SIC - Resolucion RE14767-2026 de 2025

Página 1 de 8

RESOLUCIÓN NÚMERO 14767 DE 2026

( 2 de marzo de 2026)

Por la cual se resuelve un recurso de apelación

Radicación 24-386569

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16, del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO:

PRIMERO. Que mediante escritos radicados bajo los números 24-387304-001 y 24386569-00, ambos del 10 de septiembre de 2024, se puso en conocimiento de esta Superintendencia, de manera anónima, la ocurrencia de unos hechos que indicaban un posible desconocimiento de las normas de protección de datos personales. De las referidas comunicaciones se extrajo lo siguiente:

1.1. “Un descubrimiento alarmante ha puesto en evidencia una violación masiva a la seguridad y privacidad de inspaniduos (sic) y empresas en Colombia. Empresas reconocidas como SURA, Compensar (Universidad), Corbeta, Banco Unión, PepsiCo, Colanta, Cerámica Ital ia, Algar Tecnologia SAS, entidades como el Acueducto Metropolitano de Bucaramanga y AXXA Asistencia se han visto salpicados por la filtración de más de 170,000 documentos sensibles debido a una falla de seguridad de su proveedor. La vulnerabilidad se encu entra en la estructura de las URL utilizadas por el proveedor para acceder a los informes

salpicados por la filtración de más de 170,000 documentos sensibles debido a una falla de seguridad de su proveedor. La vulnerabilidad se encu entra en la estructura de las URL utilizadas por el proveedor para acceder a los informes inspaniduales (sic) solo se requiere la URL: https://reportes.globalwork.co/reports/156852. En esta, el número final (en este caso, 156852) corresponde a un informe específico.

1.2. Al cambiar este número, se puede acceder a otros informes. Con más de 170,000 informes disponibles, esta simple alteración de la URL permite a cualquier persona acceder a una cantidad alarmante de información sensible, personalmente se han podido verificar que la falla existe con cientos de documentos accesibles al publico (sic). Esta información filtrada contiene detalles extremadamente delicados, incluyendo conducta social, exámenes de polígrafo, estudios de seguridad y visitas domiciliarias. Esta situación representa una violación flagrante a las leyes de protección de datos personales en Colombia, poniendo en riesgo la privacidad de los inspaniduos (sic) y exponiendo la reputación de las empresas y entidades involucradas.

Además, es importante destacar que esta brecha de seguridad ha permanecido abierta y no ha sido reportada al SIC ni subsanada. Esto significa que estos documentos sensibles podrían haber estado circulando en el internet oscuro durante un tiempo indeterminado, aumentando aún más el riesgo y el impacto de esta violación a la privacidad.

1.3. Es crucial entender que esta situación no corresponde a un ataque informático, sino a una simple acumulación de malas prácticas. La falta de controles de seguridad adecuados y la negligencia en la protección de datos han llevado a

1.3. Es crucial entender que esta situación no corresponde a un ataque informático, sino a una simple acumulación de malas prácticas. La falta de controles de seguridad adecuados y la negligencia en la protección de datos han llevado a esta exposición masiva de información sensible y su circulación libre al publico (sic). Este incidente resalta un problema común y preocupante: las empresas y entidades, cuando contratan, suelen no evaluar la seguridad de la información de sus proveedores o considerarla como un fa ctor de decisión, la prioridad se inclina hacia menor costo, sin considerar las posibles amenazas a la seguridad de la información.

1.4. Este descuido puede llevar a brechas de seguridad como la actual, que exponen los datos de las empresas, entidades y de sus clientes. Es imperativo que las

1 Radicado acumulado al radicado No. 24-386569

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 14767 DE 2026

“Por la cual se resuelve un recurso de apelación” Página 2 de 8

empresas y entidades tomen medidas inmediatas para remediar esta situación y garantizar que no se repita en el futuro. Esto incluye la consideración de la seguridad de la información al seleccionar y trabajar con proveedores, y no solo centrarse en la opción más económica.

1.5. La seguridad de los datos no debe ser comprometida por el coste del servicio. Se ha podido verificar que es posible acceder a documentos que incorporan datos desde los años 2019 al 2024 de las empresas mencionadas y otras. Esta filtración masiva de datos e s una señal de alerta para todas las empresas y entidades, subrayando la importancia de una rigurosa evaluación de la seguridad de la información.

desde los años 2019 al 2024 de las empresas mencionadas y otras. Esta filtración masiva de datos e s una señal de alerta para todas las empresas y entidades, subrayando la importancia de una rigurosa evaluación de la seguridad de la información.

SEGUNDO. Que la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante Resolución No. 77518 del 11 de diciembre de 2024, decidió abrir una investigación administrativa y formular cargos contra Globalwork Colombia S.A.S. (en adelante Globalwork), por la presunta vulneración de lo dispuesto en : (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en los literales g) y h) del artículo 4 y el artículo 5 de la misma ley, así como los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2. del Decreto 1074 de 2015, y (ii) el literal b) del artículo 19 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y el artículo 9 de la precitada ley, en concordancia con el artículo 2.2.2.25.2.2 del Decreto 1074 de 2015.

TERCERO. Que mediante escritos con radicados 24-386569-10, 24-386569-11, 24386569-12 y 24 -386569-13 del 7 de enero de 2025 , Globalwork a través de su Representante Legal, presentó el escrito de Descargos , en el cual man ifiesta lo siguiente:

• Respecto al primer cargo , indica Globalwork que, a partir de l os hallazgos

Representante Legal, presentó el escrito de Descargos , en el cual man ifiesta lo siguiente:

• Respecto al primer cargo , indica Globalwork que, a partir de l os hallazgos informados, se realizaron las verificaciones necesarias detectando una falla técnica que permitía la explotación de rutas internas sin un control de acceso explícito.

Informa que su representada no tuvo conocimiento previo de la vulnerabilidad detectada, debido a la confianza en que solo usuarios autenticados interact uaban con la plataforma , así como la ausencia de reportes o evidencia de accesos maliciosos previos de usuarios o de terceras personas. Asimismo, menciona cada una de las medidas de seguridad implementadas para contrarrestar la exposición de la información.

• Respecto al segundo cargo, manifiesta la representante de Globalwork que los formularios “Solicitar demostración” y “Trabaja con nosotros”, relacionados en la formulación de cargos, cuentan con el respectivo mecanismo, en la página web, para que el usuario otorgue la respectiva autorización.

CUARTO. Que de acuerdo con las pruebas allegadas a la presente actuación administrativa, la Dirección comprobó que Globalwork no contaba con las medidas técnicas necesarias para garantizar la seguridad de la información personal de terceros que se encuentra alojada en sus servidores con el fin de evitar su exposición en la red o su consulta no autorizada . Asimismo, concluyó que Globalwork recolecta(ba) datos personales por medio de su sitio web sin contar con u na herramienta idónea para obtener la autorización de los titulares para la recolección de su información personal.

Conforme lo anterior, la Dirección, mediante Resolución No. 79163 del 6 de octubre de 2025, resolvió:

herramienta idónea para obtener la autorización de los titulares para la recolección de su información personal.

Conforme lo anterior, la Dirección, mediante Resolución No. 79163 del 6 de octubre de 2025, resolvió:

“ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad GLOBALWORK COLOMBIA S.A.S., identificada con el nit 901.128.388-1 de CIENTO CINCUENTA (150) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 equivalentes DIECISIETE MIL CUATROCIENTOS (17.400) Unidades de Valor Básico, -UVB vigentes para el 2025 - equivalentes a DOSCIENTOS UN MILLONES CUATRO MIL OCHOCIENTOS PESOS M/CTE (201.004.800) por la vulneración de lo dispuesto en el literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales g) y h) del artículo 4 y el artículo 5 de la misma ley, así como los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015.RESOLUCIÓN NÚMERO 14767 DE 2026

“Por la cual se resuelve un recurso de apelación” Página 3 de 8

(…)

ARTÍCULO 2: ORDENAR a la sociedad GLOBALWORK COLOMBIA S.A.S. , identificada con el nit 901.128.388-1 desarrollar e implementar un mecanismo para obtener la autorización previa, expresa e informada de los titulares cuya información es recolectada por medio de su sitio web, conforme a las previsiones hechas en la

identificada con el nit 901.128.388-1 desarrollar e implementar un mecanismo para obtener la autorización previa, expresa e informada de los titulares cuya información es recolectada por medio de su sitio web, conforme a las previsiones hechas en la parte motiva del presente acto administrativo.

La presente orden deberá ser cumplida por la sociedad GLOBALWORK COLOMBIA S.A.S., dentro del término de veinte (20) días hábiles, siguientes a la ejecutoria de la presente decisión”.

QUINTO. Que Globalwork a través de su representante legal (en adelante la recurrente), mediante escrito con número de radicado 24-386569-26 del 20 de octubre de 2025, interpuso recurso de reposición y en subsidio de apelación2 contra la Resolución No. 79163 del 6 de octubre de 2025 , cuyos argumentos son los siguientes:

5.1. “Ausencia de análisis de los criterios establecidos en el artículo 24 de la Ley 1581 de 2012”.

Considera que, en el presente asunto no se realizó un análisis suficiente y detallado de las acciones desplegadas por la compañ ía encaminadas a reforzar los sistemas de control y segur idad en relación con los datos personales que son recolectados, con el fin de mitigar el daño o peligro a los intereses jurídicos protegidos, esto, en concordancia con lo establecido en el literal a) del artículo 23 de la citada norma:

a. Se realizaron las corr ecciones y modificacione s de seguridad necesarias para evitar vulneraciones relacionadas con la protección de datos personales.

b. Se realizó una auditoría interna con el fin de establecer puntos de vulnerabilidad

a. Se realizaron las corr ecciones y modificacione s de seguridad necesarias para evitar vulneraciones relacionadas con la protección de datos personales.

b. Se realizó una auditoría interna con el fin de establecer puntos de vulnerabilidad y/o implementación de mejoras que permitan brindar una protección reforzada de los datos sensibles administrados por las plataformas.

c. Se implementaron políticas de seguridad de re d que restringen las conexiones salientes hacia destinos considerados de riesgo, deshabilitando rutas de acceso a servidores de bases de datos.

d. Se estableció una nueva ru ta de acceso a los informes mediante cifrado y autenticación por cliente, previniendo así que los mism os solo sean acc esibles por sus destinatarios.

En relación con lo establecido en los literales b), c), d) y e) del artículo 24, indica la recurrente lo siguiente:

a. No se demostró durante el trámite procesal que la sociedad Globalwork haya obtenido un beneficio económico directa o indirecto.

b. La sociedad Global work no es reincidente en co nductas igual es o similares relacionadas con infracciones al tratamiento y uso de datos personales.

c. No existió ningún tipo de resistencia, obstrucción, obstaculización y/o maniobra dilatoria por parte de la soc iedad investigad a, sus socios , trabajadores o colaboradores en relación con el proceso administrativo adelantado.

Concluye la recurr ente, indicando que la Dirección omi tió realizar un análisis detallado en relación con estos criterios orientador es para la graduación de la sanción, mismo s que benefician a la s ociedad investigad a, pues no deben interpretarse como simples ausencias , sino que deben ser analizados como

detallado en relación con estos criterios orientador es para la graduación de la sanción, mismo s que benefician a la s ociedad investigad a, pues no deben interpretarse como simples ausencias , sino que deben ser analizados como verdaderos criterios positivos a la hora de tasar la sanción pecuniaria. Es decir, no se t uvieron en cuenta las medi das correct ivas realizadas por la s ociedad que permitieron la “readecuación” de los sistemas de seguridad y la implementación de nuevas actualizaciones y herramientas para brindar una protección reforzada de los datos de los usuarios.

2 La Resolución No. 79163 del 6 de octubre de 2025 fue notificada personalmente de manera electrónica a Globalwork el 6 de octubre de 2025.RESOLUCIÓN NÚMERO 14767 DE 2026

“Por la cual se resuelve un recurso de apelación” Página 4 de 8

5.2. Principio de proporcionalidad de las sanciones.

Considera la recurren te que en el caso co ncreto se debió atender los siguientes criterios con el fin de graduar la sanción a imponer, sin dejar de lado los factores beneficiosos de su representada . Ello por cuanto comprend e el estudio de circunstancias particu lares que permite determinar una interpretación menos gravosa en relación con el actuar desplegado por el investigado, que, para el evento que nos ocupa, significa la tasación de una sanción mucho menor , atendiendo los criterios establecidos en la Ley 1581 de 2012, así:

En cuanto a la necesidad de la sanción , considera la recurrente que la multa impuesta por la Dirección tiene un potencial lesivo para el normal desarrollo de la

criterios establecidos en la Ley 1581 de 2012, así:

En cuanto a la necesidad de la sanción , considera la recurrente que la multa impuesta por la Dirección tiene un potencial lesivo para el normal desarrollo de la actividad económica y societaria de su representada. Asimismo, indica que ésta puede ser reajustada, generando un reproche adecuado y proporcional en relación con los cargos atribuidos sin que la consecuencia jurídica represente una afectación mayor a su representada.

Frente a la proporcionalidad en sentido estricto, sostiene la recurrente que la sanción adoptada no debe generar un perjuicio mayor a los beneficios que reporta su imposición, lo cual implica la búsqueda de un equilibrio entre ambos aspectos, es decir, “el beneficio que debe reportar la aplicación de la sanción no debe ser mayor al perjuicio que se cause con su imposición”.

Concluye la recurrente indicando que la sanción impuesta a través de la Resolución No. 79163 del 6 de octubre de 2025, debe ser reajustada teniendo en cuent a las características y circunstancias propias de su representada. Insiste en que la multa debe corresponder a la realidad actual de la empresa , con el fin de evitar afectaciones estructurales a la dinámica propia de la sociedad que impliquen una futura cesación de su actividad comercial.

SEXTO. Que la Dirección, mediante Resolución No. 1912 del 9 de enero de 2026 , resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 79163 del 6 de octubre de 2025.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente

resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 79163 del 6 de octubre de 2025.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, d e conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 092 de 2022).

7.1. Principios de legalidad y de proporcionalidad de la sanción. Criterios de graduación de las sanciones.

La facultad sancionatoria de la administración además de encontrarse sujeta a los principios de legalidad y tipicidad, debe satisfacer el principio de proporcionalidad. Éste busca que la sanción a imponer sea consecuente y equilibrada respecto de la conducta reprochada. Es decir, debe ser adecuada a la norma que le da sustento y estar en función del incumplimiento del deber y su gravedad, pues lo que se pretende con su imposición es promover y garantizar el cumplimiento del Régimen de Protección de Datos Personales.

En el presente asunto, no hay discusión sobre la tipicidad de la conducta, ni sobre la existencia de la falta atribuida a Globalwork.

Del análisis de las pruebas allegadas a la presente actuación, concluyó la Dirección que Globalwork no cumplió los deberes consagrados en los literales b) y d) del artículo 17 de la Ley 1581 de 2012. En particular, en relación con el incumplimiento del deber consagrado en el literal d) precepto bajo el cual, los Responsables deben conservar la información sobre la cual realizan el tratamiento bajo

artículo 17 de la Ley 1581 de 2012. En particular, en relación con el incumplimiento del deber consagrado en el literal d) precepto bajo el cual, los Responsables deben conservar la información sobre la cual realizan el tratamiento bajo condiciones de seguridad adecuadas , sobre el que la recurrente apalanca su impugnación, esta Delegatura recuerda que dicho deber desarrolla, entre otros, los principios de seguridad y confidencialidad, previstos en los literales g) y h) del artículo 4 de la mencionada Ley, que establecen:RESOLUCIÓN NÚMERO 14767 DE 2026

“Por la cual se resuelve un recurso de apelación” Página 5 de 8

Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los reg istros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la

su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.”

Frente al principio de seguridad, la Corte Constitucional, mediante Sentencia C-748 de 2011, consideró lo siguiente:

“2.6.5.2.7. Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérd ida, consulta, uso o acceso no autorizado o fraudulento.

De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”[240]3, a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de med idas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

necesarias la adopción de med idas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente.

Por su parte, el principio de confidencialidad agrega un sentido de responsabilidad a quienes realizan el tratamiento de datos personales, pues, de acuerdo con su definición, “[t]odas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento”4.

De acuerdo con lo anterior, los Responsables del tratamiento de datos personales deben tener implementadas las medidas necesarias para evitar que incidentes de seguridad, filtraciones o accesos no consentidos a los datos personales, cualquiera sea su origen, ocurran. Resulta necesario la adaptación y el desarrollo de diferentes mecanismos que comprometan a toda la organización en la labor de proteger los datos personales, mientras se desarrollan actividades de tratamiento.

Ahora bien, en lo relacionado con la tipicidad y la proporcionalidad de la sanción, punto central de la presente impugnación, bien vale la pena transcribir el artículo 24 de la Ley 1581 de 2012, en el cual el Legislador estableció los criterios que deben ser tenidos en cuenta al momento de graduar las sanciones propias del régimen de protección de datos personales.

ARTÍCULO 24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por

ser tenidos en cuenta al momento de graduar las sanciones propias del régimen de protección de datos personales.

ARTÍCULO 24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables:

3 [240] El término es utilizada por el Dictamen 3/2010 sobre el principio de responsabilidad, emitido por el Grupo de Protección de Datos de la Unión Europea. 4 Literal h) del artículo 4 de la Ley 1581 de 2012.RESOLUCIÓN NÚMERO 14767 DE 2026

“Por la cual se resuelve un recurso de apelación” Página 6 de 8

a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

La Corte Constitucional en la Sentencia C–748 de 2011, al realizar el examen de constitucionalidad del citado artículo, consideró:

“corresponde al legislador establecer parámetros para que las autoridades, al

La Corte Constitucional en la Sentencia C–748 de 2011, al realizar el examen de constitucionalidad del citado artículo, consideró:

“corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”. (resaltado fuera del original)

En relación con la conducta desplegada por la investigada , como criterio de graduación, la Dirección tuvo en cuenta el dispuesto en el literal a) del artículo 24 de la Ley 1581 de 2012, relacionado con la dimensión del daño o peligro a los intereses jurídicos tutelados por dicha Ley.

En el presente caso se encuentra probado que Globalwork puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, en particular la seguridad y confidencialidad de los datos personales recolectados y tratad os a través de la comprobación de estudios de seguridad , visitas domiciliaras , verificación de antecedentes, entre otros, realizados a solicitud de quienes optan por utilizar sus servicios.

Así quedó evidenciado en el Acta de Preservación No. 145-24 del 18 de septiembre de 2024, mediante la cual el Grupo de Trabajo de Informática Forense y Seguridad Digital al revisar la página web https://reportes.globalwork.co/reports/156852 y https://globalwork.co, pudo tener acceso y descargar 30 números de reporte aleatorios, correspondientes a aspirantes de diferentes empresas, entre los que se

Digital al revisar la página web https://reportes.globalwork.co/reports/156852 y https://globalwork.co, pudo tener acceso y descargar 30 números de reporte aleatorios, correspondientes a aspirantes de diferentes empresas, entre los que se destacan visitas domiciliarias, prueba de poligrafía, antecedentes judiciales , verificación académica y laboral, etc. De dichos hallazgos se concluyó que se habían generado un total de 202.506 informes, que incluyen, entre otros, aquellos que contienen datos personales, y los que se encuentran en proceso de verificación.

Así las cosas, contrario a lo manifestado por la recurrente, la aplicación del criterio agravante contemplado en el literal a) del citado artículo 24 , se encuentra plenamente justificada.

Respecto de los demás criterios para la graduación de la sanción, esto es, aquellos contemplados en los literales b), c), d) y e) del mentado artículo 24, no fueron tenidos en cuenta por la Dirección para agravar el valor de la sanción. Y no fueron tenidos en cuenta con el fin de agravar la sanción, porque, como bien lo indicó la recurrente, Globalwork:

(i) No obtuvo un beneficio económico en virtud de la comisión de la infracción. (ii) No reincidió en la comisión de la falta investigada. (iii) No se resistió ni obstruyó la acción investigadora de esta Superintendencia. (iv) No fue renuente al cumplimiento de las órdenes impartidas por esta Superintendencia.

Esta Delegatura no puede tomar como criterios atenuantes los que la propia Ley, según la interpretación de la Corte Constitucional, cons idera criterios agravantes. Esto sería ir en contra del principio de legalidad y estricta tipicidad de las sanciones.

Esta Delegatura no puede tomar como criterios atenuantes los que la propia Ley, según la interpretación de la Corte Constitucional, cons idera criterios agravantes. Esto sería ir en contra del principio de legalidad y estricta tipicidad de las sanciones. Por tanto, de acoger en algún sentido viable la pretensión de la recurrente, esta Delegatura tendría que estimar tales criterios como agravantes; situación claramente no querida por la recurrente, y contraria a diferentes garantías del derecho sancionatorio como el de la non reformatio impe ius, según la cual no leRESOLUCIÓN NÚMERO 14767 DE 2026

“Por la cual se resuelve un recurso de apelación” Página 7 de 8

está permitido a l superior agravar la sanción impuesta por el inferior cuando su competencia fue activada por la actuación del apelante único. Ahora, frente al único criterio de atenuación que prevé el artículo 24, esto es, el dispuesto en el literal f), la Dirección no lo tuvo en cuenta por cuanto , antes de emitirse la decisión sancionatoria Globalwork no reconoció ni aceptó expresamente haber cometido las infracciones por las cuales fue investigada.

Por último, debe resaltar el Despacho que el proceso sancionatorio está sujeto a los principios de individualización y análisis del caso concreto, lo cual implica que la s conductas infractoras , el contexto de su ocurrencia, los riesgos generados, las consecuencias producidas, el grado de diligencia del responsable y la naturaleza de los datos comprometidos, entre otros, deben ser objeto de valoración particular e independiente.

La valoración individual y autónoma, en el contexto del principio de proporcionalidad

consecuencias producidas, el grado de diligencia del responsable y la naturaleza de los datos comprometidos, entre otros, deben ser objeto de valoración particular e independiente.

La valoración individual y autónoma, en el contexto del principio de proporcionalidad en el que la autoridad ejerce su discrecionalidad limitada, es lo que sustenta la validez y razonabilidad de la sanción impuesta. En el presente caso, la Dirección se movió en el marco de dichos principios. Se demostró el incumplimiento d el deber de conservar la información bajo las condiciones de seguridad necesarias para evitar su consulta o acceso no autorizado. La multa impuesta ($ 201.004.800), corresponde al 7.5% del máximo legal permitido (2 .000 salarios mínimos legales mensuales vigentes al momento de la imposición ) según lo previsto en el artículo 23 de la Ley 1581 de 2012.

La imposición de esta multa estuvo precedida por un análisis integral de los elementos propios y particulares de este caso, la naturaleza de la informac