SIC - Resolución 32564 de 2026

Página 1 de 19

RESOLUCIÓN NÚMERO 32564 DE 2026

(30 de abril de 2026)

“Por la cual se impone una sanción administrativa”

Radicación 23-268516

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que la Dirección de Investigaciones de Protección de datos Personales impartió órdenes administrativas a la sociedad INVERSIONES Y NEGOCIOS S.A . identificada con NIT. 890.403.995-2, para garantizar el cumplimiento de las disposiciones de la Ley 1581 de 2012 mediante la resolución N.º 37890 del 30 de junio de 2023, la cual ordenó lo siguiente:

“ARTÍCULO PRIMERO: ORDENAR a la sociedad INVERSIONES Y NEGOCIOS S.A. que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información

fraudulento. La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.”1

SEGUNDO: Que la citada Resolución fue notificada a la investigada mediante notificación electrónica del 05 de julio de 2023, de conformidad con el certificado expedido por el Grupo de Notificaciones y Certificaciones de esta Superintendencia de fecha 12 de julio de 2023, radicado bajo el número 23268516-06.

Con base en lo anterior, se tiene que el término que tenía la investigada para interponer los recursos de ley vencía el 19 de julio de 2023, de modo que la Resolución en cuestión quedó en firme a partir del 21 de julio de 2023.

Así las cosas, dado que el mencionado acto administrativo otorgaba un plazo de 6 meses siguientes a su ejecutoria para dar cumplimiento a las órdenes impartidas, es claro que el plazo para dar cumplimiento a estas vencía el 21 de enero de 2024.

Una vez vencido el término otorgado por esta Superintendencia para acreditar el cumplimiento de lo ordenado en la Resolución N.º 37890 del 30 de junio de 2023, encontró este Despacho que la investigada no aportó ningún documento o prueba alguna que demostrara el cumplimiento de lo ordenado.

1 Expediente Virtual 23-268516 Consecutivo 1

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

1 Expediente Virtual 23-268516 Consecutivo 1

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 2 de 19

TERCERO: Que mediante Resolución N.º 66451 del 31 de octubre de 2024, la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa y formular un cargo único en contra de la sociedad INVERSIONES Y NEGOCIOS S.A ., por la presunta contravención de lo

dispuesto en:

• El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 21 de la misma norma.

De acuerdo con lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la sociedad investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendiera hacer valer dentro de la presente actuación administrativa.

CUARTO: Que la Resolución N.º 66451 del 31 de octubre de 2024 le fue notificada a la sociedad investigada mediante aviso N.º 28236 del 13 de noviembre de 202 4, conforme a la certificación expedida por la Secretaria General de esta Superintendencia con radicado 23-268516-13 del 13 de noviembre de 2024.

QUINTO: Que la sociedad investigada presentó escrito de descargos oportunamente a través de correo electrónico del 06 de noviembre de 2024 con radicado N.º 23-268516-14, mediante el cual expuso sus argumentos de defensa y aportó los medios de prueba que pretende hacer valer en la presente actuación.

oportunamente a través de correo electrónico del 06 de noviembre de 2024 con radicado N.º 23-268516-14, mediante el cual expuso sus argumentos de defensa y aportó los medios de prueba que pretende hacer valer en la presente actuación.

Sobre el cargo único formulado expuso lo siguiente:

5.1 Que la sociedad INVERSIONES Y NEGOCIOS S.A cumplió con lo ordenado mediante Resolución N.º 37890 del 30 de junio de 2023.

5.2 Que el 27 de diciembre de 2023 envia ron “todas las políticas de tratamiento de datos personales de las bases de datos manejadas por INVERSIONES Y NEGOCIOS SA NIT 890.403.995 -2, teniendo plazo de radicarlas hasta el día 30 de diciembre de 2023, por lo cual agradecemos sea tenido en cuenta para evitar que la empresa incurra en cualquier tipo de incumplimiento”2.

SEXTO: Que, de acuerdo con los documentos recaudados por esta Dirección de manera preliminar y los documentos aportados con los descargos, esta instancia dispuso incorporar las siguientes pruebas mediante la Resolución N.º 22270 del 23 de abril de 202 5 y correr traslado por 10 días para que la sociedad investigada pudiera presentar alegatos de conclusión.

Las Pruebas incorporadas son las siguientes:

6.1. Resolución N.° 37890 de 30 de junio de 2023, “Por la cual se imparten órdenes dentro de una actuación administrativa”3.

6.2. Certificación emitida por la Secretaria General Ad -Hoc de la Superintendencia de Industria y Comercio de fecha de 12 de julio de 20234.

órdenes dentro de una actuación administrativa”3.

6.2. Certificación emitida por la Secretaria General Ad -Hoc de la Superintendencia de Industria y Comercio de fecha de 12 de julio de 20234.

6.3. Certificación emitida por la Secretaria General Ad -Hoc de la Superintendencia de Industria y Comercio de fecha de 13 de noviembre de 20245.

6.4. Escrito de descargos6, aportado junto con los siguientes anexos:

2 Expediente Virtual 23-268516 Consecutivo 14 Página 1 3 Expediente Virtual 23-268516 Consecutivo 1 4 Expediente Virtual 23-268516 Consecutivo 6 5 Expediente Virtual 23-268516 Consecutivo 13 6 Expediente Virtual 23-268516 Consecutivo 14RESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 3 de 19

6.4.1. Constancia de radicación en el RNBD de fecha de 27 de diciembre de 20237.

SÉPTIMO: Que Resolución N.º 22270 del 23 de abril de 2025 le fue comunicada a la sociedad investigada el mismo día, de conformidad con la certificación 23268516-19 del 29 de abril de 2025 expedida por la Secretaria General de la

Superintendencia.

OCTAVO: Que la sociedad INVERSIONES Y NEGOCIOS S.A ., presentó alegatos de conclusión oportunamente a través de correo electrónico del 18 de julio de 2025 con radicado N.º 23-268516-22 donde manifestó lo siguiente:

8.1 Que la sociedad INVERSIONES Y NEGOCIOS S.A., ha mostrado

alegatos de conclusión oportunamente a través de correo electrónico del 18 de julio de 2025 con radicado N.º 23-268516-22 donde manifestó lo siguiente:

8.1 Que la sociedad INVERSIONES Y NEGOCIOS S.A., ha mostrado disposición para cumplir con sus obligaciones, realizando la actualización de las Políticas de Base de Datos dentro del término establecido (27/12/2023), en atención a la Resolución N.º 37890 del 30/06/2023.

8.2 Que una vez se recibió notificación por presunto incumplimiento sin explicación detallada, se realizó llamada al Contact Center de la SIC (06/11/2024), donde se les recomendó enviar un correo electrónico a contactenos@sic.gov.co, sin embargo, asegura que no se les brindó respuesta.

8.3 Que mediante Resolución N.º 22270 del 23 de abril de 2025 se les informó la asignación de un funcionario para evaluar el caso, por lo cual, nuevamente se solicitó información vía telefónica y por correo, sin recibir una respuesta clara por parte de la entidad.

8.4 Que asegura que a l consultar la plataforma, no se tenía acceso a la Resolución N.º 66451 del 31 de octubre 2024, lo que impidió conocer oportunamente los requerimientos. Solo hasta el 16 de julio de 2025 se logró acceder a dicha resolución, evidenciando solicitudes que no fueron atendidas por desconocimiento.

8.5 Que resalta que la sociedad INVERSIONES Y NEGOCIOS S.A ., ha actuado diligentemente, realizando llamadas y enviando correos electrónicos con el fin de aclarar la situación y cumplir con los requerimientos.

8.5 Que resalta que la sociedad INVERSIONES Y NEGOCIOS S.A ., ha actuado diligentemente, realizando llamadas y enviando correos electrónicos con el fin de aclarar la situación y cumplir con los requerimientos.

8.6 Que aportan la documentación solicitada en la Resolución N.º 66451 del 31 de octubre de 2024, incluyendo:

8.6.1 Actualización de la información en el RNBD.

8.6.2 Certificación firmada por el Representante Legal sobre la implementación de políticas.

8.6.3 Estados financieros (Balance y Estado de Resultados) de los últimos tres años.

NOVENO: Competencia de la Superintendencia de Industria y Comercio

De conformidad con lo establecido en los artículos 19 y 21 de la Ley 1581 de 2012 la Dirección de Investigación de Protección de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Responsables y Encargados del Tratamie nto de datos personales, una vez verificado el incumplimiento de las disposiciones en materia de protección de datos.

DÉCIMO: Análisis del caso

7 Expediente Virtual 23-268516 Consecutivo 14 Página 2RESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 4 de 19

10.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 8, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que, pese a la

La Corte Constitucional mediante sentencia C -748 de 2011 8, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley , esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones d efinidas, específicamente, en el artículo 23 de la Ley 1581 de 2012.

De conformidad con el acervo probatorio, se puede establecer que presuntamente la investigada vulneró sus deberes como Responsable del tratamiento de datos personales el transgredir las siguientes normas:

• El literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 21 de la precitada Ley.

En ese orden de ideas, corresponde a este Despacho establecer si las conductas desplegadas por la sociedad investigada darán lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos que dieron origen a la presenta actuación y el acervo probatorio recaudado en la presente actuación.

desplegadas por la sociedad investigada darán lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos que dieron origen a la presenta actuación y el acervo probatorio recaudado en la presente actuación.

10.2. Valoración probatoria y conclusiones

10.2.1. Respecto al deber de cumplir las instrucciones que imparta la Superintendencia de Industria y Comercio en ejercicio de sus funciones

El literal o) del artículo 17 de la Ley 1581 de 2012 disponen lo siguiente:

Ley 1581 de 2012

“Artículo 17. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. (…).

A su vez, el literal e) del artículo 21 de la Ley 1581 de 2012 estableció lo siguiente:

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

(…)

8 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 5 de 19

e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;

técnicos adscritos al ejecutivo (Art. 115 C.P.), en tanto expresión de la potestad de dirección e intervención del Estado en la economía (Art.334), y de intervención reforzada del Gobierno en las actividades financiera, bursátiles y aseguradoras (Art. 335 C.P.).

(…)”.

De igual manera, con la expedición del Decreto 4886 del 2011 modificado por el Decreto 92 de 2022, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data , que se encuentra consagrado en el artículo 15 de la Constitución, en este caso particular, en la Ley 1581 de 2012, al respecto traemos a colación los numerales del artículo 17 del Decreto 4886 de 2011:

“Artículo 17. Funciones de la Dirección de Investigaciones de Protección de Datos Personales. Son funciones de la Dirección de Investigaciones de

Protección de Datos Personales:

(…)

2. Ejercer la supervisión de las órdenes o instrucciones impartidas por la Superintendencia de Industria y Comercio en materia de protección de datos personales.

3. Administrar el Registro Nacional de Bases de Datos, emitir las órdenes y los actos necesarios para su administración y funcionamiento, así como y disponer de su libre consulta.

4. Adelantar las indagaciones, investigaciones, procedimientos y actuaciones administrativas del caso, de oficio o a petición de parle, sobre presuntas actuaciones contrarias o violaciones a las Leyes Estatutarias 1266 de 2008 y 1581 de 2012, los decretos reglamentarios y demás normas que los complementen, modifiquen, adicionen o sustituyan, así

presuntas actuaciones contrarias o violaciones a las Leyes Estatutarias 1266 de 2008 y 1581 de 2012, los decretos reglamentarios y demás normas que los complementen, modifiquen, adicionen o sustituyan, así como dictar las sanciones, órdenes, requerimientos e instrucciones a que haya lugar.

(…)

8. Verificar el cumplimiento de las decisiones proferidas, en el curso de las investigaciones o actuaciones administrativas adelantadas de oficio o a petición de parte.RESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 6 de 19

(…)

En esa medida, esta Superintendencia protege el derecho fundamental de habeas data , es decir, el derecho que tiene todo Titular de información de conocer, actualizar y rectificar los datos personales que sobre ellos se encuentren en cualquier base de datos. Para el caso particular, la protección está amparada en la Ley 1581 de 2012, la cual establece que la protección será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

Igualmente, resulta importante traer a colación el concepto de “ley estatutaria”, la cual, de acuerdo con la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá como estatutaria cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y

Página 5 de 19

e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;

(…)”.

Por su parte, la Corte Constitucional mediante sentencia C-748 del 6 de octubre de 2011 al realizar el control previo de constitucionalidad del proyecto de ley que culminó en la expedición de la Ley 1581 de 2012, estableció lo siguiente frente a las funciones de esta Superintendencia en relación con la protección de los datos personales en Colombia:

“(…)

Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales. Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos

Además, debe afirmarse que, tal como lo estableció la Corte en la Sentencia C-1011 de 2008, la naturaleza de las facultades atribuidas a la Superintendencia –a través de la Delegatura-, “caen dentro del ámbito de las funciones de policía administrativa que corresponden a esos órganos técnicos adscritos al ejecutivo (Art. 115 C.P.), en tanto expresión de la potestad de dirección e intervención del Estado en la economía (Art.334), y de intervención reforzada del Gobierno en las actividades financiera,

ley se entenderá como estatutaria cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así́ las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable del Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratarse de un derecho fundamental.

En el caso objeto de estudio, esta Dirección mediante la Resolución N.º 37890 del 30 de junio de 2023, ordenó a la sociedad INVERSIONES Y NEGOCIOS S.A, lo siguiente:

“ARTÍCULO PRIMERO: ORDENAR a la sociedad INVERSIONES Y NEGOCIOS S.A. que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando s u adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.”9

más robustas respecto de las bases de datos que contengan datos sensibles.

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.”9

Por otro lado, mediante Resolución N.º 66451 del 31 de octubre de 2024 “Por la cual se inicia una investigación administrativa y se formulan cargos” estableció que la sociedad investigada presuntamente vulneró el cumplimiento de los deberes señalados al encontrar lo siguiente:

“En conclusión, se deduce preliminarmente que la sociedad INVERSIONES Y NEGOCIOS S.A . transgredió el deber de cumplir con las instrucciones impartidas por la autoridad de control, contenido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 21 de la misma norma”.

Por lo tanto, este Despacho resolvió:

“ARTÍCULO 1. ABRIR INVESTIGACIÓN y FORMULAR PLIEGO DE CARGOS contra la sociedad INVERSIONES Y NEGOCIOS S.A . con NIT 890.403.995-2, en calidad de Responsable del Tratamiento, por la presunta infracción a lo dispuesto el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 21 de la misma norma”.

9 Expediente Virtual 23-268516 Consecutivo 1RESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 7 de 19

De acuerdo con lo anterior, la sociedad investigada mediante su escrito de descargos señaló que enviaron “todas las políticas de tratamiento de datos

“Por la cual se impone una sanción administrativa”

Página 7 de 19

De acuerdo con lo anterior, la sociedad investigada mediante su escrito de descargos señaló que enviaron “todas las políticas de tratamiento de datos personales de las bases de datos manejadas por INVERSIONES Y NEGOCIOS SA NIT 890.403.995-2, teniendo plazo de radicarlas hasta el día 30 de diciembre de 2023, por lo cual agradecemos sea tenido en cuenta para evitar que la empresa incurra en cualquier tipo de incumplimiento”10.

Ahora bien, con fundamento en el material probatorio recaudado y allegado al expediente, este Despacho procederá a realizar su valoración integral, a efectos de establecer si la sociedad investigada incurrió en las infracciones imputadas en la Resolución de formulación de cargos, conforme a los hechos y pruebas que reposan en la presente actuación administrativa. El objeto de discusión es verificar si la sociedad investigada dio cumplimiento o no, dentro del término oportuno, a la orden administrativa impartida por esta Superintendencia mediante la Resolución N.º 37890 del 30 de junio de 2023, la cual consistía en lo siguiente:

“ARTÍCULO PRIMERO: ORDENAR a la sociedad INVERSIONES Y NEGOCIOS S.A. que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando s u adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.”11

De conformidad con el material probatorio obrante en el proceso, se encuentra que la Resolución N.º 37890 del 30 de junio de 2023 mediante notificación electrónica del 05 de julio de 2023, de conformidad con el certificado expedido por el Grupo de Notificaciones y Certificaciones de esta Superintendencia de fecha 12 de julio de 2023, radicado bajo el número 23-268516-06. De acuerdo con la mencionada fecha de notificación, se determina que el cumplimiento de la orden administrativa debía realizarse a más tardar en las siguientes fechas:

Fecha de notificación electrónica 5 de julio de 2023 Término para cumplir la orden Seis (6) meses siguientes a la ejecutoria Fecha de ejecutoria de la Resolución N.º 37890 del 30 de junio de 2023 21 de julio de 2023 Fecha máxima para cumplir la orden 21 de enero de 2024

En este sentido, se observa que el término máximo para cumplir la orden administrativa con el objeto de que esta Superintendencia pudiera verificar el cumplimiento de sus deberes como Responsable del tratamiento de la información era entonces el 21 de enero de 2024.

Ahora bien, una vez valorado el material probatorio obrante en el expediente, este Despacho advierte que no reposa, dentro del término otorgado mediante

información era entonces el 21 de enero de 2024.

Ahora bien, una vez valorado el material probatorio obrante en el expediente, este Despacho advierte que no reposa, dentro del término otorgado mediante la Resolución N.º 37890 del 30 de junio de 2023, certificación suscrita por el representante legal de l a sociedad investigada que acredite la implementación de las medidas ordenadas, requisito expresamente exigido para demostrar el cumplimiento de las órdenes impartidas por esta Superintendencia.

Esta ausencia de acreditación oportuna impide tener por demostrado el cumplimiento de la orden dentro del término otorgado, toda vez que, en materia administrativa, la carga de probar el cumplimiento recae en el

10 Expediente Virtual 23-268516 Consecutivo 14 Página 1 11 Expediente Virtual 23-268516 Consecutivo 1RESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 8 de 19

administrado, quien debe allegar los soportes idóneos dentro de la oportunidad legal establecida.

En efecto, la mencionada resolución otorgó a la investigada un plazo de seis (6) meses, contados a partir de su ejecutoria, esto es, hasta el 21 de enero de 2024 , para (i) documentar, implementar y monitorear una política de seguridad de la información, (ii) actualizar la información en el Registro Nacional de Bases de Datos (RNBD), y (iii) acreditar dicho cumplimiento mediante certificación suscrita por su repres entante legal. No obstante, si bien se evidencia que la sociedad realizó la actualización de sus bases de datos en el

de Bases de Datos (RNBD), y (iii) acreditar dicho cumplimiento mediante certificación suscrita por su repres entante legal. No obstante, si bien se evidencia que la sociedad realizó la actualización de sus bases de datos en el RNBD el 27 de diciembre de 2023, lo cierto es que en dicha actualización no se marcó ninguna medida de seguridad en las bases de datos EMP LEADOS, PROVEEDORES, ACCIONISTAS Y CLIENTES tal como se observa en la consulta realizada al RNBD:

EMPLEADOS:RESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 9 de 19

PROVEEDORES

ACCIONISTASRESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 10 de 19

CLIENTESRESOLUCIÓN NÚMERO 32564 DE 2026

“Por la cual se impone una sanción administrativa”

Página 11 de 19Página 12 de 19

En este sentido, resulta fundamental precisar que el cumplimiento de las órdenes impartidas por esta Superintendencia se debe satisfacer con su ejecución material, y su realización dentro del término perentorio fijado en el acto administrativo, pues es precisamente dicho plazo el que permite a la autoridad verificar de manera oportuna la adecuación del responsable a la normativa vigente.

En consecuencia, el cumplimiento tardío o extemporáneo implica, por sí mismo,

el acto administrativo, pues es precisamente dicho plazo el que permite a la autoridad verificar de manera oportuna la adecuación del responsable a la normativa vigente.

En consecuencia, el cumplimiento tardío o extemporáneo implica, por sí mismo, el desconocimiento de la orden administrativa, en la medida en que frustra la finalidad preventiva, correctiva y de supervisión que persigue la actuación administrativa.

Adicionalmente, los argumentos expuestos por la investigada relacionados con presuntas dificultades de acceso a la información o falta de claridad en las comunicaciones recibidas no resultan de recibo para este Despacho, máxime cuando la sociedad fue debidamente notificada del acto administrativo y contó con un término claro, suficiente y razonable para dar cumplimiento a lo ordenado, sin que se evidencie la ocurrencia de una fuerza mayor o caso fortuito que justificara la inobservancia de sus obligaciones..

En consecuencia, este Despacho concluye que la sociedad INVERSIONES Y NEGOCIOS S.A . incurrió en el incumplimiento de las órdenes impartidas mediante la Resolución N.º 37890 del 30 de junio de 2023, al no haber allegado dentro del término establecido la certificación suscrita por su representante legal mediante la cual se acreditara su c umplimiento, ni actualizar la información registrada en el RNBD respecto a las medidas implementadas para todas las bases de datos inscritas, configurándose así la infracción prevista en el literal o) del artículo 17 de la Ley 1581 de 2012. No obstante, el cumplimiento posterior de dichas obligaciones será valorado como circunstancia atenuante al momento de imponer la sanción correspondiente.

Así, se resalta que los responsables del tratamiento deben dar cumplimiento

de dichas obligaciones será valorado como circunstancia atenuante al momento de imponer la sanción correspondiente.

Así, se resalta que los responsables del tratamiento deben dar cumplimiento PLENO, OPORTUNO y VERIFICABLE de todas las órdenes impartidas por esta Superintendencia, las cuales tienen carácter obligatorio y buscan garantizar la efectiva protección de los derechos de los Titulares de la información. La acreditación del cumplimiento de las órdenes resulta fundam ental para ayudar a la Superintendencia en su función de velar por el cumplimiento de la legislación en materia de protección de datos personales. La o bservancia de sus instrucciones no solo garantiza la protecció