SIC - Resolución 9378 de 2026

Página 1 de 22

RESOLUCIÓN NÚMERO 9378 DE 2026

(12 de febrero de 2026)

“Por la cual se impone una sanción administrativa”

Radicación 25-231213

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Dirección mediante la Resolución N.º 81963 del 21 de noviembre de 2022, expedida dentro del expediente con radicación 21-90293, impartió la siguiente orden administrativa a la sociedad SIMBA SOFTWARE

S.A.S con Nit. 901.098.244-1:

“ARTÍCULO SEGUNDO : Ordenar a la sociedad SIMBA SOFTWARE S.A.S identificada con el Nit. 901.098.244 -1, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión. Las siguientes instrucciones:

• La sociedad SIMBA SOFTWARE S.A.S . debe implementar un procedimiento para informar independientemente de la naturaleza de los datos sean estos privados o públicos de manera previa al tratamiento las finalidades específicas y los derechos que les asisten a los titulares.

• La sociedad SIMBA SOFTWARE S.A.S . debe implementar un procedimiento para informar independientemente de la naturaleza de los datos sean estos privados o públicos de manera previa al tratamiento las finalidades específicas y los derechos que les asisten a los titulares.

• La sociedad SIMBA SOFTWARE S.A.S. deberá implementar un procedimiento de atención de consultas y reclamos, de los titulares respecto de las peticiones que reciba con relación a datos personales conforme a lo regulado por la Ley 1581 de 2012.”1

SEGUNDO: Que, la Resolución N.° 81963 del 21 de noviembre de 2022 fue notificada a la investigada mediante Aviso N. ° 32512 del 01 de diciembre de 2022, según consta en la certificación expedida por Secretaría General de esta Superintendencia con radicado N°. 21-90293- -34 de fecha del 06 de diciembre de 2022.2

TERCERO: Que, la investigada tenía la obligación de acreditar el cumplimiento de las órdenes impartidas en la Resolución N.º 81963 del 21 de noviembre de 2022, remitiendo a esta Superintendencia una certificación emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad, que acreditara que se habían implementado las medidas ordenadas como se indicó en el PARÁGRAFO PRIMERO del artículo SEGUNDO

así:

“PARÁGRAFO PRIMERO: La sociedad SIMBA SOFTWARE S.A.S identificada con el Nit. 901.098.244-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles

con el Nit. 901.098.244-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

1 25-231213. Pág. 4. Folio 55. 2 25-231213. Pág. 4. Folio 59.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 2 de 22

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los tema s que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.”

CUARTO: Que, vencido el término establecido en el parágrafo primero del artículo segundo de la Resolución N. º 81963 del 21 de noviembre de 2022, la sociedad SIMBA SOFTWARE S.A.S con Nit. 901.098.244-1, guardó silencio y no acreditó el cumplimiento de las órdenes impartidas por este Despacho.

QUINTO: Que mediante Resolución N.º 35540 del 11 de junio de 2025 la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa contra la sociedad SIMBA SOFTWARE S.A.S (en adelante, “la investigada”), identificada con Nit. 901.098.244-1, por la presunta violación de las normas sobre protección de datos personales, consagradas en

investigación administrativa contra la sociedad SIMBA SOFTWARE S.A.S (en adelante, “la investigada”), identificada con Nit. 901.098.244-1, por la presunta violación de las normas sobre protección de datos personales, consagradas en particular en literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la Ley 1581 de 2012.

En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.

SEXTO: Que la Resolución N.º 35540 del 11 de junio de 2025 se notificó mediante Aviso N ° 17348 a la sociedad SIMBA SOFTWARE S.A. S el 20 de junio de 2025, de conformidad con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia con radicación 25-231213- -6 del 24 de junio de 2025.

SÉPTIMO: Que la investigada, por conducto de su representante legal y por fuera del término establecido para el efecto, dio respuesta a la formulación de cargos mediante comunicación radicada bajo el No. 25-231213-7 del 15 de julio

de 2025, informando lo siguiente:

7.1 La sociedad afirmó que dio cumplimiento a la orden impartida en la Resolución N. ° 81963 del 21 de noviembre de 2022 y a portó pruebas para acreditar la implementación de las mismas.3

OCTAVO: Que mediante Resolución N.º 86511 del 24 de octubre de 2025, esta

Resolución N. ° 81963 del 21 de noviembre de 2022 y a portó pruebas para acreditar la implementación de las mismas.3

OCTAVO: Que mediante Resolución N.º 86511 del 24 de octubre de 2025, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 25-231213, consecutivos 0 a 7, con el valor legal que les corresponda, declarando agotada la etapa probatoria, y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Así pues, este Despacho incorporó las siguientes pruebas:

8.1 Resolución 81963 del 21 de noviembre de 2022.4 8.2 Comunicación de la Resolución 81963 del 21 de noviembre de 2022 bajo radicado 21-90293- -28.5 8.3 Citación de notificación de la Resolución 81963 del 21 de noviembre de 2022 al representante legal de la sociedad SIMBA SOFTWARE S.A.S. con radicado 21-90293- -29.6 8.4 Acuse correo electrónico certificado de la Resolución 81963 del 21 de noviembre de 2022 con radicado 21-90293- -30.7

3 25-231213. Consecutivo 7 4 25-231213. Consecutivo 0. Página 2. Folio 1 a 26 5 25-231213. Consecutivo 0. Página 2. Folio 27 6 25-231213. Consecutivo 0. Página 2. Folio 28 7 25-231213. Consecutivo 0. Página 3. Folio 1RESOLUCIÓN NÚMERO 9378 DE 2026

6 25-231213. Consecutivo 0. Página 2. Folio 28 7 25-231213. Consecutivo 0. Página 3. Folio 1RESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 3 de 22

8.5 Certificado de comunicación electrónica Email certificado, con Identificador del certificado: E90161601-S.8 8.6 Resolución 81963 del 21 de noviembre de 2022.9 8.7 Acuse correo electrónico certificado con radicado 21-90293- -31.10 8.8 Notificación por aviso de la Resolución 81963 del 21 de noviembre de 2022.11 8.9 Acuse correo electrónico certificado con radicado 21-90293- -33.12 8.10 Certificado de comunicación electrónica Email certificado. Identificador del certificado: E90928850-S13 8.11 Resolución 81963 del 21 de noviembre de 2022.14 8.12 Certificado de notificación de la Resolución 81963 del 21 de noviembre de 2022 expedido la Secretaria General Ad-Hoc con radicado 21-90293- -34.15 8.13 Comunicación de la investigada radicada el día 15 d e julio de 2025 25231213- -7.16

8.13.1 PROCEDIMIENTO EMISIÓN DE INFORMACIÓN AL TITULAR SOBRE

EL TRATAMIENTO DE DATOS PERSONALES de la sociedad SIMBA

SOFTWARE S.A.S..17 8.13.2 FORMATO DE AUTORIZACIÓN DE TRATAMIENTO DE DATOS PERSONALES de la sociedad SIMBA SOFTWARE S.A.S..18

EL TRATAMIENTO DE DATOS PERSONALES de la sociedad SIMBA

SOFTWARE S.A.S..17 8.13.2 FORMATO DE AUTORIZACIÓN DE TRATAMIENTO DE DATOS PERSONALES de la sociedad SIMBA SOFTWARE S.A.S..18 8.13.3 ESTADO DE SITUACIÓN FINANCIERA A 31 DE DICIEMBRE DE 2024 de la sociedad SIMBA SOFTWARE S.A.S..19 8.13.4 ESTADO DE RESULTADOS INTEGRALES A 31 DE DICIEMBRE DE 2024.20 8.13.5 Notas de información financiera a 31 de diciembre de 202421 8.13.6 Formato de consulta o reclamo de tratamiento de datos personales22

8.13.7 PROCEDIMIENTO EMISIÓN DE INFORMACIÓN AL TITULAR SOBRE

EL TRATAMIENTO DE DATOS PERSONALES.23

8.13.8 ESTADO DE SITUACIÓN FINANCIERA A 31 DE DICIEMBRE 2023.24

8.13.9 ESTADO DE RESULTADOS INTEGRAL A 31 DE DICIEMBRE 2023.25 8.13.10 ESTADO DE CAMBIOS EN EL PATRIMONIO A 31 DE DICIEMBRE 2023.26 8.13.11 NOTAS A LOS ESTADOS FINANCIEROS A 31 de diciembre de 202327

8.13.12 POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES.28

8.13.13 ESTADO DE SITUACIÓN FINANCIERA A 31 DE DICIEMBRE 2022.29

8.13.14 ESTADO DE RESULTADOS INTEGRAL A 31 DE DICIEMBRE 2022.30

8 25-231213. Consecutivo 0. Página 3. Folio 2 9 25-231213. Consecutivo 0. Página 3. Folio 2 a 55

8 25-231213. Consecutivo 0. Página 3. Folio 2 9 25-231213. Consecutivo 0. Página 3. Folio 2 a 55 10 25-231213. Consecutivo 0. Página 3. Folio 56 a 60 11 25-231213. Consecutivo 0. Página 4. Folio 1 12 25-231213. Consecutivo 0. Página 4. Folio 2 13 25-231213. Consecutivo 0. Página 4. Folio 3,4 14 25-231213. Consecutivo 0. Página 4. Folio 5 a 56 15 25-231213. Consecutivo 0. Página 4. Folio 59 16 25-231213. Consecutivo 7. Página 7 17 25-231213. Consecutivo 7. Página 2 18 25-231213. Consecutivo 7. Página 3 19 25-231213. Consecutivo 7. Página 4. Folio 2 20 25-231213. Consecutivo 7. Página 4. Folio 3 21 25-231213. Consecutivo 7. Página 4. Folio 4 a 26 22 25-231213. Consecutivo 7. Página 5 23 25-231213. Consecutivo 7. Página 6 24 25-231213. Consecutivo 7. Página 7. Folio 1 25 25-231213. Consecutivo 7. Página 7. Folio 2 26 25-231213. Consecutivo 7. Página 7. Folio 3 27 25-231213. Consecutivo 7. Página 7. Folio 4 a 13

26 25-231213. Consecutivo 7. Página 7. Folio 3 27 25-231213. Consecutivo 7. Página 7. Folio 4 a 13 28 25-231213. Consecutivo 7. Página 8 29 25-231213. Consecutivo 7. Página 9. Folio 2 30 25-231213. Consecutivo 7. Página 9. Folio 3RESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 4 de 22

8.13.15 ESTADO DE CAMBIOS EN EL PATRIMONIO A 31 DE DICIEMBRE

2022.31 8.13.16 ESTADO DE FLUJOS DE EFECTIVO. 32 8.13.17 NOTAS A LOS ESTADOS FINANCIEROS A 31 de diciembre de 202333 8.13.18 Oficio de Cumplimiento de la RESOLUCIÓN NÚMERO 81963 DE 2022 del 26 de enero de 2023.34 8.13.19 Certificación del 26 de enero de 2023 de cumplimiento de las órdenes impartidas en la Resolución 81963 del 21 de noviembre de 2022 suscrita por el representante legal.35

NOVENO: Que, vencido el término otorgado para presentar alegatos de conclusión, la investigada guardó silencio.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos,

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso

11.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 36, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del literal o) del artículo 17 de la Ley 15 81 de 2012, en concordancia con el literal f) del artículo 21 de la Ley 1581 de 2012.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho aducidas por la investigada en el escrito de descargos, así como el conjunto de pruebas allegadas al expediente.

31 25-231213. Consecutivo 7. Página 9. Folio 4 32 25-231213. Consecutivo 7. Página 9. Folio 5 33 25-231213. Consecutivo 7. Página 9. Folio 6 a 15 34 25-231213. Consecutivo 7. Página 10 35 25-231213. Consecutivo 7. Página 11 36 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 5 de 22

11.2 Valoración probatoria y conclusiones

11.2.1 Respecto del deber que la investigada ostenta en su calidad de Responsable del Tratamiento de la información contemplado

Página 5 de 22

11.2 Valoración probatoria y conclusiones

11.2.1 Respecto del deber que la investigada ostenta en su calidad de Responsable del Tratamiento de la información contemplado

El literal o) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, respecto al deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y

Comercio:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”

Sobre el particular, es necesario resaltar que los aspectos relacionados al presente cargo obedecen a la obligación que tienen los Responsables de la información, de atender oportunamente los requerimientos impartidos por esta Superintendencia, ello, en virtud de la facultad de vigilancia otorgada por la Ley 1581 de 2012, la cual establece lo siguiente:

“Artículo 19. Autoridad de Protección de Datos . La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimien tos previstos en la presente ley.”

Al respecto, la Corte Constitucional al realizar el control de constitucionalidad previo del proyecto de Ley que culminó con la expedición de la Ley 1581 de

previstos en la presente ley.”

Al respecto, la Corte Constitucional al realizar el control de constitucionalidad previo del proyecto de Ley que culminó con la expedición de la Ley 1581 de 2012 mediante sentencia C-748 del 6 de octubre de 2011, estableció que frente a las funciones de vigilancia de esta Superintendencia lo siguiente:

“(…) Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales. Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.

Además, debe afirmarse que, tal como lo estableció la Corte en la Sentencia C1011 de 2008, la naturaleza de las facultades atribuidas a la Superintendencia – a través de la Delegatura -, “caen dentro del ámbito de las funciones de policía administrativa que corresponden a esos órganos técnicos adscritos al ejecutivo (Art. 115 C.P.), en tanto expresión de la potestad de dirección e intervención del Estado en la economía (Art.334), y de intervención reforzada del Gobierno en las actividades financiera, bursátiles y aseguradoras (Art. 335 C.P.).”

De igual manera, con la expedición del Decreto 4886 del 2011 modificado por el Decreto 92 de 2022, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la

De igual manera, con la expedición del Decreto 4886 del 2011 modificado por el Decreto 92 de 2022, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución, en este caso p articular, en la Ley 1581 de 2012, al respecto traemos a colación los numerales del artículo 17 del Decreto 4886 de 2011:

“Artículo 17. Funciones de la Dirección de Investigaciones de Protección de Datos Personales. Son funciones de la Dirección de Investigaciones de Protección de

Datos Personales:

(…)RESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 6 de 22

2. Ejercer la supervisión de las órdenes o instrucciones impartidas por la Superintendencia de Industria y Comercio en materia de protección de datos personales.

3. Administrar el Registro Nacional de Bases de Datos, emitir las órdenes y los actos necesarios para su administración y funcionamiento, así como y disponer de su libre consulta.

(…)

8. Verificar el cumplimiento de las decisiones proferidas, en el curso de las investigaciones o actuaciones administrativas adelantadas de oficio o a petición de parle. (…)”.

En el caso objeto de estudio, la Dirección de Investigación de Datos Personales, por conducto del Grupo de Investigación de Protección de Datos Personales, mediante la Resolución No. 81963 del 21 de noviembre de 2022, ordenó a la sociedad SIMBA SOFTWARE S.A.S, lo siguiente37:

“ARTÍCULO SEGUNDO : Ordenar a la sociedad SIMBA SOFTWARE S.A.S

mediante la Resolución No. 81963 del 21 de noviembre de 2022, ordenó a la sociedad SIMBA SOFTWARE S.A.S, lo siguiente37:

“ARTÍCULO SEGUNDO : Ordenar a la sociedad SIMBA SOFTWARE S.A.S identificada con el Nit . 901.098.244-1, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión. Las siguientes instrucciones:

• La sociedad SIMBA SOFTWARE S.A.S . debe implementar un procedimiento para informar independientemente de la naturaleza de los datos sean estos privados o públicos de manera previa al tratamiento las finalidades específicas y los derechos que les asisten a los titulares.

• La sociedad SIMBA SOFTWARE S.A.S. deberá implementar un procedimiento de atención de consultas y reclamos, de los titulares respecto de las peticiones que reciba con relación a datos personales conforme a lo regulado por la Ley 1581 de 2012.”38

La Resolución N. º 81963 del 21 de noviembre de 2022 fue notificada a la investigada mediante Aviso N. ° 32512 el día 1 de diciembre de 2022, según consta en la certificación expedida por Secretaría General AD -HOC de esta Superintendencia bajo radicado No. 21-90293- -34 de fecha de 6 de diciembre de 202239, como se evidencia a continuación:

37 25-232950. Consecutivo 0. Página 2. Folio 28 y 29 38 25-231213. Pág. 4. Folio 55.

de 202239, como se evidencia a continuación:

37 25-232950. Consecutivo 0. Página 2. Folio 28 y 29 38 25-231213. Pág. 4. Folio 55. 39 25-231213. Consecutivo 0. Página 4. Folio 59RESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 7 de 22

Con base en lo anterior, se tiene que el término que tenía la investigada para interponer los recursos de Ley vencía el 1 6 de diciembre del 2022, pero no se presentaron recursos, de modo que la Resolución en cuestión quedó en firme a partir del 19 de diciembre del 2022.

Ahora bien, la Resolución N.º 81963 del 21 de noviembre de 2022 en el artículo segundo, estableció lo siguiente:

“ARTÍCULO SEGUNDO: Ordenar a la sociedad SIMBA SOFTWARE S.A.S identificada con el Nit. 901.098.244-1, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión.

(…)

PARÁGRAFO PRIMERO: La sociedad SIMBA SOFTWARE S.A.S identificada con el Nit.901.098.244 -1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

el Nit.901.098.244 -1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo . Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de c ada orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en e l presente acto administrativo, hará a la sociedad SIMBA SOFTWARE S.A.S identificada con el Nit. 901.098.244-1, acreedora de las sanciones previstas en la ley.

Como se observa, el acto administrativo concedió un plazo de dos (2) meses, contados a partir de su ejecutoria, para dar cumplimiento a las órdenes impartidas. Adicionalmente, otorgó cinco (5) días hábiles para allegar la certificación expedida por un audi tor interno o externo con conocimientos especializados en la implementación de cada una de las órdenes, debidamente suscrita por el representante legal de la sociedad. En atención a estos términos, se advierte que el plazo para acreditar el cumplimiento ve ncía el 24 de febrero de 2023.

No obstante, la investigada guardó silencio y no acreditó dentro del término legal el cumplimiento de las órdenes administrativas impartidas en la Resolución N.º 81963 del 21 de noviembre de 2022.

de 2023.

No obstante, la investigada guardó silencio y no acreditó dentro del término legal el cumplimiento de las órdenes administrativas impartidas en la Resolución N.º 81963 del 21 de noviembre de 2022.

Por lo anterior , ante la falta de acreditación de cumplimiento de las órdenes impartidas, la Dirección de Investigaciones de Protección de Datos Personales de esta Superintendencia, mediante Resolución N.° 35540 del 11 de junio de 2025, procedió a formular pliego de cargos en contra de la investigada, por la presunta infracción de lo previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f ) del artículo 21 de la misma norma , toda vez que “la investigada guardó silencio y no acreditó dentro del término legal el cumplimiento de las órdenes administrativas impartidas en la Resolución No. 81963 del 21 de noviembre de 2022”40

Al respecto, el 15 de julio de 2025 la investigada allegó , por conducto de su representante legal y por fuera del término establecido para el efecto , escrito de descargos bajo consecutivo N.° 25-231213- -7, informando que si había dado cumplimiento a las órdenes impartidas mediante la Resolución N.º 81963 del 21 de noviembre de 2022, y aportando los siguientes documentos:

40 Resolución N.° 35540 del 11 de junio de 2025. Folio 4.RESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 8 de 22

“Por la cual se impone una sanción administrativa”

Página 8 de 22

• El “PROCEDIMIENTO EMISIÓN DE INFORMACIÓN AL TITULAR SOBRE EL

TRATAMIENTO DE DATOS PERSONALES”41:

• Formato de autorización de tratamiento de datos personales:42

• Formato de consulta o reclamo de tratamiento de datos personales:43

41 25-231213. Consecutivo 7. Página 2 42 25-231213. Consecutivo 7. Página 3 43 25-231213. Consecutivo 7. Página 5RESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 9 de 22

• Procedimiento emisión de información al titular sobre el tratamiento de datos personales: 44

• Política de tratamiento de datos personales:45

• Oficio del 26 de enero de 2023 mediante el cual el representante legal informa que se implementaron las ordenes impartidas en la Resolución N.º 81963 del 21 de noviembre de 2022:46

44 25-231213. Consecutivo 7. Página 6 45 25-231213. Consecutivo 7. Página 8 46 25-231213. Consecutivo 7. Página 10RESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 10 de 22

• Certificación expedida el 26 de enero de 2023 mediante la cual se acredita el

“Por la cual se impone una sanción administrativa”

Página 10 de 22

• Certificación expedida el 26 de enero de 2023 mediante la cual se acredita el cumplimiento de la orden impartida en la Resolución N.º 81963 del 21 de noviembre de 2022, firmada por el representante legal:47

Al respecto, una vez revisados los documentos aportados con el escrito de descargos, este Despacho advierte que algunos de ellos, como el Procedimiento de emisión de información al titular sobre el tratamiento de datos personales , registran una fecha de actualización posterior al 24 de febrero de 2023, esto es, con posterioridad al vencimiento del término otorgado para dar cumplimiento a las órdenes impartidas. En consecuencia, no se cuenta con elementos probatorios suficientes que permitan concluir que las medidas ordenadas fueron implementadas dentro del plazo legal concedido.

No obstante lo anterior, se observa que la sociedad allegó una certificación suscrita por su representante legal, de fecha 26 de enero de 2023, mediante la cual se manifestó el cumplimiento de las órdenes impartidas en la Resolución N.° 81963 del 21 de noviembre de 2022.

47 25-231213. Consecutivo 7. Página 11RESOLUCIÓN NÚMERO 9378 DE 2026

“Por la cual se impone una sanción administrativa”

Página 11 de 22

Con fundamento en la documentación obrante en el expediente, este Despacho concluye que la sociedad actualmente: (i) dispone de un procedimiento para informar a los titulares, de manera previa al tratamiento y con independencia

Página 11 de 22

Con fundamento en la documentación obrante en el expediente, este Despacho concluye que la sociedad actualmente: (i) dispone de un procedimiento para informar a los titulares, de manera previa al tratamiento y con independencia de la naturaleza de los dato s, las finalidades específicas del tratamiento y los derechos que les asisten; (ii) cuenta con un procedimiento para la atención de consultas y reclamos formulados por los titulares, conforme a lo previsto en la Ley 1581 de 2012; y (iii) únicamente con oca sión de la presente actuación administrativa la sociedad acreditó formalmente la implementación de dichas medidas.

En este punto, resulta necesario precisar que las órdenes impartidas no solo exigían la adopción material de determinadas medidas, sino también su acreditación ante esta Autoridad dentro del término legal fijado en la resolución, en los términos expresamente señalados en su parte resolutiva. En ese sentido, aun cuando en el curso de la presente actuación la sociedad aportó documentos tendientes a demostrar la adopción de los procedimientos requeridos, lo cierto es que no obra prueba de que dicha acreditación se hubiera realizado dentro del plazo otorgado, circunstancia que configura el incumplimiento de las órdenes impartidas.

En consecuencia, al no haberse allegado dentro del término establecido la certificación suscrita por el auditor competente y el representante legal de la sociedad, mediante la cual se acreditara el cumplimiento de las órdenes impartidas, este Despacho concluye que la sociedad SIMBA SOFTWARE S.A.S incumplió lo dispuesto en la Resolución N.° 81963 del 21 de noviembre de 2022.

impartidas, este Despacho concluye que la sociedad SIMBA SOFTWARE S.A.S incumplió lo dispuesto en la Resolución N.° 81963 del 21 de noviembre de 2022.

Así, se resalta que los responsables del tratamiento deben dar cumplimiento PLENO, OPORTUNO y VERIFICABLE de todas las órdenes impartidas por esta Superintendencia, las cuales tienen carácter obligatorio y buscan garantizar la efectiva protección de los derechos de los Titulares de la información. La acreditación del cumplimiento de las órdenes resulta fundamental para ayudar a la Superintendencia en su función de velar por el cumplimiento de la legislación en materia de protección