SIC - Resolución 9087 de 2025

Página 1 de 4

RESOLUCIÓN NÚMERO ________9087_________ DE 2025

(28 de febrero 2025)

“Por la cual se resuelve un recurso de apelación”

Radicado 24-242847

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que la Dirección de investigaciones de protección de datos personales (en adelante la Dirección) el 6 de junio de 2024, mediante oficio No. 24-242847-0, le solicitó al Grupo de Trabajo de investigaciones administrativas iniciar una actuación en contra de la sociedad LA DE LAS AMERICAS S.A.S., al evidenciar que, pese a ser sujeto obligado, no realizó el registro de sus bases de datos en el Registro Nacional de Bases de Datos - RNBD.

SEGUNDO. Que, la Dirección consideró, que la sociedad cumple con los requisitos establecidos en el literal a) del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado a su vez por el artículo 1 del Decreto 090 del 18 de enero de 2018, por lo que, al ser un sujeto obligado, omitió registrar sus bases de datos en el Registro Nacional de Bases de Datos dentro de los plazos establecidos. Por lo tanto, se encontró procedente impartir una orden preventiva

de 2018, por lo que, al ser un sujeto obligado, omitió registrar sus bases de datos en el Registro Nacional de Bases de Datos dentro de los plazos establecidos. Por lo tanto, se encontró procedente impartir una orden preventiva mediante la Resolución No. 34718 del 28 de junio de 2024, de la siguiente manera:

“ARTÍCULO 1: ORDENAR a LA DE LAS AMERICAS S.A.S., identificada con NIT 900.485.177-0, en su calidad de Responsable del Tratamiento de Datos Personales, que realice la inscripción en el Registro Nacional de Bases de DatosRNBD de las bases de datos que contengan inform ación personal cuyo Tratamiento automatizado o manual sea realizado por esa entidad.

PARÁGRAFO PRIMERO: LA DE LAS AMERICAS S.A.S., deberá cumplir lo ordenado en esta resolución en el término de UN (1) mes, siguiente a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO: LA DE LAS AMERICAS S.A.S., deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) días hábiles siguientes a la expiración del plazo previsto en el parágrafo anterior.”

TERCERO. Que, encontrándose dentro del término de Ley, la sociedad LA DE LAS AMERICAS S.A.S. (en adelante la RECURRENTE), mediante escrito radicado con el número 24-242847-7 de fecha 23 de julio de 2024, a través de su representante legal , presentó recurso de reposición y en subsidio de apelación1 en contra de la decisión contenida en la Resolución No. 34718 del 28

radicado con el número 24-242847-7 de fecha 23 de julio de 2024, a través de su representante legal , presentó recurso de reposición y en subsidio de apelación1 en contra de la decisión contenida en la Resolución No. 34718 del 28 de junio de 2024. Solicitó la revocatoria de la orden impartida, alegando que la sociedad no está obligada a registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), puesto que subcontrató un tercero para la ejecución de las actividades comerciales.

1 La Resolución No. 34718 del 28 de junio de 2024, fue notificada personalmente la sociedad LA DE LAS AMERICAS S.A.S. el 12 de julio de 2024.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO ________9087_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 2 de 4

CUARTO. Decisión del Recurso de Reposición. Que la Dirección, mediante Resolución No. 70967 del 21 de noviembre de 2024, resolvió el recurso de reposición interpuesto confirmando en todas sus partes la Resolución No. 34718 del 28 de junio de 2024.

Lo anterior, al encontrar que LA DE LAS AMÉRICAS S.A.S. cumple con los requisitos que señala el artículo 2.2.2.26.3.1. del Decreto 1074 de 2015, lo cual implica que se encuentra obligada a registrar información sobre sus bases de datos en el RNBD y, en consecuencia, también se encuentra obligada a cumplir lo ordenado en la Resolución impugnada N.° 34718 del 28 de junio de 2024 expedida por esta Dirección.

datos en el RNBD y, en consecuencia, también se encuentra obligada a cumplir lo ordenado en la Resolución impugnada N.° 34718 del 28 de junio de 2024 expedida por esta Dirección.

QUINTO. Que, de conformidad con lo establecido en el artículo 80 del CPACA, se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes

consideraciones:

5.1. Competencia de la Delegatura para la Protección de Datos Personales para resolver el recurso de apelación.

De conformidad con lo dispuesto en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), este Despacho es competente para pronunciarse sobre el recurso de apelación formulado por la sociedad LA DE LAS AMERICAS S.A.S. en el asunto de la referencia.

5.2. Del Recurso de Apelación:

Respecto a que la sociedad recurrente no está obligada a registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD).

La RECURRENTE, en su escrito de reposición y, en subsidio, de apelación, manifiesta su inconformidad con la orden impartida, argumentando que no es sujeto obligado a registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD). Asegura que subcontrató a un tercero para la ejecución de las actividades comerciales.

Frente a lo expuesto, se debe recordar que la Ley 1581 de 2012 en su artículo 25 define el Registro Nacional de Bases de datos como un directorio público de las bases de datos sujetas a tratamiento que operan en el país.

“Artículo 25. Definición. El Registro Nacional de Bases de Datos es el

25 define el Registro Nacional de Bases de datos como un directorio público de las bases de datos sujetas a tratamiento que operan en el país.

“Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consu lta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.”

El artículo 2.2.2.26.1.2 del Decreto 1074 de 2015 dispone a su vez que las sociedades y entidades sin ánimo de lucro cuyos activos totales superen las 100.000 UVT están obligadas a registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD). Asimismo, el artículo 2.2.2.26.3.1 del Decreto Único Reglamenta rio 1074 de 2015 establece que la obligación de efectuar el registro recae sobre los responsables del tratamiento.

De esta manera, la normativa exige el cumplimiento de dos requisitos para que una sociedad esté obligada a registrar sus bases de datos en el RNBD: (i) ser responsable del tratamiento y (ii) contar con activos totales que excedan las 100.000 UVT.

Ahora bien, en el caso bajo estudio se encuentra que la RECURRENTE indicó

una sociedad esté obligada a registrar sus bases de datos en el RNBD: (i) ser responsable del tratamiento y (ii) contar con activos totales que excedan las 100.000 UVT.

Ahora bien, en el caso bajo estudio se encuentra que la RECURRENTE indicó que “si bien, el objeto social de la sociedad es el de realizar actividades hotelerasRESOLUCIÓN NÚMERO ________9087_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 3 de 4

y de turismo, la sociedad no ha tenido una operación directa para la recepción de huéspedes en sus instalaciones ”, en este sentido, sostiene que no está obligada a registrar sus bases de datos en el RNBD argumentando que las actividades comerciales no son gestionadas directamente por ella , puesto que fueron subcontratadas a un tercero encargado de la captación de clientes, la comercialización, la contratación y la recepción de pagos, motivo por el cual asegura no tener relación directa con los clientes. Adi cionalmente, señala que el bien inmueble fue arrendado a otra entidad, la cual actualmente se encarga de la explotación comercial del inmueble.

En este punto, la definición del responsable del tratamiento contenida en el literal e) del artículo tercero de la Ley 1581 del 2012 es muy clara al señalar que:

“Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por:

(…)

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; (…)”

por:

(…)

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; (…)”

Así las cosas, de conformidad con la definición legal, el responsable del tratamiento es quién decide por sí mism o sobre las bases de datos y su contenido, por lo tanto, le son exigibles los deberes consagrados en el artículo 17 de la Ley 1581 de 2012.

Para esta Delegatura, del hecho de que la sociedad recurrente subcontrate las actividades comerciales y tenga en arrendamiento el bien inmueble, no se sigue que la misma pierda la calidad de responsable del tratamiento. Por el contrario, el hecho de que la RECURRENTE afirme que subcontrata las actividades comerciales, es la prueba de que funge como responsable. El hecho de subcontratar no la exime de las responsabilidades propias de la actividad subcontratada en relación con el tratamiento de datos personales.

Es importante resaltar que la RECURRENTE no cuestiona la decisión en relación con los activos totales correspondientes a más de 100.000 UVT, así como tampoco manifiesta carecer de bases de datos con datos personales, solo se limita a sostener que no las administra directamente, circunstancia que no la exime de cumplir con la obligación de inscribirlas en el RNBD.

De acuerdo con lo anterior, es claro para esta Delegatura que la sociedad LA DE LAS AMERICAS S.A.S. está en el supuesto de hecho regulado en el artículo 2.2.2.26.3.1. del Decreto 1074 de 2015, por lo que se encuentra obligada a registrar información sobre sus bases de datos en el RNBD y se encuentra

2.2.2.26.3.1. del Decreto 1074 de 2015, por lo que se encuentra obligada a registrar información sobre sus bases de datos en el RNBD y se encuentra también obligada a cumplir lo ordenado en la Resolución impugnada.

Por las razones antes expuestas, este Despacho procederá a confirmar lo ordenado mediante la Resolución No. 34718 del 28 de junio de 2024.

En mérito de lo expuesto,

RESUELVE:

ARTÍCULO 1. CONFIRMAR la Resolución No. 34718 del 28 de junio de 2024, de conformidad con lo establecido en la parte motiva del presente acto administrativo.

ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución, a la sociedad LA DE LAS AMERICAS S.A.S. identificada con Nit. 900.485.177-0, a través de su representante legal o apoderado, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.RESOLUCIÓN NÚMERO ________9087_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 4 de 4

ARTÍCULO 3. INFORMAR el contenido de la presente resolución a la Dirección de Investigaciones, y devolverle el expediente para su custodia final.

NOTIFÍQUESE, Y CÚMPLASE

Dada en Bogotá D.C., 28 de febrero 2025.

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

JUAN CARLOS UPEGUI MEJÍA

Proyectó: AVJ

Revisó: JCU

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

JUAN CARLOS UPEGUI MEJÍA

Proyectó: AVJ

Revisó: JCU

Aprobó: JCU

NOTIFICACIÓN

Nombre: LA DE LAS AMERICAS S.A.S.

Identificación: NIT. 900.485.177-0

Representante Legal: ADRIANA PATRICIA HERNANDEZ ALEAN

Identificación: C.C. 33.104.392

Dirección: Carrera 8 A 8 - 35 CLL 34 Av Venezuela Edif Citibank

Ofic 5b Ciudad: Cartagena – Bolívar Correo electrónico: adm.ldlamericas@gmail.com hernandezalean@gmail.com