SIC - Resolución 14109 de 2025

Página 1 de 21

RESOLUCIÓN NÚMERO 14109 DE 2025

(21 de marzo de 2025)

“Por la cual se archiva una investigación administrativa”

Radicación 21-95730

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: La Dirección de Investigación de Protección de Datos Personales, en ejercicio de su función de vigilancia para garantizar que el tratamiento de datos personales se realice en cumplimiento de los principios, derechos, garantías y procedimientos previstos en el Régimen de Protección de Datos Personales, de conformidad con lo dispuesto en el artículo 19 de la Ley 1581 de 2012, y en desarrollo de su función de administración del Registro Nacional de Bases de Datos (RNBD), consagrada en el literal h) del artículo 21 de la citada ley y en el numeral 7 del artículo 17 del Decreto 4886 de 2011, advirtió que la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC, identificada con NIT 900.047.8748, efectuó el registro de sus bases de datos en el RNBD, en cumplimiento de lo dispuesto en el artículo 25 de la Ley 1581 de 2012 y su decreto reglamentario 1074 de 2015. No obstante, en el marco de dicho proceso, la sociedad manifestó

dispuesto en el artículo 25 de la Ley 1581 de 2012 y su decreto reglamentario 1074 de 2015. No obstante, en el marco de dicho proceso, la sociedad manifestó no haber implementado medida alguna de seguridad para la protección de los datos personales, pues en el cuestionario relativo a la “Seguridad de la Información”, incorporado en el formulario del RNBD, indicó que NO había adoptado ninguna de las medidas requeridas respecto de seis (6) bases de datos inscritas.

SEGUNDO: Que mediante la Resolución N.° 15394 del 19 marzo de 2021, la Superintendencia de Industria y Comercio con el fin de proteger el régimen general del tratamiento de datos personales resolvió lo siguiente:

“ARTÍCULO PRIMERO: ORDENAR a la sociedad GRUPO AFIN FARMACEUTICA S.A.S. BIC que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.”1

1 Resolución N.° 15394 del 19 marzo de 2021. Folio 3.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 14109 DE 2025

“Por la cual se archiva una investigación administrativa”

Página 2 de 21

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 14109 DE 2025

“Por la cual se archiva una investigación administrativa”

Página 2 de 21

TERCERO: Que la Sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC, tenía la obligación de acreditar el cumplimiento de las órdenes dadas en la Resolución N.° 15394 del 19 marzo de 2021, remitiendo a esta Superintendencia una certificación suscrita por el Representante Legal de la sociedad que acreditara que se habían implementado las medidas ordenadas como se indicó en el

parágrafo del artículo segundo así:

“ARTÍCULO SEGUNDO: La sociedad GRUPO AFIN FARMACEUTICA S.A.S. BIC deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas” 2

CUARTO: Que a septiembre de 2022 la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC, identificada con número de Nit. 900.047.8748 no ha bía remitido a esta Superintendencia la certificación suscrita por su representante legal que acreditara la implementación de las órdenes impartidas.

QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales , el 19 de octubre de 2022 se inició la

QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales , el 19 de octubre de 2022 se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 72785 por medio de la cual, se formuló cargos en contra de la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC , con Nit. 900.047.8748, por la presunta infracción de lo dispuesto en literal o) del artícul o 17 de la Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención.

SEXTO: Que, la Resolución N.° 72785 de 19 de octubre de 2022 le fue notificada a la investigada mediante aviso N.° 28749 el día 31 de octubre de 2022 ; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.° 21-95730- -14 de fecha de 31 de octubre de 2022.

SÉPTIMO: Que dentro del término otorgado, la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC presentó escrito de descargos el 22 de noviembre de 2022 bajo radicado N.° 21-95730- -15 indicando:

Primero, la sociedad afirma que realizó la inscripción en el REGISTRO NACIONAL DE BASES DE DATOS entre el 13 de enero de 2017 y el 20 de febrero de 2018, anticipándose en má s de 6 meses, a la fecha límite establecida en el artículo

DE BASES DE DATOS entre el 13 de enero de 2017 y el 20 de febrero de 2018, anticipándose en má s de 6 meses, a la fecha límite establecida en el artículo 2.2.2.26.3.1. del Decreto 1074 de 2015 3. Frente a esto, aclara que aunque contrató a una firma de abogados para realizar el registro, debido a un error por parte de la empresa contratada, en el capítulo 6 de “Medidas de seguridad de la información” se registraron solo algunos campos4.

Segundo, la sociedad señala que “en marzo de 2021 y marzo de 2022 se realizó la actualización de las bases de datos registradas por GRUPO AFÍN, modificándose los ítems no marcados en la inscripción inicial, (…) ya que algunas medidas se venían implementando de tiempo atrás ”5. Al respecto, sociedad sostiene que:

“la Empresa viene cumpliendo a cabalidad con varias medidas de protección de los datos personales, como son:

2 Resolución N.° 15394 del 19 marzo de 2021. Folio 3. 3 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folio 1. 4 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folio 2. 5 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folio 2.RESOLUCIÓN NÚMERO 14109 DE 2025

“Por la cual se archiva una investigación administrativa”

Página 3 de 21

a) Capacitaciones frecuentes al personal, en relación con el tratamiento de datos, para lo cual se presenta constancia de asistencia a capacitación del día 15 de

“Por la cual se archiva una investigación administrativa”

Página 3 de 21

a) Capacitaciones frecuentes al personal, en relación con el tratamiento de datos, para lo cual se presenta constancia de asistencia a capacitación del día 15 de octubre de 2019 y 24 de marzo de 2021, de las cuales se aporta soporte de asistencia, constancias de evaluación de conocimientos para medir la eficacia y presentación utilizada en uno de los encuentros.

b) Política de Tratamiento Datos emitida y publicada desde el 19 de octubre de 2016, conforme se desprende del capítulo de disposiciones finales, vigencia, de la política presentada como documento inicial para el registro de las bases de datos, el cual también se presenta como prueba.

c) Se contaba desde el mes de mayo de 2016 y noviembre de 2017 con documentos guía para la autorización en el tratamiento de datos por parte de los clientes y, con el modelo de contrato de transferencia de datos con terceros, respectivamente, los cuales se aportan como documento para ser tenido en cuenta como prueba en la presente investigación.

d) Todos los contratos suscritos con clientes cuentan con cláusulas asociadas al manejo de datos personales entre las partes,(…).

e) Se han suscrito hasta la fecha 8 acuerdos de transmisión de datos, con empresas logísticas a quienes se les debe remitir información de los clientes para la gestión de envío de los medicamentos contratados,(…)

f) Todos nuestros colaboradores suscriben acuerdos de confidencialidad desde el inicio de la relación laboral, con lo cual se busca proteger los datos de cualquier fuga o manejo inadecuado de la información. A su vez, requerimos de la autorización para el manejo de sus datos en calidad de empleado s, acorde a

inicio de la relación laboral, con lo cual se busca proteger los datos de cualquier fuga o manejo inadecuado de la información. A su vez, requerimos de la autorización para el manejo de sus datos en calidad de empleado s, acorde a las finalidades definidas en la Política de Tratamiento y Protección de Datos. Se presenta como prueba de lo dicho, el modelo de acuerdo de confidencialidad de empleados y contratistas cuya versión se registra desde octubre de 2018.

g) Para la autorización del tratamiento de datos por parte de los pacientes, en los casos en que la misma se da por teléfono, conservamos en nuestro software dichas autorizaciones y, validamos mediante auditorías aleatorias, que se haya otorgado la autorización conforme a los protocolos definidos.

h) GRUPO AFÍN cuenta en la actualidad con una plataforma de COMPLIANCE CORPORATIVO, gestionado desde un software propio, desarrollado a la medida y acorde a los requerimientos de ley; que nos permite recolectar en una plataforma segura, toda la información de clientes, proveedores, acreedores, contratistas y accionistas y, conservar allí las autorizaciones que dichos grupos de interés emiten en relación con el tratamiento y protección de sus datos. (…)

1. Se cuenta con Manuales aplicables a la operación del día de día desde el componente de Seguridad de la Información, como son: i) GTI-MA-04 Manual para la continuidad del negocio. ii) GTI-MA-02 Manual de gestión de control de acceso a las plataformas. iii) GTI-MA-04 Manual para los backup y restauración de la información. iv) GTI -MA-01 Manual para el manejo del internet empresarial. v) GTI-MA-05 Manual de clasificación y manejo de la información; todos los cuales se aportan como documentos probatorios dentro del proceso.”6

de la información. iv) GTI -MA-01 Manual para el manejo del internet empresarial. v) GTI-MA-05 Manual de clasificación y manejo de la información; todos los cuales se aportan como documentos probatorios dentro del proceso.”6

Tercero, la sociedad argumenta que no puede entenderse como una NEGATIVA a la implementación de las medidas de seguridad, el hecho de no haber marcado algunas de las opciones establecidas en el formulario toda vez que en el Manual de Usuario del Registro Nacional de Bases de Datos – RNBD, versión 6, se visualiza como OPCIONAL el marcar las medidas de seguridad implementadas , al indicar la palabra PODRÁ7:

(ESPACIO EN BLANCO)

6 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folios 2 a 5. 7 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folios 5 a 6.RESOLUCIÓN NÚMERO 14109 DE 2025

“Por la cual se archiva una investigación administrativa”

Página 4 de 21

Además, la sociedad asegura que si marcó algunos de los puntos de seguridad de la información y pide que se tengan como pruebas los registros realizados en los años 2017 y 20188.

Cuarto, la sociedad reconoce que “hubo una omisión en el reporte de algunas medidas de seguridad para el manejo de la información, (…) al momento de realizar el registro, por una interpretación del requerimiento o por desconocimiento, se ignoraron estas medidas y no fuer on registradas en la plataforma”9.

Quinto, respecto de la certificación de cumplimiento la sociedad también reconoce que “ES CIERTO que GRUPO AFÍN no envió ningún certificado, ya que

desconocimiento, se ignoraron estas medidas y no fuer on registradas en la plataforma”9.

Quinto, respecto de la certificación de cumplimiento la sociedad también reconoce que “ES CIERTO que GRUPO AFÍN no envió ningún certificado, ya que al parecer la resolución se traspapeló o no llegó a quien debía llegar, lo cual podría justificarse en el hecho de que para la época, el trabajo de la mayoría de empleados de GRUPO AFÍN se realizaba desde casa, atendiendo a la emergencia por la pandemia de Covid -19, lo que pudo incidir para que la comunicación no llegara o si llegó, no se gestionara por la persona que debía darle trámite” 10.

Sexto, la sociedad hace alusión a la caducidad de la facultad sancionatoria y solicita que en caso de que se imponga una multa se tengan presentes los criterios para graduar las sanciones, establecidos en el artículo 24 de la ley 1581 de 201211.

Para finalizar la sociedad solicita que “establecer que a) no existió una infracción a las normas de protección de datos y a la Ley 1581 de 2012 y demás legislación aplicable, y b) establecer que NO hay lugar a imponer ninguna sanción, dados los motivos indicados.” 12

OCTAVO: Que mediante Resolución N.° 33978 de 27 de junio de 2024, este Despacho procedió a incorporar las siguientes pruebas obrantes en el expediente digital con radicado 21-95730, con el valor probatorio correspondiente:

8.1. Resolución N.° 15394 del 19 de marzo de 2021, “Por la cual se imparten órdenes dentro de una actuación administrativa”.

digital con radicado 21-95730, con el valor probatorio correspondiente:

8.1. Resolución N.° 15394 del 19 de marzo de 2021, “Por la cual se imparten órdenes dentro de una actuación administrativa”.

8.2. Certificación emitida por la Secretaria General Ad -Hoc de la Superintendencia de Industria y Comercio de fecha de 13 de abril de 2021; obrante en el consecutivo número 8.

8 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folio 6. 9 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folio 7. 10 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folio 7. 11 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folio 8. 12 Expediente digital 21-95730. Consecutivo número 15. Página 2. Folio 8.RESOLUCIÓN NÚMERO 14109 DE 2025

“Por la cual se archiva una investigación administrativa”

Página 5 de 21

8.3. Escrito de descargos remitido por la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC, el día 22 de noviembre de 2022; obrante en el consecutivo número 15, junto con el cual se allegaron los siguientes anexos:

8.3.1. Cuatro soportes de evaluación de la eficacia de la capacitación de Tratamiento y Protección de Datos, realizada en el mes de octubre de 2019; obrantes en el consecutivo número 15, página 3.

8.3.2. Certificado laboral emitido por la Revisoría Fiscal donde se indica

Tratamiento y Protección de Datos, realizada en el mes de octubre de 2019; obrantes en el consecutivo número 15, página 3.

8.3.2. Certificado laboral emitido por la Revisoría Fiscal donde se indica quien actúa como Oficial de Cumplimiento para Tratamiento y Protección de Datos; obrante en el consecutivo número 15, página 4.

8.3.3. Copia de la tarjeta profesional de la Revisora Fiscal; obrante en el consecutivo número 15, página 5.

8.3.4. Documento contentivo de la descripción del cargo de Gerente administrativo; obrante en el consecutivo número 15, página 6.

8.3.5. Versión 1 de la Política para el Tratamiento de Datos vigente desde el 19 de octubre de 2016; obrante en el consecutivo número 15, página 7.

8.3.6. Tabulación de los resultados de la evaluación de la capacitación “TRATAMIENTO Y PROTECCIÓN DE DATOS ”; obrante en el consecutivo número 15, página 8.

8.3.7. Constancia de asistencia a capacitación virtual “Confidencialidad de la información y calidad del dato ”, realizada el 24 de marzo de 2021; obrante en el consecutivo número 15, página 9.

8.3.8. PDF de la capacitación “Gestión de Datos” realizada el 24 de marzo de 2021; obrante en el consecutivo número 15, página 10.

8.3.9. Constancia de radicación de las bases de datos ante la SIC de fecha de 13 de enero de 2017; obrante en el consecutivo número 15, página 11.

8.3.9. Constancia de radicación de las bases de datos ante la SIC de fecha de 13 de enero de 2017; obrante en el consecutivo número 15, página 11.

8.3.10. Modelo de contrato de transferencia de datos con terceros; obrante en el consecutivo número 15, página 12.

8.3.11. Formato “ Autorización de clientes - Política para Tratamiento y Protección de Datos”; obrante en el consecutivo número 15, página 13.

8.3.12. Estados financieros de la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC de los años 2018-2019, 2019 -2020 y 2020 -2021; obrantes en el consecutivo número 15, páginas 14, 15 y 16.

8.3.13. Certificado de existencia y representación legal de la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC ; obrante en el consecutivo número 15, página 17.

8.3.14. Modelo de acuerdo de confidencialidad aplicable a empleados y contratistas; obrante en el consecutivo número 15, página 18.

8.3.15. Formato de declaraciones y autorizaciones para clientes, proveedores, acreedores, contratistas y accionistas; obrante en el consecutivo número 15, página 19.RESOLUCIÓN NÚMERO 14109 DE 2025

“Por la cual se archiva una investigación administrativa”

Página 6 de 21

8.3.16. GTI-MA-04 Manual para la continuidad de negocio de TI; obrante en el consecutivo número 15, página 20.

“Por la cual se archiva una investigación administrativa”

Página 6 de 21

8.3.16. GTI-MA-04 Manual para la continuidad de negocio de TI; obrante en el consecutivo número 15, página 20.

8.3.17. GTI-MA-02 Manual de gestión de control de acceso a las plataformas informáticas; obrante en el consecutivo número 15, página 21.

8.3.18. GTI-MA-04 Manual para los backup y restauración de la información; obrante en el consecutivo número 15, página 22.

8.3.19. GTI-MA-01 Manual para el manejo del internet empresarial; obrante en el consecutivo número 15, página 23.

8.3.20. GTI-MA-05 Manual de clasificación y manejo de la información; obrante en el consecutivo número 15, página 24.

8.3.21. Soporte de asistencia a la capacitación presencial sobre Tratamiento y Protección de Datos realizada el 15 de octubre de 2019; obrante en el consecutivo número 15, página 25.

Además, este Despacho con el fin de tener mayores eleme ntos de juicio para evaluar la presente investigación procedió a decretar de oficio la práctica de la siguiente prueba:

• Allegar al expediente, el informe y/o detalle del estado actual del registro efectuado en el RNBD por parte de la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC , en el cual se indique entre otras cosas lo

siguiente:

• Fecha del registro • Las medidas de seguridad implementadas por el responsable de información y reportadas en el registro.

FARMACÉUTICA S.A.S. BIC , en el cual se indique entre otras cosas lo siguiente:

• Fecha del registro • Las medidas de seguridad implementadas por el responsable de información y reportadas en el registro.

NOVENO: Que, la Resolución N.° 33978 de 27 de junio de 2024 le fue comunicada el día 28 de junio de 2024 al Representante Legal de la sociedad investigada; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 21-95730- -19 de fecha de 4 de julio de 2024.

DÉCIMO: Que la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC allegó escrito el 11 de julio de 2024 bajo radicado 21-95730- -20, y aportó los

siguientes documentos:

10.1. Versión N.° 04 de la Política para el Tratamiento y Protección de Datos de la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC.13

10.2. Versión N.°2 del Formato “ Autorización para Usuarios - Política para Tratamiento de Datos Ley 1581 de 2012”.14

10.3. Grabación del contestador de pacientes de GRUPO AFÍN.15

10.4. Guión para llamadas a pacientes y tratamiento de datos.16

10.5. Versión N.°2 del Formato de “autorización para tratamiento de datos personales en procesos de selección de talento humano”.17

10.6. Aviso de cámaras de videovigilancia.18

10.5. Versión N.°2 del Formato de “autorización para tratamiento de datos personales en procesos de selección de talento humano”.17

10.6. Aviso de cámaras de videovigilancia.18

13 Expediente digital 21-95730. Consecutivo número 20. Página 2. 14 Expediente digital 21-95730. Consecutivo número 20. Página 3 15 Expediente digital 21-95730. Consecutivo número 20. Página 4 16 Expediente digital 21-95730. Consecutivo número 20. Página 5 17 Expediente digital 21-95730. Consecutivo número 20. Página 6 18 Expediente digital 21-95730. Consecutivo número 20. Página 7RESOLUCIÓN NÚMERO 14109 DE 2025

“Por la cual se archiva una investigación administrativa”

Página 7 de 21

10.7. Formato de remisión de entrega de medicamentos. 19

10.8. Campaña sobre la Política de Tratamiento de Datos. 20

10.9. Formato de contrato de trabajo a término indefinido. 21

10.10. Formato de contrato de suministro de medicamentos. 22

10.11. Captura del chatBot para pacientes. 23

10.12. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8671- -4. 24

10.13. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8668- -4. 25

10.14. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024,

10.13. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8668- -4. 25

10.14. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8662- -5. 26

10.15. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8653- -5. 27

10.16. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-11643- -7. 28

10.17. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-11931- -6. 29

10.18. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8645- -4. 30

10.19. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8637- -5. 31

10.20. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 21-137864- -5. 32

10.21. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 21-138579- -3. 33

10.22. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8624- -5. 34

10.23. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024,

10.22. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8624- -5. 34

10.23. Constancia de radicación en el RNBD de fecha de 4 de marzo de 2024, radicado 17-8620- -6. 35

10.24. Escrito donde la sociedad informa que realizó el registro de todas sus bases de datos el 4 de marzo de 2024. 36

19 Expediente digital 21-95730. Consecutivo número 20. Página 8. 20 Expediente digital 21-95730. Consecutivo número 20. Página 9. 21 Expediente digital 21-95730. Consecutivo número 20. Página 10. 22 Expediente digital 21-95730. Consecutivo número 20. Página 11. 23 Expediente digital 21-95730. Consecutivo número 20. Página 12. 24 Expediente digital 21-95730. Consecutivo número 20. Página 13. 25 Expediente digital 21-95730. Consecutivo número 20. Página 14. 26 Expediente digital 21-95730. Consecutivo número 20. Página 15. 27 Expediente digital 21-95730. Consecutivo número 20. Página 16. 28 Expediente digital 21-95730. Consecutivo número 20. Página 17. 29 Expediente digital 21-95730. Consecutivo número 20. Página 18. 30 Expediente digital 21-95730. Consecutivo número 20. Página 19. 31 Expediente digital 21-95730. Consecutivo número 20. Página 20. 32 Expediente digital 21-95730. Consecutivo número 20. Página 21. 33 Expediente digital 21-95730. Consecutivo número 20. Página 22.

31 Expediente digital 21-95730. Consecutivo número 20. Página 20. 32 Expediente digital 21-95730. Consecutivo número 20. Página 21. 33 Expediente digital 21-95730. Consecutivo número 20. Página 22. 34 Expediente digital 21-95730. Consecutivo número 20. Página 23. 35 Expediente digital 21-95730. Consecutivo número 20. Página 24. 36 Expediente digital 21-95730. Consecutivo número 20. Página 25.RESOLUCIÓN NÚMERO 14109 DE 2025

“Por la cual se archiva una investigación administrativa”

Página 8 de 21

DÉCIMO PRIMERO: Que mediante escrito radicado bajo N.° 21-95730- -21 de fecha de 14 de agosto de 2024 este Despacho allegó la prueba decretada de oficio en la Resolución N.° 33978 de 27 de junio de 2024.

DÉCIMO SEGUNDO: Que mediante oficio de N.° 21-95730- -22 de fecha de 20 de agosto de 2024 este Despacho corrió traslado a la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S. BIC para que presentara si lo consideraba necesario los alegatos de conclusión.

DÉCIMO TERCERO: Que la Directora Jurídica de la empresa TRAYEXI S.A.S., presentó derecho de petición el 26 de agosto de 2024 solicitando acceso al expediente digital.

DÉCIMO CUARTO: Que la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S.

BIC presentó escrito de alegatos de conclusión el 29 de agosto de 2024 bajo

expediente digital.

DÉCIMO CUARTO: Que la sociedad GRUPO AFÍN FARMACÉUTICA S.A.S.

BIC presentó escrito de alegatos de conclusión el 29 de agosto de 2024 bajo radicado N.° 21-95730- -24, reiterando lo indicado en el escrito de descargos.

DÉCIMO QUINTO: Que mediante oficio N.° 21-95730- -25 de fecha de 5 de septiembre de 2024 este Despacho dio respuesta al derecho de petición presentado por la Directora Jurídica de la empresa TRAYEXI S.A.S.

DÉCIMO SEXTO: Que mediante oficio N.° 21-95730- -26 de fecha de 5 de septiembre de 2024 este Despacho remitió comunicación a la sociedad GRUPO

AFÍN FARMACÉUTICA S.A.S.

DÉCIMO SÉPTIMO: Competencia de la Superintendencia de Industria y

Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO OCTAVO: Análisis del caso

18.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 37, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida

siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)”

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en literal o) del artículo 17 de la

37 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 14109 DE 2025

“Por la cual se archiva una investigación administrativa”

Página 9 de 21

Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la

“Por la cual se archiva una investigación administrativa”

Página 9 de 21

Ley 1581 de 2012, en concordancia con el literal h) del artículo 21 de la norma en mención.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el conjunto de pruebas obrantes en el expediente.

18.2 Valoración probatoria

18.2.1. Respecto del deber de cumplir con las instrucciones que imparta la autoridad de control

Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente:

“Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.”

Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente:

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

(…)

h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento;”

En esta medida, es claro que los Responsables deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

En el caso objeto de estudio, la Dirección de Investigación de Protección de Datos

En esta medida, es claro que los Responsables deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

En el caso objeto de estudio, la Dirección de Investigación de Protección de Datos Personales mediante Resolución N.° 15394 del 19 mar