 enero de 2024.16 5.12. Respuesta a requerimiento de SECURITY CONSULTING OF AMERICAS LTDA a “Radicación: 2245209 -1717-1” de fecha 29 de diciembre de 2023.17

5.12. Respuesta a requerimiento de SECURITY CONSULTING OF AMERICAS LTDA a “Radicación: 2245209 -1717-1” de fecha 29 de diciembre de 2023.17 5.13. Registro de asistencia capacitación Security Consulting.18 5.14. Manual de funciones controller SECOFA, VIGENCIA 10 de diciembre de 2023.19 5.15. Certificado Curso Auditor de Cumplimiento Lavado de Activos y Financiación del Terrorismo.20 5.16. Certificado Curso Auditor Interno Norma Internacional BASC Versión 5:2017.21 5.17. SECOFA Autorización y Declaración de Tratamiento, y Protección de datos personales del 11 de septiembre de 2020.22

6 Expediente Digital 22-452097. Consecutivo número 0. Página 6. Folios 1 al 3. 7 Expediente Digital 22-452097. Consecutivo número 11. Página 3. Folios 1 y 2. 8 Expediente Digital 22-452097. Consecutivo número 12. Página 2. Folios 1 al 4. 9 Expediente Digital 22-452097. Consecutivo número 13. Página 7. Folios 1 al 27. 10 Expediente Digital 22-452097. Consecutivo número 13. Página 8. Folios 1 al 4. 11 Expediente Digital 22-452097. Consecutivo número 14. Página 3. Folios 1 al 2. 12 Expediente Digital 22-452097. Consecutivo número 14. Página 4. Folios 1 al 5. 13 Expediente Digital 22-452097. Consecutivo número 18. Página 1. 14 Expediente Digital 22-452097. Consecutivo número 18. Página 3. Folios 1 al 8.

13 Expediente Digital 22-452097. Consecutivo número 18. Página 1. 14 Expediente Digital 22-452097. Consecutivo número 18. Página 3. Folios 1 al 8. 15 Expediente Digital 22-452097. Consecutivo número 18. Página 4. Folios 1 al 8. 16 Expediente Digital 22-452097. Consecutivo número 18. Página 5. Folios 1 al 11. 17 Expediente Digital 22-452097. Consecutivo número 18. Página 6. Folios 1 al 6. 18 Expediente Digital 22-452097. Consecutivo número 18. Página 7. Folios 1 al 3. 19 Expediente Digital 22-452097. Consecutivo número 18. Página 8. Folios 1 al 15. 20 Expediente Digital 22-452097. Consecutivo número 18. Página 9. 21 Expediente Digital 22-452097. Consecutivo número 18. Página 10. 22 Expediente Digital 22-452097. Consecutivo número 18. Página 11. Folios 1 y 2.RESOLUCIÓN NÚMERO 81572 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 16

5.18. Acuerdo de confidencialidad vigencia 23 de junio de 2009.23 5.19. Excel EFICACIA CAPACITACIÓN – CONSPIRACIONES INTERNAS.24 5.20. Otrosí al contrato individual de trabajo celebrado entre Security Consulting of Americas Ltda y C A M M.25 5.21. SECOFA - POLÍTICA DE PRIVACIDAD Y USO DE DATOS PERSONALES, vigencia 17 de febrero de 2022.26

5.20. Otrosí al contrato individual de trabajo celebrado entre Security Consulting of Americas Ltda y C A M M.25 5.21. SECOFA - POLÍTICA DE PRIVACIDAD Y USO DE DATOS PERSONALES, vigencia 17 de febrero de 2022.26

5.22. SECOFA – SECURITY “CONSPIRACIONES INTERNAS Y ACTIVIDADES

SOSPECHOSAS.27 5.23. Presentación de INFORMACIÓN SENSIBLE - SECOFA – SECURITY CONSULTING.28 5.24. SECOFA Control solicitud Cifin, del 13 de enero DE 2023.29 5.25. SECOFA “MANEJO PLATAFORMA CIFIN”, vigencia 13 de enero de 2023.30 5.26. SECOFA “Procedimiento debida diligencia asociados de negocio”, vigencia 05 de diciembre de 2022.31 5.27. Acuerdo de confidencialidad entre SECURITY CONSULTING OF AMERICAS LTDA y J H P Á, vigencia 23 de junio de 2009.32

SEXTO. Que la Resolución N.º 38146 del 19 de junio del 2025 le fue comunicada a la sociedad SECURITY CONSULTING OF AMERICAS LTDA conforme a la certificación expedida por la Secretaria General de esta Superintendencia ADHOC con número de radicado 22-452097- -30 del 254 de junio de 2025.33

SÉPTIMO. Que vencido el término establecido en Resolución N.º 38146 del 19 de junio del 2025, se evidencia que la sociedad investigada guardó silencio y no presentó ante este Despacho los respectivos alegatos.

OCTAVO. Competencia de la Superintendencia de Industria y Comercio

de junio del 2025, se evidencia que la sociedad investigada guardó silencio y no presentó ante este Despacho los respectivos alegatos.

OCTAVO. Competencia de la Superintendencia de Industria y Comercio

El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio sobre los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.

NOVENO. Análisis del caso

9.1. Adecuación típica

La Corte Constitucional en Sentencia C -1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio:

“(…) [l]a jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas; (ii)Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que las conductas o comportamientos que constituyen falta administrativa, no tienen por

23 Expediente Digital 22-452097. Consecutivo número 18. Página 12. Folios 1 y 2.

comportamientos que constituyen falta administrativa, no tienen por

23 Expediente Digital 22-452097. Consecutivo número 18. Página 12. Folios 1 y 2. 24 Expediente Digital 22-452097. Consecutivo número 18. Página 13. 25 Expediente Digital 22-452097. Consecutivo número 18. Página 14. 26 Expediente Digital 22-452097. Consecutivo número 18. Página 15. Folios 1 al 11. 27 Expediente Digital 22-452097. Consecutivo número 18. Página 16. Folios 1 al 10. 28 Expediente Digital 22-452097. Consecutivo número 18. Página 17. Folios 1 al 17. 29 Expediente Digital 22-452097. Consecutivo número 18. Página 18. Folios 1 al 41. 30 Expediente Digital 22-452097. Consecutivo número 18. Página 1 9. Folios 1 al 6. 31 Expediente Digital 22-452097. Consecutivo número 18. Página 20. Folios 1 al 7. 32 Expediente Digital 22-452097. Consecutivo número 18. Página 21. Folios 1 al 2. 33 Expediente Digital 22-452097. Consecutivo número 30. Página 1.RESOLUCIÓN NÚMERO 81572 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 16

qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica. En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la

materia penal, permitiendo así una mayor flexibilidad en la adecuación típica. En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable. (…)”.34

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los Usuarios de información respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008.

(ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de el numeral 1 del artículo 9° de la Ley 1266 de 2 008, en concordancia con el artículo 15 de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente.

9.2. Valoración probatoria y conclusiones

9.2.1. Respecto al deber de contar con la autorización del Titular para consultar información crediticia

descargos, así como el conjunto de pruebas allegadas al expediente.

9.2. Valoración probatoria y conclusiones

9.2.1. Respecto al deber de contar con la autorización del Titular para consultar información crediticia

Sea lo primero señalar que el artículo 9 de la Ley 1266 de 2008, establece los deberes de los usuarios de la información en los siguientes términos:

“Artículo 9º. Deberes de los usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán:

1. Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley.

2. Informar a los titulares, a su solicitud, sobre la utilización que le está dando a la información.

3. Conservar con las debidas seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento.

4. Cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la presente ley.

5. Los demás que se deriven de la Constitución o de la presente ley. ”

(Cursiva, negrilla y subrayo fuera de texto)

Por su parte, el artículo 15 de la misma ley enmarca el acceso a la información contenida en bancos de datos de información financiera, crediticia, comercial de

(Cursiva, negrilla y subrayo fuera de texto)

Por su parte, el artículo 15 de la misma ley enmarca el acceso a la información contenida en bancos de datos de información financiera, crediticia, comercial de

34 Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño.RESOLUCIÓN NÚMERO 81572 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 16

servicios y provenientes de terceros países por parte de los usuarios , en los siguientes términos:

“Artículo 15. Acceso a la información por parte de los usuarios. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servidos y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.

Como e lemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas.

Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente.

Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.” (Cursiva, negrilla y subrayo fuera de texto)

A su vez, la misma ley establece los principios que deben regir la aplicación de las disposiciones relacionadas con el tratamiento de datos personales. En el caso

autorización por parte del titular de la información.” (Cursiva, negrilla y subrayo fuera de texto)

A su vez, la misma ley establece los principios que deben regir la aplicación de las disposiciones relacionadas con el tratamiento de datos personales. En el caso que nos ocupa, resulta especialmente relevante el Principio de Finalidad, el cual dispone lo siguiente:

“ARTÍCULO 4°. Principios de la administración de datos. En el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establecen:

(…)

b) Principio de finalidad. La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto;

(…)”

En virtud de lo anterior, se establece que los usuarios que pretendan acceder o consultar la información financiera, crediticia y/o comercial de un Titular deberán contar con una de las finalidades establecidas en la ley o mediando autorización por parte del Titular para su consulta.

Al respecto, la Corte Constitucional en sentencia C 1011 del 2008 ha precisado, en relación con el principio mencionado que:

“(…) De acuerdo con el principio de finalidad, las actividades de acopio, procesamiento y divulgación de la información personal deben obedecer a un fin constitucionalmente legítimo y que, a su vez, debe ser definido de forma clara, suficiente y previa. Esto implica que quede prohibida (i)

procesamiento y divulgación de la información personal deben obedecer a un fin constitucionalmente legítimo y que, a su vez, debe ser definido de forma clara, suficiente y previa. Esto implica que quede prohibida (i) la recopilación de información personal sin que se establezca el objetivo de su incorporación a la base de datos; y (ii) la recolección, procesamiento y divulgación de información personal para un propósito diferente al inicialmente previsto y autorizado por el titular del dato. (…) El principio de circulación restringida implica que las actividades de recolección, procesamiento y divulgación de información personal estén sometidas a los límites específicos determinados por el objeto de la base de datos, por la autorización del titular y por el principio de finalidad. Por lo tanto, queda prohibida la divulgación indiscriminada de datos personales.”RESOLUCIÓN NÚMERO 81572 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 16

En este sentido, la misma Corporación, mediante Sentencia C-282 de 2021, se pronunció sobre el acceso a la información contenida en bases de datos de naturaleza financiera y crediticia, reiterando que dicho acceso requiere, de manera obligatoria, el consentimiento previo, expreso e informado del titular. Asimismo, enfatizó que el tratamiento de esta información debe realizarse exclusivamente para la finalidad específica para la cual fue otorgada dicha autorización, en cumplimiento de los principios de finalidad y legalidad establecidos en la normativa sobre protección de datos personales.

Se destaca el siguiente fragmento de la providencia:

“339. El restringir el objeto con el que se puede utilizar la información contenida en bases de datos de naturaleza financiera, crediticia, no

establecidos en la normativa sobre protección de datos personales.

Se destaca el siguiente fragmento de la providencia:

“339. El restringir el objeto con el que se puede utilizar la información contenida en bases de datos de naturaleza financiera, crediticia, no desconoce la autodeterminación informativa -libertad y finalidad del dato. De conformidad con el principio de libertad, el tratamiento del dato personal solo puede ejercerse ante el consentimiento cualificado de su titular, el cual debe ser previo, expreso e informado, salvo las excepciones ya referidas. De tal manera, el titular del dato debe ser consciente de la finalidad con la que ha autorizado el manejo de su información y de los mecanismos que tiene a su disposición para su conocimiento, actualización y rectificación. Esta prerrogativa, deviene en una expresión de un concepto más amplio reconocido en la jurisprudencia constitucional como: la autodeterminación informativa . En virtud de ella, cada titular debe ser informado sobre el tratamiento que se está dando a su información, en el marco de la autorización personal o legal respectiva. Así las cosas, este derecho conlleva la facultad de “decidir por sí mismo dentro de qué limites se puede revelar situaciones de la vida propia”.

340. Asimismo, de conformidad con el principio de finalidad, el dato del titular debe utilizarse, exclusivamente, para los fines por él consentidos, o para aquellos que fueron autorizados por el ordenamiento legal vigente. De tal manera que “debe ex istir identidad entre los objetivos materia de autorización o mandato legal para el tratamiento y los fines que efectivamente cumpla la gestión del dato personal. Así, en caso de que la finalidad exceda la autorización o la previsión legal supletoria, se e stá ante un abuso del poder

para el tratamiento y los fines que efectivamente cumpla la gestión del dato personal. Así, en caso de que la finalidad exceda la autorización o la previsión legal supletoria, se e stá ante un abuso del poder informático”. 35 (Cursiva y negrilla fuera de texto)

Ahora bien, frente al caso objeto de estudio y el análisis del acervo probatorio, el Titular aduce que la sociedad SECURITY CONSULTING OF AMERICAS LTDA el día 27 de octubre de 2022, sin contar con la respectiva autorización , consultó su información ante los Operadores de Información y allega como evidencia de su denuncia la siguiente imagen:

35 Corte Constitucional, Sentencia C-282 de 2021, M.P: Alejandro Linares Cantillo.RESOLUCIÓN NÚMERO 81572 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 16

Captura de imagen No. 1. Tomada del anexo presentado por el Titular – Derecho de petición de información dirigido a la empresa SECURITY CONSULTING OF AMERICAS LTDA (Expediente Digital 22-452097. Consecutivo número 1. Página 6. Folio 2.)

En consecuencia, la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas requirió información a la sociedad investigada, en el marco de la indagación preliminar, mediante oficio radicado bajo el número 22 -45209700008-001 del 24 de mayo de 2023. En dicho requerimiento se solicitó, entre otros aspectos, la autori zación del titular de la información para consultar su historial crediticio, así como para reportar información ante los operadores de datos.

La sociedad SECURITY CONSULTING OF AMERICAS LTDA respondió el

otros aspectos, la autori zación del titular de la información para consultar su historial crediticio, así como para reportar información ante los operadores de datos.

La sociedad SECURITY CONSULTING OF AMERICAS LTDA respondió el mencionado requerimiento indicando expresamente que, tal como fue informado al titular, no contaba con autorización emitida por parte del señor Héctor Germán Lamo Torres para realizar la consulta de su historial crediticio, ni para efectuar reportes ante los operadores de informac ión. En consecuencia, la sociedad informó que inició una auditoría interna con el fin de esclarecer las razones por las cuales se llevó a cabo dicha consulta sin la debida autorización. Como resultado de dicha auditoría, se concluyó lo siguiente:

“Como re sultado de dicha gestión, se logró advertir que el señor Johan Patarroyo, quien para la fecha de los hechos se desempeñaba como coordinador de poligrafías y estaba autorizado para realizar consultas a través de la plataforma que contrató la empresa para es te fin, cometió un error de digitación al momento de realizar una consulta, la cual arrojó la huella que fue advertida por el ciudadano al momento de revisar el manejo de su información personal.”

Posteriormente, la sociedad informó que realizó un análisis del procedimiento de búsqueda ante el Operador de Información CIFIN S.A.S., con el objetivo de implementar un plan de mejoramiento que permitiera prevenir la ocurrencia de hechos similares en el desarrollo de sus actividades.

Adicionalmente, con el propósito de recaudar elementos probatorios suficientes, la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas, mediante oficios radicados bajo los números 22 -452097-00009-001 y 22Adicionalmente, con el propósito de recaudar elementos probatorios suficientes, la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas, mediante oficios radicados bajo los números 22 -452097-00009-001 y 22452097-00010-001, requirió a los operadores EXPERIAN COLOMBIA S.A. y CIFIN S.A.S, con el fin de confirmar si la sociedad SECURITY CONSULTING OF AMERICAS LTDA había realizado consultas y/o reportes en la historia de crédito del titular durante el mes de octubre de 2022.

En respuesta al requerimiento, EXPERIAN COLOMBIA S.A. mediante comunicación radicada el 2 de junio de l 2023 bajo el número 22-452097- - 00011-0001, indicó:

“Sobre el particular, nos permitimos informar que, la mencionada sociedad NO consulto el historial crediticio del titular.”.

Por su parte, CIFIN S.A.S mediante oficio del 9 de junio de 2023, radicado bajo el número 22-452097-00014-0001, manifestó:

“Le indicamos que desde el (octubre de 2022), la entidad SECURITY CONSULTING OF AMERICAS LTDA, identificada con Nit. 900.023.360, consultó la historia de crédito del titular en mención, el día 27 de octubre de 2022, ante TransUnion®.”

En este sentido, en el marco del principio de finalidad, la sociedad investigada no argumenta haber realizado la consulta de información ante el Operador de Información en cumplimiento de alguna de las finalidades previstas en el artículo 15 de la Ley 1266 de 2008. Por el contrario, se limita a señalar que la situación obedeció a un error de digitación cometido por uno de sus empleados, quien

Información en cumplimiento de alguna de las finalidades previstas en el artículo 15 de la Ley 1266 de 2008. Por el contrario, se limita a señalar que la situación obedeció a un error de digitación cometido por uno de sus empleados, quien dejó de laborar en la empresa el mismo día, en que se advirtió la irregularidad.RESOLUCIÓN NÚMERO 81572 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 16

Adicionalmente, este Despacho no encuentra evidencia de que existiera, al interior de los procesos o procedimientos internos de la sociedad, un protocolo formal que debiera ser seguido por los colabor adores encargados de realizar consultas de información crediticia.

Así se desprende de la respuesta al requerimiento de información formulado por este Despacho, en la cual la sociedad investigada manifestó:

“Habida cuenta la terminación de la relación laboral con el señor Patarroyo, SECURITY CONSULTING OF AMERICAS emprendió el análisis del procedimiento de búsqueda en central CIFIN, con el fin de iniciar un plan de mejoramiento que permitiera prevenir la ocurrencia futura de situaciones similares.”

De conformidad con el análisis de las pruebas que obran en el expediente, y ante la manifestación expresa de la sociedad investigada respecto al hecho cierto de haber efectuado la consulta crediticia del señor XXXXXX XXXXXX XXXX XXXXXX sin contar con su au torización previa, expresa e informada, este Despacho concluye que la sociedad SECURITY CONSULTING OF AMERICAS LTDA. incurrió en una transgresión al deber consagrado en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo dispuesto en el artículo 15 de la misma norma.

LTDA. incurrió en una transgresión al deber consagrado en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo dispuesto en el artículo 15 de la misma norma.

Así las cosas, se configura un incumplimiento por parte de la sociedad investigada del deber legal de contar con la debida autorización del titular de la información, así como de emplear dicha información exclusivamente para los fines previamente informados y autorizados , razón por la cual , se impondrá la sanción administrativa correspondiente.

DÉCIMO: Imposición y graduación de la sanción

10.1 Facultad sancionatoria

La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 36. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 37, 438 y 639 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo40.

36Artículo 18. Sanciones. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comer