SIC - Resolucion RE14766-2026 de 2025

Página 1 de 25

RESOLUCIÓN NÚMERO 14766 DE 2026

(2 de marzo del 2026)

“Por la cual se resuelve un recurso de apelación”

Radicado 21-273914

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que el 25 de mayo de 2022 el señor XXXXX XXXXXXXXX XXXXXX presentó ante esta Superintendencia mediante radicado 21-273914-0, una denuncia en contra de la sociedad VANTI S.A. ESP , identificada con NIT 800.007.813-5, por la presunta vulneración de su derecho fundamental al habeas data, derivada del reporte erróneo de información en el sistema de facturación electrónica ante la DIAN, en el cual se asociaron indebidamente a su nombre varias facturas correspondientes a la prestación del servicio a terceros, utilizando para ello su número de cédula de ciudadanía. En efecto, desde el año 2020 se registró la emisión de facturas a favor de cuatro (4) personas distintas, vinculadas erróneamente a la identificación del titular.

SEGUNDO. Que, con ocasión de la denuncia presentada , la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 49332 del 13 de agosto de 2023 , decidió abrir una

SEGUNDO. Que, con ocasión de la denuncia presentada , la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 49332 del 13 de agosto de 2023 , decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto e n (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

TERCERO. Que la Dirección estableció, con fundamento en el acervo probatorio recaudado en el curso de la presente actuación administrativa, que la sociedad VANTI S.A. E.S.P. no acreditó haber adoptado medidas técnicas, administrativas y humanas idóneas, eficaces y suficientes para garantizar el tratamiento adecuado, seguro y veraz de los datos personales, en los términos exigidos por la Ley 1581 de 2012.

Lo anterior, por cuanto dentro del proceso de facturación electrónica reportado ante la DIAN se generaron y transmitieron archivos que asociaron de manera indebida facturas correspondientes a determinados clientes con el número de cédula de ciudadanía del denunciante, afectando la exactitud e integridad de la información reportada. Adicionalmente, conforme a lo informado por la propia sociedad en el trámite de la investigación, el error no se circunscribió al caso

cédula de ciudadanía del denunciante, afectando la exactitud e integridad de la información reportada. Adicionalmente, conforme a lo informado por la propia sociedad en el trámite de la investigación, el error no se circunscribió al caso particular del denunciante, sino que habría impactado un universo de 36.509 usuarios presuntamente afectados, lo que evidencia la dimensión del riesgo generado y la insuficiencia de los controles implementados para prevenir este tipo de inconsistencias en el tratamiento de datos personales.

Asimismo, se evidenció que la investigada no acreditó haber reportado oportunamente, dentro del término legalmente establecido, el incidente de seguridad puesto en su conocimiento desde el mes de mayo de 2021, en el

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 14766 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 2 de 25

Registro Nacional de Bases de Datos. Por todo lo anterior, mediante Resolución No. 38583 del 20 de junio de 2025, la Dirección resolvió:

“ARTÍCULO 1: Imponer una sanción pecuniaria a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5 de TRESCIENTOS OCHO (308) SALARIOS MÍNIMOS LEGALES VIGENTES – SALARIOS para el año 2023 equivalentes a TREINTA Y CINCO MIL SETECIENTOS VEINTIOCHO (35.728) Unidades de Valor Básico Vigentes para el año 2025 – UVB

equivalentes a CUATROCIENTOS DOCE MILLONES SETECIENTOS

VEINTINUEVE MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE

(35.728) Unidades de Valor Básico Vigentes para el año 2025 – UVB equivalentes a CUATROCIENTOS DOCE MILLONES SETECIENTOS VEINTINUEVE MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($412.729.856), por la violación a lo dispuesto en (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así com o del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

(…)

ARTÍCULO 2: Ordenar a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión.

Las ordenes son las siguientes:

1. Presentar evidencia técnica y funcional de la implementación efectiva del cambio (CHG0033230) en el sistema productivo, la cual puede consistir en: Capturas de pantalla, registros o logs del sistema que reflejen la correcta presentación del número de identificación del cliente en los XML y PDF generados desde el entorno productivo.

2. Certificado expedido por el área técnica responsable, donde conste la fecha de liberación del cambio en el ambiente productivo, incluyendo la validación del correcto funcionamiento posterior a la implementación.

generados desde el entorno productivo.

2. Certificado expedido por el área técnica responsable, donde conste la fecha de liberación del cambio en el ambiente productivo, incluyendo la validación del correcto funcionamiento posterior a la implementación.

3. Registros y/o logs del sistema que evidencien la presentación (número de identificación del cliente en los XML y PDF) mencionada, acompañados de un registro en video que muestre el sistema, la base de datos y los procedimientos ejecutados para la extracción de la información aportada. Este video debe estar complementado por un manual explicativo del procedimiento.

4. Aportar copia del procedimiento documentado que establezca las actividades de prueba, revisión, verificación y puesta en producción realizadas en los entornos de desarrollo controlados. Este procedimiento debe ser aplicable tanto a las soluciones inform áticas propias como a las tercerizadas que involucren el tratamiento de datos personales.

5. Así mismo, se deberá aportar evidencia de su implementación, incluyendo documentos y demás soportes que permitan demostrar la ejecución y gestión efectiva de las pruebas realizadas.

6. Reportar ante el Registro Nacional de Bases de Datos - RNBD el incidente presentado que dio origen a esta investigación e informar las medidas implementadas para solucionarlo y las acciones llevadas a cabo para mitigar el daño y posibles afectaciones al titular.

7. Incluir en la Política de Incidentes de Seguridad de la Información la obligación de reportar cualquier error tecnológico relacionado con el tratamiento de datos personales desde el momento en que sea detectado.

Dicho reporte deberá realizarse a través del Registro Nacional de Bases de Datos (RNBD) para dar cumplimiento al deber establecido en el literal n) del

tratamiento de datos personales desde el momento en que sea detectado. Dicho reporte deberá realizarse a través del Registro Nacional de Bases de Datos (RNBD) para dar cumplimiento al deber establecido en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

8. Robustecer los sistemas de monitoreo y control de incidentes de seguridad en todas las operaciones relacionadas con el tratamiento de datos personales, incorporando mecanismos que generen alertas oportunas ante cualquier novedad que pueda poner en riesgo dichos datos, antes, durante y después de la ejecución de las operaciones.”

CUARTO. Que, dentro del término legal establecido para el efecto, el 17 de julio de 2025 , VANTI S.A. ESP (en adelante la RECURRENTE), a través de su apoderado especial, interpuso recurso de reposición y, en subsidio, de apelación1

1 La Resolución No. 38583 del 20 de junio de 2025, fue notificada por aviso a la RECURRENTE el 3 de julio de 2025.RESOLUCIÓN NÚMERO 14766 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 3 de 25

contra de la decisión contenida en la Resolución No. 38583 del 20 de junio de 2025, mediante escrito radicado con el número 21-273914-82. Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos:

4.1. Respecto del Cargo Primero – Deber de seguridad

4.1.1. Vulneración de los principios de legalidad y de tipicidad

revocatoria de la sanción impuesta con fundamento en los siguientes argumentos:

4.1. Respecto del Cargo Primero – Deber de seguridad

4.1.1. Vulneración de los principios de legalidad y de tipicidad

La RECURRENTE sostiene que no se configura la tipicidad de la infracción imputada en el primer cargo, al considerar que la Dirección fundamentó la declaratoria de incumplimiento del literal d) del artículo 17 de la Ley 1581 de 2012 en un documento de carácter orientado r y no vinculante, específicamente la “Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales ”. A su juicio, ello vulnera el principio de legalidad y, por ende, el de tipicidad, en la medida en que se le habrían exigido deber es de conducta no previstos expresamente en la ley, el reglamento o un acto administrativo de carácter obligatorio.

En particular, afirma que la Dirección derivó de dicha guía supuestos deberes como prever eventuales fallas en soluciones tecnológicas desarrolladas por terceros y contar con mecanismos específicos de monitoreo y control, otorgándole un carácter normativo que, según la RECURRENTE, resulta improcedente. En este sentido, señala que la autoridad no puede sancionar el incumplimiento de recomendaciones, ni utilizar documentos no vinculantes para definir el alcance concreto de obligaciones legales, pues ello desconoce el artículo 6 de la Constitución Política y la jurisprudencia constitucional sobre la imposibilidad de sancionar deberes no previstos en la ley.

Adicionalmente, alega que la Dirección extendió indebidamente el alcance del deber de seguridad de la información, al exigirle un estándar de previsibilidad

la imposibilidad de sancionar deberes no previstos en la ley.

Adicionalmente, alega que la Dirección extendió indebidamente el alcance del deber de seguridad de la información, al exigirle un estándar de previsibilidad absoluto frente a fallas tecnológicas, lo cual resulta contrario a la interpretación jurisprudencial de dicho concepto. Al respecto, sostiene que, conforme a la jurisprudencia de la Corte Suprema de Justicia y del Consejo de Estado, la previsibilidad debe analizarse desde un punto de vista jurídico, atendiendo criterios de normalidad, frecuencia y proba bilidad, y no como la obligación de anticipar cualquier escenario excepcional o sorpresivo.

En ese orden, manifiesta que no era jurídicamente previsible que la instrucción impartida a su proveedor tecnológico, consistente en eliminar el dígito de verificación de los NIT, generara la supresión del último dígito de los números de identificación de personas naturales, máxime cuando dicha situación obedeció a un error reconocido por AYESA empresa encargada de la solución tecnológica de facturación electrónica . Señaló que “ consta en el consecutivo 61 del expediente, la instrucción que VANTI dio para el desarrollo de su solución se limitó a solicitar que el digito de verificación en el caso de los documentos de Número de Identificación Tributaria (en adelante “NIT”) fuera eliminada. Por lo tanto, VANTI no podía razonablemente prever (al momento de encargar y poner en marcha la solución de facturación electrónica) que esta instrucción también habría generado que por un error de AYESA se hubiera eliminado también el ultimo digito de lo s números de identificación de personas naturales”.

momento de encargar y poner en marcha la solución de facturación electrónica) que esta instrucción también habría generado que por un error de AYESA se hubiera eliminado también el ultimo digito de lo s números de identificación de personas naturales”.

Por ello, considera que no podía exigírsele la adopción de pruebas o controles orientados a detectar un escenario que no era razonablemente anticipable.

Asimismo, argumenta que el deber de seguridad no es de resultado ni tiene carácter absoluto, sino que se satisface mediante la adopción de medidas técnicas, humanas y administrativas razonables y adecuadas, y que la sola ocurrencia de un error no configura per se una infracción. Desde esta perspectiva, sostiene que la Dirección incurrió en un análisis centrado en el resultado del incidente y no en la diligencia desplegada por la investigada, lo que, en su criterio, equivale a la aplicación de un régimen de responsabilidadRESOLUCIÓN NÚMERO 14766 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 4 de 25

objetiva, contrario a la Ley 1581 de 2012 y a los precedentes de la propia autoridad.

Afirmó que “la sola existencia de un error en la digitación de un número no es una infracción a la ley; la infracción se configura cuando el responsable o encargado del tratamiento no tomó las medidas adecuadas para evitarlo ”, por lo que la ley no castiga el resultado sino la negligencia en la adopción de medidas de seguridad, en consecuencia, señala que el análisis de la autoridad debe hacerse analizando la diligencia en la implementación de medidas de seguridad razonables para impedir la adulteración, pé rdida, consulta, uso o

medidas de seguridad, en consecuencia, señala que el análisis de la autoridad debe hacerse analizando la diligencia en la implementación de medidas de seguridad razonables para impedir la adulteración, pé rdida, consulta, uso o acceso no autorizado o fraudulento.

Finalmente, la apelante afirma que sí acreditó en el expediente la existencia de un robusto sistema de seguridad de la información, compuesto por políticas, procedimientos, controles técnicos y organizacionales, así como mecanismos de monitoreo y gestión d e incidentes, los cuales afirma fueron además respaldados por un dictamen pericial. En consecuencia, considera que la Dirección no demostró el incumplimiento del deber de seguridad ni la afectación a la integridad de los datos personales, y que, por el contrario, la sanción se fundamentó en la exigencia de deberes no obligatorios y en una valoración errónea del estándar de diligencia aplicable, razón por la cual solicita la revocatoria de la Resolución 38583 de 2025 en lo relativo al primer cargo.

4.1.2. Vulneración del derecho al debido proceso y al derecho de defensa

La RECURRENTE señala que la Resolución No. 38583 de 2025 fue expedida con vulneración de sus derechos fundamentales al debido proceso y a la defensa, al haberse negado de manera injustificada la práctica de pruebas de contradicción que resultaban esenciales, pertinentes, conducentes y útiles para el trámite de la investigación administrativa. En particular, afirma que la Dirección desconoció las normas procesales aplicables , en especial los artículos 226, 227 y 228 del Código General del Proceso, así como los artículos 3, 40 y 137 del CPACA, al impedirle controvertir un análisis técnico

la Dirección desconoció las normas procesales aplicables , en especial los artículos 226, 227 y 228 del Código General del Proceso, así como los artículos 3, 40 y 137 del CPACA, al impedirle controvertir un análisis técnico incorporado al expediente y determinante para la decisión sancionatoria.

Explica que, mediante la Resolución No. 74720 de 2024, la Dirección incorporó como prueba un documento denominado “ Análisis técnico de expedientes de la Delegatura de Protección de Datos Personales”, elaborado por el señor XXXXXX XXXXXX XXXXXX XXXXXXXXX, en el cual se efectuaron consideraciones técnicas especializadas y conclusiones relevantes, entre ellas la calificación de los hechos investigados como un incidente de seguridad. Según la RECURRENTE, dicho análisis fue decisivo para la imposición de la sanción, pese a que contradecía el dictamen pericial aportado por VANTI, en el cual se concluía que no se había configurado tal incidente.

A su juicio, el referido documento tiene naturaleza material de dictamen pericial, en la medida en que evalúa hechos que requieren conocimientos técnicos especializados en seguridad de la información, razón por la cual debía someterse a las reglas de contradicción previstas en el Código General del Proceso. En ese contexto, VANTI solicitó oportunamente la posibilidad de aportar un dictamen de contradicción y de interrogar al autor del análisis técnico, con el fin de controvertir su idoneidad, imparcialidad y, principalmente, el contenido de sus conclusiones.

No obstante, la Dirección negó dicha solicitud al considerar que el documento no constituía un dictamen pericial y que el autor no tenía la calidad de perito,

principalmente, el contenido de sus conclusiones.

No obstante, la Dirección negó dicha solicitud al considerar que el documento no constituía un dictamen pericial y que el autor no tenía la calidad de perito, así como al estimar que la prueba solicitada no era conducente, pertinente ni útil. Por lo que afirma que esta decisión se adoptó sin analizar integralmente el objeto de la solicitud, pues el interrogatorio pretendía, ante todo, controvertir el contenido técnico del análisis que sirvió de fundamento a los cargos y a la sanción impuesta.RESOLUCIÓN NÚMERO 14766 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 5 de 25

En criterio de VANTI, esta negativa le impidió ejercer efectivamente su derecho de defensa y contradicción, al no poder someter a debate una prueba técnica determinante dentro del proceso. Adicionalmente, señala que la Dirección rechazó la solicitud de nulidad formulada con f undamento en la omisión de oportunidades para controvertir pruebas, pese a que —a su juicio— se configuraba la causal de nulidad prevista en el artículo 137 del CPACA, relativa al desconocimiento del derecho de audiencia y defensa.

Finalmente, afirma que las razones expuestas por la Dirección en la resolución sancionatoria para descartar la vulneración al debido proceso — como la posibilidad de consultar la hoja de vida del autor del análisis en el SIGEP o la afirmación genérica de que se garantizó la contradicción— resultan insuficientes, en tanto no sustituyen los mecanismos procesales expresamente previstos en la ley para la contradicción de los dictámenes periciales. En consecuencia, solicita que se declare que la Resolución 38583

insuficientes, en tanto no sustituyen los mecanismos procesales expresamente previstos en la ley para la contradicción de los dictámenes periciales. En consecuencia, solicita que se declare que la Resolución 38583 de 2025 fue expedida con violación del debido proceso y del derecho de defensa.

4.1.3. Respecto a la presunta inversión de la carga de la prueba y desconocimiento de las pruebas aportadas

La RECURRENTE afirma que la Dirección invirtió indebidamente la carga de la prueba en el trámite administrativo sancionatorio, al exigirle demostrar que conservó la información en condiciones de seguridad, cuando a su juicio, corresponde a la Autoridad administrativa acreditar, con base en las pruebas obrantes en el expediente, la configuración de las infracciones imputadas. Afirma que la Ley 1581 de 2012 no consagra una presunción de responsabilidad en cabeza de los investigados, razón por la c ual la carga probatoria recae en la autoridad, conforme a los principios de legalidad, tipicidad, antijuridicidad y culpabilidad.

En este sentido, cuestiona que en la Resolución No. 38583 de 2025 la Dirección haya señalado que la decisión se fundamentó en lo probado por la propia investigada lo cual, según sostiene, evidencia un desconocimiento de las reglas de distribución de la carga de la prueba aplicables al procedimiento administrativo sancionatorio. A su juicio, dicha actuación implicó trasladarle injustificadamente la obligación de desvirtuar la imputación, en contravía del debido proceso.

Adicionalmente, alega que la Dirección no valoró de manera adecuada ni integral el dictamen pericial aportado por VANTI, ni los documentos que

injustificadamente la obligación de desvirtuar la imputación, en contravía del debido proceso.

Adicionalmente, alega que la Dirección no valoró de manera adecuada ni integral el dictamen pericial aportado por VANTI, ni los documentos que acreditan la existencia y funcionamiento de su sistema de seguridad de la información. Destaca que, conforme a dicho dictamen, la sociedad cuenta con un sistema robusto orientado a la protección de los datos personales y que los hechos relacionados con la facturación electrónica no constituyeron un incidente de seguridad según las definiciones técnicas aplicables.

Finalmente, sostiene que la argumentación de la Dirección resulta contradictoria, pues, pese a afirmar que la sanción se basó en lo demostrado por la investigada, omitió considerar las pruebas técnicas que, en su criterio, desvirtúan la existencia de las infracciones imputadas.

4.1.4. Inexistencia de antijuridicidad

La RECURRENTE sostiene que, en la decisión sancionatoria, la Dirección no acreditó que la situación investigada hubiera puesto en riesgo o afectado la seguridad de los datos personales bajo su administración. Afirma que no se configuró ningún evento de adulteración, pérdida, consulta, uso o acceso no autorizado a datos personales, y que las bases de datos administradas por VANTI mantuvieron en todo momento su integridad, confidencialidad y disponibilidad, por lo cual no se habría presentado afectación material a la seguridad de la información.RESOLUCIÓN NÚMERO 14766 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 6 de 25

En ese sentido, argumenta que no se configuró la antijuridicidad de la

“Por la cual se resuelve un recurso de apelación”

Página 6 de 25

En ese sentido, argumenta que no se configuró la antijuridicidad de la conducta, en tanto no se demostró una afectación real o concreta a los principios de seguridad del tratamiento de datos personales. Señala que el error identificado se limitó al reporte de información en el marco del proceso de facturación electrónica, sin que ello hubiera derivado en consecuencias negativas para los titulares de la información.

Adicionalmente, destaca que la propia Dirección solicitó concepto a la DIAN sobre los eventuales efectos del reporte erróneo de facturas electrónicas asociadas al número de cédula del denunciante, y que la respuesta de dicha entidad se circunscribió a indi car que la situación podría dar lugar a requerimientos administrativos dirigidos al emisor de las facturas. Según la RECURRENTE, la autoridad tributaria no identificó impactos adversos para el titular, ni afectaciones a su situación fiscal u obligaciones frente a la DIAN.

Finalmente, concluye que, al no haberse demostrado una afectación a la seguridad de los datos personales ni consecuencias negativas para los titulares, la Dirección carecía de sustento para afirmar la configuración de una infracción, razón por la cual insi ste en que no se acreditó la antijuridicidad de la conducta que dio lugar a la sanción impuesta.

4.1.5. Desconocimiento del aporte casual e intervención de terceros

La RECURRENTE señala que la Dirección desconoció el aporte causal y la intervención determinante de terceros ajenos a VANTI en la generación de la situación investigada, al atribuir de manera íntegra la responsabilidad

terceros

La RECURRENTE señala que la Dirección desconoció el aporte causal y la intervención determinante de terceros ajenos a VANTI en la generación de la situación investigada, al atribuir de manera íntegra la responsabilidad administrativa a dicha sociedad, sin valorar la concurrencia de conductas de otros agentes que intervinieron en el proceso de facturación electrónica.

En particular, afirma que la Dirección omitió valorar que el error técnico se originó en el desarrollo de la solución tecnológica a cargo de AYESA, quien, según consta en el expediente, reconoció que la instrucción impartida por VANTI se limitó exclusivamente a la eliminación del dígito de verificación del NIT, aplicable a personas jurídicas. Argumenta que la eliminación del último dígito de los números de identificación de personas naturales obedeció a un error atribuible al proveedor, el cual resultaba imprevisible, ajeno y contrario a las instrucciones impartidas, y que, bajo criterios de normalidad y frecuencia, constituye la causa adecuada del evento.

Adicionalmente, señala que la Dirección omitió analizar la eventual intervención y responsabilidad de otros actores del sistema, como TRANSFIRIENDO S.A. y la DIAN, quienes también participan en el flujo de información de la facturación electrónica, y frent e a los cuales no se evaluó la existencia de deberes de control, verificación o corrección de errores, a diferencia del estándar estricto exigido a VANTI.

Considera que este tratamiento diferenciado condujo a la aplicación implícita de un régimen de responsabilidad objetiva, al exigir a VANTI un control absoluto del proceso, sin ponderar la intervención de terceros ni la imposibilidad razonable de prever o evitar el error técnico generado por el

de un régimen de responsabilidad objetiva, al exigir a VANTI un control absoluto del proceso, sin ponderar la intervención de terceros ni la imposibilidad razonable de prever o evitar el error técnico generado por el proveedor tecnológico.

Finalmente, concluye que la intervención de terceros constituye una causal de exoneración de responsabilidad o, en su defecto, debía conducir a una distribución proporcional de la responsabilidad, atendiendo al grado de contribución causal de AYESA, TRANSFIRIENDO y la DIAN, razón por la cual solicita la revocatoria de la sanción o, subsidiariamente, la reducción de su cuantía.

4.1.6. Vulneración del principio de proporcionalidad y naturaleza de los datosRESOLUCIÓN NÚMERO 14766 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 7 de 25

La RECURRENTE sostiene que la sanción impuesta desconoce el principio de proporcionalidad aplicable a la potestad sancionatoria de la autoridad de protección de datos, en la medida en que la Dirección no explicó de forma concreta la dimensión real del daño o del peligr o a los intereses jurídicos tutelados, limitándose a mencionarlo de manera genérica como criterio de graduación.

Afirma que no existió antijuridicidad ni afectación efectiva de bienes jurídicos y que, aun en el evento de considerarse alguna afectación, esta sería mínima. En particular, argumenta que los números generados por el error técnico , producto de la eliminación del último dígito del documento de identidad , no constituyen datos personales, pues no permiten identificar ni hacer determinable a una persona natural; y que, incluso si se consideraran datos

En particular, argumenta que los números generados por el error técnico , producto de la eliminación del último dígito del documento de identidad , no constituyen datos personales, pues no permiten identificar ni hacer determinable a una persona natural; y que, incluso si se consideraran datos personales, corresponderían a datos de naturaleza pública (n úmeros de identificación), cuyo nivel de afectación a la intimidad y al derecho de hábeas data es sustancialmente menor frente a datos privados o sensibles.

En consecuencia, la Dirección habría omitido valorar adecuadamente la naturaleza de los datos, el alcance limitado del supuesto incidente y el bajo o nulo impacto para los titulares, imponiendo una sanción desproporcionada y excesiva frente a la entidad de la conducta atribuida.

4.2. Respecto del Cargo Segundo – Deber de reportar el incidente de seguridad

4.2.1. Inexistencia de tipicidad: ausencia de incidente de seguridad

La recurrente sostiene que no se configuró un incidente de seguridad en los términos previstos por la normativa vigente, razón por la cual no surgía la obligación de reporte en el RNBD ni podía estructurarse la infracción al literal n) del artículo 17 de la Ley 1581 de 2012. Afirma que la Dirección fundamentó el cargo en una noción amplia y no normativa de “afectación a la integridad”, apoyándose en una guía no vinculante, sin acreditar la ocurrencia de ninguna de las cuatro situaciones que definen legalmente un incidente de seguridad: (i) violación de códigos de seguridad, (ii) pérdida de información, (iii) robo de información o (iv) acceso no autorizado.

En particular, señala que no se vulneraron las medidas de seguridad

(i) violación de códigos de seguridad, (ii) pérdida de información, (iii) robo de información o (iv) acceso no autorizado.

En particular, señala que no se vulneraron las medidas de seguridad implementadas por VANTI; no se perdió, extravió ni desapareció información de sus bases de datos; no existió sustracción ilegítima de datos; ni se produjo acceso no autorizado, pues la información fue suministrada exclusivamente a la DIAN, autoridad legalmente facultada, en cumplimiento de obligaciones de facturación electrónica y mediante un proveedor tecnológico habilitado. Añade que cualquier eventual visualización indebida en el sistema de la DIAN sería atribuible a fallas propias de dicha entidad y no a las actuaciones de VANTI.

Asimismo, sostiene que el error técnico consi