SIC - Resolución 9377 de 2026

Página 1 de 21

RESOLUCIÓN NÚMERO 9377 DE 2026

(12 de febrero de 2026)

“Por la cual se impone una sanción administrativa”

Radicación 25-371085

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que la sociedad DEWAR DE COLOMBIA S.A.S. , con NIT. 900.793.969-8, reportó ante este Despacho, a través del radicado N.° 18175833 del 1 de julio de 2018, un incidente de seguridad, informando sobre una posible vulneración al Régimen General de Protección de Datos Personales.

SEGUNDO: Que, teniendo en cuenta el incidente de seguridad reportado, esta Dirección, impartió mediante la Resolución N.° 85277 del 30 de noviembre de 2022, las siguientes órdenes administrativas a la sociedad DEWAR DE

COLOMBIA S.A.S., con NIT 900.793.969-8:

“ARTÍCULO PRIMERO: ORDENAR a la sociedad DEWAR DE COLOMBIA S A S que documente, implementar medidas y procedimientos para la adecuación de sus operaciones frente a las disposiciones de la Ley 1581 de 2012, las cuales deberán contener como mínimo los siguientes estándares:

1. Mejorar o robustecer las medidas de seguridad que ha implementado a la fecha

operaciones frente a las disposiciones de la Ley 1581 de 2012, las cuales deberán contener como mínimo los siguientes estándares:

1. Mejorar o robustecer las medidas de seguridad que ha implementado a la fecha de expedición de la presente resolución para garantizar la seguridad de los Datos personales, evitando su: i) acceso no autorizado o fraudulento; ii) uso no autorizado o fraudulen to; iii) consulta no autorizada o fraudulenta; iv) adulteración o v) pérdida.

2. Desarrollar, implementar y/o mantener un programa de gestión y manejo de incidentes de seguridad en Datos personales, que contemple procedimiento para información sin dilación indebida a esta Superintendencia de Industria y Comercio y a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, integridad y disponibilidad de los Datos personales.

3. Poner en marcha un sistema de monitoreo permanente para verificar si, en la práctica, sus medidas de seguridad son útiles, suficientes o si están funcionando correctamente. En caso que ello no sea así, adoptar las medidas necesarias para garantizar la seguridad de la información.

ARTÍCULO SEGUNDO: La sociedad DEWAR DE COLOMBIA S A S deberá cumplir lo ordenado en esta resolución dentro de los tres (3) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad que acredite que se han reforzado las medidas de seguridad de la información.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 9377 DE 2026

“Por la cual se impone una sanción administrativa”

Página 2 de 21

se han reforzado las medidas de seguridad de la información.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 9377 DE 2026

“Por la cual se impone una sanción administrativa”

Página 2 de 21

PARÁGRAFO SEGUNDO: Advertir que el incumplimiento de la presente orden dar lugar a multas institucionales o personales hasta dos mil (2000) salarios mínimos legales mensuales y, según el caso, a sanciones disciplinarias.”1

TERCERO: Que, la Resolución N.° 85277 del 30 de noviembre de 2022 le fue notificada a la investigada mediante aviso N.º 33931 el día 13 de diciembre de 2022, según consta en la certificación expedida por Secretaría General AD-HOC de esta Superintendencia bajo radicado N.° 18 -175833- -6 de fecha de 16 de diciembre de 2022.

CUARTO: Que, vencido el término establecido en el artículo segundo de la Resolución N.° 85277 del 30 de noviembre de 2022 , la sociedad DEWAR DE COLOMBIA S.A.S., con NIT. 900.793.969 -8 guardó silencio y no acreditó el cumplimiento de las órdenes impartidas por este Despacho.

QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre pro tección de datos personales, el 15 de agosto de 2025 , se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 58963 por medio de la cual, se formuló cargos en contra de la sociedad

sobre pro tección de datos personales, el 15 de agosto de 2025 , se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 58963 por medio de la cual, se formuló cargos en contra de la sociedad DEWAR DE COLOMBIA S.A.S. , con NIT. 900.793.969 -8, por la presunta infracción de lo dispuesto en:

• El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 21 de la misma norma.

SEXTO: Que, la Resolución N.° 58963 del 15 de agosto de 2025 le fue notificada a la sociedad investigada mediante notificación electrónica el 15 de agosto de 2025, de conformidad con la certificación con número de radicado 25-371085- - 4 de fecha de 19 de agosto de 2025, expedida por la Secretaría General AD-HOC de esta Superintendencia.

SÉPTIMO: Que, dentro del término establecido para el efecto, la sociedad DEWAR DE COLOMBIA S.A.S. allegó, el 3 de septiembre de 2025, a través de su representante legal, escrito de descargos bajo consecutivo N.° 25-371085- - 5, en el cual expuso, entre otros argumentos, los siguientes:

7.1. La sociedad afirm ó que siempre ha actuado con diligencia, buena fe y transparencia en el tratamiento de datos personales. Señala que, desde 2018, implementó un plan integral de cumplimiento en protección de datos basado en estándares nacionales e internacionales, el cual ha mantenido actualizado. Dicho plan incluyó un programa para la gestión de incidentes de seguridad, la designación formal de un ingeniero de sistemas con funciones definidas y la realización de capacitaciones periódicas para todos

basado en estándares nacionales e internacionales, el cual ha mantenido actualizado. Dicho plan incluyó un programa para la gestión de incidentes de seguridad, la designación formal de un ingeniero de sistemas con funciones definidas y la realización de capacitaciones periódicas para todos sus funcionarios2.

7.2. La sociedad sostiene que ha fortalecido su sistema de gestión de seguridad de la información mediante controles que aseguran la confidencialidad, integridad y disponibilidad de los datos. Afirma haber implementado un sistema de monitoreo eficiente, conform e a la Ley 1581 de 2012 y a su “Programa de Gestión y Manejo de Incidentes de Seguridad ”. Entre las medidas adoptadas destaca: la implementación de una política de tratamiento desde 2016, un programa detallado para la gestión y reporte de incidentes, capacitaciones continuas a sus funcionarios, auditorías internas y externas para verificar el cumplimiento normativo y sistemas de monitoreo permanente orientados a la mejora continua3.

1 Resolución N.° 85277 del 30 de noviembre de 2022. Folio 5. 2 Expediente digital. Consecutivo número 5. Página 3. Folio 1. 3 Expediente digital. Consecutivo número 5. Página 3. Folios 1 a 2.RESOLUCIÓN NÚMERO 9377 DE 2026

“Por la cual se impone una sanción administrativa”

Página 3 de 21

7.3. La sociedad afirmó que desde la expedición de la Resolución N.º 85277 de 2022, no se ha presentado ningún incidente que afecte la integridad, confidencialidad o disponibilidad de sus bases de datos, lo que evidencia la eficacia de su sistema de seguridad de la información4.

2022, no se ha presentado ningún incidente que afecte la integridad, confidencialidad o disponibilidad de sus bases de datos, lo que evidencia la eficacia de su sistema de seguridad de la información4.

7.4. La sociedad señal ó que la discusión no versa sobre la inexistencia de medidas de cumplimiento, sino exclusivamente sobre la no remisión oportuna de la certificación formal exigida, omisión de naturaleza administrativa que no puede asimilarse a un incumplimiento sustantivo de sus deberes legales, máxime cuando las medidas ordenadas fueron efectivamente implementadas y se encuentran en pleno funcionamiento.

En este sentido, la sociedad enfatizó que DEWAR DE COLOMBIA S.A.S. no solo acató las instrucciones impartidas por la autoridad de control, sino que avanzó en la consolidación de un proceso de mejora continua orientado a garantizar la protección integral de los datos per sonales bajo su responsabilidad5.

7.5. La sociedad invocó el principio de proporcionalidad al señalar que no existe daño real ni riesgo efectivo para los titulares, y que ha demostrado contar con políticas, protocolos y prácticas que reflejan una cultura organizacional comprometida con la protección de datos personales6.

7.6. La sociedad solicita respetuosamente a la Superintendencia de Industria y Comercio que, al valorar su actuación, reconozca el cumplimiento material de las obligaciones legales y de las órdenes impartidas media nte la Resolución N.° 85277 del 30 de noviembre de 2022, y archive la presente actuación administrativa7.

7.7. Subsidiariamente, y únicamente en el evento en que se llegare a considerar la existencia de una infracción de carácter formal, la sociedad solicita que

actuación administrativa7.

7.7. Subsidiariamente, y únicamente en el evento en que se llegare a considerar la existencia de una infracción de carácter formal, la sociedad solicita que la Superintendencia valore la buena fe, la diligencia debida y la reiterada cultura de cumplimiento demo strada por Dewar, circunstancias que constituyen atenuantes expresamente reconocidos en el artículo 24 de la Ley 1581 de 2012 y que deben ser tenidos en cuenta para la graduación de cualquier medida que eventualmente pudiera imponerse8.

Para sustentar sus argumentos la sociedad aportó, entre otros, los siguientes documentos:

• El "Programa de Gestión y Manejo de Incidentes de Seguridad"9. - Certificación de Cumplimiento de Órdenes Administrativas - Radicado 2537108510.

OCTAVO: Que mediante Resolución N.° 85939 de 23 de octubre de 2025, ésta Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 25-371085, con el valor legal correspondiente:

8.1. Memorando de traslado11.

8.2. Constancia del reporte del incidente de seguridad presentado ante esta Entidad por la sociedad DEWAR DE COLOMBIA S.A.S. bajo radicado 1817583312.

4 Expediente digital. Consecutivo número 5. Página 3. Folio 2. 5 Expediente digital. Consecutivo número 5. Página 3. Folio 2. 6 Expediente digital. Consecutivo número 5. Página 3. Folio 2. 7 Expediente digital. Consecutivo número 5. Página 3. Folio 2.

5 Expediente digital. Consecutivo número 5. Página 3. Folio 2. 6 Expediente digital. Consecutivo número 5. Página 3. Folio 2. 7 Expediente digital. Consecutivo número 5. Página 3. Folio 2. 8 Expediente digital. Consecutivo número 5. Página 3. Folios 2 a 3. 9 Expediente digital. Consecutivo número 5. Página 6. 10 Expediente digital. Consecutivo número 5. Página 2. 11 Expediente digital. Consecutivo número 0. Página 1. 12 Expediente digital. Consecutivo número 0. Página 2. Folios 1 a 2.RESOLUCIÓN NÚMERO 9377 DE 2026

“Por la cual se impone una sanción administrativa”

Página 4 de 21

8.3. Constancia del reporte del incidente de seguridad presentado ante esta Entidad por la sociedad DEWAR DE COLOMBIA S.A.S. bajo radicado 1817583413.

8.4. Resolución N.° 85277 de 30 de noviembre de 2022, “ Por la cual se imparten ordenes administrativas”14.

8.5. Citación de notificación de la Resolución N.° 85277 de 30 de noviembre de 2022 bajo radicado N.° 18-175833- -2 de fecha de 1 de diciembre de 202215.

8.6. El acuse de recibo del correo electrónico certificado remitido bajo radicado 18-175833- -2, junto con el acta de envío y entrega correspondiente, expedida por la sociedad LLEIDA S.A.S. aliado de 4-7216.

18-175833- -2, junto con el acta de envío y entrega correspondiente, expedida por la sociedad LLEIDA S.A.S. aliado de 4-7216.

8.7. Citación de notificación por aviso de la Resolución N.° 85277 de 30 de noviembre de 2022 bajo radicado N.° 18 -175833- -4 de fecha de 12 de diciembre de 202217.

8.8. El acuse de recibo del correo electrónico certificado remitido bajo radicado 18-175833- -4, junto con el acta de envío y entrega correspondiente, expedida por la sociedad LLEIDA S.A.S. aliado de 4-7218.

8.9. Certificación de notificación emitida por la Secretaria General Ad -Hoc de la Superintendencia de Industria y Comercio de fecha de 16 de diciembre de 2022 bajo radicado 18-175833- -619.

8.10. Descargos presentados por la sociedad DEWAR DE COLOMBIA S.A.S. el 3 de septiembre de 202520; donde se aportan los siguientes anexos:

8.10.1. Certificación de cumplimiento de la Resolución N.° 85277 de 30 de noviembre de 202221. 8.10.2. Escrito de descargos22. 8.10.3. Estados financieros de la sociedad DEWAR DE COLOMBIA S.A.S. de los años 2023-202223. 8.10.4. Estados financieros de la sociedad DEWAR DE COLOMBIA S.A.S. de los años 2022-202124. 8.10.5. Programa de Gestión y Manejo de Incidentes de Seguridad25.

8.10.4. Estados financieros de la sociedad DEWAR DE COLOMBIA S.A.S. de los años 2022-202124. 8.10.5. Programa de Gestión y Manejo de Incidentes de Seguridad25. 8.10.6. Estados financieros de la sociedad DEWAR DE COLOMBIA S.A.S. de los años 2024-202326.

NOVENO: Que, la Resolución N.° 85939 de 23 de octubre de 2025 le fue comunicada a la sociedad investigada el 23 de octubre de 2025; de acuerdo con la certificación expedida por la Secretaría General AD -HOC de esta Superintendencia, obrante en el expediente, bajo el radicado N.º 25-371085- - 9 de fecha de 28 de octubre de 2025.

13 Expediente digital. Consecutivo número 0. Página 2. Folios 3 a 4. 14 Expediente digital. Consecutivo número 0. Página 2. Folios 5 a 10. 15 Expediente digital. Consecutivo número 0. Página 2. Folio 11. 16 Expediente digital. Consecutivo número 0. Página 2. Folios 12 a 16. 17 Expediente digital. Consecutivo número 0. Página 2. Folio 17. 18 Expediente digital. Consecutivo número 0. Página 2. Folios 18 a 22. 19 Expediente digital. Consecutivo número 0. Página 2. Folio 23. 20 Expediente digital. Consecutivo número 5. 21 Expediente digital. Consecutivo número 5. Página 2. 22 Expediente digital. Consecutivo número 5. Página 3. 23 Expediente digital. Consecutivo número 5. Página 4. 24 Expediente digital. Consecutivo número 5. Página 5.

22 Expediente digital. Consecutivo número 5. Página 3. 23 Expediente digital. Consecutivo número 5. Página 4. 24 Expediente digital. Consecutivo número 5. Página 5. 25 Expediente digital. Consecutivo número 5. Página 6. 26 Expediente digital. Consecutivo número 5. Página 7.RESOLUCIÓN NÚMERO 9377 DE 2026

“Por la cual se impone una sanción administrativa”

Página 5 de 21

DÉCIMO: Que la sociedad DEWAR DE COLOMBIA S.A.S. presentó, a través de su representante legal, escrito de alegatos de conclusión bajo radicado N.° 25-371085- -10, en el cual reiteró los argumentos expuestos en su escrito de descargos.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y

Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso

12.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 27, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la

sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones d efinidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 21 de la misma norma.

En ese orden de ideas, corresponde a este Despacho determinar si la conducta desplegada por la investigada amerita o no la imposición de una sanción, para lo cual se tendrá en cuenta el escrito de descargos, el escrito de alegatos presentado por la sociedad y el conjunto de pruebas obrantes en el expediente.

12.2 Valoración probatoria

12.2.1 Respecto del deber de cumplir las instrucciones y requerimientos

presentado por la sociedad y el conjunto de pruebas obrantes en el expediente.

12.2 Valoración probatoria

12.2.1 Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio

Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente:

“Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

27 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 9377 DE 2026

“Por la cual se impone una sanción administrativa”

Página 6 de 21

(…)

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.”

Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente:

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

(…)

f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.”

En esta medida, es claro que los Responsables deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

información que sea necesaria para el ejercicio efectivo de sus funciones.”

En esta medida, es claro que los Responsables deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

En el presente caso, la sociedad DEWAR DE COLOMBIA S.A.S. , con NIT. 900.793.969-8, reportó ante este Despacho, a través del radicado N.° 18175833 del 1 de julio de 2018, la ocurrencia de un incidente de seguridad respecto a la base de datos denominada EMPLEADOS28.

Debido al incidente de seguridad reportado, la Dirección de Investigación de Protección de Datos Personales mediante Resolución N.° 85277 del 30 de noviembre de 2022 impartió a la sociedad DEWAR DE COLOMBIA S.A.S., con NIT. 900.793.969-8, las siguientes órdenes administrativas:

“ARTÍCULO PRIMERO: ORDENAR a la sociedad DEWAR DE COLOMBIA S A S que documente, implementar medidas y procedimientos para la adecuación de sus operaciones frente a las disposiciones de la Ley 1581 de 2012, las cuales deberán contener como mínimo los siguientes estándares:

1. Mejorar o robustecer las medidas de seguridad que ha implementado a la fecha de expedición de la presente resolución para garantizar la seguridad de los Datos personales, evitando su: i) acceso no autorizado o fraudulento; ii) uso no autorizado o fraudulento; iii) consulta no autorizada o fraudulenta; iv) adulteración o v) pérdida.

2. Desarrollar, implementar y/o mantener un programa de gestión y manejo de incidentes de seguridad en Datos personales, que contemple procedimiento

adulteración o v) pérdida.

2. Desarrollar, implementar y/o mantener un programa de gestión y manejo de incidentes de seguridad en Datos personales, que contemple procedimiento para información sin dilación indebida a esta Superintendencia de Industria y Comercio y a los Titulares de los mismos cuando se presenten incidentes que afecten la confidencialidad, integridad y disponibilidad de los Datos personales.

3. Poner en marcha un sistema de monitoreo permanente para verificar si, en la práctica, sus medidas de seguridad son útiles, suficientes o si están funcionando correctamente. En caso que ello no sea así, adoptar las medidas necesarias para garantizar la seguridad de la información.

ARTÍCULO SEGUNDO: La sociedad DEWAR DE COLOMBIA S A S deberá cumplir lo ordenado en esta resolución dentro de los tres (3) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad que acredite que se han reforzado las medidas de seguridad de la información.

28 Expediente digital. Consecutivo número 0. Página 2. Folio 1RESOLUCIÓN NÚMERO 9377 DE 2026

“Por la cual se impone una sanción administrativa”

Página 7 de 21

PARÁGRAFO SEGUNDO: Advertir que el incumplimiento de la presente orden dar lugar a multas institucionales o personales hasta dos mil (2000) salarios mínimos legales mensuales y, según el caso, a sanciones disciplinarias.”29

La Resolución N.° 85277 del 30 de noviembre de 2022 fue notificada a la

lugar a multas institucionales o personales hasta dos mil (2000) salarios mínimos legales mensuales y, según el caso, a sanciones disciplinarias.”29

La Resolución N.° 85277 del 30 de noviembre de 2022 fue notificada a la investigada mediante Aviso N.° 33931, el 13 de diciembre de 2022. Conforme a la certificación expedida por la sociedad LEIDA S.A.S., aliada de 4 -72, el aviso de notificación de la Reso lución mencionada fue remitido al correo electrónico “abg@bbhh.com.co” y recibido por la sociedad el 12 de diciembre de 2022, según se evidencia a continuación:

Así, se evidencia que la Resolución N.° 85277 del 30 de noviembre de 2022 fue notificada a la investigada mediante aviso N.° 33931 el día 13 de diciembre de 2022 según consta en la certificación expedida por Secretaría General AD -HOC de esta Superintendencia bajo radicado N.° 18-175833- -6.

Con base en lo anterior, se tiene que el término que tenía la investigada para interponer los recursos de ley vencía el 27 de diciembre del 2022, de modo que la Resolución en cuestión quedó en firme a partir del 28 de diciembre del 2022.

En consecuencia, dado que dicho acto administrativo otorgaba un plazo de tres (3) meses contados a partir de su ejecutoria para dar cumplimiento a las órdenes impartidas, se concluye que la sociedad tenía plazo hasta el 28 de marzo de 2023.

No obstante, ante la falta de acreditación de cumplimiento de las órdenes impartidas la Dirección de Investigaciones de Protección de Datos Personales de

impartidas, se concluye que la sociedad tenía plazo hasta el 28 de marzo de 2023.

No obstante, ante la falta de acreditación de cumplimiento de las órdenes impartidas la Dirección de Investigaciones de Protección de Datos Personales de esta Superintendencia, mediante Resolución N.° 58963 del 15 de agosto de 2025, procedió a formular pliego de cargos en contra de la sociedad investigada, por la presunta infracción de lo previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 21 de la misma norma, toda vez que “la investigada guardó silencio y no acreditó dentro del término legal el cumplimiento de las órdenes admini strativas impartidas en la Resolución N.° 85277 del 30 de noviembre de 2022.”30

Al respecto, el 3 de septiembre de 2025 la sociedad DEWAR DE COLOMBIA S.A.S. allegó a través de su representante legal, escrito de descargos bajo consecutivo N.° 25-371085- -5, argumentando:

29 Resolución N.° 85277 del 30 de noviembre de 2022. Folio 5. 30 Resolución N.° 58963 del 15 de agosto de 2025. Folio 4.RESOLUCIÓN NÚMERO 9377 DE 2026

“Por la cual se impone una sanción administrativa”

Página 8 de 21

Primero, la sociedad afirma que siempre ha actuado con diligencia, buena fe y transparencia en el tratamiento de datos personales. Señala que, desde 2018, implementó un plan integral de cumplimiento en protección de datos basado en

Página 8 de 21

Primero, la sociedad afirma que siempre ha actuado con diligencia, buena fe y transparencia en el tratamiento de datos personales. Señala que, desde 2018, implementó un plan integral de cumplimiento en protección de datos basado en estándares nacionales e internacionales, el cual ha mantenido actualizado. Dicho plan incluyó un prog rama para la gestión de incidentes de seguridad, la designación formal de un ingeniero de sistemas con funciones definidas y la realización de capacitaciones periódicas para todos sus funcionarios31.

En relación con lo anterior, es preciso señalar que esta Dirección no cuestiona la buena fe, diligencia ni transparencia con las que afirma haber actuado en el tratamiento de los datos personales a su cargo. No obstante, la presente actuación administrativa se origina en el hecho de que, pese a la s órdenes impartidas mediante Resolución N.° 85277 del 30 de noviembre de 2022 , la sociedad omitió acreditar en la forma y dentro del plazo establecido el cumplimiento d e las órdenes impartidas . En consecuencia, el análisis desarrollado en e sta instancia no versa únicamente sobre la idoneidad o existencia de los mecanismos internos de cumplimiento alegados, sino que también abarca l a verificación formal y oportuna de su acreditación ante la autoridad de control, conforme a lo establecido en la Resolución.

Segundo, l a sociedad sostiene que ha fortalecido su sistema de gestión de seguridad de la información mediante controles que aseguran la confidencialidad, integridad y disponibilidad de los datos. Afirma haber implementado un sistema de monitoreo eficiente, conforme a la Ley 1581 de 2012 y a su “Programa de Gestión y Manejo de Incidentes de Seguridad”. Entre

confidencialidad, integridad y disponibilidad de los datos. Afirma haber implementado un sistema de monitoreo eficiente, conforme a la Ley 1581 de 2012 y a su “Programa de Gestión y Manejo de Incidentes de Seguridad”. Entre las medidas adoptadas destaca: la implementación de una política de tratamiento desde 2016, un programa detallado para la gestión y reporte de incidentes, capacitaciones continuas a sus funcionarios, auditorías internas y externas para verificar el cumplimiento normativo y sistemas de monitoreo permanente orientados a la mejora contin ua32. Para sustentar lo anterior la sociedad aportó, el " Programa de Gestión y Manejo de Incidentes de Seguridad"33, como se evidencia a continuación:

De acuerdo con el documento “Programa de Gestión y Manejo de Incidentes de Seguridad”34, aportado por la sociedad investigada, desde el año 2018 la entidad ha implementado y fortalecido diversas medidas de seguridad orientadas a robustecer la protección de la información a su cargo, entre las cuales se destacan:

(i) Una política de copias de seguridad robusta:

31 Expediente digital. Consecutivo número 5. Página 3. Folio 1. 32 Expediente digital. Consecutivo número 5. Página 3. Folios 1 a 2. 33 Expediente digital. Consecutivo número 5. Página 6. 34 Expediente digital. Consecutivo número 5. Página 6.RESOLUCIÓN NÚMERO 9377 DE 2026

“Por la cual se impone una sanción administrativa”

Página 9 de 21

● 2 backups diarios en Windows Server (local). ● 1 backup semanal en servidor externo NAS.

“Por la cual se impone una sanción administrativa”

Página 9 de 21

● 2 backups diarios en Windows Server (local). ● 1 backup semanal en servidor externo NAS. ● 1 copia interdiaria en Microsoft Azure como respaldo en la nube. ● 1 copia semanal en disco duro físico offline, desconectado de red local e internet (ii) L a implementación de una VPN corporativa, la cual permite a los colaboradores conectarse de manera segura desde sus hogares a la red de la entidad. (iii) En 2022, se eliminó el servidor físico on-premise y se realizó un proyecto de migración a Microsoft Azure, el cual incluyó: • Instalación limpia y depuración de datos. • Incremento de la escalabilidad y confiabilidad, así como reducción de costos de mantenimiento. • Monitoreo avanzado del tráfico y detección de intentos de intrusión, incluyendo ataques DDoS, fuerza bruta y accesos desde IPs extranjeras. • Establecimiento de políticas de seguridad, tales como: o Cambio anual de contraseñas para usuarios remotos. o Dos copias de seguridad diarias en Azure, almacenadas en discos independientes con retención de una semana. (iv) En enero de 2024, se dio la migración del ERP a la plataforma Odoo bajo la modalidad SaaS, lo que implicó un refuerzo adicional en términos de seguridad y respaldo: • Odoo provee la infraestructura, copias de seguridad y protocolos de protección necesarios. • El servidor en Azure quedó destinado únicamente para consulta histórica, permaneciendo apagado la mayor parte del tiempo y siendo activado solo bajo demanda.

• Odoo provee la infraestructura, copias de seguridad y protocolos de protección necesarios. • El servidor en Azure quedó destinado únicamente para consulta histórica, permaneciendo apagado la mayor parte del tiempo y sien