SIC - Resolución 16277 de 2026

Página 1 de 14

RESOLUCIÓN NÚMERO 16277 DE 2026

(06 de marzo de 2026)

“Por la cual se impone una sanción administrativa”

Radicado 24-201787

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que el 12 de septiembre de 2023, el proveedor de servicios de telecomunicaciones IFX NETWORKS COLOMBIA S.A.S. (o en adelante “IFX”), identificado con NIT. 830.058.677-7, sufrió un ataque de ciberseguridad externo tipo ransomware que presuntamente comprometió los servicios de tecnologías de la información y las comunicaciones que presta como proveedor de telecomunicaciones. Con ocasi ón al ataque descrito, la sociedad SOFTMAT SERVICES S.A.S BIC , identificada con NIT. 901.111.352 -2, pudo verse afectada.

SEGUNDO: Que, mediante Resolución No. 69319 del 10 de septiembre de 2025, esta Dirección decidió iniciar la presente investigación administrativa y formular cargos en contra de la sociedad SOFTMAT SERVICES S.A.S BIC, identificada con NIT. 901.111.352-2, por la presunta infracción al Régimen de Protección de Datos Personales, particularmente a las disposiciones previstas en:

cargos en contra de la sociedad SOFTMAT SERVICES S.A.S BIC, identificada con NIT. 901.111.352-2, por la presunta infracción al Régimen de Protección de Datos Personales, particularmente a las disposiciones previstas en:

• El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 ejúsdem; y

• El literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma ley.

TERCERO: Que, l a mencionada resolución le fue notificada a la sociedad investigada mediante aviso No. 29422 del 19 de septiembre de 2025 , de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 24-201787-12 del 22 de septiembre de 2025, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

CUARTO: Que, la sociedad investigada, en esta oportunidad procesal, se abstuvo de presentar descargos.

QUINTO: Que, mediante Resolución No. 95093 del 19 de noviembre de 2025, se incorporaron las pruebas allegadas a la presente investigación administrativa, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión.

SEXTO: Que, la mencionada resolución le fue comunicada a la sociedad investigada el 19 de noviembre de 2025, de conformidad con la certificación del

que presentara alegatos de conclusión.

SEXTO: Que, la mencionada resolución le fue comunicada a la sociedad investigada el 19 de noviembre de 2025, de conformidad con la certificación del 20 de noviembre de 2025 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 24-201787-16.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 16277 DE 2026

“Por la cual se impone una sanción administrativa”

Página 2 de 14

SÉPTIMO: Que la sociedad investigada se abstuvo de presentar alegatos de conclusión.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada ley.

NOVENO: Análisis del caso

9.1. Adecuación típica

La Corte Constitucional mediante sentencia C-748 de 2011, estableció́ lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan

medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”1.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

1. El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará́ lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de

2012.

1. De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la

posible vulneración a lo consagrado en:

• El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 ejúsdem; y

• El literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma ley.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará́ lugar o no a la imposición de una sanción, para lo cual se deberá́ tener en cuenta el conjunto de pruebas que obran en el expediente.

9.2. Valoración probatoria y conclusiones

9.2.1. Del deber de cumplir con las instrucciones y requerimientos que

para lo cual se deberá́ tener en cuenta el conjunto de pruebas que obran en el expediente.

9.2. Valoración probatoria y conclusiones

9.2.1. Del deber de cumplir con las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio

El literal o) del artículo 17 de la Ley 1581 de 2012 dispone lo siguiente:

“ARTÍCULO 17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

1 Corte Constitucional. Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011.

Expediente PE-032.RESOLUCIÓN NÚMERO 16277 DE 2026

“Por la cual se impone una sanción administrativa”

Página 3 de 14

(…)

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.”

A su turno, el literal f) del artículo 21 del cuerpo normativo en cita señalan que:

“ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

(…)

f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

(…)”.

Con la expedición del Decreto 4886 del 2011, modificado por el Decreto 92 de 2022, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data,

sus funciones.

(…)”.

Con la expedición del Decreto 4886 del 2011, modificado por el Decreto 92 de 2022, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución . Para el caso particular, la protección está amparada en la Ley 1581 de 2012, la cual establece que la protección será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

Asimismo, esta Superintendencia, a través de esta Dirección de Investigación de Protección de Datos Personales, ejercerá la vigilancia de las funciones de los Responsables y Encargados y podrá ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así se determine dentro de la investigación.

De hecho, no debe perderse de vista que la Ley 1581 de 2012 junto con la Ley 1266 de 2008 se expidieron para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, estas leyes desarrollan el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.

Igualmente, importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer

la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

La Corte Constitucional ha establecido que con el propósito de proteger efectivamente el derecho fundamental al habeas data o autodeterminación informática es imperioso asegurar la observancia del principio de autoridad independiente, conforme al cual: “(…) la adopción de una normatividad sólo es efectiva si se garantiza que dentro de la estructura del Estado exista un órgano encargado de garantizar el respeto de los principios (…)”.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable delRESOLUCIÓN NÚMERO 16277 DE 2026

“Por la cual se impone una sanción administrativa”

Página 4 de 14

Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial

Página 4 de 14

Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargo en contra de la sociedad investigada, mediante Resolución No. 69319 del 10 de septiembre de 2025, al considerar que:

“En el caso objeto de estudio, la Dirección de Investigación de Datos Personales, mediante oficio con número de radicado 24-201787-5 del 21 de mayo de 2025, requirió a la sociedad SOFTMAT SERVICES S.A.S BIC. con NIT. 901.111.3522, lo siguiente:

1. Tenía contratado Servicios de Red con la sociedad

Si señaló “SI” en la respuesta anterior, Aporte copia del contrato firmado con el proveedor IFX NETWORKS COLOMBIA S.A.S ., así como sus anexos relacionados con seguridad de información y protección de datos personales.

2. Tenía contratado Servicios de nube con la sociedad

Si señaló “SI” en la respuesta anterior, Aporte copia del contrato firmado con el proveedor IFX NETWORKS COLOMBIA S.A.S. , así como sus anexos relacionados con seguridad de información y protección de datos personales.

3. Se vieron afectadas aplicaciones, herramientas y/o plataformas misionales.

Si señaló “SI” en la respuesta anterior, enuncie que herramientas, plataformas y/o, programas resultaron afectadas con el incidente presentado.

3. Se vieron afectadas aplicaciones, herramientas y/o plataformas misionales.

Si señaló “SI” en la respuesta anterior, enuncie que herramientas, plataformas y/o, programas resultaron afectadas con el incidente presentado.

4. Se recuperaron el servicio de todas las aplicaciones, herramientas y/o plataformas afectadas.

Si señaló “NO” en la respuesta anterior, indique cual aplicación, herramientas y/o plataformas no se recuperaron y la razón en cada caso.

5. Se vieron afectadas bases de datos

Si señaló “SI” en la respuesta anterior, indique que tipo de datos contenían estas bases de datos3 (nombres, números de identificación, direcciones físicas, contraseñas, direcciones de correo electrónico, etc).

6. Se recuperaron todas las bases de datos afectadas al día del incidente.

Si señaló “NO” en la respuesta anterior, indique cuales bases de datos no se recuperaron y la razón en cada caso.

7. Tiene conocimiento de publicación no autorizada de datos personales afectados en el incidente.

Si señaló “SI” en la respuesta anterior, aporte la investigación y/o documentación que permitió realizar la detección de esta información y las medidas que se implementaron o que se están implementando para evitar esta publicación.

Si señaló “NO” en la respuesta anterior, aporte la investigación y/o documentación que permitió determinar que no se presentó publicación no autorizada de los datos personales afectados.

8. Señale que planes de contingencia se aplicaron frente a la afectación de sus bases de datos y si se vio afectada la integridad o confidencialidad de los datos personales de titulares.RESOLUCIÓN NÚMERO 16277 DE 2026

8. Señale que planes de contingencia se aplicaron frente a la afectación de sus bases de datos y si se vio afectada la integridad o confidencialidad de los datos personales de titulares.RESOLUCIÓN NÚMERO 16277 DE 2026

“Por la cual se impone una sanción administrativa”

Página 5 de 14

9. Manifieste si a la fecha, han recibido reclamaciones por vulneración del derecho de hábeas data, asociadas a este incidente.

10. De conformidad con lo preceptuado por el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, informen y aporten evidencia de la implementación efectiva de las medidas de seguridad adoptadas por la entidad para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a la información sujeta a tratamiento.

11. Remitan copia de la Política de Tratamiento de Datos Personales desarrollada e implementada por la entidad.

12. Aporten copia de la Política de la Seguridad de la información desarrollada e implementada por la entidad y sus anexos e informen si dichas Política es objeto de revisión, evaluación y seguimiento permanentes.

13. Alleguen copia de la Política de Gestión de Incidentes desarrollada por la entidad y sus anexos.

14. Remitan copia de la Política de Gestión de riesgos, metodología y sus anexos, donde se identifica el riesgo relacionado con los sistemas afectados y la información antes relacionada, las acciones determinadas, si se realiza algún seguimiento remítalo.

15. Informe si se realizó notificación del incidente a otras entidades

anexos, donde se identifica el riesgo relacionado con los sistemas afectados y la información antes relacionada, las acciones determinadas, si se realiza algún seguimiento remítalo.

15. Informe si se realizó notificación del incidente a otras entidades oficiales como Procuraduría General de la Nación, Gaula, Colcert, entre otras.

16. Señalé si recibió algún tipo de notificación e informes detallados enviados por parte de la sociedad IFX NETWORKS COLOMBIA S.A.S. frente a la ocurrencia y posterior solución del incidente.

17. Aporte las investigaciones y/o informes detallados RELACIONADOS CON EL INCIDENTE y su gestión tanto por parte del proveedor IFX como de la sociedad SOFTMAT SERVICES S.A.S. con NIT. 901.111.352-2.

18. Aporte los soportes que considere necesario que evidencia la gestión del incidente.

(…)”.

Así pues, este Despacho encuentra que la sociedad SOFTMAT SERVICES S.A.S BIC. recibió el oficio señalado de acuerdo con el aviso de recibo certificado y expedido por la Secretaria General de la Superintendencia de Industria y Comercio que reposa bajo el radicado 24-201787-6 del 21 de mayo de 2025.

(…)

No obstante, en la medida en que la sociedad no atendió el requerimiento realizado por esta Dirección, toda vez que no obra dentro del presente expediente respuesta alguna, se infiere preliminarmente que la sociedad investigada no cumplió con el deber de atender el requerimiento realizado por este Despacho, conducta que se subsume típicamente en una presunta infracción al deber establecido en el literal o) del artículo 17 de

expediente respuesta alguna, se infiere preliminarmente que la sociedad investigada no cumplió con el deber de atender el requerimiento realizado por este Despacho, conducta que se subsume típicamente en una presunta infracción al deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 ejúsdem.”

En este punto, vale la pena resaltar que la sociedad investigada se abstuvo de presentar descargos y alegatos de conclusión.

En relación con el acervo probatorio, este Despacho encuentra que: Este Despacho requirió a la sociedad SOFTMAT SERVICES S.A.S. , mediante oficio radicado bajo consecutivo 24-201787-5 del 21 de mayo de 2025, remitido al correo electrónico de notificación esanchez@softmatservices.com. Oficio que fue recibido por parte de la sociedad investigada, de conformidad con el avisoRESOLUCIÓN NÚMERO 16277 DE 2026

“Por la cual se impone una sanción administrativa”

Página 6 de 14

de recibo que obra en el consecutivo 24-201787-6 del expediente de la referencia. Sin embargo , es menester precisar que el requerimiento formulado por este Despacho no fue atendido por la sociedad investigada, ni dentro del término otorgado para tal efecto ni con posterioridad al vencimiento del mismo; pese a haber sido remitido al correo electrón ico dispuesto por la sociedad investigada para efecto de las notificaciones, de conformidad con las información que reposa en el Certificado de Existencia y Representación Legal de la compañía disponible en el Registro Único Empresarial.

En consecuencia, se encuentra suficientemente acreditado el incumplimiento de

para efecto de las notificaciones, de conformidad con las información que reposa en el Certificado de Existencia y Representación Legal de la compañía disponible en el Registro Único Empresarial.

En consecuencia, se encuentra suficientemente acreditado el incumplimiento de la sociedad investigada al deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 ejúsdem . Razón por la cual, se impondrá una sanción pecuniaria.

9.2.2. Del deber de informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares

El literal n) del artículo 17 de la Ley 1581 de 2012 dispone lo siguiente:

“ARTÍCULO 17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.”

A su turno, los literales f) y g) del artículo 4 del cuerpo normativo en cita señalan que:

“ARTÍCULO 4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán de manera armónica e integral, los siguientes principios:

(…)

f) Principio de acceso y circulación restringida: El Tratamiento se

PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán de manera armónica e integral, los siguientes principios:

(…)

f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;

g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;”

Sobre el particular, es importante señalar que, el Título V de la Circular Única de la Superintendencia de Industria y Comercio señala que “Los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD y los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el

y los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el micrositio de la Delegatura para la Protección de Datos Personales o mediante cualquieraRESOLUCIÓN NÚMERO 16277 DE 2026

“Por la cual se impone una sanción administrativa”

Página 7 de 14

de los canales habilitados por la entidad para recibir comunicaciones dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos”.

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargo en contra de la sociedad investigada, mediante Resolución No. 69319 del 10 de septiembre de 2025, al considerar que:

“Encuentra este Despacho de manera preliminar que (i) la sociedad SOFTMAT SERVICES S.A.S BIC , tuvo conocimiento del incidente ocurrido 12 de septiembre de 2023, al proveedor de servicios de telecomunicaciones IFX NETWORKS y (ii) que la investigada no le informó a la autoridad de protección de datos lo ocurrido a través de los canales dispuestos para ello.

Es importante señalar que, de acuerdo a lo establecido en el Título V de la Circular Única de la Superintendencia de Industria y Comercio, se señaló que “Los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD y los Encargados del

la Circular Única de la Superintendencia de Industria y Comercio, se señaló que “Los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD y los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el micrositio de la Delegatura para la Protección de Datos Personales o mediante cualquiera de los canales habilitados por la entidad para recibir comunicaciones dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos” reporte que, a la fecha de este acto administrativo, no se evidencio en el RNBD.

De conformidad con lo anterior, este Despacho concluye de preliminarmente que la sociedad SOFTMAT SERVICES S.A.S BIC. incumplió lo dispuesto en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.”

En relación con el acervo probatorio, este Despacho encuentra que:

El día 12 de septiembre de 2023, el proveedor de servicios de telecomunicaciones IFX NETWORKS COLOMBIA S.A.S., identificado con NIT. 830.058.677-7, sufrió un ataque de ciberseguridad externo tipo ransomware que presuntamente comprometió los servicios de tecnologías de la información y las comunicaciones que presta como proveedor de telecomunicaciones.

Con ocasión al ataque descrito en líneas precedentes , esta Autoridad de Protección de Datos Personales encuentra que la sociedad SOFTMAT SERVICES

que presuntamente comprometió los servicios de tecnologías de la información y las comunicaciones que presta como proveedor de telecomunicaciones.

Con ocasión al ataque descrito en líneas precedentes , esta Autoridad de Protección de Datos Personales encuentra que la sociedad SOFTMAT SERVICES S.A.S BIC, identificada con NIT. 901.111.352 -2, pudo verse afectada. Razón por la cual, adelantó averiguaciones preliminares y requirió a la sociedad para que se pronunciara frente a los hechos materia de investigación y absolviera una serie de interrogantes formulados por este Despacho. Requerimiento que no fue contestado por parte de la sociedad investigada.2

Aunado a lo anterior, esta Instancia no encuentra soporte probatorio que acredite que la sociedad investigada haya realizado el reporte del incidente de seguridad dentro de los quince (15) días hábiles siguientes a la fecha de ocurrencia de los hechos, a t ravés de alguno de los canales dispuestos para el efecto por parte de la Superintendencia de Industria y Comercio. Aclarando que dicho plazo venció el 3 de octubre de 2023.

En este punto, vale la pena resaltar que la sociedad investigada se abstuvo de presentar descargos y alegatos de conclusión.

2 Radicado 24-201787-5 del 21 de mayo de 2025RESOLUCIÓN NÚMERO 16277 DE 2026

“Por la cual se impone una sanción administrativa”

Página 8 de 14

En consecuencia, se encuentra suficientemente acreditado el incumplimiento de la sociedad investigada al deber previsto en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma

En consecuencia, se encuentra suficientemente acreditado el incumplimiento de la sociedad investigada al deber previsto en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma ley. Razón por la cual, se impondrá una sanción pecuniaria.

DÉCIMO: Imposición y graduación de la sanción

10.1 Facultad sancionatoria

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente:

“Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones:

a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar;

c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio;

d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

los correctivos ordenados por la Superintendencia de Industria y Comercio;

d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”.

Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza:

“Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativosu cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional3. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia,