SIC - Resolucion RE108623-2025 de 2025

Página 1 de 30

RESOLUCIÓN NÚMERO 108623 DE 2025

(26 de diciembre de 2025)

“Por la cual se resuelve un recurso”

Radicación: 21-273914

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución N.º 38583 del 20 de junio de 2025 1, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad la sociedad VANTI S.A. ESP identificada con el Nit. 800.007.813-5 de TRESCIENTOS OCHO (308) SALARIOS MÍNIMOS LEGALES VIGENTES – SALARIOS para el año 2023 equivalentes a TREINTA Y CINCO MIL SETECIENTOS VEINTIOCHO (35.728) Unidades de Valor Básico Vigentes para el año 2025 – UVB equivalentes a

CUATROCIENTOS DOCE MILLONES SETECIENTOS VEINTINUEVE MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($412.729.856), por la violación a lo dispuesto en: (i) el literal d) del artículo 17 de la Ley 1581 de 2012,

OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($412.729.856), por la violación a lo dispuesto en: (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal n) del artículo 17 de la Ley 1 581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

Así mismo, impartió las siguientes ordenes:

“ARTÍCULO 2: Ordenar a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión.

Las ordenes son las siguientes:

1. Presentar evidencia técnica y funcional de la implementación efectiva del cambio (CHG0033230) en el sistema productivo, la cual puede consistir en: Capturas de pantalla, registros o logs del sistema que reflejen la correcta presentación del número de identificación del cliente en los XML y PDF generados desde el entorno productivo.

1 Resolución No. 17874 del 4 de abril de 2025 obrante en el expediente bajo radicado 22-386528

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 108623 DE 2025

“Por la cual se resuelve un recurso”

Página 2 de 30

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 108623 DE 2025

“Por la cual se resuelve un recurso”

Página 2 de 30

2. Certificado expedido por el área técnica responsable, donde conste la fecha de liberación del cambio en el ambiente productivo, incluyendo la validación del correcto funcionamiento posterior a la implementación.

3. Registros y/o logs del sistema que evidencien la presentación (número de identificación del cliente en los XML y PDF) mencionada, acompañados de un registro en video que muestre el sistema, la base de datos y los procedimientos ejecutados para la extracció n de la información aportada. Este video debe estar complementado por un manual explicativo del procedimiento.

4. Aportar copia del procedimiento documentado que establezca las actividades de prueba, revisión, verificación y puesta en producción realizadas en los entornos de desarrollo controlados. Este procedimiento debe ser aplicable tanto a las soluciones informáti cas propias como a las tercerizadas que involucren el tratamiento de datos personales.

5. Así mismo, se deberá aportar evidencia de su implementación, incluyendo documentos y demás soportes que permitan demostrar la ejecución y gestión efectiva de las pruebas realizadas.

6. Reportar ante el Registro Nacional de Bases de Datos - RNBD el incidente presentado que dio origen a esta investigación e informar las medidas implementadas para solucionarlo y las acciones llevadas a cabo para mitigar el daño y posibles afectaciones al titular.

7. Incluir en la Política de Incidentes de Seguridad de la Información la obligación de reportar cualquier error tecnológico relacionado con el tratamiento de datos personales desde el momento en que sea

cabo para mitigar el daño y posibles afectaciones al titular.

7. Incluir en la Política de Incidentes de Seguridad de la Información la obligación de reportar cualquier error tecnológico relacionado con el tratamiento de datos personales desde el momento en que sea detectado. Dicho reporte deberá realizarse a través del Registro Nacional de Bases de Datos (RNBD) para dar cumplimiento al deber establecido en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

8. Robustecer los sistemas de monitoreo y control de incidentes de seguridad en todas las operaciones relacionadas con el tratamiento de datos personales, incorporando mecanismos que generen alertas oportunas ante cualquier novedad que pueda poner en riesgo d ichos datos, antes, durante y después de la ejecución de las operaciones.”

SEGUNDO: Que la Resolución N.º 38583 del 20 de junio de 2025 fue notificada mediante Aviso N° 18446 el 3 de julio de 2025 a la sociedad investigada, a través de su apoderado, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado radicado 21-273914- -81 del 3 de julio de 2025. Así mismo la referida actuación fue comunicada al denunciante.

TERCERO: Que mediante correo electrónico con radicado 21-273914- -00082, 21-273914- -00083 y 21-273914- -00084 del 17 de julio de 2025, a través de su apoderado, la sociedad VANTI S.A. ESP presentó escrito con el cual

21-273914- -00083 y 21-273914- -00084 del 17 de julio de 2025, a través de su apoderado, la sociedad VANTI S.A. ESP presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución N.º 38583 del 20 de junio de 2025 para que se revoque la sanción impuesta, con fundamento en los siguientes argumentos:

3.1 Respecto del Primer cargo: Vulneración de los principios de legalidad y de tipicidad 3.1.1 Manifestó que, el deber de seguridad es de carácter preventivo y no de resultado, por lo tanto, la infracción se configura cuando el responsable o encargado no implementó medidas de seguridad adecuadas para evitar que ocurra un incidente de seguridad, sin embargo, no se le puede exigir que impida que estas situaciones se presenten.2

2 21-273914. Consecutivo 82. Página 3. Folio 10RESOLUCIÓN NÚMERO 108623 DE 2025

“Por la cual se resuelve un recurso”

Página 3 de 30

3.1.2 Afirmó que, la Dirección en la resolución que impuso la sanción estableció un régimen de responsabilidad objetiva contrario a la Ley, al considerar que VANTI incurrió en una conducta negligente por no tener previsión absoluta de las fallas que podrían ocurrir en la solución tecnológica, sin tener en cuenta la adopción de medidas razonables de seguridad de la información por parte de la sociedad recurrente.3

3.1.3 Aseguró que, la Dirección no acreditó el incumplimiento del deber de adoptar medidas de seguridad de la información adecuadas por parte de

información por parte de la sociedad recurrente.3

3.1.3 Aseguró que, la Dirección no acreditó el incumplimiento del deber de adoptar medidas de seguridad de la información adecuadas por parte de VANTI, así como tampoco demostró afectación de la integridad de los datos personales, por uso y adulteración.4

3.1.4 Manifestó que, VANTI cuenta con un robusto sistema de seguridad de la información que incluye el monitoreo y procedimientos de detección y acción ante la ocurrencia de incidentes de seguridad como son: (i) la Política de Seguridad de la Información y Ciberseguridad; (ii) el M anual Interno de Políticas y Procedimientos en Datos Personales y sus anexos; (iii) la Política de Incidentes de Seguridad de la Información; y (iv) el Procedimiento de gestión de incidentes de seguridad. Así mismo, afirma que VANTI cuenta con medidas de control y realización de pruebas de desarrollos tecnológicos. 5

3.1.5 Resaltó que, el perito en su dictamen pericial concluyó que VANTI cumple con todos los requerimientos y medidas de seguridad de la información y hace referencia a la auditoría interna realizada por PricewaterhouseCoopers (PWC) en el que se determinó que los procedimientos del programa de ciberseguridad son efectivos. 6

3.1.6 También manifestó que, en la resolución impugnada no se demostró que VANTI haya transmitido la información a terceros por error, lo cual vulnera el principio de legalidad y tipicidad.7

3.2 Respecto del Segundo cargo: Vulneración del principio de tipicidad

3.2.1 Reiteró que, la definición normativa de incidente de seguridad no está

vulnera el principio de legalidad y tipicidad.7

3.2 Respecto del Segundo cargo: Vulneración del principio de tipicidad

3.2.1 Reiteró que, la definición normativa de incidente de seguridad no está relacionada con la puesta en peligro de los datos personales, sino que hace referencia a cuatro situaciones: (i) la violación a códigos de seguridad; (ii) la pérdida de información; (ii i) el robo de información; y (iv) el acceso no autorizado de información. Y que no es relevante el nivel de peligrosidad de la situación para determinar si es o no un incidente de seguridad; así mismo afirmó que, en este caso no se presentó ninguna de estas situaciones. 8

3.2.2 Señaló que, ninguna de las medidas se seguridad de VANTI fue vulnerada por cuanto: 9

“(i) ninguna de las medidas de seguridad implementadas por VANTI se vio vulnerada; (ii) VANTI no extravió ninguno de los datos de titulares bajo su cuidado, pues las bases de datos administradas por VANTI conservaron adecuadamente la totalidad de la información allí incluida; (iii) no hubo una sustracción no autorizada de información pues l a información fue compartida y suministrada a la DIAN en cumplimiento de obligaciones legales aplicables a VANTI; y, (iv) tampoco se presentó una situación de acceso no autorizado a la información personal; VANTI

3 21-273914. Consecutivo 82. Página 3. Folio 10, 11 4 21-273914. Consecutivo 82. Página 3. Folio 11 5 21-273914. Consecutivo 82. Página 3. Folio 12 6 21-273914. Consecutivo 82. Página 3. Folio 17

4 21-273914. Consecutivo 82. Página 3. Folio 11 5 21-273914. Consecutivo 82. Página 3. Folio 12 6 21-273914. Consecutivo 82. Página 3. Folio 17 7 21-273914. Consecutivo 82. Página 3. Folio 18 8 21-273914. Consecutivo 82. Página 3. Folio 19 9 21-273914. Consecutivo 82. Página 3. Folio 19RESOLUCIÓN NÚMERO 108623 DE 2025

“Por la cual se resuelve un recurso”

Página 4 de 30

compartió la información a una autoridad competente en cumplimiento de sus obligaciones legales.”

3.2.3 Afirmó que, en el presente caso no se violó ningún código de seguridad, puesto que las bases de datos de VANTI mantuvieron su confidencialidad, integridad y disponibilidad.10

3.2.4 Señaló que, la información trasmitida a la DIAN se realizó de forma segura a través de un proveedor habilitado, por lo cual, asegura el recurrente que el incidente se presentó en el sistema de la DIAN por azar, y no ocurrió en los sistemas de VANTI, pues no se envió información personal a terceros no autorizados como el señor XXXX XXXXXXXXXXXXXXXX. De igual manera, no se presentó afectación a las bases de datos de la sociedad recurrente.11

3.2.5 El recurrente afirmó que, no hubo perdida de la información personal en sus bases de datos, tampoco se presentó robo de la información puesto que fue trasmitida a la DIAN en cumplimiento de las obligaciones legales de facturación electrónica, ni ocurrió un acceso no autorizado. 12

sus bases de datos, tampoco se presentó robo de la información puesto que fue trasmitida a la DIAN en cumplimiento de las obligaciones legales de facturación electrónica, ni ocurrió un acceso no autorizado. 12

3.2.6 Manifestó que, no se presentó ninguna otra queja o solicitud con relación a la situación investigada, lo que demuestra que es casi nulo el impacto que se puedo generar. 13

3.2.7 El recurrente argumentó que, no se presentó adulteración de los datos personales ni se afectó la integridad de los mismos, por tanto, la resolución recurrida no satisface el principio de legalidad ni tipicidad, porque se emplea un concepto no vinculante pa ra fundamentar la sanción.14

3.3 Respecto de Caducidad de la facultad sancionatoria

3.3.1 El recurrente aseveró que, respecto al segundo cargó ya se cumplió la caducidad de la facultad sancionatoria, puesto que, si VANTI tuvo conocimiento el 24 de mayo de 2021 del incidente, esto significa que el plazo máximo que tenía para hacer el reporte del mismo ante el RNBD era dentro de los quince (15) días hábiles siguientes a dicha fecha, es decir hasta el 16 de junio del 2021, p or lo tanto, ya se cumplió la caducidad, de modo que la SIC tenía hasta el 16 de junio del 2024 para notificar a VANTI la imposición de una sanción por la infracción del literal (n) del artículo 17 de la Ley 1581 de 2012. De igual manera, señala que reportar el incidente ante RNBD es una conducta instantánea y no de carácter continuado, por lo tanto, el segundo cargo ya habría caducado.15

(n) del artículo 17 de la Ley 1581 de 2012. De igual manera, señala que reportar el incidente ante RNBD es una conducta instantánea y no de carácter continuado, por lo tanto, el segundo cargo ya habría caducado.15

3.4 Respecto de la vulneración del derecho al debido proceso y al derecho de defensa

3.4.1 El recurrente manifestó que, la Dirección negó injustificadamente la práctica de pruebas como lo fue un dictamen de contradicción al análisis técnico 21 -27391400062 del 3 de septiembre de 2024 y un interrogatorio al autor de dicho análisis, el cual es co nsiderado por el apoderado como un dictamen pericial.16

3.4.2 El recurrente afirmó que, el análisis técnico realizado por esta Dirección es un dictamen pericial a la luz del artículo 226 del Código General del

10 21-273914. Consecutivo 82. Página 3. Folio 20 11 21-273914. Consecutivo 82. Página 3. Folio 21, 22 12 21-273914. Consecutivo 82. Página 3. Folio 22 13 21-273914. Consecutivo 82. Página 3. Folio 24 14 21-273914. Consecutivo 82. Página 3. Folio 25, 26,27 15 21-273914. Consecutivo 82. Página 3. Folio 30 16 21-273914. Consecutivo 82. Página 3. Folio 32,33RESOLUCIÓN NÚMERO 108623 DE 2025

“Por la cual se resuelve un recurso”

Página 5 de 30

Proceso, toda vez que para la elaboración del mismo se requirió de

“Por la cual se resuelve un recurso”

Página 5 de 30

Proceso, toda vez que para la elaboración del mismo se requirió de conocimientos técnicos en materia de seguridad de la información.17

3.4.3 Señaló que, el apoderado pretendía realizar un interrogatorio al ingeniero que elaboró el análisis técnico del 18 de junio de 2024, con respecto a su idoneidad e imparcialidad, pero principalmente se requería interrogar al autor del dictamen acerca del contenido del mismo. 18

3.4.4 Así pues, el apoderado consideró que se vulneró el derecho de defensa y contradicción de la investigada al no decretarse el interrogatorio, ni poder aportar un dictamen de contradicción, teniendo en cuenta lo establecido en el artículo 228 del Código General del Proceso. 19

3.4.5 Aclaró que, se configuró una de las causales de nulidad de los actos administrativos, lo cual fue solicitado oportunamente por el recurrente, toda vez que se vulneró el derecho al debido proceso por la negación de las pruebas mencionadas como se establece en el artículo 137 de la Ley 1437 de 2011.20

3.5 Sobre la inversión de la carga de la prueba y desconocimiento de las pruebas aportadas

3.5.1 Adujo que, la Dirección invirtió indebidamente la carga de la prueba, al no demostrar el incumplimiento del deber de seguridad ni la omisión en el reporte del incidente por parte de VANTI. Sostiene el apoderado que, dado que no se presentó un incidente de seguridad, correspondía a la Autoridad probar la existencia de la infracción a las normas de protección de datos personales, pues por mandato legal es la encargada de acreditar

dado que no se presentó un incidente de seguridad, correspondía a la Autoridad probar la existencia de la infracción a las normas de protección de datos personales, pues por mandato legal es la encargada de acreditar la vulneración. 21

3.6 Sobre la inexistencia de antijuridicidad

3.6.1 Dijo que, en la resolución impugnada no se acreditó la existencia de antijuricidad en la conducta o puesta en peligro de los bienes jurídicos protegidos, puesto que no se presentó ninguna afectación a la confidencialidad, integridad ni disponibilidad de la información.22

3.7 Desconocimiento del aporte causal e intervención de terceros en la presente situación

3.7.1 Declaró que, la Dirección desconoció que AYESA reconoció en su respuesta a los requerimientos que, la instrucción que le dio VANTI fue únicamente la eliminación del digito de verificación de los Nit, por lo tanto, la situación presentada se originó por un error en el diseño de la solución tecnológica por parte del proveedor tecnológico. 23

3.7.2 Manifestó que, este Despacho no tuvo en cuenta que también se presentaron omisiones por parte de la DIAN y de TRANSFIRIENDO S.A como puso de presente el apoderado en los descargos. 24

3.7.3 El apoderado argumentó que, este Despacho no le exigió a la DIAN y ni a TRANSFIRIENDO S.A operar con medidas de seguridad, gestión de incidentes, verificación de la información, ni procedimientos para la detección de errores, lo cual es un tratamiento discriminatorio, por tanto,

1721-273914. Consecutivo 82. Página 3. Folio 33

incidentes, verificación de la información, ni procedimientos para la detección de errores, lo cual es un tratamiento discriminatorio, por tanto,

1721-273914. Consecutivo 82. Página 3. Folio 33 18 21-273914. Consecutivo 82. Página 3. Folio 35 19 21-273914. Consecutivo 82. Página 3. Folio 35 20 21-273914. Consecutivo 82. Página 3. Folio 37 21 21-273914. Consecutivo 82. Página 3. Folio 37 22 21-273914. Consecutivo 82. Página 3. Folio 39 23 21-273914. Consecutivo 82. Página 3. Folio 40 24 21-273914. Consecutivo 82. Página 3. Folio 41RESOLUCIÓN NÚMERO 108623 DE 2025

“Por la cual se resuelve un recurso”

Página 6 de 30

solicita una disminución de la sanción, en la misma proporción en que estos terceros contribuyeron en la ocurrencia de la situación investigada.25

3.8 Sobre la vulneración del principio de proporcionalidad y naturaleza de los datos

3.8.1 Señaló que, este Despacho no explicó cuál fue la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley.26

3.8.2 Explicó que, el hecho de que la DIAN haya vinculado reportes de facturación electrónica con el denunciante no implica que VANTI haya hecho tratamiento de los datos personales del titular, ya que se generó un número sin vinculación a una persona en concreto, más si se tiene en

facturación electrónica con el denunciante no implica que VANTI haya hecho tratamiento de los datos personales del titular, ya que se generó un número sin vinculación a una persona en concreto, más si se tiene en cuenta que el denunciante no está registrado como usuario de la sociedad recurrente. 27

3.8.3 El apoderado aseguró que, los datos generados a partir del error no son datos personales, pero que si lo fueran serian datos de identificación de naturaleza pública. 28

3.8.4 Informó que, los datos generados no necesariamente pueden vincularse a personas naturales, puesto que, con relación a los números de identificación de diez dígitos al eliminar el último, queda un número de nueve dígitos que supuestamente “por la estructuración del sistema de números de identificación en Colombia, no puede estar vinculado con ninguna persona.”29

3.8.5 Señaló que, en los casos en que el número generado corresponda a una persona natural, puede tratarse de un titular cuya información no sea administrada por VANTI o que no esté habilitado para acceder al sistema de la DIAN por lo tanto, el alcance del error es muy limitado.30

3.8.6 Resaltó que, la afectación de un titular respecto a sus datos personales públicos es bastante inferior a la que podría sufrir por el indebido tratamiento de sus datos privados. 31

3.8.7 Adujo que, la resolución impugnada no tuvo en cuenta la naturaleza pública de los datos ni el escaso o nulo grado de afectación para los potenciales titulares afectados. Por consiguiente, la Dirección desconoció el principio de proporcionalidad al imponer una multa excesivamente alta por una supuesta infracción que no generó afectación alguna o que en

potenciales titulares afectados. Por consiguiente, la Dirección desconoció el principio de proporcionalidad al imponer una multa excesivamente alta por una supuesta infracción que no generó afectación alguna o que en todo caso fue mínima. 32

3.8.8 Sobre las pretensiones: El recurrente solicitó lo siguiente33:

“1. Se REVOQUE la Resolución No. 38583 de 2025 y, en consecuencia, se archive la investigación en contra de VANTI sin la imposición de sanciones a su cargo.

2. Subsidiariamente solicito se REVOQUE parcialmente la Resolución No. 38583 de 2025 y se reduzca la sanción impuesta a la VANTI.

25 21-273914. Consecutivo 82. Página 3. Folio 42 26 21-273914. Consecutivo 82. Página 3. Folio 42 27 21-273914. Consecutivo 82. Página 3. Folio 43 28 21-273914. Consecutivo 82. Página 3. Folio 43 29 21-273914. Consecutivo 82. Página 3. Folio 43 30 21-273914. Consecutivo 82. Página 3. Folio 43 31 21-273914. Consecutivo 82. Página 3. Folio 45 32 21-273914. Consecutivo 82. Página 3. Folio 45, 46 33 21-273914. Consecutivo 82. Página 3. Folio 46RESOLUCIÓN NÚMERO 108623 DE 2025

“Por la cual se resuelve un recurso”

Página 7 de 30

3. En caso de no revocarse la decisión, solicito se conceda el recurso de

APELACIÓN.”

“Por la cual se resuelve un recurso”

Página 7 de 30

3. En caso de no revocarse la decisión, solicito se conceda el recurso de

APELACIÓN.”

CUARTO: Competencia de la Superintendencia de Industria y Comercio

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagra los requisitos para la presentación de los recursos y el artículo 78 de la misma Ley, las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto:

5.1 El recurso fue interpuesto por el apoderado de la sociedad investigada dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Cuarto de la parte resolutiva de la Resolución 38583 del 20 de junio de 2025 y acorde con el artículo 76 de la Ley 1437 de 2011. Esto en consideración a:

5.1.1 La sociedad investigada fue notificada por Aviso N°. 18446 el 3 de julio de 2025 de la Resolución N.º 38583 del 20 de junio de 2025, a través de su apoderado especial, de acuerdo con certificación

5.1.1 La sociedad investigada fue notificada por Aviso N°. 18446 el 3 de julio de 2025 de la Resolución N.º 38583 del 20 de junio de 2025, a través de su apoderado especial, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 21-273914- -81 del 3 de julio de 2025.

5.1.2 El recurrente interpuso recurso de reposición y en subsidio de apelación el 17 de julio de 2025 a través de correo electrónico con radicado 21-273914- -00082, 21-273914- -00083, y 21-273914- - 00084 encontrándose dentro del término legal.

5.1.3 El recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución 38583 del 20 de junio de 2025, los cuales fueron expuestos en el numeral considerativo tercero de esta resolución.

5.1.4 Respecto de los documentos aportados como pruebas por el recurrente mediante el correo electrónico con radicado 21-273914- -00082, 21-273914- -00083, y 21-273914- -00084 del 17 de julio de 2025, allegó lo siguiente:

• Escrito de recurso de reposición y en subsidio de apelación.

5.1.5 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio:

• El apoderado especial en el escrito con radicado 21 -273914- - 00082, 21-273914- -00083, y 21 -273914- -00084 del 17 de

electrónico si desea ser notificado por este medio:

• El apoderado especial en el escrito con radicado 21 -273914- - 00082, 21-273914- -00083, y 21 -273914- -00084 del 17 de julio de 2025, con el cual interpone recuso de reposición y en subsidio de apelación a la Resolución 38583 del 20 de junio de 2025, señala nombre, dirección y correo electrónico del recurrente para notificaciones.

SEXTO: Que una vez revisados los argumentos presentados por el recurrente se encuentra que los mismos se concretan en diez (10) aspectos a saber:RESOLUCIÓN NÚMERO 108623 DE 2025

“Por la cual se resuelve un recurso”

Página 8 de 30

6.1 Respecto a la vulneración de los principios de legalidad y de tipicidad. 6.2 Sobre la inexistencia de tipicidad en relación con el primer y segundo cargo.

6.2.1 Respecto al primer cargo sobre la inexistencia de tipicidad. 6.2.2 Respecto al segundo cargo sobre la inexistencia de tipicidad.

6.3 Respecto a la responsabilidad objetiva 6.4 Caducidad de la facultad sancionatoria de la SIC 6.5 Vulneración del derecho al debido proceso y al derecho de defensa 6.6 Inversión de la carga de la prueba y desconocimiento de las pruebas aportadas 6.7 Inexistencia de antijuridicidad 6.8 Desconocimiento del aporte causal e intervención de terceros en la presente situación 6.9 Vulneración del principio de proporcionalidad y naturaleza de los datos 6.10 Pretensiones

6.1 Respecto a la vulneración de los principios de legalidad y de tipicidad

presente situación 6.9 Vulneración del principio de proporcionalidad y naturaleza de los datos 6.10 Pretensiones

6.1 Respecto a la vulneración de los principios de legalidad y de tipicidad

El recurrente manifiesta en el recurso que, este Despacho no acreditó la existencia de una conducta típica ni una infracción a la norma, porque la resolución que impone la correspondiente sanción se fundamenta en un documento no vinculante ni obligatorio, específicamente en la “Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales”, imponiéndole ciertos deberes de conducta que, como Responsable del tratamiento, no está obligada a asumir, pues la guía mencionada no se encuentra expresamente prevista en la Ley, en un reglamento ni en ningún acto administrativo vigente. El recurrente afirma, además, que dicha guía es un documento que contiene meras recomendaciones y que la Dirección sancionó con fundamento en deberes que exceden el alcance y la naturaleza de la obligación de seguridad de la información.34

Al respecto, se aclara que esta Dirección impuso la sanción contenida en la Resolución N° 38583 del 20 de junio de 2025 con fundamento en el incumplimiento de: i) el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; ii) el pr incipio de acceso y circulación restringida y el de seguridad, iii) y el deber de demostración de la implementación de las medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012; establecido en el literal d)

restringida y el de seguridad, iii) y el deber de demostración de la implementación de las medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012; establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

Ahora bien, en cuanto a las guías publicadas por la Superintendencia de Industria y Comercio, es preciso señalar que estas constituyen directrices de optimización que deben observarse en la medida de lo posible, en tanto buscan materializar el cumplimiento de los principios sobre los cuales se erige la normativa de protección de datos personales, en este caso, los principios de seguridad y de circul ación restringida. Dichas guías, aunque no tienen fuerza vinculante en el mismo sentido que la Ley, como bien se menciona en la Resolución recurrida, poseen una relevancia jurídica significativa, pues orientan a los Responsables y Encargados del tratamiento en la adopción de medidas prácticas y eficaces para garantizar la protección efectiva de los datos personales. En consecuencia, su finalidad es servir como referencia y como su nombre lo dice de guía, para las sociedades, de modo que puedan ser atendidas, consultadas y aplicadas, según las capacidades y particularidades de cada organización.

34 21-273914. Consecutivo 82. Página 3. Folio 3, 4RESOLUCIÓN NÚMERO 108623 DE 2025

“Por la cual se resuelve un recurso”

Página 9 de 30

“Por la cual se resuelve un recurso”

Página 9 de 30

Aunque las guías no son de obligatorio cumplimiento, no deben ser ignoradas por los Responsables y Encargados del tratamiento, ni debe subestimarse su utilidad e importancia, ya que fueron elaboradas por la Autoridad de Protección de Datos Personales en cumplimiento de lo establecido en el literal a) y e) del Articulo 21 de la Ley 1581 de 2012 que prevén lo siguiente:

Ley 1581 de 2012

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

a) Velar por el cumplimiento de la legislación en materia de protección de