SIC - Resolución 24137 de 2026

Página 1 de 13

RESOLUCIÓN NÚMERO 24137 DE 2026

(08 de abril de 2026)

“Por la cual se impone una sanción administrativa”

Radicación 23-273898

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que mediante Resolución N.º 355 23 del 27 de junio de 2023 expedida por esta Superintendencia, se ordenó a la sociedad INFERCAL S.A.S. identificada con NIT. 860.058.389-1, lo siguiente:

“ARTÍCULO PRIMERO: ORDENAR a la sociedad INFERCAL S A S que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.

ARTÍCULO SEGUNDO: La sociedad INFERCAL S A S deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la

en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.

ARTÍCULO SEGUNDO: La sociedad INFERCAL S A S deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas”.

SEGUNDO: Que la sociedad INFERCAL S.A.S., fue notificada de la Resolución N.º 35523 del 27 de junio de 2023, de forma electrónica el 29 de junio de 2023, de conformidad con la certificación con radicado 23-273898- -6 de fecha 11 de julio del 2023 expedida por la Secretaria General AD-HOC de esta

Superintendencia.

TERCERO: Que la investigada podía interponer los recursos de ley entre el 30 de junio hasta el 14 de julio del 2023. Sin embargo, la sociedad INFERCAL S.A.S. no ejerció su derecho de defensa y contradicción, por lo cual se tiene que la Resolución N.º 355 23 del 27 de junio de 2023 quedó en firme el 17 de julio de 2023.

CUARTO: Que la Resolución N.º 355 23 del 27 de junio de 2023 estableció un término de seis (6) meses para dar cumplimiento a las órdenes impartidas por esta Dirección; termino que vencía el 17 de enero de 2024.

QUINTO: Que, vencido el término establecido en el artículo segundo de la Resolución N° 35523 del 27 de junio de 2023, se evidencia que la sociedad

institucional infercal@gmail.com, registrada para notificaciones judiciales.

(i) Mediante Resolución N°. 35523 del 27 de junio de 2023 se le ordenó a la sociedad INFERCAL S.A.S., lo siguiente:

“ARTÍCULO PRIMERO: ORDENAR a la sociedad INFERCAL S A S que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.RESOLUCIÓN NÚMERO 24137 DE 2026

“Por la cual se impone una sanción administrativa”.

Página 6 de 13

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.

ARTÍCULO SEGUNDO: La sociedad INFERCAL S A S deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas”.

(ii) La Resolución N° . 35523 del 27 de junio de 2023 le fue notificada a LA INVESTIGADA le fue notificada a la investigada de forma electrónica el 29 de junio de 2023 , de conformidad con el certificado expedido por el Grupo de

esta Dirección; termino que vencía el 17 de enero de 2024.

QUINTO: Que, vencido el término establecido en el artículo segundo de la Resolución N° 35523 del 27 de junio de 2023, se evidencia que la sociedad INFERCAL S.A.S., con NIT. 860.058.389 -1 guardó silencio y no acreditó el cumplimiento de las órdenes impartidas por este Despacho.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 24137 DE 2026

“Por la cual se impone una sanción administrativa”.

Página 2 de 13

SEXTO: Que mediante Resolución N.º 43215 del 31 de julio 2024, la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa contra la sociedad INFERCAL S.A.S. , identificada con N IT. 860.058.389-1, por la presunta violación de las normas sobre protección de datos personales, consagradas en particular en: literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 21 de la misma norma.

En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.

SÉPTIMO: Que la investigada fue notificada de la Resolución N.º 43215 del 31 de julio 2024 de forma electrónica el 31 de julio de 2024 de acuerdo con la certificación expedida por la Secretaria General AD-HOC de esta

SÉPTIMO: Que la investigada fue notificada de la Resolución N.º 43215 del 31 de julio 2024 de forma electrónica el 31 de julio de 2024 de acuerdo con la certificación expedida por la Secretaria General AD-HOC de esta Superintendencia radicada bajo el N.º 23-273898- -11 del 01 de agosto de 2024.

OCTAVO: Que, dentro del término concedido para el efecto, la sociedad INFERCAL S.A.S., no presentó escrito de descargos en el presente expediente con el fin de ejercer su derecho a la defensa y contradicción.

NOVENO: Que, a través de la Resolución N° 24887 del 30 de abril del 2025, se declaró agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

DÉCIMO: Que mediante Resolución N° 24887 del 30 de abril del 2025 , esta Dirección procedió a incorporar las pruebas obrantes en el expediente.

En el referido acto administrativo, le fue otorgado un término de (10) diez días hábiles a la sociedad investigada para que rindiera sus alegatos de conclusión.

DÉCIMO PRIMERO: Que la Resolución N°.24887 del 30 de abril del 2025 le fue comunicada el 0 2 de mayo del 2025 a la sociedad INFERCAL S.A.S., según consta en la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia, radicada bajo el número 23-273898- -15 del 05 de mayo del

2025. Para lo cual la accionada, dentro del término otorgado, en fecha 10 de

consta en la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia, radicada bajo el número 23-273898- -15 del 05 de mayo del

2025. Para lo cual la accionada, dentro del término otorgado, en fecha 10 de mayo de 2025 allegó escrito de alegatos de conclusión mediante radicación 23273898- -00016-0001, mediante los cuales indicó lo siguiente:

11.1 Señaló que la investigada ha adoptado e implementado de manera integral un conjunto de prácticas y mecanismos que garantizan la protección de los datos personales bajo su custodia , como (i) documentos de seguridad; (ii) acuerdos de confidencialidad; (iii) cláusulas de protección de datos personales dentro de los acuerdos con sus proveedores y aliados; (iv) capacitaciones a sus empleados; (v) se han implementado procedimientos para asegurar la información; (vi) protocolos de gestión de incidentes; ect.

11.2 Indicó que:

“INFERCAL S.A.S. reitera su absoluto respeto por las actuaciones de la Superintendencia de Industria y Comercio y por las obligaciones que le impone el régimen de protección de datos personales. No obstante, es nuestro deber llamar respetuosamente la atenci ón sobre un aspecto de carácter procedimental que consideramos relevante para garantizar el pleno ejercicio del derecho fundamental al debido proceso.

En efecto, tras una revisión minuciosa de nuestros canales de notificación, registros internos, correspondencia electrónica institucional, sistema de gestión documental y expedientes relacionados con anteriores requerimientos de la Entidad, no encontramos constancia alguna de haber

En efecto, tras una revisión minuciosa de nuestros canales de notificación, registros internos, correspondencia electrónica institucional, sistema de gestión documental y expedientes relacionados con anteriores requerimientos de la Entidad, no encontramos constancia alguna de haber recibido notificación efectiva de la Resolución No. 43215 de 2024, expedida en el marco del presente trámite”.RESOLUCIÓN NÚMERO 24137 DE 2026

“Por la cual se impone una sanción administrativa”.

Página 3 de 13

11.3 Reconoció que no dio respuesta la orden impartida y solicita que se apliquen los principios de proporcionalidad y razonabilidad en la decisión de la presente investigación.

DÉCIMO SEGUNDO: Competencia de la Superintendencia de Industria y

Comercio

De conformidad con lo establecido en los artículos 19 y 21 de la Ley 1581 de 2012 la Dirección de Investigación de Protección de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Usuarios, Responsables y Encargados de l Tratamiento de datos personales, una vez verificado el incumplimiento de las disposiciones en materia de protección de datos.

12.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 20 111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que

generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo lo señalado por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones d efinidas específicamente en el artículo 23 de la Ley 1581 de 2012.

En c onsideración a l acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a:

(ii) De conformidad con las funciones establecidas por esta Superintendencia y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a las disposiciones contenidas en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 21 de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos que dieron origen a la presente actuación y los medios de prueba consignados en el acervo

desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos que dieron origen a la presente actuación y los medios de prueba consignados en el acervo probatorio.

12.2 Valoración probatoria y conclusiones

12.2.1. Respecto del deber de cumplir con las instrucciones que imparta esta autoridad.

1 Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 24137 DE 2026

“Por la cual se impone una sanción administrativa”.

Página 4 de 13

El literal o) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, respecto al deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y

Comercio:

“Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”

Por lo tanto, conforme lo establecido en el artículo 21 de la Ley 1581 de 2012, esta Dirección tiene la facultad de exigir a LA INVESTIGADA el cumplimiento de los deberes que como Responsable está en la obligación de cumplir.

Sobre el particular, es necesario resaltar que los aspectos relacionados al presente cargo obedecen a la obligación que tienen los Responsables de la

de los deberes que como Responsable está en la obligación de cumplir.

Sobre el particular, es necesario resaltar que los aspectos relacionados al presente cargo obedecen a la obligación que tienen los Responsables de la información, de atender oportunamente los requerimientos impartidos por esta Superintendencia, ello, en virtud de la facultad de vigilancia otorgada por la Ley 1581 de 2012, la cual establece lo siguiente:

“Artículo 19. Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.”

Al respecto, la Corte Constitucional al realizar el control de constitucionalidad previo del proyecto de Ley que culminó con la expedición de la ley 1581 de 2012 mediante sentencia C-748 del 6 de octubre de 2011, estableció que frente a las funciones de vigilancia de esta Superintendencia lo siguiente:

“(…) Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales. Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos

Además, debe afirmarse que, tal como lo estableció la Corte en la Sentencia C-1011 de 2008, la naturaleza de las facultades atribuidas a la

de promoción de la protección de datos

Además, debe afirmarse que, tal como lo estableció la Corte en la Sentencia C-1011 de 2008, la naturaleza de las facultades atribuidas a la Superintendencia –a través de la Delegatura-, “caen dentro del ámbito de las funciones de policía administrativa que corresponden a esos órganos técnicos adscritos al ejecutivo (Art. 115 C.P.), en tanto expresión de la potestad de dirección e intervención del Estado en la economía (Art.334), y de intervención reforzada del Gobierno en las actividades financiera, bursátiles y aseguradoras (Art. 335 C.P.).”

De igual manera, con la expedición del Decreto 4886 del 2011 modificado por el Decreto 92 de 2022, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data , que se encuentra consagrado en el artículo 15 de la Constitución, en este caso particular, en la Ley 1581 de 2012, al respecto traemos a colación los numerales del artículo 17 del Decreto 4886 de 2011:

“Artículo 17. Funciones de la Dirección de Investigaciones de Protección de Datos Personales. Son funciones de la Dirección de Investigaciones de

Protección de Datos Personales:

(…)RESOLUCIÓN NÚMERO 24137 DE 2026

“Por la cual se impone una sanción administrativa”.

Página 5 de 13

2. Ejercer la supervisión de las órdenes o instrucciones impartidas por la Superintendencia de Industria y Comercio en materia de protección de datos personales.

3. Administrar el Registro Nacional de Bases de Datos, emitir las órdenes y los actos necesarios para su administración y funcionamiento, así como y

Superintendencia de Industria y Comercio en materia de protección de datos personales.

3. Administrar el Registro Nacional de Bases de Datos, emitir las órdenes y los actos necesarios para su administración y funcionamiento, así como y disponer de su libre consulta.

(…)

8. Verificar el cumplimiento de las decisiones proferidas, en el curso de las investigaciones o actuaciones administrativas adelantadas de oficio o a petición de parle.

(…)”.

En esa medida, esta Superintendencia protege el derecho fundamental de habeas data , es decir, el derecho que tiene todo Titular de información de conocer, actualizar y rectificar los datos personales que sobre ellos se encuentren en cualquier base de datos. Para el caso particular, la protección está amparada en la Ley 1581 de 2012, la cual establece que la protección será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

Así mismo, esta Superintendencia, a través de esta Dirección de Investigación de Protección de Datos Personales, ejercerá la vigilancia de las funciones de los Responsables y Encargados del Tratamiento y podrá ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así se determine dentro de la investigación.

Finalmente, no debe perderse de vista que la Ley 1581 de 2012 se expidió para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los

15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.

Así las cosas, esta Ley faculta a esta Dirección a exigir de los Responsables del Tratamiento los deberes que estos deben cumplir de conformidad con el artículo 17 de la Ley en cita, sin embargo, la sociedad investigada no atendió las solicitudes enunciadas en ningún momento de la actuación , más que con los argumentos finales aportados mediante alegatos de conclusión el 09 de mayo de 2025.

Por lo anterior y sin perder de vista lo alegado y con el propósito de dar claridad al procedimiento, se informa que la notificación de la Resolución N°. 43215 del 31 de julio de 2024, se realizó en estricto cumplimiento de los preceptos legales establecidos en el artículo 69 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, Ley 1437 de 2011.

En consecuencia, este Despacho fundamenta su decisión en el acervo probatorio que integra el expediente virtual, el cual acredita plenamente que la notificación de la Resolución N°. 43215 del 31 de julio de 2024 se surtió en debida forma. Dicho trámite se efectuó a través de la dirección de correo electrónico institucional infercal@gmail.com, registrada para notificaciones judiciales.

(i) Mediante Resolución N°. 35523 del 27 de junio de 2023 se le ordenó a la sociedad INFERCAL S.A.S., lo siguiente:

(ii) La Resolución N° . 35523 del 27 de junio de 2023 le fue notificada a LA INVESTIGADA le fue notificada a la investigada de forma electrónica el 29 de junio de 2023 , de conformidad con el certificado expedido por el Grupo de Notificaciones y Certificaciones de esta Superintendencia de fecha 11 de julio de 2023, radicado bajo el número 23-273898- -6.

(iii) El término que tenía LA INVESTIGADA para interponer los recursos de acuerdo con el artículo 74 y siguientes del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, vencía el 14 de julio del 2023, de modo que la Resolución en cuestión quedó en firme a partir del 17 de julio de 2023.

(iv) La Resolución N.º 35523 del 27 de junio de 2023 estableció un término de seis (6) meses para dar cumplimiento a las órdenes impartidas por esta Dirección; el cual venció el 17 de enero del 2024.

(v) Verificado el sistema trámites de la entidad, se evidenció que la investigada guardó silencio y no acreditó el cumplimiento pertinente.

Con fundamento en lo anterior y atendiendo a la fecha de notificación del acto administrativo que vincula a la sociedad INFERCAL S.A.S. , este Despacho precisa que el plazo máximo para el cumplimiento de las órdenes impartidas vencía en las siguientes fechas:

Fecha de notificación electrónica 29 de junio de 2023 Término para cumplir la orden seis (6) meses siguientes a la ejecutoria Fecha de ejecutoria de la Resolución N°. 35523 del 27 de junio de 2023 17 de julio de 2023

Término para cumplir la orden seis (6) meses siguientes a la ejecutoria Fecha de ejecutoria de la Resolución N°. 35523 del 27 de junio de 2023 17 de julio de 2023 Fecha máxima para cumplir la orden 17 de enero de 2024.

En este sentido, se observa que el término máximo para cumplir la orden administrativa con el objeto de que esta Superintendencia pudiera verificar el cumplimiento de sus deberes como Responsable del tratamiento de la información, era el 17 de enero de 2024.

De acuerdo con lo expuesto, resulta evidente el incumplimiento de la sociedad investigada respecto de sus obligaciones como Responsable del Tratamiento. En el expediente administrativo se observa una ausencia total de pruebas que demuestren el acatamiento de las órdenes dictadas en la Resolución N.º 35523 de 2023. Adicionalmente, resalta la actitud pasiva de la investigada, quien guardó silencio procesal durante la etapa probatoria, pronunciándose de manera extemporánea a los hechos solo mediante la presentación de alegatos de conclusión, donde pese a que informa que ya acató las órdenes administrativas, lo cierto es que no pudo demostrar que estas hayan sido adoptadas dentro del plazo otorgado en la resolución mencionada.

De igual manera, se encuentra, que una de las ordenes administrativas impuestas dentro de la resolución N.º 35523 del 27 de junio de 2023 , señalaRESOLUCIÓN NÚMERO 24137 DE 2026

“Por la cual se impone una sanción administrativa”.

Página 7 de 13

que la sociedad investigada debía actualizar la información respecto de las medidas de seguridad registradas para las bases de datos inscritas en el RNBD,

“Por la cual se impone una sanción administrativa”.

Página 7 de 13

que la sociedad investigada debía actualizar la información respecto de las medidas de seguridad registradas para las bases de datos inscritas en el RNBD, no obstante y luego de hacer una revisión al Registro, se evidencia que para la base de datos inscrita, no se han actualizado las medidas de seguridad supuestamente implementadas por la sociedad y que fueron mencionadas en su escrito de alegatos de conclusión.

Bajo este escenario, se establece que la sociedad incurrió en la inobservancia del deber consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012. En consecuencia, se procederá con la imposición de la sanción respectiva, cuya dosificación considerará el reconocimiento expreso de la conducta por parte de la investigada como un criterio relevante para su graduación.

DÉCIMO TERCERO: Imposición y graduación de la sanción

13.1 Facultad sancionatoria

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 2. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 3, 4 4 y 6 5 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo6.

La Corte Constitucional señaló sobre este asunto:

"La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para

La Corte Constitucional señaló sobre este asunto:

"La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso. (…)” 7 (negrita añadida)

Por su parte, La Corte Constitucional a través de sentencia C -557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza:

“Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo

2Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio;

c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” 3 Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 4 Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 5 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes . Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) 6 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C -564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T -010 de 2017, Magistrado Ponente Albert o Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C -034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).

enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C -034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 7 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2.RESOLUCIÓN NÚMERO 24137 DE 2026

“Por la cual se impone una sanción administrativa”.

Página 8 de 13

dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes ”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo - su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional8. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

Asimismo, el artículo 23 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes término