SIC - Resolución 26548 de 2026

Página 1 de 13

RESOLUCIÓN NÚMERO 26548 DE 2026

(16 de abril de 2026)

“Por la cual se impone una sanción administrativa”

Radicado 23-324067

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución No. 60296 del 20 de agosto de 2025, esta Dirección decidió iniciar la presente investigación administrativa y formular cargo único en contra de la sociedad LOS HORNITOS PASTELERIA Y PANADERIA S.A.S., identificada con NIT. 90 0.121.964-9, por la presunta infracción al Régimen de Protección de Datos Personales, particularmente a las disposiciones previstas en el literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales f), g) y h) del artículo 4 de la misma ley y los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del

2015.

SEGUNDO: Que, la mencionada resolución le fue notificada electrónicamente a la sociedad investigada el 20 de agosto de 2025 , de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia,

2015.

SEGUNDO: Que, la mencionada resolución le fue notificada electrónicamente a la sociedad investigada el 20 de agosto de 2025 , de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-324067-16 del 21 de agosto de 2025, para que se pronunciara sobre los hechos materia de investigación y aportara o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

TERCERO: Que, la sociedad investigada radicó escrito de descargos, junto con anexos, el 9 de septiembre de 2025 bajo consecutivo 23-324067-17. En su escrito, la sociedad investigada señala lo siguiente:

En primer lugar, realiza un recuento de los antecedentes de la investigación administrativa de la referencia.

Posteriormente, realiza el reconocimiento expreso y voluntario de la infracción; y solicita la aplicación de los criterios de graduación de las sanciones.

CUARTO: Que, mediante Resolución No. 95097 del 19 de noviembre de 2025, se incorporaron las pruebas allegadas a la presente investigación administrativa, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión.

QUINTO: Que, la mencionada resolución le fue comunicada a la sociedad investigada el 19 de noviembre de 2025, de conformidad con la certificación del 26 de noviembre de 2025 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-324067-21.

SEXTO: Que, la sociedad investigada presentó alegatos de conclusión el 1 de

26 de noviembre de 2025 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 23-324067-21.

SEXTO: Que, la sociedad investigada presentó alegatos de conclusión el 1 de diciembre de 2025 , bajo radicado 23-324067-22. En su escrito, la sociedad investigada reiteró lo expuesto en sus descargos.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 26548 DE 2026

“Por la cual se impone una sanción administrativa”

Página 2 de 13

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada ley.

OCTAVO: Análisis del caso

8.1. Adecuación típica

La Corte Constitucional mediante sentencia C-748 de 2011, estableció́ lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”1.

disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”1.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

1. El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará́ lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de

2012.

1. De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a lo consagrado en el literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales f), g) y h) del artículo 4 de la misma ley y los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará́ lugar o no a la imposición de una sanción, para lo cual se deberá́ tener en cuenta los argumentos de hecho y de derecho expuestos por la sociedad, así como el conjunto de pruebas que obran en el expediente.

8.2. Valoración probatoria y conclusiones

8.2.1. Del deber de conservar la información bajo las condiciones de

expuestos por la sociedad, así como el conjunto de pruebas que obran en el expediente.

8.2. Valoración probatoria y conclusiones

8.2.1. Del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento

El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada no sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial ate nción por parte de la Corte Constitucional, tal como quedó reflejado en la sentencia C-748 de 20112, así:

1 Corte Constitucional. Sentencia C -748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011. Expediente PE-032. 2 IbidemRESOLUCIÓN NÚMERO 26548 DE 2026

“Por la cual se impone una sanción administrativa”

Página 3 de 13

“De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de dat os” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencia, no cesa de aumentar. Los avances tecnológicos han

en razón del efecto “diluvio de dat os” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencia, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo se ncillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre. En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. (…)”

A su turno, los literales f), g) y h) del artículo 4 del cuerpo normativo en cita, señalan lo siguiente:

“(…)

ARTÍCULO 4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u

disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley

g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con al guna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.”

Los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015 preceptúan lo siguiente:

“ARTÍCULO 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a

del 2015 preceptúan lo siguiente:

“ARTÍCULO 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente:

1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente.RESOLUCIÓN NÚMERO 26548 DE 2026

“Por la cual se impone una sanción administrativa”

Página 4 de 13

2. La naturaleza de los datos personales objeto del tratamiento.

3. El tipo de Tratamiento.

4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, cómo también la descripción de las finalid ades para las cuáles esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectuen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas:

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectuen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas:

ARTÍCULO 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2. 25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar:

1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo.

2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación.

3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.

La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposi ción de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.”

No puede perderse de vista entonces que el Responsable del Tratamiento debe

tenida en cuenta al momento de evaluar la imposi ción de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.”

No puede perderse de vista entonces que el Responsable del Tratamiento debe garantizar que los datos de los titulares estén protegidos por las medidas técnicas, administrativas y humanas, pertinentes y necesarias para salvaguardar la integridad de los datos para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Ahora bien, para claridad de la sociedad investigada, para la implementación de medidas de seguridad se deben tener en cuenta los siguientes aspectos:

Las medidas técnicas se han entendido como aquellas que se deben adoptar para mitigar los riesgos técnicos de acceso no autorizado o fraudulento por parte de terceros que pueden hacer uso no autorizado de los datos personales de los titulares, los relativo s a la falta de disponibilidad de la información y los que afectan la integridad de los datos personales. Dichas medidas propenden, entonces, por mejorar los niveles de confianza de los titulares a través de la identificación, valoración, tratamiento y mitigación de los riesgos de los sistemas de información de la compañía.

Por su parte, las medidas administrativas se refieren a la estructura jerárquica de la entidad, en el sentido de que haya un líder que apruebe la adopción de dichas medidas de seguridad para el funcionamiento óptimo del organismo.RESOLUCIÓN NÚMERO 26548 DE 2026

“Por la cual se impone una sanción administrativa”

Página 5 de 13

Por otra parte, las medidas humanas se refieren a los métodos de capacitación de personal para asegurar que este realiza todas las acciones que sean

“Por la cual se impone una sanción administrativa”

Página 5 de 13

Por otra parte, las medidas humanas se refieren a los métodos de capacitación de personal para asegurar que este realiza todas las acciones que sean pertinentes para evitar la puesta en riesgo de los datos personales.

Expuesto lo anterior y retomando el caso objeto de estudio, encuentra el Despacho que la investigación administrativa de la referencia tuvo su génesis en la denuncia presentada ante esta Superintendencia el 16 de julio de 2023, bajo radicado 23-324067-0. En su escrito de denuncia, el titular de los datos s eñaló que:

“Comedidamente me dirijo a ustedes, por la inconformidad que tengo, del cómo se le están dando el (sic) manejo de (sic) mis datos personales, dado que el día de hoy 16 de julio 2023, fui a la tienda de Hornitos, la cual queda ubicada en el barrio el Restrepo, y pasaron a la mesa un volante en el cual indicaba que como cliente podía calificar el servicio, escaneando un códi go QR, como mi calificación no fue la mas (sic) satisfactoria, dado que me pareció que fueron super demorados en atender, pasaron la carta de productos y después toco volver a llamar al mesero que tomara el pedido.

Al finalizar el consumo de los alimentos, procedí a pedir la cuenta, la mesera indica que si deseo incluir el servicio le indique que no, fue cuando dos meseros, (un hombre y una mujer), empezaron a secretearse y tuvieron que darse de cuenta sobre la calif icación dada, debido a que el chico dio una ronda por las mesas, mientras la chica marcaba mi numero

dos meseros, (un hombre y una mujer), empezaron a secretearse y tuvieron que darse de cuenta sobre la calif icación dada, debido a que el chico dio una ronda por las mesas, mientras la chica marcaba mi numero (sic) para ver cual (sic) de los clientes era el que había colocado la queja, entonces me marcaron del numero (sic) (…), cuando vieron que yo saque (sic) el celular colgaron, sin que culminara la llamada e hicieron caras indicando que había sido yo el que había colocado esta calificación, dado a que se presentó esta situación, como cliente me encuentro muy molesto, porque se supone que ese no es el uso adecu ado que le deben de dar a mis datos personales, que los empleados de su compañía, estén tomando la información de esta forma (…).”

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa de la referencia y formuló cargo único a la sociedad LOS HORNITOS PASTELERIA Y PANADERIA S.A.S. , mediante Resolución No. 60296 del 20 de agosto de 2025, al considerar que:

“Para el presente caso, se tiene que, frente al segundo requerimiento de información realizado por esta Dirección, LOS HORNITOS PASTELERIA Y PANADERIA S.A.S. dio respuesta mediante correo electrónico del 05 de agosto de 2024, con radicación 23 -324067- -00010 del 06 de agosto de 2024, en el cual indicaron lo siguiente:

• Que la línea telefónica (…) pertenece a la Sociedad y se encuentra

asignada al punto de venta “Hornitos Restrepo” ubicado en la Carrera 22 #143-08 sur (El “Punto de Venta”). Las personas que tienen acceso

• Que la línea telefónica (…) pertenece a la Sociedad y se encuentra

asignada al punto de venta “Hornitos Restrepo” ubicado en la Carrera 22 #143-08 sur (El “Punto de Venta”). Las personas que tienen acceso a la línea telefónica son: (i) El administrador; (ii) El Sous Chef; (iii) El Asesor de Ventas; y (iv) el cajero del Punto de Venta.

De esta manera, en la denuncia que dio origen a la presente actuación, se señaló que de la línea telefónica (…) el denunciante recibió una llamada justo el 16 de julio de 2023 a las 06:43 p.m., minutos después de diligenciar una encuesta de satisfacción del servicio al interior del establecimiento comercial de LOS HORNITOS PASTELERIA Y PANADERIA S.A.S. ubicado en el barrio El Restrepo de la ciudad de Bogotá, en la cual dio una calificación insatisfactoria como consecuencia de una presunta mala atención por parte del personal.

De esta manera, debido a que la investigada LOS HORNITOS PASTELERIA Y PANADERIA S.A.S. afirmó ante este Despacho que dicha línea telefónica sí pertenece a un número institucional, es posible establecer de manera preliminar que los datos personales del titular presuntamente fueron tratados sin que la sociedad LOS HORNITOS PASTELERIA Y PANADERIA S.A.S. contara con las medidas técnicas,RESOLUCIÓN NÚMERO 26548 DE 2026

“Por la cual se impone una sanción administrativa”

Página 6 de 13

humanas y administrativas suficientes que fueran necesarias para haber evitado que, frente a los datos personales del denunciante, se realizara

“Por la cual se impone una sanción administrativa”

Página 6 de 13

humanas y administrativas suficientes que fueran necesarias para haber evitado que, frente a los datos personales del denunciante, se realizara un acceso no autorizado y para una finalidad diferente a la autorizada, como lo fue realizar una llamada telefónica por parte del personal de esa sociedad como consecuencia de una mala calificación del servicio prestado.

(…)”.

Frente al cargo único formulado, la sociedad realiza el reconocimiento expreso y voluntario de la infracción; y solicita la aplicación de los criterios de graduación de las sanciones.

En relación con el material probatorio que obra en el expediente, esta Dirección encuentra que:

El día 16 de julio de 2023, el titular de los datos recibió una llamada desde el número institucional del punto de venta del barrio Restrepo, en la ciudad de Bogotá, de la sociedad LOS HORNITOS PASTELERIA Y PANADERIA S.A.S., luego de que este diligenciara una encuesta de calificación del servicio recibido durante su visita al establecimiento de comercio. Situación que, a todas luces : i) se configura como un acceso no autorizado a los datos personales del titular por parte de dos de los colaboradores de la sociedad investigada ; y ii) denota una ausencia de controles en materia de protección de datos personales por parte de la compañía.

Es frecuente que el accionar humano se constituya como causa primigenia de brechas de seguridad asociadas a datos personales; razón por la cual, resulta imperioso ir más allá del reconocimiento realizado por la investigada frente a la comisión de la infracción y, en su lugar, propender por la real demostración de

brechas de seguridad asociadas a datos personales; razón por la cual, resulta imperioso ir más allá del reconocimiento realizado por la investigada frente a la comisión de la infracción y, en su lugar, propender por la real demostración de que las múltiples herramientas documentales con las que cuenta la sociedad LOS HORNITOS PASTELERIA Y PANADERIA S.A.S. funcionan en el ejercicio práctico. De tal forma que sea posible que la sociedad pueda prever este tipo de situaciones y se mitiguen los riesgos de incidentes de seguridad, estableciendo controles de acceso y de circulación estricta de datos personales al interior de la compañía.

En línea con lo expuesto no puede perderse de vista que:

• La Ley Estatutaria 1581 de 2012 contempla el deber de los Responsables de informar a la autoridad de protección de datos sobre situaciones como la acontecida en el caso objeto de estudio (incidentes de seguridad).

• La sociedad investigada afirma contar con un andamiaje robusto en materia de protección de datos personales que, en teoría, facilitaría la detección y respuesta por parte de sus funcionarios ante cualquier incidente que afecte la confidencialidad, disponibilidad e integridad de los datos personales bajo su protección; herramientas que, por lo evidenciado a part ir del material probatorio obrante en el expediente, no son de conocimiento y aplicación absoluta por parte del personal de la sociedad LOS HORNITOS PASTELERIA

Y PANADERIA S.A.S.

• Igualmente, no se avizora una respuesta rápida, coordinada y eficaz en el caso que nos ocupa. De hecho, las pocas acciones desplegadas en nada corresponden a los procesos documentados por la compañía para el efecto, lo que sustenta aún más la idea de que el personal de LOS HORNITOS

caso que nos ocupa. De hecho, las pocas acciones desplegadas en nada corresponden a los procesos documentados por la compañía para el efecto, lo que sustenta aún más la idea de que el personal de LOS HORNITOS PASTELERIA Y PANADERIA S.A.S. no tiene claridad sobre la relevancia de los datos personales y el cómo actuar en este tipo de situaciones.

Así las cosas , se encuentra suficientemente acreditado que la sociedad investigada transgredió el deber contemplado en el literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales f), g) y h) del artículo 4 de la misma ley y los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015; en tanto dos de sus colaboradoresRESOLUCIÓN NÚMERO 26548 DE 2026

“Por la cual se impone una sanción administrativa”

Página 7 de 13

tuvieron acceso no autorizado a los datos personales del titular, específicamente a su número telefónico, como consecuencia de una mala calificación del servicio prestado, sin que mediara control alguno por parte de la compañía. Razón por la cual, se impondrá una sanción pecuniaria.

NOVENO: Imposición y graduación de la sanción

9.1 Facultad sancionatoria

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente:

“Artículo 23. Sanciones. La Superintendencia de Industria y Comercio

una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente:

“Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones:

a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar;

c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio;

d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”.

Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza:

“Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se

instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativosu cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional3. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman

3 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.RESOLUCIÓN NÚMERO 26548 DE 2026

“Por la cual se impone una sanción administrativa”

Página 8 de 13

que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.”RESOLUCIÓN NÚMERO 26548 DE 2026

“Por la cual se impone una sanción administrativa”

Página 12 de 13

específicamente a su número telefónico, como consecuencia de una mala calificación del servicio prestado, sin que mediara control alguno por parte de la compañía. Conducta con la que transgredió el deber contemplado en el literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales f), g) y h) del artículo 4 de la misma ley y los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015. Por esta razón, se impondrá una sanción pecuniaria de DOSCIENTOS CUARENTA (240) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTISIETE MIL OCHOCIENTAS CUARENTA (27.840)

a la participación que éstas t