SIC - Resolucion RE16777-2026 de 2025

Página 1 de 13

RESOLUCIÓN NÚMERO 16777 DE 2026

(10 de marzo de 2026)

“Por la cual se resuelve un recurso de apelación”

Radicado 19-208310

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y por el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante Resolución No. 34526 del 3 de junio de 2022 , la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección) le ordenó a la sociedad SPRAY SOLUTIONS INT S.A.S. lo siguiente:

“ARTÍCULO PRIMERO: ORDENAR a la sociedad SPRAY SOLUTIONS INT S.A.S. identificada con el Número de Identificación Tributaria 900.926.163 – 1, desarrolle, documente e implemente medidas apropiadas, efectivas, útiles, oportunas y demostrables para garantizar el adecuado Tratami ento de los datos personales que transfiere a otros países, conforme a la Ley 1581 de 2012, sus decretos reglamentarios y la Circular Única de la Superintendencia de Industria y Comercio.

PARÁGRAFO PRIMERO: De igual forma, deberá monitorear el cumplimiento de las medidas documentadas e implementadas para garantizar el adecuado Tratamiento de los datos personales que transfiere a otros países.

PARÁGRAFO PRIMERO: De igual forma, deberá monitorear el cumplimiento de las medidas documentadas e implementadas para garantizar el adecuado Tratamiento de los datos personales que transfiere a otros países.

ARTÍCULO SEGUNDO: ORDENAR a SPRAY SOLUTIONS INT S.A.S., identificada con el Número de Identificación Tributaria 900.926.163 - 1, que documente, implemente y monitoree una política de seguridad de la información con el objetivo de otorgar seguridad a los datos personales al momento de efectuar la transferencia a otro país.

PARÁGRAFO PRIMERO: Dichas medidas deben ser objeto de monitoreo, control, revisión y evaluación permanente, a fin de determinar su nivel de eficacia en cuanto al cumplimiento y evitar que se vulneren los derechos de los ciudadanos.

PARÁGRAFO SEGUNDO: La política de seguridad deberá contener, como mínimo, medidas técnicas, humanas y administrativas necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información que será transferida, así como cualquier otro Tratamiento que contraríe el ordenamiento jurídico.

ARTÍCULO TERCERO: La sociedad SPRAY SOLUTIONS INT S.A.S. identificada con el Número de Identificación Tributaria 900.926.163 – 1, deberá cumplir lo ordenado en esta resolución dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de SPRAY SOLUTIONS INT S.A.S. identificada con el Número de Identificación Tributaria

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de SPRAY SOLUTIONS INT S.A.S. identificada con el Número de Identificación Tributaria 900.926.163 – 1, que acredite que se han implementado las medidas ordenadas.”

SEGUNDO. Que, la sociedad SPRAY SOLUTIONS INT S.A.S. fue notificada de la Resolución No. 34526 del 3 de junio de 2022 , mediante aviso Web el 24 de junio de 2022, de conformidad con la certificación con radicado 19-208310-13,

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 2 de 13

del 1 1 de julio 2022 expedida por la Secretar ía General Ad - Hoc de esta Superintendencia.

Dicha Sociedad tenía la obligación de acreditar el cumplimiento de las órdenes emitidas en la Resolución No. 34526 del 3 de junio de 2022 , remitiendo a esta Superintendencia una certificación suscrita por su representante legal, que acreditara que se habían implementado las medidas ordenadas.

Vencido el término establecido en el Artículo Tercero de la Resolución No. 34526 del 3 de junio de 2022, la sociedad SPRAY SOLUTIONS INT S.A.S., no acreditó el cumplimiento de las órdenes impartidas.

TERCERO. Que, en virtud de lo expuesto, la Dirección, mediante la Resolución No. 34498 del 28 de junio de 2024, decidió abrir una investigación administrativa y formular cargos a la sociedad SPRAY SOLUTIONS INT S.A.S. , por la

TERCERO. Que, en virtud de lo expuesto, la Dirección, mediante la Resolución No. 34498 del 28 de junio de 2024, decidió abrir una investigación administrativa y formular cargos a la sociedad SPRAY SOLUTIONS INT S.A.S. , por la presunta vulneración de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales e) y f) del artículo 21 de la norma en mención.

CUARTO. Que la Dirección, con fundamento en las pruebas allegadas dentro de la presente actuación, consideró que la sociedad SPRAY SOLUTIONS INT S.A.S., no acreditó el cumplimiento de lo ordenado mediante la Resolución No. 34526 del 3 de junio de 2022. Por lo anterior, mediante Resolución No. 51489 del 30 de julio de 2025 resolvió lo siguiente:

“ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad SPRAY SOLUTIONS INT S.A.S., identificada con NIT. 900.926.163 -1, de NOVENTA (90) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DIEZ MIL CUATROCIENTOS CUARENTA (10.440) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO VEINTE MILLONES SEISCIENTOS DOS MIL OCHOCIENTOS OCHENTA PESOS M/CTE ($120.602.880), por la vulneración al deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.”

QUINTO. Que, dentro de l término legal establecido para el efecto , el 11 de

del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.”

QUINTO. Que, dentro de l término legal establecido para el efecto , el 11 de agosto de 2025 , SPRAY SOLUTIONS INT S.A.S. (en adelante la RECURRENTE), a través de su apoderado especial y mediante escrito radicado con el número 19-208310-32, interpuso recurso de reposición y en subsidio de apelación1 contra la Resolución No. 51489 del 30 de julio de 2025, solicitando la revocatoria de la sanción impuesta , con fundamento en los siguientes argumentos:

5.1. Vulneración del principio de proporcionalidad en la dosificación de la sanción. La RECURRENTE sostuvo que la multa impuesta resulta exorbitante y desproporcionada, por cuanto no se valoraron adecuadamente los esfuerzos desplegados para garantizar el debido tratamiento de los datos personales bajo su responsabilidad, ni se aplicaron de manera corre cta los criterios de graduación previstos en el artículo 24 de la Ley 1581 de 2012. Indicó que la cuantía fijada — $120.602.880— desconoce el análisis del daño o riesgo efectivo para los titulares y la dimensión del eventual perjuicio, así como la inexistencia de una afectación concreta a sus derechos.

Afirmó que, aun en el evento de considerarse la existencia de un riesgo potencial, este debía calificarse como bajo, dado que para la fecha de vencimiento del término conferido por la autoridad ya contaba con lineamientos internos y medidas de seguridad orientadas a la protección de la información personal.

potencial, este debía calificarse como bajo, dado que para la fecha de vencimiento del término conferido por la autoridad ya contaba con lineamientos internos y medidas de seguridad orientadas a la protección de la información personal.

5.2. Indebida valoración probatoria. Señaló que la decisión recurrida omitió valorar adecuadamente las medidas técnicas, humanas,

1 La Resolución No. 51489 del 30 de julio de 2025, fue notificada electrónicamente la RECURRENTE el 30 de julio de 2025.RESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 3 de 13

administrativas y jurídicas implementadas por la sociedad para garantizar la seguridad y confidencialidad de la información, entre ellas: (i) la Política de Control y Seguridad BASC; (ii) el Procedimiento de Seguridad Informática; (iii) acuerdos de confidencialidad y manejo de la información suscritos con colaboradores; (iv) capacitaciones en estándares BASC; y (v) lineamientos internos de tratamiento de datos personales.

Manifestó que, aunque algunos documentos allegados tienen fecha posterior al 13 de septiembre de 2022, estos corresponden a sus versiones más recientes, pues los lineamientos ya se encontraban implementados al momento en que se impartieron las órdenes administrativas, lo cual, según afirma, puede verificarse con los anexos aportados.

Adicionalmente, destacó que en marzo de 2022 obtuvo certificación BASC expedida por Work BASC Organization, lo cual, a su juicio, acredita la implementación de estándares robustos de seguridad de la información.

Indicó también que, en precedentes administrativos —citando la

expedida por Work BASC Organization, lo cual, a su juicio, acredita la implementación de estándares robustos de seguridad de la información.

Indicó también que, en precedentes administrativos —citando la Resolución 16855 de 2025—, esta Superintendencia ha reconocido que el cumplimiento posterior de órdenes administrativas puede incidir en la procedencia de la sanción.

Asimismo, informó que fortaleció su esquema de cumplimiento mediante la adopción de un Manual de Seguridad de Datos Personales y Gestión de Incidentes, así como un Procedimiento de Tratamiento de Datos Personales, orientados a estructurar medidas integrale s de protección durante todo el ciclo de vida del dato.

5.3. Comparación con otras decisiones sancionatorias. La RECURRENTE manifestó que, al contrastar la sanción impuesta con decisiones adoptadas entre 2023 y 2024 por infracción al literal o) del artículo 17 de la Ley 1581 de 2012, se evidencia —según su dicho— una disparidad en la dosificación. Indicó que el promedio de las sanciones en los doce (12) casos analizados fue de aproximadamente COP 17.206.000, cifra inferior al diez por ciento (10%) de la multa inicialmente impuesta en su caso; y que la sanción más alt a (COP 82.570.540) correspondió a una entidad con ingresos superiores a COP 100.000.000.000. Señaló igualmente que, en la mayoría de esos casos, no medió allanamiento ni reconocimiento expreso de la infracción, y aun así las sanciones fueron inferiores.RESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

reconocimiento expreso de la infracción, y aun así las sanciones fueron inferiores.RESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 4 de 13RESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 5 de 13

Con fundamento en lo anterior, solicitó la revocatoria de la sanción impuesta y, subsidiariamente, que se imparta únicamente una orden administrativa.

SEXTO. Que la Dirección, mediante Resolución No. 8845 del 11 de febrero de 2026, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 51489 del 30 de julio de 2025, al concluir que la sociedad SPRAY SOLUTIONS INT S.A.S. incumplió las órdenes impartidas por esta Superintendencia, sin que los argumentos expuestos en sede de reposición lograran desvirtuar el cargo formulado.

Precisó que la documentación y soportes allegados por la sociedad fueron presentados aproximadamente un año y medio después del vencimiento del término otorgado para el cumplimiento de las órdenes, por lo que dicho cumplimiento extemporáneo carece de efica cia jurídica frente a la infracción investigada, en tanto los términos fijados por la administración son de obligatorio acatamiento y su inobservancia configura conducta sancionable.

Indicó que resultaba procedente la aplicación del agravante previsto en el literal a) del artículo 24 de la Ley 1581 de 2012, toda vez que el incumplimiento de las

obligatorio acatamiento y su inobservancia configura conducta sancionable.

Indicó que resultaba procedente la aplicación del agravante previsto en el literal a) del artículo 24 de la Ley 1581 de 2012, toda vez que el incumplimiento de las órdenes impartidas mediante la Resolución No. 34526 del 3 de junio de 2022, dentro del térmi no concedido, puso en peligro real y concreto los intereses jurídicos tutelados por dicha ley, vulnerando los deberes consagrados en el literal o) del artículo 17 y en el literal f) del artículo 21 ibidem.

De igual forma, se confirmó la aplicación del atenuante previsto en el literal f) del artículo 24 de la Ley 1581 de 2012, en consideración al reconocimiento expreso de la infracción efectuado por la sociedad en el escrito de descargos.

Finalmente, precisó que no resultaban aplicables los criterios previstos en los literales b), c), d) y e) del citado artículo 24, por cuanto no se acreditó la obtención de beneficio económico, reincidencia, obstrucción a la actuación administrativa ni renu encia o desacato a las órdenes impartidas. En consecuencia, la multa impuesta obedeció a la valoración integral y motivada de los criterios de graduación legalmente previstos.

Concluyó que la sanción impuesta no solo persigue reprochar el incumplimiento concreto verificado en el caso, sino también cumplir una finalidad preventiva y disuasiva, orientada a garantizar la observancia efectiva del régimen de protección de datos personales y el acatamiento de las órdenes e instrucciones impartidas por la autoridad de control.

disuasiva, orientada a garantizar la observancia efectiva del régimen de protección de datos personales y el acatamiento de las órdenes e instrucciones impartidas por la autoridad de control.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 , del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022).

7.1. Respecto del incumplimiento de la orden impartida

El artículo 15 de la Constitución Política consagra el derecho fundamental al habeas data y exige que en la recolección, tratamiento y circulación de datos personales se respeten la libertad y las demás garantías constitucionales. El tratamiento comprende cualquier operación sobre datos personales —incluyendo su recolección, almacenamiento, uso, circulación o supresión—, lo que impone a quienes los administran una responsabilidad reforzada en su gestión.

La Ley Estatutaria 1581 de 2012 , que desarroll ó este mandato superior, establece el principio y deber de seguridad, conforme al cual los responsables y encargados del tratamiento deben adoptar medidas técnicas, humanas y administrativas necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fr audulento de la información. Esta obligación no es meramente formal, sino que exige la implementación efectiva y verificable deRESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 6 de 13

meramente formal, sino que exige la implementación efectiva y verificable deRESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 6 de 13

mecanismos que garanticen la confidencialidad, integridad y disponibilidad de los datos personales.

Asimismo, la citada ley creó el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio, e impuso a los responsables deberes específicos en relación con el tratamiento de la información, particularmente cuando se realizan transferencias internacionales de datos personales.

En el caso concreto, la sociedad SPRAY SOLUTIONS INT S.A.S. informó ante el RNBD que realizaba transferencias internacionales de datos personales. Por tal motivo, la Dirección de Investigación de Protección de Datos Personales le requirió información sobre las medidas adoptadas para garantizar el adecuado tratamiento y la seguridad de los datos transferidos, así como los soportes que acreditaran su implementación y los contratos relacionados con dichas transferencias.

Sin embargo, la sociedad se limitó a remitir su política de tratamiento de datos personales, sin aportar evidencia suficiente sobre la adopción e implementación de medidas específicas, ni atender integralmente los requerimientos formulados. En consecuencia, se evidenció la ausencia de medidas apropiadas, efectivas y demostrables para garantizar el adecuado tratamiento y seguridad de los datos personales transferidos al exterior, así como la falta de una política de seguridad de la información debidamente documentada, implementada y monitoreada.

Por lo anterior, en virtud de las competencias atribuidas a la Superintendencia de Industria y Comercio por los artículos 19 y 21 de la Ley 1581 de 2012, con

de la información debidamente documentada, implementada y monitoreada.

Por lo anterior, en virtud de las competencias atribuidas a la Superintendencia de Industria y Comercio por los artículos 19 y 21 de la Ley 1581 de 2012, con el fin de prevenir riesgos para los derechos de los titulares, la Dirección impartió órdenes de carácter preventivo dirigidas a que la sociedad desarrollara, documentara, implementara y monitoreara medidas de seguridad y mecanismos de responsabilidad demostrada acordes con la normativa vigente para el tratamiento de datos personales en transferencias internacionales.

Así, es claro que la emisión de las órdenes administrativas se sustentó en la verificación de un incumplimiento frente a deberes legales específicos en materia de transferencias internacionales, así como en la necesidad de asegurar que el tratamiento de datos personales, en este contexto, se ajustase plenamente a la Constitución y a la Ley 1581 de 2012, garantizando la protección efectiva de los derechos fundamentales de los titulares.

Ahora bien, este Despacho advierte que el término concedido para el cumplimiento de las órdenes impartidas vencía el 13 de septiembre de 2022, sin que la sociedad allegara la certificación suscrita por su representante legal que acreditara la implementación de las medidas ordenadas, ni remitiera documento o comunicación alguna relacionada con el acatamiento de lo dispuesto en la Resolución No. 34526 del 3 de junio de 2022.

Solo de manera posterior, esto es, aproximadamente un (1) año y diez (10) meses después del vencimiento del plazo , con ocasión del escrito de descargos presentado dentro de la investigación iniciada por el presunto

Solo de manera posterior, esto es, aproximadamente un (1) año y diez (10) meses después del vencimiento del plazo , con ocasión del escrito de descargos presentado dentro de la investigación iniciada por el presunto incumplimiento, la sociedad manifestó que desde mayo de 2021 había desactivado el correo electrónico admon@spraysolutionsint.com, asignado a una excolaboradora, sin advertir —según indicó— que dicho buzón correspondía al canal de notificación judicial registrado en el certificado de existencia y representación. Señaló que dicha situación obedeció a un error humano, el cual, afirmó, fue identificado el 12 de agosto de 2022.

Con fundamento en lo anterior, sostuvo que la notificación de la Resolución No. 34526 del 3 de junio de 2022 se habría surtido en una cuenta de correo electrónico a la cual no tenía acceso, razón por la cual no conoció el contenido del acto administrativo ni las órdenes impartidas, y que el incumplimiento no obedeció a una renuencia o intención de desacato, sino al desconocimiento de la existencia de tal obligación.RESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 7 de 13

Adicionalmente, indicó que, aun sin tener conocimiento formal de las órdenes administrativas, la sociedad venía adelantando un proceso de fortalecimiento interno orientado al desarrollo de herramientas y mecanismos para garantizar la seguridad de la inform ación personal y el adecuado tratamiento de datos personales objeto de circulación internacional. En tal sentido, tanto en el escrito de descargos como en el recurso interpuesto, allegó diversos documentos que, a su juicio, acreditan el cumplimiento del deber de seguridad.

personales objeto de circulación internacional. En tal sentido, tanto en el escrito de descargos como en el recurso interpuesto, allegó diversos documentos que, a su juicio, acreditan el cumplimiento del deber de seguridad.

Frente a los argumentos de la recurrente , este Despacho estima pertinente precisar varios puntos.

Primero. Que nadie puede alegar en su favor su propia culpa o negligencia para eximirse del cumplimiento de un deber legal . Máxime cuando la situación invocada se origina en la información registrada por ella misma en el certificado de existencia y representación legal, particularmente en lo relativo al correo electrónico dispuesto para notificaciones judiciales.

La inscripción y actualización de la información contenida en el registro mercantil constituye una carga legal a cargo de las sociedades comerciales. En ese sentido, corresponde a la empresa garantizar que los datos allí consignados —incluido el canal oficial de notificación judicial — sean veraces, vigentes y funcionales. La eventual desactivación del correo electrónico registrado sin que se gestionara su actualización o modificación ante la Cámara de Comercio respectiva es una circunstancia atribuible excl usivamente a la esfera organizacional y administrativa de la sociedad.

No resulta jurídicamente admisible trasladar a la administración las consecuencias derivadas de la falta de diligencia en el mantenimiento y actualización de la información registral. La notificación efectuada al correo electrónico inscrito en el certifica do de existencia y representación legal se entiende válida y eficaz , en tanto fue practicada conforme a la información oficialmente registrada por la propia sociedad. Pretender que un error interno en la gestión de dicho canal exima del cumplimiento de las órdenes impartidas o de las consecuencias derivadas de su incumplimiento implicaría desconocer los

oficialmente registrada por la propia sociedad. Pretender que un error interno en la gestión de dicho canal exima del cumplimiento de las órdenes impartidas o de las consecuencias derivadas de su incumplimiento implicaría desconocer los principios de autorresponsabilidad, buena fe objetiva y diligencia empresarial que rigen la actuación de los sujetos obligados.

En consecuencia, el alegado “error humano” relacionado con la desactualización del correo de notificación judicial no constituye una causal eximente de responsabilidad, pues se trata de una omisión imputable a la sociedad, quien tenía el deber legal de man tener actualizada su información registral y de adoptar los controles necesarios para garantizar el oportuno conocimiento de las actuaciones administrativas que se surtieran en su contra.

Segundo. Que d esde la perspectiva de la conducta procesal de la investigada, es innegable que la sociedad tenía pleno conocimiento de la existencia de actuaciones administrativas en su contra que hacían verosímil la existencia de eventuales decisiones que comprometieran su responsabilidad.

En efecto, previamente a la emisión de las órdenes administrativas incumplidas, la Dirección de Investigación de Protección de Datos Personales le había formulado diversos requerimientos en el marco de una indagación preliminar, los cuales fueron efectivamente atendidos por la sociedad. Este hecho demuestra que la investigada no solo fue informada de las actuaciones adelantadas por la autoridad, sino que además participó activamente en ellas, por lo que razonablemente debía mantener una actitud diligente y atenta frente al desarrollo posterior del trámite administrativo.

En ese contexto, no resulta admisible que la sociedad pretenda excusar el incumplimiento de la orden impartida alegando dificultades relacionadas con la

al desarrollo posterior del trámite administrativo.

En ese contexto, no resulta admisible que la sociedad pretenda excusar el incumplimiento de la orden impartida alegando dificultades relacionadas con la recepción de comunicaciones. Se observa que la propia sociedad modificó su correo electrónico para noti ficaciones judiciales sin realizar la correspondiente actualización en el registro mercantil, lo cual constituye una carga que recaeRESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 8 de 13

exclusivamente en el administrado. En consecuencia, dicha situación no puede ser utilizada como argumento para eximirse de responsabilidad, pues responde a una falta de diligencia de la propia investigada en el mantenimiento actualizado de su información de contacto ante las autoridades y registros públicos, máxime cuando tenía conocimiento previo de la existencia de actuaciones administrativas en curso.

Por lo tanto, es claro y se confirma la negligencia por un alegado desconocimiento en el cumplimiento del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

7.2. Respecto de la proporcionalidad de la sanción

En términos generales, el derecho administrativo sancionador tiene como finalidad garantizar la preservación y restauración del ordenamiento jurídico mediante la imposición de sanciones que no solo reprochen la conducta infractora, sino que también preveng an la realización de comportamientos contrarios a la ley. Se trata de una manifestación del poder sancionador del

mediante la imposición de sanciones que no solo reprochen la conducta infractora, sino que también preveng an la realización de comportamientos contrarios a la ley. Se trata de una manifestación del poder sancionador del Estado frente al incumplimiento de los mandatos jurídicos que obligan a los administrados e incluso a las propias autoridades públicas2.

En ese sentido, la Corte Constitucional 3 ha señalado que el derecho administrativo sancionador constituye una manifestación del ius puniendi del Estado4, esto es, de la facultad que tiene la administración para sancionar las conductas que resultan contrarias al ordenamiento jurídico, dentro del marco de los principios de legalidad, tipicidad y debido proceso5. Dicha potestad se ejerce mediante el procedimiento administrativo sancionatorio previsto en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo –CPACA–, particularmente en lo dispuesto en sus artículos 47 y siguientes, y se encuentra sujeta a los principios que rigen la función administrativa consagrados en el artículo 3 de la citada codificación.

En virtud del principio del debido proceso 6, las actuaciones administrativas sancionatorias deben adelantarse con estricta sujeción a las normas de competencia y procedimiento previstas en la Constitución y la ley, garantizando a los investigados el ejercicio efectivo de los derechos de defensa, contradicción y representación, así como la aplicación del principio de legalidad de las faltas y de las sanciones.

En el presente caso, la conducta reprochada se encuentra expresamente prevista en el ordenamiento jurídico, específicamente en el literal o) del artículo 17 de la Ley 1581 de 2012, que establece como deber de los responsables del tratamiento cumplir las instrucciones y requerimientos que imparta la

en el ordenamiento jurídico, específicamente en el literal o) del artículo 17 de la Ley 1581 de 2012, que establece como deber de los responsables del tratamiento cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio . En consecuencia, el incumplimiento de las órdenes impartidas por esta Autoridad constituye una infracción al régimen de protección de datos personales susceptible de sanc ión administrativa.

2 Cfr. Corte Constitucional, sentencia C -818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm 3 Sentencia C094 de 2021 4 Sentencia C-412 de 2015. 5 La Corte Constitucional también ha considerado como principios del derecho administrativo sancionador el debido proceso, el principio de proporcionalidad y la independencia entre la sanción administrativa y la sanción penal (cfr., sentencia C-748 de 2011, citada por la sentencia C-412 de 2015). 6 Efectivamente, el artículo 29 de la Constitución Política, establece que el “debido proceso” se aplicará a toda clase de actuaciones judiciales y administrativas, así mismo indica que “nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio”, aspectos que se materializan en los principios de legalidad y tipicidad.RESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 9 de 13

tipicidad.RESOLUCIÓN NÚMERO 16777 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 9 de 13

De igual forma, el principio de tipicidad exige que las conductas sancionables se encuentren previamente descritas por el legislador de manera clara y precisa, así como las consecuencias jurídicas derivadas de su incumplimiento7. En materia de protección de datos personales, la Ley 1581 de 2012 establece tanto los deberes de los responsables y encargados del tratamiento , como el régimen sancionatorio aplicable en caso de infracción. En particular, su artículo 23 dispone las sanciones que puede imponer la Superintendencia de Industria y Comercio, dentro de las cuales se encuentran las multas hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes.

A su vez, el artículo 24 de la citada ley establece los criterios que deben ser tenidos en cuenta para la graduación de las sanciones, entr