SIC - Resolucion RE28982-2026 de 2025

Página 1 de 16

RESOLUCIÓN NÚMERO 28982 DE 2026

(22 de abril de 2026)

“Por la cual se resuelve un recurso de apelación”

Radicado 24-249960

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y por el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que, con ocasión del ataque externo tipo ransomware sufrido por la sociedad IFX NETWORKS COLOMBIA S.A.S. , el 12 de septiembre de 2023 , la cual presta servicios tecnológicos a GUTIÉRREZ MÁRQUEZ ASESORES S.A.S., la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección) , mediante requerimiento de información con radicado No. 24249960-1 del 25 de junio de 2024, solicitó informar, enun plazo de quince (15) días hábiles, contados a partir de la fecha de recibo de la comunicación, lo siguiente:

“1. Tenía contratado Servicios de Red con la sociedad Si señaló “SI” en la respuesta anterior, Aporte copia del contrato firmado con el proveedor IFX NETWORKS COLOMBIA S.A.S, así como sus anexos relacionados con seguridad de información y protección de datos personales.

2. Tenía contratado Servicios de nube con la sociedad

con el proveedor IFX NETWORKS COLOMBIA S.A.S, así como sus anexos relacionados con seguridad de información y protección de datos personales.

2. Tenía contratado Servicios de nube con la sociedad Si señaló “SI” en la respuesta anterior, Aporte copia del contrato firmado con el proveedor IFX NETWORKS COLOMBIA S.A.S, así como sus anexos relacionados con seguridad de información y protección de datos personales.

3. Se vieron afectadas aplicaciones, herramientas y/o plataformas misionales.

Si señaló “SI” en la respuesta anterior, enuncie que herramientas, plataformas y/o, programas resultaron afectadas con el incidente presentado.

4. Se recuperaron el servicio de todas las aplicaciones, herramientas y/o plataformas afectadas.

Si señaló “NO” en la respuesta anterior, indique cual aplicación, herramientas y/o plataformas no se recuperaron y la razón en cada caso.

5. Se vieron afectadas bases de datos Si señaló “SI” en la respuesta anterior, indique que tipo de datos contenían estas bases de datos (nombres, números de identificación, direcciones físicas, contraseñas, direcciones de correo electrónico, etc).

6. Se recuperaron todas las bases de datos afectadas al día del incidente.

Si señaló “NO” en la respuesta anterior, indique cuales bases de datos no se recuperaron y la razón en cada caso.

7. Tiene conocimiento de publicación no autorizada de datos personales afectados en el incidente.

Si señaló “SI” en la respuesta anterior, aporte la investigación y/o documentación que permitió realizar la detección de esta información y las medidas que se implementaron o que se están implementando para evitar esta publicación.

afectados en el incidente. Si señaló “SI” en la respuesta anterior, aporte la investigación y/o documentación que permitió realizar la detección de esta información y las medidas que se implementaron o que se están implementando para evitar esta publicación.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 28982 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 2 de 16

Si señaló “NO” en la respuesta anterior, aporte la investigación y/o documentación que permitió determinar que no se presentó publicación no autorizada de los datos personales afectados.

8. Señale que planes de contingencia se aplicaron frente a la afectación de sus bases de datos y si se vio afectada la integridad o confidencialidad de los datos personales de titulares.

9. Manifieste si a la fecha, han recibido reclamaciones por vulneración del derecho de hábeas data, asociadas a este incidente.

10.De conformidad con lo preceptuado por el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, informen y aporten evidencia de la implementación efectiva de las medidas de seguridad adoptadas por la entidad para evitar la adulteración, pér dida, consulta, uso o acceso no autorizado o fraudulento a la información sujeta a tratamiento.

11.Remitan copia de la Política de Tratamiento de Datos Personales desarrollada e implementada por la entidad.

12.Aporten copia de la Política de la Seguridad de la información desarrollada e implementada por la entidad y sus anexos e informen si dichas Política es objeto de revisión, evaluación y seguimiento permanentes.

12.Aporten copia de la Política de la Seguridad de la información desarrollada e implementada por la entidad y sus anexos e informen si dichas Política es objeto de revisión, evaluación y seguimiento permanentes.

13.Alleguen copia de la Política de Gestión de Incidentes desarrollada por la entidad y sus anexos.

14.Remitan copia de la Política de Gestión de riesgos, metodología y sus anexos, donde se identifica el riesgo relacionado con los sistemas afectados y la información antes relacionada, las acciones determinadas, si se realiza algún seguimiento remítalo.

15.Informe si se realizó notificación del incidente a otras entidades oficiales como Procuraduría General de la Nación, Gaula, colCERT, entre otras. 16.Señalé si recibió algún tipo de notificación e informes detallados enviados por parte de la sociedad IFX NETWORKS COLOMBIA S.A.S. frente a la ocurrencia y posterior solución del incidente.

17.Aporte las investigaciones y/o informes detallados RELACIONADOS CON EL INCIDENTE y su gestión tanto por parte del proveedor IFX como

GUTIERREZ MARQUEZ ASESORES S.A.S.

18.Aporte los soportes que considere necesario que evidencia la gestión del incidente.”

SEGUNDO. Que el referido requerimiento fue enviado al correo electrónico de notificación judicial de la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S., esto es, asesores@gutierrezmarquez.com, de conformidad con el Acta de Envío y Entrega de Correo Electrónico 1 expedida por SERVICIOS POSTALES NACIONALES S.A.S.. No obstante, una vez vencido el término otorgado para dar respuesta, la sociedad no emitió pronunciamiento alguno.

y Entrega de Correo Electrónico 1 expedida por SERVICIOS POSTALES NACIONALES S.A.S.. No obstante, una vez vencido el término otorgado para dar respuesta, la sociedad no emitió pronunciamiento alguno.

TERCERO. Que, ante la ausencia de respuesta al requerimiento de información previamente enunciado, la Dirección, mediante oficio con radicado No. 24249960-3 del 18 de octubre de 2024, efectuó un segundo requerimiento reiterando los interrogantes formulados a la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S., el cual fue remitido al correo electrónico de notificación judicial asesores@gutierrezmarquez.com, de conformidad con el Acta de Envío y Entrega de Correo Electrónico 2 expedida por SERVICIOS POSTALES NACIONALES S.A.S. No obstante, vencido el término otorgado, no se recibió respuesta alguna por parte de la sociedad requerida.

CUARTO. Que, en virtud de lo expuesto , la Dirección, mediante la Resolución No. 50017 del 28 de julio de 2025, decidió abrir una investigación administrativa y formular cargos a la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S., por la presunta vulneración de lo dispuesto en: (i) el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 ejúsdem; y

1 Documento obrante en el radicado 24-249960-2. 2 Documento obrante en el radicado 24-249960-4.RESOLUCIÓN NÚMERO 28982 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 3 de 16

2 Documento obrante en el radicado 24-249960-4.RESOLUCIÓN NÚMERO 28982 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 3 de 16

(ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

QUINTO. Que, con fundamento en las pruebas allegadas dentro de la presente actuación, la Dirección advirtió que la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S. no dio respuesta a los requerimientos de información formulados por esta Entidad mediante los radicados No. 24-249960-1 del 25 de junio de 2024 y No. 24 -249960-3 del 18 de octubre de 2024. Asimismo, se evidenció que la citada sociedad no informó a esta Autoridad sobre la presunta violación a los códigos de seguridad y los riesgos en la administración de la información de los titulares, al no reportar el incidente de seguridad ocurrido el 12 de septiembre de 2023 dentro del término previsto y a través de los canales establecidos para tal efecto. En consecuencia, mediante la Resolución No. 101746 del 3 de diciembre de 2025, resolvió lo siguiente:

“ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S., identificada con NIT. 900.127.403-6, de QUINCE (15) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a MIL

900.127.403-6, de QUINCE (15) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a MIL SETECIENTOS CUARENTA (1.740) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a VEINTE MILLONES CIEN MIL CUATROCIENTOS OCHENTA PESOS M/CTE ($20.100.480) por la transgresión a los deberes previstos en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 ejúsdem; y el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma ley.”

SEXTO. Que, dentro de l término legal establecido para el efecto , el 26 de diciembre de 2025, GUTIÉRREZ MÁRQUEZ ASESORES S.A.S. (en adelante la RECURRENTE), a través de su representante legal y mediante escrito radicado con el número 24-249960-22, interpuso recurso de reposición y en subsidio de apelación3 contra la Resolución No. 101746 del 3 de diciembre de 2025 , solicitando la revocatoria de la sanción impuesta , con fundamento en los siguientes argumentos:

6.1. Respecto del Cargo Primero. La RECURRENTE reconoce que los requerimientos de información formulados por la Dirección durante el año 2024 no fueron atendidos dentro de los términos inicialmente concedidos; no obstante, señaló que dicho incumplimiento tuvo un carácter estrictamente formal, en tanto no obedeció a una decisión consciente de

2024 no fueron atendidos dentro de los términos inicialmente concedidos; no obstante, señaló que dicho incumplimiento tuvo un carácter estrictamente formal, en tanto no obedeció a una decisión consciente de desatender a la autoridad, ni tuvo como finalidad ocultar información, dilatar el trámite o impedir el ejercicio de las facultades de inspección y vigilancia, y tampoco generó daño alguno ni afectó el esclarecimien to de los hechos investigados.

Asimismo, indicó que la falta de respuesta obedeció a una contingencia operativa interna asociada al manejo del canal institucional de notificaciones electrónicas por parte de la persona encargada en ese momento, lo que impidió el escalamiento oportuno de las comunicaciones a los niveles decisorios de la organización. Precisó que dicha situación, aunque atribuible a la Compañía, no refleja una política institucional de incumplimiento ni una conducta sistemática, y que fue corregida una vez se tuvo conocimiento efectivo del trámite administrativo.

De igual manera, la RECURRENTE señaló que, tan pronto tuvo conocimiento del proceso y de la sanción impuesta, activó mecanismos internos de revisión, control y respuesta, con el fin de colaborar con la autoridad y subsanar la omisión. En ese sentido, manifestó que reconstruyó el expedi ente administrativo, recopiló y organizó la información técnica y documental relacionada con el incidente, y aportó , en el escrito de recurso, una respuesta integral y detallada a los interrogantes formulados en los requerimientos efectuados durante el año 2024.

información técnica y documental relacionada con el incidente, y aportó , en el escrito de recurso, una respuesta integral y detallada a los interrogantes formulados en los requerimientos efectuados durante el año 2024.

3 La Resolución No. 101746 del 3 de diciembre de 2025, fue notificada por aviso a la RECURRENTE el 15 de diciembre de 2025.RESOLUCIÓN NÚMERO 28982 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 4 de 16

Adicionalmente, argumentó que la información solicitada siempre estuvo disponible y que su no remisión oportuna obedeció exclusivamente a la contingencia operativa ya superada, lo cual, a su juicio, evidencia una actitud proactiva y diligente incompatible con una conducta de obstrucción o desinterés frente a las actuaciones de la autoridad.

Por otra parte, sostuvo que, aun en el evento de considerarse configurado el incumplimiento, la sanción debía ser revisada conforme a los criterios de graduación previstos en el artículo 24 de la Ley 1581 de 2012. En particular, señaló que la conducta no g eneró daño ni peligro para los titulares de la información, no produjo beneficio económico alguno, no existe reincidencia en materia de protección de datos personales, no hubo resistencia u obstrucción a la labor investigativa, y que la conducta posterior de la Compañía fue colaborativa, correctiva y transparente.

Finalmente, concluyó que la sanción impuesta resulta desproporcionada frente a la naturaleza del incumplimiento, el cual calificó como formal, aislado y sin consecuencias negativas, por lo que solicitó la revocatoria

Finalmente, concluyó que la sanción impuesta resulta desproporcionada frente a la naturaleza del incumplimiento, el cual calificó como formal, aislado y sin consecuencias negativas, por lo que solicitó la revocatoria del cargo formulado o, subsidiariamente , la reducción sustancial de la sanción impuesta.

6.2. Respecto del Cargo Segundo. La RECURRENTE sostuvo que el acto administrativo incurre en error de derecho y falsa motivación respecto del cómputo del término para reportar el incidente de seguridad, al considerar que la Resolución hace referencia tanto a la fecha de ocurrencia del evento como al m omento de su detección, pese a que la Circular Única de la Superintendencia de Industria y Comercio establece que el término debe contarse a partir de la detección del incidente y su puesta en conocimiento del área encargada. En ese sentido, señaló que el acto recurrido no precisó de manera clara cuándo se detectó el incidente ni cuándo fue puesto en conocimiento del área responsable, lo cual, a su juicio, dificulta verificar el conteo del término y vulnera el debido proceso, por lo que solicitó la revocatoria del cargo.

Asimismo, argumentó que no se configuraron los presupuestos del literal n) del artículo 17 de la Ley 1581 de 2012, al considerar que el deber de reporte exige la concurrencia de dos elementos: la existencia de una violación a los códigos de seguridad y la presencia de riesgos en la administración de la información de los titulares. Indicó que, en el caso concreto, el evento correspondió a una indisponibilidad temporal de servicios ocasionada por un incidente en la infraestructura del proveedor

administración de la información de los titulares. Indicó que, en el caso concreto, el evento correspondió a una indisponibilidad temporal de servicios ocasionada por un incidente en la infraestructura del proveedor tecnológico I FX NETWORKS COLOMBIA S.A.S., sin que se evidenciara acceso no autorizado, pérdida, alteración o divulgación de datos personales.

En ese sentido, señaló que los informes técnicos internos y la documentación del proveedor concluyeron que el incidente afectó únicamente la disponibilidad de los servicios a nivel interno, sin impacto directo a los titulares ni afectación a la confidencialidad o integridad de la información. Añadió que la investigación forense del proveedor no evidenció extracción de datos ni fuga de información, y que tampoco se encontró publicación de datos en la dark web , lo que, en su criterio, descarta la existencia de riesgos para los titulares.

De igual forma, manifestó que la infraestructura tecnológica de la Compañía contaba con controles de seguridad que reducían significativamente la probabilidad de exposición de datos personales, tales como acceso restringido, segmentación de servidores, uso de redes privadas cifradas y ausencia de exposición directa a internet. También indicó que, tras el restablecimiento del servicio, se realizaron validaciones de integridad que confirmaron la inexistencia de alteraciones o afectaciones a la información.RESOLUCIÓN NÚMERO 28982 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 5 de 16

En consecuencia, la RECURRENTE sostuvo que el incidente constituyó únicamente una contingencia operativa de indisponibilidad temporal, mas no una violación de seguridad con riesgos para los titulares, por lo que

Página 5 de 16

En consecuencia, la RECURRENTE sostuvo que el incidente constituyó únicamente una contingencia operativa de indisponibilidad temporal, mas no una violación de seguridad con riesgos para los titulares, por lo que consideró que no se configuró el supuesto normativo que activa el deber de reporte. Finalmente, solicitó la revocatoria del cargo y, de manera subsidiaria, que, en caso de mantenerse la infracción, se gradúe la sanción atendiendo a la ausencia de daño, la inexistencia de beneficio económico, la actuación diligente de la Compañía y la colaboración con la autoridad.

SÉPTIMO. Que la Dirección, mediante Resolución No. 9656 del 16 de febrero de 2026, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 101746 del 3 de diciembre de 2025, al concluir que la contingencia operativa interna alegada por la sociedad, relacionada con la gestión del canal institucional de correspondencia, no constituye una justificación válida para omitir la atención oportuna de los requerimientos formulados por esta Autorid ad, en tanto la persona jurídica debe asumir los riesgos derivados de su propia estructura operativa.

Asimismo, indicó que la obligación de responder los requerimientos constituye un deber legal directo, por lo que las falencias organizacionales o errores internos no pueden ser invocados como excusa para el incumplimiento de dicha obligación. Adicionalmente, señaló que las respuestas presentadas por la sociedad fueron allegadas de manera extemporánea, razón por la cual no podían ser valoradas dentro de la actuación administrativa.

De otro lado, indicó que, con ocasión del ataque de ransomware sufrido por IFX

sociedad fueron allegadas de manera extemporánea, razón por la cual no podían ser valoradas dentro de la actuación administrativa.

De otro lado, indicó que, con ocasión del ataque de ransomware sufrido por IFX NETWORKS COLOMBIA S.A.S. el 12 de septiembre de 2023, la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S. se vio afectada, motivo por el cual esta Autoridad realizó requerimientos de información que no fueron atendidos por la investigada. Asimismo, precisó que los documentos aportados con el recurso fueron elaborados con posterioridad a los hechos, por lo que no desvirtúan el incumplimiento del deber de reporte oportuno ante la autoridad.

Señaló además que el deber previsto en el literal n) del artículo 17 de la Ley 1581 de 2012 tiene carácter preventivo y no exige la existencia de un daño efectivo, por lo que la indisponibilidad temporal de los sistemas constituye una afectación a la disponibili dad de la información que activa la obligación de reporte.

Finalmente, reconoció un error material en la fecha límite de reporte, señalando que correspondía al 3 de octubre de 2023 y no al 3 de noviembre de 2023, imprecisión que, concluyó, no afecta la validez de la decisión adoptada.

OCTAVO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 , del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022).

8.1. Respecto del Cargo Primero

Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022).

8.1. Respecto del Cargo Primero

8.1.1. Respecto del deber de cumplir con los requerimientos que imparta la Autoridad

En relación con el deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, consistente en cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio, resulta pertinente precisar que dicha obligación s e encuentra directamente vinculada con las funciones de inspección, vigilancia y control asignadas a esta Autoridad. En efecto, el artículo 21 de la citada ley establece, entre otras funciones, la facultad de solicitar a los responsables y encargados del tratamiento la información necesaria para elRESOLUCIÓN NÚMERO 28982 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 6 de 16

ejercicio efectivo de sus funciones 4, lo cual evidencia el carácter obligatorio de los requerimientos formulados por esta Entidad.

En este sentido, con la expedición del Decreto 4886 de 2011, modificado por el Decreto 92 de 2022, la Superintendencia de Industria y Comercio fue investida de funciones de vigilancia y control sobre el régimen de h abeas data, en desarrollo del derecho fundamental consagrado en el artículo 15 de la Constitución Política de Colombia de 1991. En ese marco, esta Autoridad, a través de la Dirección de Investigación de Protección de Datos Personales, ejerce supervisión sob re las actuaciones de los responsables y encargados del tratamiento, y se encuentra facultada para requerir información, adelantar

través de la Dirección de Investigación de Protección de Datos Personales, ejerce supervisión sob re las actuaciones de los responsables y encargados del tratamiento, y se encuentra facultada para requerir información, adelantar investigaciones y adoptar las medidas necesarias para garantizar la protección de los datos personales.

De igual manera, debe resaltarse que la Ley 1581 de 2012 fue expedida para desarrollar el derecho fundamental al habeas data, mediante el cual se garantiza a los titulares la facultad de conocer, actualizar y rectificar la información personal contenida en bases de datos. En este contexto, los deberes impuestos a los responsables del tratamiento, entre ellos el de atender los requerimientos de la Autoridad, adquieren una especial relevancia, al tratarse de obligaciones orientadas a la protección efectiva de un derecho fundamental.

Adicionalmente, la Sentencia C -687 de 2002 ha señalado que las leyes estatutarias, como la que regula la protección de datos personales, tienen una jerarquía especial al desarrollar derechos fundamentales, lo que implica que sus disposiciones son de obligatorio cumplimiento para todos los sujetos obligados. En esa medida, los responsables y encargados del tratamiento deben adoptar las medidas necesarias para garantizar el cumplimiento de las obligaciones legales, incluyendo la atención oportuna de los requerimientos formulados por esta Superintendencia.

Finalmente, la Corte Constitucional ha destacado la importancia del principio de autoridad independiente en materia de protección de datos personales, señalando que “(…) la adopción de una normatividad sólo es efectiva si se garantiza que dentro de la estructura del Estado exista un órgano encargado de garantizar el respeto de los principios (…)”. En consecuencia, el deber de atender

señalando que “(…) la adopción de una normatividad sólo es efectiva si se garantiza que dentro de la estructura del Estado exista un órgano encargado de garantizar el respeto de los principios (…)”. En consecuencia, el deber de atender las instrucciones y requerimientos impartidos por esta Superintendencia constituye una obligación esencial para garantizar la protección efectiva del derecho fundamental al habeas data y el adecuado ejercicio de las funciones de inspección, vigilancia y control asignadas a esta Entidad.

En el caso concreto, se advierte que, con ocasión del ataque externo tipo ransomware sufrido el 12 de septiembre de 2023 por la sociedad IFX NETWORKS COLOMBIA S.A.S., proveedor de servicios tecnológicos de la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S., la Dirección de Investigaciones de Protección de Datos Personales inició actuaciones preliminares con el fin de determinar la posible afectación a los datos personales administrados por esta última.

En este contexto, mediante requerimiento de información con radicado No. 24249960-1 del 25 de junio de 2024, la Dirección solicitó a la sociedad investigada pronunciarse sobre aspectos relacionados con el incidente, incluyendo los servicios contratados con el proveedor, la posible afectación de aplicaciones, bases de datos y plataformas, la recuperación de los ser vicios, la eventual exposición de datos personales y las medidas de seguridad y contingencia implementadas. Para tal efecto, se otorgó un plazo de quince (15) días hábiles, y la comunicación fue remitida al correo electrónico de notificación judicial asesores@gutierrezmarquez.com, conforme al Acta de Envío y Entrega expedida

por SERVICIOS POSTALES NACIONALES S.A.S.

y la comunicación fue remitida al correo electrónico de notificación judicial asesores@gutierrezmarquez.com, conforme al Acta de Envío y Entrega expedida

por SERVICIOS POSTALES NACIONALES S.A.S.

4 Literal f) artículo 21 Ley 1581 de 2012.RESOLUCIÓN NÚMERO 28982 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 7 de 16

Vencido el término otorgado, la sociedad no emitió respuesta. Por ello, mediante oficio con radicado No. 24 -249960-3 del 18 de octubre de 2024, la Dirección reiteró el requerimiento, concediendo nuevamente un plazo para su atención, el cual fue remitido al mismo canal de notificación judicial. No obstante, una vez vencido el término, la sociedad tampoco se pronunció.

En consecuencia, se encuentra acreditado el incumplimiento del deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, toda vez que la sociedad omitió atender los requerimientos formulados por esta Autoridad, pese a contar con dos oportunidades y plazos suficientes para pronunciarse, lo que evidencia una inobservancia del deber legal de colaboración con la Superintendencia de Industria y Comercio.

Ahora bien, el argumento presentado por la RECURRENTE, según el cual el incumplimiento obedeció a una “ contingencia operativa interna asociada al manejo del canal institucional de notificaciones electrónicas ”, no resulta de recibo. Corresponde a los responsables del tratamiento adoptar las medidas organizacionales, técnicas y administrativas necesarias para garantizar la adecuada recepción, gestión y atención de las comunicaciones remitidas por esta

recibo. Corresponde a los responsables del tratamiento adoptar las medidas organizacionales, técnicas y administrativas necesarias para garantizar la adecuada recepción, gestión y atención de las comunicaciones remitidas por esta Autoridad, más aún cuando estas son enviadas al canal form al de notificación judicial dispuesto por la propia sociedad.RESOLUCIÓN NÚMERO 28982 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 8 de 16

En ese sentido, la eventual desactivación, falta de monitoreo o deficiente gestión del correo electrónico registrado sin que se hubiera adelantado su actualización o modificación ante la Cámara de Comercio respectiva constituye una circunstancia atribuible exclusivamente a la esfera organizacional y administrativa de la sociedad. Por tanto, no resulta jurídicamente admisible trasladar a esta Autoridad las consecuencias derivadas de la falta de diligencia en el mantenimiento y actualización de la información registral. La notificación efectuada al correo electrónico inscrito en el certificado de existencia y representación legal se entiende válida y eficaz, en tanto fue practicada conforme a la información oficialmente registrada por la propia sociedad.

Pretender que un error interno, una contingencia operativa o un “error humano” en la gestión del canal de notificación que, por demás, se habría repetido en dos ocasiones y se habría prolongado por un lapso de más o menos cinco meses, exima del cumplimiento de los requerimientos efectuados por la Autoridad o de las consecuencias derivadas de su incumplimiento , implicaría desconocer los principios de buena fe objetiva y diligencia empresarial que rigen la actuación de los sujetos obligados.

Las eventuales deficiencias internas, errores humanos o contingencias

las consecuencias derivadas de su incumplimiento , implicaría desconocer los principios de buena fe objetiva y diligencia empresarial que rigen la actuación de los sujetos obligados.

Las eventuales deficiencias internas, errores humanos o contingencias operativas no tienen la entidad suficiente para eximir del cumplimiento de una obligación legal, ni pueden trasladar a la Autoridad las consecuencias derivadas de la ausencia de controles internos adecuados. Aceptar lo contrario implicaría desconocer el carácter obligatorio del deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, así como debilitar las funciones de inspección, vigilancia y control atribuidas a esta Superintendencia.

Ahora bien, el hecho de que la sociedad afirme haber corregido la contingencia interna una vez tuvo conocimiento efectivo del trámite administrativo no desvirtúa el incumplimiento previamente configurado. Los requerimientos formulados mediante radicados del 25 de junio y 18 de octubre de 2024 fueron debidamente remitidos al canal oficial de notificación judicial de la sociedad y contaban con un término de quince (15) días hábiles para su atención, sin que se recibiera respuesta dentro de los plazos otorgados.

Asimismo, se advierte que la sociedad únicamente atendió dichos requerimientos con ocasión de la interposición del recurso de reposición y, en subsidio, de apelación, esto es, una vez culminadas las etapas procesales oportunas para pronunciarse, incluyendo