SIC - Resolución 33883 de 2026

Página 1 de 40

RESOLUCIÓN NÚMERO 33883 DE 2026

(08 de mayo de 2026)

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Radicación: 23-280100

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución N.º 76487 del 4 de diciembre de 2024 1 la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa contra la sociedad CITI SUMMA S.A.S . (en adelante, “la investigada”), con Nit. 901.288.453-8, por la presunta violación de las normas sobre protección de datos personales, consagradas en particular

en:

1. El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma norma. ii. El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y los artículos 14 y 15 de la misma norma. iii. El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

con el literal e) del artículo 4° y los artículos 14 y 15 de la misma norma. iii. El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.

SEGUNDO: Que la investigada fue notificada de la Resolución N.º 76487 del 4 de diciembre de 2024, mediante Aviso N° 32268 el 13 de diciembre de 2024 de acuerdo con la certificación expedida por la Secretaria General AD HOC de esta Superintendencia, disponible a co nsecutivo 23 -280100-23 del expediente.

TERCERO: Que, por conducto de su representante legal la investigada, encontrándose dentro del término establecido para el efecto, mediante

1 Resolución Nº 76487 del 4 de diciembre de 2024 obrante en el expediente 23-280100

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 33883 DE 2026

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 2 de 40

comunicación radicada bajo el número No. 23-280100- -00024 del 7 de enero de 2025 dio respuesta a la formulación de cargos informando lo siguiente:

• Respecto al primer cargo:

3.1 Manifestó que la señora XXXXXXXXXXXXXXXXXX ostentaba dos obligaciones correspondientes a un crédito de consumo y una tarjeta de

de 2025 dio respuesta a la formulación de cargos informando lo siguiente:

• Respecto al primer cargo:

3.1 Manifestó que la señora XXXXXXXXXXXXXXXXXX ostentaba dos obligaciones correspondientes a un crédito de consumo y una tarjeta de crédito suscritas inicialmente con el BANCO FALABELLA S.A, las cuales fueron adquiridas por CITI SUMMA S.A.S. a través de una compra de cartera, de tal manera que la titular era obligada cambiaria de la sociedad investigada, del contenido integral de la obligación más los intereses moratorios causados hasta la fecha.2 3.2 Aseguró que la titular a la fecha no ostenta la calidad de deudora de CITI SUMMA S.A.S., debido a que la obligación fue producto de venta y se encuentra endosada a la sociedad COLECTORA LATINOAMERICANA DE CARTERA SA “LATAM” con Nit. 900.480.391-8, de tal manera que, la titular no tiene obligaciones vigentes con la investigada, por tanto, no ha sido contactada por esta.3 3.3 Declaró que CITI SUMMA S.A.S tiene adscritos al certificado de existencia y representación legal los correos electrónicos legal@citisumma.com y citisummasas@gmail.com por medio de los cuales la investigada emite todas sus comunicaciones, por otra parte, afirma que la investigada realizó una búsqueda total del registro de los correos electrónicos y concluyó que la sociedad no redireccionó correos electrónicos prejurídicos o de presión a ningún correo de la empleadora de la titular, además el correo electrónico remitente no guarda relación con la investigada.4 3.4 Señaló que CITI SUMMA S.A.S contaba con autorización para el tratamiento de datos personales de la titular, por lo que en su calidad

de la titular, además el correo electrónico remitente no guarda relación con la investigada.4 3.4 Señaló que CITI SUMMA S.A.S contaba con autorización para el tratamiento de datos personales de la titular, por lo que en su calidad de endosatario de la obligación le permitía efectuar actuaciones pre o extraprocesales directamente con la titular, sin enviar correos de cobro a la em pleadora como lo es la CORPORACIÓN UNIVERSITARIA

MINUTO DE DIOS.5

• Respecto al segundo cargo:

3.5 Adujo que CITI SUMMA S.A.S emite respuestas y notificaciones únicamente a través de los correos que tiene adscritos al certificado de existencia y representación legal como son legal@citisumma.com y citisummasas@gmail.com. De manera que, la petición radicada por la titular al correo asesorext41@summavalor.com.co no fue recibida por la investigada, puesto que el dominio summavalor.com.co no pertenece a esta sociedad. 6

• Respecto al tercer cargo:

3.6 Informó que CITI SUMMA S.A.S está comprometida con atender los requerimientos de esta entidad, como lo hizo respondiendo el 5 octubre de 2023 con radicado 23 -280100- -00008 y 23 -280100- -00009 al requerimiento de este Despacho del 20 de septiembre de 2023 con radicado 23-280100- -00006.7 3.7 Reconoció que no dio respuesta al requerimiento del 15 de diciembre de 2023 con radicado 23 -280100- -10, debido a que en el mes de diciembre los correos electrónicos y bases existenciales se encontraban en depuración, tratamiento y actualización. Sin embargo, las solicitudes

de 2023 con radicado 23 -280100- -10, debido a que en el mes de diciembre los correos electrónicos y bases existenciales se encontraban en depuración, tratamiento y actualización. Sin embargo, las solicitudes

2 23-280100. Consecutivo 24. Página 2. Folio 2 3 23-280100. Consecutivo 24. Página 2. Folio 2 4 23-280100. Consecutivo 24. Página 2. Folio 3 5 23-280100. Consecutivo 24. Página 2. Folio 3 6 23-280100. Consecutivo 24. Página 2. Folio 4 7 23-280100. Consecutivo 24. Página 2. Folio 5RESOLUCIÓN NÚMERO 33883 DE 2026

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 3 de 40

realizadas por este Despacho fueron absueltas en su totalidad en los descargos.8 3.8 Aclaró que el domicilio principal de CITI SUMMA S.A.S es en la carrera 19B # 83 - 63 en la ciudad de Bogotá según registra el certificado de existencia y representación legal, y no en la calle 104ª No. 47ª-58, lugar a donde fue enviado el requerimiento del 16 de julio de 2024, de manera que la investigada no t enía conocimiento de la solicitud de explicaciones de este Despacho.9

• Pretensiones:

3.9 El representante legal de la investigada solicitó la terminación del proceso, archivarlo y no ejercer ningún tipo de multa o sanción en contra de CITI SUMMA S.A.S. 10

• Pretensiones:

3.9 El representante legal de la investigada solicitó la terminación del proceso, archivarlo y no ejercer ningún tipo de multa o sanción en contra de CITI SUMMA S.A.S. 10

CUARTO: Que mediante la Resolución N.º 30466 del 21 de mayo de 2025 11, se incorporaron las pruebas obrantes en el expediente, se prescindió del término para el periodo probatorio y se corrió traslado para alegar.

Las pruebas incorporadas fueron las siguientes:

4.1 Queja de la titular radicada ante la investigada al correo Asesorext41@summavalor.com.co con copia a la Superintendencia Financiera del 8 de junio de 2023.12

4.2 Correo electrónico enviado por el Departamento Pre -jurídico de la investigada desde el correo Asesorext41@summavalor.com.co el 31 de marzo de 2023 dirigido a la CORPORACIÓN UNIVERSITARIA MINUTO DE DIOS para cobrar una obligación financiera a nombre de la titular.13

4.3 Oficio del 19 de septiembre de 2023 con radicado 23 -280100- -00005 remitido a la titular donde se le informa el inicio de una averiguación preliminar.14

4.4 Requerimiento a la investigada del 20 de septiembre de 2023 con radicado 23-280100- -00006.15

4.5 MANUAL DE ATENCIÓN DE CONSULTAS Y RECLAMOS de CITI SUMMA

S.A.S.16

4.6 Política de privacidad de cobranzas de CITI SUMMA S.A.S.17

4.7 Certificado de existencia y representación legal de CITI SUMMA S.A.S18

S.A.S.16

4.6 Política de privacidad de cobranzas de CITI SUMMA S.A.S.17

4.7 Certificado de existencia y representación legal de CITI SUMMA S.A.S18

4.8 Firma de contrato unificado de productos el BANCO FALABELLA S.A.19

4.9 Pagaré del el BANCO FALABELLA S.A firmado por la titular.20

8 23-280100. Consecutivo 24. Página 2. Folio 5 9 23-280100. Consecutivo 24. Página 2. Folio 7 10 23-280100. Consecutivo 24. Página 2. Folio 7 11 Resolución Nº 30466 del 21 de mayo de 2025 obrante en el expediente 23-280100 12 23-280100. Consecutivo 0. Página 4 13 23-280100. Consecutivo 0. Página 4 14 23-280100. Consecutivo 5 15 23-280100. Consecutivo 6 16 23-280100. Consecutivo 8. Página 2 17 23-280100. Consecutivo 8. Página 3 18 23-280100. Consecutivo 8. Página 4 19 23-280100. Consecutivo 8. Página 5. Folio 1 20 23-280100. Consecutivo 8. Página 5. Folio 2 a 4RESOLUCIÓN NÚMERO 33883 DE 2026

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 4 de 40

4.10 Respuesta al requerimiento de este Despacho por parte de CITI

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 4 de 40

4.10 Respuesta al requerimiento de este Despacho por parte de CITI SUMMA S.A.S. del 5 de octubre de 2023 con radicado 23-280100- - 00009 y 23-280100- -00008. 21

4.11 Requerimiento a CITI SUMMA S.A.S. del 15 de diciembre de 2023 con radicado 23-280100- -10.22

4.12 Comunicación enviada por la titular a esta entidad del 21 de diciembre de 2023 con radicado 23 -280100- -00012 informando que continúa recibiendo correos de cobranza a su correo institucional y al correo de su empleador.23

4.13 Correo enviado por el señor XXXXXXXXXXXXXXXXXX de CITI SUMMA S.A.S. cobrando la obligación financiera de la titular al correo de la CORPORACIÓN UNIVERSITARIA MINUTO DE DIOS el 16 de marzo de 2023.24

4.14 Captura de pantalla de la historia de crédito de la titular. 25

4.15 Derecho de petición del 21 de diciembre de 2023 de la titular informando que siguen llegando correos electrónicos de cobranza por parte de la investigada al correo de su empleador. 26

4.16 Oficio del 28 de diciembre de 2023 con radicado 23 -280100- -13 en el que se responde el derecho de petición de la titular. 27

4.17 Segundo requerimiento de este Despacho a la sociedad CITI SUMMA S.A.S. del 16 de julio de 2024 con radicado 23-280100- -14.28

que se responde el derecho de petición de la titular. 27

4.17 Segundo requerimiento de este Despacho a la sociedad CITI SUMMA S.A.S. del 16 de julio de 2024 con radicado 23-280100- -14.28

4.18 Escrito de descargos presentado por la investigada el 7 de enero de 2025 con radicado 23-280100- -00024.29

4.18.1 Estados financieros de CITI SUMMA S.A.S. de 2023-2022.30

4.18.2 Estados financieros de CITI SUMMA S.A.S. de 2022-2021 31

QUINTO: Que a la investigada le fue comunicada la Resolución N.º 30466 del 21 de mayo de 2025, el mismo día de acuerdo con la certificación expedida por la Secretaria General AD HOC de esta Superintendencia, disponible a consecutivo 23-280100-28 del expediente.

SEXTO: Que dentro del plazo otorgado por la Resolución No. 30466 del 21 de mayo de 2025, la sociedad investigada mediante comunicado del 4 de junio de 2025 con radicado 23 -280100- -00029, presentó alegatos de conclusión reiterando lo señalado en los descargos e indicando lo siguiente:

6.1 Afirmó que para la época de los hechos CITI SUMMA S.A.S. intentó comunicarse con la titular al número de celular 3012651177, con el fin de cobrar las obligaciones financieras antes de iniciar algún proceso jurídico.32

6.2 Informó que, una vez revisada la base de recursos humanos, el señor XXXXXXXXXXXXXXXXXXXXXX que aparece como remitente del correo

21 23-280100. Consecutivo 9. Página 6

6.2 Informó que, una vez revisada la base de recursos humanos, el señor XXXXXXXXXXXXXXXXXXXXXX que aparece como remitente del correo

21 23-280100. Consecutivo 9. Página 6 22 23-280100. Consecutivo 10 23 23-280100. Consecutivo 12. Página 2. Folio 1 24 23-280100. Consecutivo 12. Página 2. Folio 2 y 3 25 23-280100. Consecutivo 12. Página 2. Folio 4 26 23-280100. Consecutivo 12. Página 3 27 23-280100. Consecutivo 13 28 23-280100. Consecutivo 14 2923-280100. Consecutivo 24. Página 1 30 23-280100. Consecutivo 24. Página 4 31 23-280100.Consecutivo 24. Página 5 32 23-280100. Consecutivo 29. Página 2. Folio 6RESOLUCIÓN NÚMERO 33883 DE 2026

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 5 de 40

enviado desde la dirección electrónica aseosorext14@summavalor.com.co no ha tenido un vínculo laboral con la sociedad. 33

6.3 Declaró que desconoce si la titular tuvo obligaciones con la entidad SUMMAVALOR o si la obligación le fue cedida a esta sociedad antes que, a la investigada, por lo que sugiere que se investiguen las conductas que hubiere desplegado dicha sociedad bajo los logos y nombre de CITI

SUMMA S.A.S..34

SÉPTIMO: Que mediante la Resolución N.º 75239 del 25 de septiembre de

a la investigada, por lo que sugiere que se investiguen las conductas que hubiere desplegado dicha sociedad bajo los logos y nombre de CITI

SUMMA S.A.S..34

SÉPTIMO: Que mediante la Resolución N.º 75239 del 25 de septiembre de 202535, se hizo reapertura del periodo probatorio y se decretó la práctica de las

siguientes pruebas:

7.1. Requerir a la sociedad CITI SUMMA S.A.S. para que aporte copia del contrato de compraventa de cartera suscrito entre el BANCO

FALLABELLA S.A. y CITI SUMMA S.A.S.

7.2. Requerir a la sociedad CITI SUMMA S.A.S. para que remita copia de todos los documentos relacionados con la cesión del crédito de la titular XXXXX XXXXXXXXXXXXXXX identificada con C.C. N.° XXXXXX, incluyendo, entre otros, la autorización otorgada por la titular al acreedor originario de la obligación y el pagaré, junto con la respectiva cadena de endosos que acredite la legitimidad de la cesión.

7.3. Requerir a la sociedad CITI SUMMA S.A.S. remitir copia del contrato de compraventa de cartera suscrito con la sociedad COLECTORA LATINOAMERICANA DE CARTERA SA “LATAM” identificada con Nit. 900.480.391-8., junto con el anexo en el que se incluya la cesión del crédito de la señora XXXXXXXXXXXXXXXXXXXXXX identificada con C.C

N° XXXXXXX.

7.4. Incorporar al expediente 23-280100 el print de pantalla, tomado de la url: https://www.citisumma.com/ el día 10 de septiembre de 2025, donde se visualiza la “Política de privacidad de cobranzas” , en especial el correo

7.4. Incorporar al expediente 23-280100 el print de pantalla, tomado de la url: https://www.citisumma.com/ el día 10 de septiembre de 2025, donde se visualiza la “Política de privacidad de cobranzas” , en especial el correo electrónico a través del cual los titulares pueden ejercer sus derechos: contacto@summavalor.com.co.

ESPACIO EN BLANCO

33 23-280100. Consecutivo 29. Página 2. Folio 7 34 23-280100. Consecutivo 29. Página 2. Folio 7 35 Resolución Nº 75239 del 25 de septiembre de 2025 obrante en el expediente bajo radicado 23-280100RESOLUCIÓN NÚMERO 33883 DE 2026

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 6 de 40

OCTAVO: Que a la investigada le fue comunicada la Resolución N.º 75239 del 25 de septiembre de 2025 el mismo día de acuerdo con la certificación expedida por la Secretaria General AD HOC de esta Superintendencia, disponible a consecutivo 23-280100- -33 del expediente.

NOVENO: Que, mediante comunicación del 17 de octubre de 2025 con radicado 23 -280100- -00034 la sociedad CITI SUMMA S.A.S aportó las pruebas decretadas en la Resolución N.º 75239 del 25 de septiembre de 2025,

e informó lo siguiente:

9.1 Aportó el contrato de compraventa de cartera suscrito entre el BANCO

FALABELLA S.A y CITI SUMMA S.A.S36

e informó lo siguiente:

9.1 Aportó el contrato de compraventa de cartera suscrito entre el BANCO FALABELLA S.A y CITI SUMMA S.A.S36 9.2 Señaló que no cuenta con la autorización y el pagaré de la obligación , ya que fueron cedidos al nuevo acreedor, COLECTORA LATINOAMERICANA DE CARTERA S.A. (LATAM). Por esta razón, dichos documentos no pueden presentarse en este escrito, puesto que fueron entregados al momento de la cesión.37 9.3 Declaró que ocurrió un error gramatical, ya que no se trató de una compraventa de cartera entre la sociedad COLECTORA LATINOAMERICANA DE CARTERA SA LATAM y la investigada sino de una cesión de obligaciones a favor de “ LATAM”. Además, CITI SUMMA S.A.S manifiesta que está dispuesta a aportar la documentación adicional que se requiera.38 9.4 Afirmó que los correos con dominio summavalor.com no pertenecen a los canales oficiales de CITI SUMMA SAS . Aunque hubo un error material relacionado con el correo , este ya fue corregido y se aportó evidencia. En consecuencia, la entidad reitera que no tiene relación con ese dominio y solicita archivar las diligencias a su favor.39 9.5 Solicitó archivar las diligencias a favor de CITI SUMMA S.A.S , argumentando que no tiene vínculo con el dominio summavalor ni con la obligación de la titular , ya que esta fue cedida a COLECTORA LATINOAMERICANA DE CARTERA SA LATAM . Por lo cual, sostiene que no vulneró ningún derecho, al no ser el acreedor de la obligación ni haber incurrido en ninguna conducta reprochable.40

la obligación de la titular , ya que esta fue cedida a COLECTORA LATINOAMERICANA DE CARTERA SA LATAM . Por lo cual, sostiene que no vulneró ningún derecho, al no ser el acreedor de la obligación ni haber incurrido en ninguna conducta reprochable.40 9.6 Manifestó que se eliminaron los correos electrónicos que no pertenecían al dominio oficial de CITI SUMMA S.A.S y se dejaron únicamente los canales institucionales válidos. Además, se verificó su funcionamiento y se implementaron controles internos para asegurar que la información esté siempre actualizada y alineada con los datos oficiales de la empresa.41 9.7 Con base en lo anterior, la sociedad investigada aportó las siguientes pruebas que fueron incorporadas al expediente:

36 23-280100. Consecutivo 29. Página 7. Folio 2 37 23-280100. Consecutivo 34. Página 7. Folio 2 38 23-280100. Consecutivo 34. Página 7. Folio 2 39 23-280100. Consecutivo 34. Página 7. Folio 2, 3 40 23-280100. Consecutivo 34. Página 7. Folio 3 41 23-280100. Consecutivo 34. Página 7. Folio 3RESOLUCIÓN NÚMERO 33883 DE 2026

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 7 de 40

9.7.1 Capturas de pantalla del sitio web de CITI SUMMA S.A.S de la “Política de Privacidad de Cobranzas”. 42 9.7.2 Endoso en propiedad a CITI SUMMA S.A.S. de las obligaciones número

Página 7 de 40

9.7.1 Capturas de pantalla del sitio web de CITI SUMMA S.A.S de la “Política de Privacidad de Cobranzas”. 42 9.7.2 Endoso en propiedad a CITI SUMMA S.A.S. de las obligaciones número XXXXXXXX y XXXXXXXX por parte de BANCO FALABELLA S.A.43 9.7.3 Certificado de existencia y representación legal de CITI SUMMA S.A.S.44

9.7.4 CONTRATO DE COMPRAVENTA DE CARTERA CELEBRADO ENTRE

BANCO FALABELLA S.A. y CITI SUMMA S.A.S.45

DÉCIMO: Que, mediante oficio del 20 de noviembre de 2025 con radicado 23280100- -00035-001 este Despacho realizó traslado de alegatos de conclusión a la sociedad CITI SUMMA S.A.S.

DÉCIMO PRIMERO: Que mediante comunicación del 1 de diciembre de 2025 con radicado 23-280100- -00036 la representante legal de la sociedad CITI SUMMA S.A.S. solicitó acceso al expediente.

DÉCIMO SEGUNDO: Que mediante comunicación del 1 de diciembre de 2025 con radicado 23-280100- -00037 la sociedad CITI SUMMA S.A.S. aportó una comunicación en la que informa que no se le ha concedido acceso al expediente, razón por lo cual, no aportó los alegatos de conclusión.

DÉCIMO TERCERO: Que mediante oficio del 9 de diciembre de 2025 con radicado 23-280100- -38 este Despacho efectuó comunicación informando a la sociedad que se le concedió acceso al expediente a la representante legal de la sociedad CITI SUMMA S.A.S.

radicado 23-280100- -38 este Despacho efectuó comunicación informando a la sociedad que se le concedió acceso al expediente a la representante legal de la sociedad CITI SUMMA S.A.S.

DÉCIMO CUARTO: Que mediante comunicación del 15 de diciembre de 2025 con radicado 23-280100- -00039 la sociedad CITI SUMMA S.A.S. aportó una comunicación en la que informa que no aún no ha podido acceder expediente razón por lo cual, no aportó los alegatos de conclusión.

DÉCIMO QUINTO: Que mediante oficio del 22 de diciembre de 2025 con radicado 23-280100- -40 este Despacho le informa a la sociedad CITI SUMMA S.A.S. que esta Dirección le concedió acceso al expediente a la persona jurídica el día 02 de diciembre de 2024; y a la Representante Legal como persona natural el 09 de diciembre de 2025 ambas vinculadas al correo electrónico de notificación judicial de la sociedad citisummasas@gmail.com, y se le comunican las instrucciones para realizar la consulta.

DÉCIMO SEXTO: Que, con posterioridad a la comunicación remitida el 22 de diciembre de 2025 con radicado 23-280100- -40 y pese a haberse concedido acceso al expediente a la sociedad CITI SUMMA S.A.S. y a su Representante Legal, la investigada guardó silencio y no presentó alegatos de conclusión.

DÉCIMO SÉPTIMO: Aclaraciones preliminares

17.1 Respecto al acceso al expediente digital

Es importante aclarar que este Despacho ha concedido acceso al expediente a la sociedad CITI SUMMA S.A.S desde el inicio de esta investigación, así como

DÉCIMO SÉPTIMO: Aclaraciones preliminares

17.1 Respecto al acceso al expediente digital

Es importante aclarar que este Despacho ha concedido acceso al expediente a la sociedad CITI SUMMA S.A.S desde el inicio de esta investigación, así como también se aprobó la petición de conceder acceso al expediente directamente a la Representante Legal, como persona natural mediante oficio del 9 de diciembre de 2025 con radicado 23-280100- -38, de manera que, no se ha vulnerado el derecho al debido proceso de la investigada en lo referente al acceso al expediente, puesto que en varias oportunidades se le informó las instrucciones paso a paso para realizar la consulta del mismo.

42 23-280100. Consecutivo 34. Página 2, 3 43 23-280100. Consecutivo 34. Página 4 44 23-280100. Consecutivo 34. Página 5 45 23-280100. Consecutivo 34. Página 6RESOLUCIÓN NÚMERO 33883 DE 2026

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 8 de 40

Tan es así que, mediante oficio de fecha 22 de diciembre de 2025, con radicado 23-280100- -40, se le informó sobre todos los accesos que le fueron concedidos a CITI SUMMA S.A.S para consultar el expediente. No obstante, con posterioridad a dicha comunicación la sociedad no se ha pronunciado en ningún sentido, razón por la cual este Despacho procede a continuar con la siguiente etapa procesal.

DÉCIMO OCTAVO: Competencia de la Superintendencia de Industria y

Comercio

sentido, razón por la cual este Despacho procede a continuar con la siguiente etapa procesal.

DÉCIMO OCTAVO: Competencia de la Superintendencia de Industria y

Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO NOVENO: Análisis del caso

19.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 46, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a:

a) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma norma. b) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 4° y los artículos 14 y 15 de la misma norma. c) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los

46 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 33883 DE 2026

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 9 de 40

escritos de descargos y los alegatos de conclusión, así como el conjunto de

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 9 de 40

escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente.

19.2 Valoración probatoria y conclusiones

19.2.1 Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias

Deber que se deriva del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma norma, que preceptúan lo siguiente:

Ley 1581 de 2012

“Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)

Artículo 4°. Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

g) Principio de seguridad : La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los re gistros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”

Sobre el principio establecido en el literal g) del artículo 4 de la Ley 1581 de 2012, la Corte Constitucional en la sentencia C-748 de 2011 señaló:

"De este principio [de seguridad] se deriva entonces la responsabilidad que recae en el administrador del dato . El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto "diluvio de datos", a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior(sic) transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. (...) Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre."47 (negrita añadida)

lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre."47 (negrita añadida)

47 Corte Constitucional. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Considerando 2.6.5.5.7RESOLUCIÓN NÚMERO 33883 DE 2026

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 10 de 40

En este sentido, esta Dirección encontró preliminarmente