SIC - Resolucion RE30774-2026 de 2025

Página 1 de 22

RESOLUCIÓN NÚMERO 30774 DE 2026

(27 de abril de 2026)

“Por la cual se resuelve un recurso de apelación”

Radicado 22-325553

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que el 19 de agosto de 2022, esta Superintendencia tuvo conocimiento de la denuncia presentada por XXXXXXX XXXXX XXXXXXXXXX, radicada bajo el No. 22-325553-0, en contra de la sociedad OLIMPIA IT S.A.S., identificada con NIT 900.032.774-4, por la presunta vulneración de su derecho fundamental al habeas data.

La denunciante manifestó que, al inscribirse en el Centro de Enseñanza Automovilística – CEA AUTOSTOP (GUTIÉRREZ PASTOR S.A.S. CEA AUTO STOP NORTE), le fueron recolectados diversos datos personales, entre ellos copia de su documento de identidad, fotografía y huella dactilar, sin que se le hubiera solicitado autorización previa para su tratamiento. Indicó que, al indagar sobre dicha situación, le informaron que el sistema SISEC -CEA generaba automáticamente la autorización, utilizando una firma obtenida del escaneo de su documento de identidad, sin que existiera la posibilidad de imprimir el documento, firmarlo de manera expresa o acceder a una copia completa del

automáticamente la autorización, utilizando una firma obtenida del escaneo de su documento de identidad, sin que existiera la posibilidad de imprimir el documento, firmarlo de manera expresa o acceder a una copia completa del mismo, la cual únicamente podía visualizarse parcialmente en pantalla.

Adicionalmente, señaló que, pese a existir dispositivos destinados a la captura de firma para la validación de datos ante la Registraduría Nacional del Estado Civil, estos no eran utilizados. Asimismo, indicó que le fueron tomadas huellas dactilares y fotografías para realizar validaciones biométricas, incluso durante el desarrollo de las clases, lo cual le generó preocupación respecto del uso de sus datos personales y la ausencia de un consentimiento previo, informado y verificable.

Igualmente, la denunciante afirmó que al inicio y al final de cada clase debía validar su huella dactilar en el sistema, momento en el cual observó en la pantalla del equipo que el sistema SISEC Mi -CEA, en la opción “ Captura de huella”, indicaba el mensaje “ Se está validando contra la base de datos de Olimpia”. Señaló que, al consultar al instructor y a la funcionaria del Centro sobre esta circunstancia, le informaron que la validación no se realizaba contra la base de datos de la Registraduría Nacional del Estado Civil, sino que se utilizaba el mismo dedo registrado previamente, lo que incrementó su preocupación respecto del tratamiento de su información biométrica.

En consecuencia, la denunciante solicitó el inicio de la investigación correspondiente, al considerar que para los titulares no resulta claro qué información están autorizando ni las finalidades del tratamiento, especialmente cuando la autorización se genera utilizando la firma obtenida del documento de identidad y no mediante una manifestación expresa del titular. Asimismo,

correspondiente, al considerar que para los titulares no resulta claro qué información están autorizando ni las finalidades del tratamiento, especialmente cuando la autorización se genera utilizando la firma obtenida del documento de identidad y no mediante una manifestación expresa del titular. Asimismo, expresó su preocupación frente al hecho de que, aun existiendo autorización para validar los datos con la Registraduría Nacional del E stado Civil, las

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 30774 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 2 de 22

verificaciones se estarían realizando contra bases de datos internas, lo que, a su juicio, podría constituir un uso indebido de la autorización otorgada como operador biométrico, al no cotejar la información con las bases de datos oficiales sino con bases de datos propias.

SEGUNDO. Que, con ocasión de la denuncia interpuesta, la Dirección de Investigaciones de Protección de Datos Personales (en adelante, la Dirección) adelantó las correspondientes averiguaciones preliminares, con el fin de esclarecer los hechos advertidos por la denu nciante y determinar las circunstancias en las cuales se habría efectuado el tratamiento de sus datos personales. En desarrollo de dichas actuaciones, se realizaron las siguientes diligencias administrativas:

2.1. El 15 de septiembre de 2022, un grupo interdisciplinario designado por la Dirección practicó visita administrativa de inspección a la sociedad OLIMPIA IT S.A.S. 1, durante la cual se recaudaron elementos probatorios de carácter documental, así como declaraciones de representantes y funcionarios de la sociedad. La diligencia tuvo como propósito conocer y analizar las actividades y servicios prestados por la

OLIMPIA IT S.A.S. 1, durante la cual se recaudaron elementos probatorios de carácter documental, así como declaraciones de representantes y funcionarios de la sociedad. La diligencia tuvo como propósito conocer y analizar las actividades y servicios prestados por la investigada, sus procedimientos internos, bases de datos, plataformas tecnológicas, así como sus relaciones contractuales y demás aspectos relevantes para la investigación. De esta actuación se dejó constancia en el acta de visita de inspección con radicado No. 22-325553-10.

2.2. El 16 de septiembre de 2022, un grupo interdisciplinario designado por la Dirección practicó visita administrativa de inspección a la sociedad GUTIÉRREZ PASTOR S.A.S. – CEA AUTO STOP NORTE 2 (NIT 900.491.584-1), con el fin de recaudar elementos probatorios de carácter documental y recibir declaraciones relacionadas con las actividades desarrolladas por el Centro de Enseñanza Automovilística, sus procedimientos de recolección y tratamiento de datos personales, bases de datos, plataformas tecnológicas y relaciones contractuales con terceros, entre otros aspectos relevantes. De dicha diligencia se levantó el acta de visita de inspección con radicado No. 22-325553-11.

2.3. El 20 de septiembre de 2022, un grupo interdisciplinario designado por la Dirección practicó visita administrativa de inspección a la sociedad GESTIONES EMPRESARIALES DE OCCIDENTE S.A.S. – CRC, propietaria de OCCIMETRIC3 (NIT 900.733.942-3), con el propósito de recaudar elementos probatorios de carácter documental y obtener declaraciones relacionadas con los servicios prestados por dicha sociedad,

propietaria de OCCIMETRIC3 (NIT 900.733.942-3), con el propósito de recaudar elementos probatorios de carácter documental y obtener declaraciones relacionadas con los servicios prestados por dicha sociedad, sus procedimientos de tratamiento de datos personales, bases de datos, plataformas tecnológicas y relaciones contractuales con terceros. De esta diligencia se levantó el acta de visita de inspección con radicado No. 22325553-14.

2.4. A partir del análisis de las piezas probatorias recaudadas en la s referidas diligencias, se advirtió la necesidad de practicar una nueva visita administrativa de inspección , con el fin de verificar técnicamente la operación desarrollada entre la sociedad OLIMPIA y sus aliados comerciales, en lo relativo al intercambio de datos personales para la prestación del servicio de verificación de identidad.

En consecuencia, los días 16 y 17 de febrero de 2023, un grupo interdisciplinario designado por la Superintendencia de Industria y Comercio llevó a cabo una nueva visita administrativa, en la cual se recaudaron, entre otros, los siguientes medios de prueba:

• Declaración de parte de la señora XXXXX XXXXX XXXXXXX XXXXXXX, en calidad de Compliance and Legal Counsel Specialist de la sociedad.

1 Credencial de inspección radicado 22-325553-4. 2 Credencial de inspección radicado 22-325553-6. 3 Credencial de inspección radicado 22-325553-7.RESOLUCIÓN NÚMERO 30774 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 3 de 22

• Declaración de parte del señor XXXXXX XXXXXX XXXXXXXX XXXX, en

“Por la cual se resuelve un recurso de apelación”

Página 3 de 22

• Declaración de parte del señor XXXXXX XXXXXX XXXXXXXX XXXX, en calidad de Chief Operating Officer de la sociedad.

• Diagrama de arquitectura y/o infraestructura de la aplicación CEA.

• Entrevista de la señora XXXXXXX XXXXXX XXXXXXXX, en calidad de Legal Consultant Specialist de la sociedad.

• Muestra aleatoria de 20 registros de titulares, con sus respectivas autorizaciones, por cada mes, correspondiente al período comprendido entre enero de 2022 y febrero de 2023, respecto de los datos obtenidos a través de SISEC CEA y SISEC CRC , bajo los siguientes

criterios:

1. Cinco (5) titulares que hubiesen autorizado el tratamiento de sus datos para el cotejo biométrico con la Registraduría Nacional del Estado Civil. ii. Cinco (5) titulares que hubiesen autorizado el tratamiento de sus datos personales con fines de uso comercial y verificación de identidad por parte de terceros. iii. Cinco (5) titulares que no hubiesen autorizado el tratamiento de sus datos personales con fines de uso comercial y verificación de identidad por parte de terceros. iv. Cinco (5) titulares respecto de los cuales no se hubiese solicitado autorización para el tratamiento de sus datos personales, en virtud de alguna condición especial.

La muestra fue requerida conforme a los parámetros de almacenamiento de la información expuesta por la sociedad, para un total de 172 registros de SISEC CEA y 139 registros de SISEC CRC.

Posteriormente, se requirió a la sociedad la depuración de la información previamente allegada, con el fin de identificar y conservar únicamente

de SISEC CEA y 139 registros de SISEC CRC.

Posteriormente, se requirió a la sociedad la depuración de la información previamente allegada, con el fin de identificar y conservar únicamente aquellos registros que contuvieran datos de reconocimiento facial, así como la remisión de las respectivas autorizaciones para su tratamiento.

TERCERO. Que, como resultado de las visitas administrativas de inspección practicadas a las sociedades OLIMPIA, AUTO STOP NORTE – CEA y OCCIMETRIC – CRC, se elaboró el Informe Final de Visita Administrativa por parte de los funcionarios intervinientes, en el cual se consignaron, entre otras, las siguientes conclusiones:

“Conforme a las indagaciones técnicas y las visitas de inspección realizadas a las tres (3) sociedades, se determinó que la sociedad OLIMPIA IT S.A.S., en su calidad de proveedor del Sistema de Control y Vigilancia es quien actúa como Responsable del tratamiento de datos personales, respecto de los datos personales recolectados por sus aliados comerciales Ce ntros de Enseñanza Automovilística (CEA) y Centros de Reconocimiento de Conductores (CRC).”

“OBSERVACIONES Luego de haberse llevado a cabo el estudio técnico y jurídico del material probatorio recolectado, surgen las siguientes conclusiones:

• La sociedad OLIMPIA IT S.A.S., en su calidad de operador biométrico realiza tratamiento de la información recolectada a través de los Centros de Enseñanza Automovilística y Centros de Reconocimiento de Conductores, para consultas por parte de terceros con quienes sostiene vínculos comerciales, usando los formatos de autorización dispuestos para el proceso de concesión de licencia.

Automovilística y Centros de Reconocimiento de Conductores, para consultas por parte de terceros con quienes sostiene vínculos comerciales, usando los formatos de autorización dispuestos para el proceso de concesión de licencia.

• La sociedad recolecta datos de carácter privado, semiprivado y sensibles, tales como fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

• Algunos de los formatos de autorización dispuestos por la sociedad, incluyen finalidades distintas a aquellas relacionadas con el proceso de validación de identidad, en el marco del otorgamiento de licencias de conducción, por ejemplo los formatos tipo 1 y 3.

• De los cincuenta y nueve (59) titulares cuya información biométrica

(huellas dactilares y registro facial) fue consultada, ninguna cuenta con una autorización expresa al consultante.RESOLUCIÓN NÚMERO 30774 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 4 de 22

• De acuerdo con las declaraciones recibidas, se observa que la carga de exhibir el formato e informar al titular el alcance de la autorización otorgada, respecto al uso, comercialización, almacenamiento y circulación de sus datos personales biométricos, está en cabeza de los CEÁS y de los CRCS, razón por la cual, no hay certeza de que el titular tenga conocimiento de dichas finalidades.

• En algunos casos de observa que, no se aportó autorización o que el formato allegado no contiene la rúbrica impuesta por el titular.

(…)

• El producto ReconoSerID hace uso de los datos capturados a través de

• En algunos casos de observa que, no se aportó autorización o que el formato allegado no contiene la rúbrica impuesta por el titular.

(…)

• El producto ReconoSerID hace uso de los datos capturados a través de los CRC y CEA para realizar validaciones biométricas faciales para otros productos o servicios que ofrece la sociedad. Situación que se evidenció desde el diagrama “Arquitectura ReconoserID”, revisión del código fuente de la clase “RostrosServices.cs” que contiene el método “CallRostrosOlimpia” la cual hace un llamado al API (programa) que retorna las fotos asociadas a un número de documento específico. Igualmente, en la tabla “Logrostro s” se registran las diferentes consultas que se realizan entre los dos sistemas.” (resaltado fuera del texto)

CUARTO. Que, con ocasión de la denuncia presentada y la información disponible, la Dirección, mediante la Resolución No. 10645 del 15 de marzo de 2024, decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de las normas en materia de protección de datos personales, en particular, las contenidas en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada Ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

QUINTO. Que la Dirección, con base en las pruebas recaudadas en la presente actuación, determinó que la sociedad OLIMPIA IT S.A.S. actuó en calidad de responsable del tratamiento de datos personales . Esto a partir de la evidencia

QUINTO. Que la Dirección, con base en las pruebas recaudadas en la presente actuación, determinó que la sociedad OLIMPIA IT S.A.S. actuó en calidad de responsable del tratamiento de datos personales . Esto a partir de la evidencia recogida en la actuación administrativa y además por que a pesar de alegarlo, no demostró, ni ofreció documento alguno que demostrara su calidad de encargado, ni los términos del encargo para el tratamiento de datos por cuenta y riesgo de los CEA, de los CRC o de otros particulares a quiene s presta sus servicios relacionados con el tratamiento de datos biométricos. En consecuencia, concluyó que le resultaban exigibles los deberes previstos en la normativa de protección de datos personales para los responsables del tratamiento.

Asimismo, del análisis probatorio se concluyó que la sociedad incumplió el deber de solicitar y conservar la autorización previa, expresa e informada para el tratamiento de datos sensibles, por cuanto se evidenció que datos biométricos de al menos cincuenta y nueve (59) titulares, y que reposaban en sus bases de datos, aquellas conformadas a partir de la operación del SISEC-CEA y del SISECCRC, fueron consultados por terceros sin contar con la autorización expresa de sus titulares . De igual forma, se constató que los formatos de autorización utilizados para la recolección de los datos personales en el contexto de la prestación de los servicios relacionados con el funcionamiento del SICOV incluían finalidades ajenas al proceso de expedición de licencias y no garantizaban que el consentimiento otorgado fuera libre, específico e informado.

Por lo anterior, mediante Resolución No. 64962 del 29 de agosto de 2025 , resolvió:

finalidades ajenas al proceso de expedición de licencias y no garantizaban que el consentimiento otorgado fuera libre, específico e informado.

Por lo anterior, mediante Resolución No. 64962 del 29 de agosto de 2025 , resolvió:

“ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad OLIMPIA IT S.A.S., identificada con el nit 900.032.774 -4 DOSCIENTOS (200) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTITRÉS MIL DOSCIENTOS (23.200) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SESENTA Y OCHO MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400)30, por la vulneración de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.”

SEXTO. Que, dentro de l término legal establecido para el efecto , el 12 de septiembre de 2025 , OLIMPIA IT S.A.S . (en adelante la RECURRENTE), a través de su representante legal, interpuso recurso de reposición y en subsidioRESOLUCIÓN NÚMERO 30774 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 5 de 22

través de su representante legal, interpuso recurso de reposición y en subsidioRESOLUCIÓN NÚMERO 30774 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 5 de 22

de apelación4 contra la decisión contenida en la Resolución No. 64962 del 29 de agosto de 2025 , mediante escrito radicado con el número 22-325553-92 (anexos del consecutivo 86 al 91). Solicitó reconsiderar dos aspectos:

6.1. Respecto de la calidad que ostenta como responsable y encargado del tratamiento

La RECURRENTE controvierte la conclusión de la Dirección según la cual OLIMPIA actúa exclusivamente como responsable del tratamiento y se atribuye de manera conveniente la calidad de encargado para eludir sus obligaciones. Al respecto, sostiene que dicha interpretación es errada, pues desconoce que, conforme a la realidad operativa y contractual de sus servicios, la sociedad ostenta una doble calidad —responsable y encargado— dependiendo del rol que desempeñe en cada caso. En este sentido, afirma que esta dualidad no constituye una estrategia para evadir responsabilidades, sino una co nsecuencia legítima de las distintas relaciones jurídicas en las que participa, en las cuales no siempre define los fines y medios del tratamiento.

Adicionalmente, advierte que desconocer esta doble condición implicaría someterla indebidamente, de manera generalizada, a las obligaciones propias del responsable del tratamiento, incluso en aquellos escenarios en los que actúa únicamente como encargado, lo cual desnaturalizaría el régimen establecido en la Ley 1581 de 2012 y el Decreto 1074 de 2015. Asimismo, señala que ello generaría inseguridad jurídica y afectaría la

los que actúa únicamente como encargado, lo cual desnaturalizaría el régimen establecido en la Ley 1581 de 2012 y el Decreto 1074 de 2015. Asimismo, señala que ello generaría inseguridad jurídica y afectaría la adecuada delimitación de sus deberes, la estructuración de sus procesos internos de cu mplimiento y la claridad en sus relaciones contractuales. Finalmente, reitera que, en sus distintas líneas de negocio, actúa como encargado en su calidad de operador del SICOV y operador biométrico ante la RNEC, siendo los CEA, CRC u otras entidades los responsables, y que solo en ciertos servicios tecnológicos asume simultáneamente o de manera independiente la calidad de responsable.

Aportando la siguiente tabla:

4 La Resolución No. 64962 del 29 de agosto de 2025 , fue notificada electrónicamente a la RECURRENTE el 29 de agosto de 2025.RESOLUCIÓN NÚMERO 30774 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 6 de 22

Asimismo, realiza una explicación de cada rol que la sociedad ejerce:RESOLUCIÓN NÚMERO 30774 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 7 de 22

• Rol de operador homologado del Sistema de Control y Vigilancia – SICOV. La RECURRENTE explica que, en el marco del Sistema de Control y Vigilancia (SICOV), implementado por la Superintendencia de Transporte para garantizar la seguridad y autenticidad en la expedición de licencias de conducción, OLIMPIA IT S.A.S. actúa como operador

y Vigilancia (SICOV), implementado por la Superintendencia de Transporte para garantizar la seguridad y autenticidad en la expedición de licencias de conducción, OLIMPIA IT S.A.S. actúa como operador homologado que provee la infraestructura tecnológica necesaria — particularmente el software SISEC — para el registro, enrolamiento y validación biométrica de los solicitantes. En este contexto, sostiene que el tratamiento de datos personales se realiza con el único propósito de cumplir las finalidades definidas por los Centros de Enseñanza Automovilística (CEA) y los Centros de Reconocimiento de Conductores (CRC), en desarrollo de sus obligaciones legales.

Con base en lo anterior, argumenta que OLIMPIA actúa en calidad de encargado del tratamiento dentro de este esquema, ya que no define los fines ni los medios esenciales del tratamiento, sino que ejecuta las actividades por cuenta de los CEA y CRC, quienes ostentan la calidad de responsables. Añade que el encargo no necesariamente deriva de un contrato formal, sino de la propia regulación del SICOV, en tanto este sistema opera como un mecanismo de control sobre los servicios prestados por dichos centros, siendo estos últimos quienes recolectan los datos en el marco de la relación directa con los titulares.

• Rol de operador biométrico homologado de la RNEC . La RECURRENTE sostiene que, en el marco de su actividad como operador biométrico homologado de la Registraduría Nacional del Estado Civil

(RNEC), OLIMPIA actúa exclusivamente en calidad de encargado del tratamiento de datos personales, en tanto su función se limita a proveer la infraestructura tecnológica que permite a entidades públicas o privadas validar la identidad de los ciudadanos contra las bases de datos

tratamiento de datos personales, en tanto su función se limita a proveer la infraestructura tecnológica que permite a entidades públicas o privadas validar la identidad de los ciudadanos contra las bases de datos biométricas administradas por dicha entidad. En este sentido, argumenta que la normativa aplicable establece que son los “clientes” —previamente autorizados por la RNEC— quienes definen las finalidades del tratamiento y solicitan directamente el consentimiento a los titulares, incluso configurando los textos de autorización, los cuales son revisados y aprobados por la propia Registraduría.

Adicionalmente, indica que su actuación se encuentra sujeta a estrictos lineamientos técnicos, contractuales y de supervisión por parte de la RNEC, incluyendo la generación de trazabilidad de las consultas y el cumplimiento de obligaciones de confidencialidad, lo que evidencia su rol como mero intermediario tecnológico sin autonomía decisoria sobre el tratamiento. En consecuencia, concluye que la responsabilidad recae en las entidades que solicitan la validación de identidad y en la RNEC como administradora de las bases de datos, mientras que OLIMPIA ejecuta el tratamiento por cuenta de estos, sin definir los fines ni los medios esenciales del mismo.

• Rol en el marco de la prestación de servicios tecnológicos que realiza Olimpia de manera independiente y en desarrollo de su objeto social. La RECURRENTE señala que, en el marco de sus servicios tecnológicos de validación de identidad biométrica facial, actúa, por regla general, como encargado del tratamiento, en tanto son los aliados comerciales —entidades públicas o privadas — quienes determinan las finalidades del tratamiento y solicitan directamente la autorización a los titulares para la recolección de sus datos personales. En este esquema,

general, como encargado del tratamiento, en tanto son los aliados comerciales —entidades públicas o privadas — quienes determinan las finalidades del tratamiento y solicitan directamente la autorización a los titulares para la recolección de sus datos personales. En este esquema, los aliados capturan la información (o la integran con el software de OLIMPIA) y la remiten para su validación, proceso en el cual la sociedad se limita a contrastar los datos biométricos contra sus bases y generar un resultado, sin intervenir en la definición de los fines del tratamiento.

No obstante, indica que existe una modalidad en la que OLIMPIA puede actuar como responsable del tratamiento, exclusivamente cuando el titular otorga una autorización adicional, expresa y voluntaria, que leRESOLUCIÓN NÚMERO 30774 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 8 de 22

permite utilizar sus datos biométricos para finalidades propias, como la verificación de identidad y la prevención del fraude, incorporándolos en su base de datos “Identidad Digital”. En ausencia de dicha autorización complementaria, la sociedad sostiene q ue continúa actuando como encargado, limitándose a tratar los datos conforme a las instrucciones del aliado comercial. Finalmente, enfatiza que la coexistencia de distintos servicios no implica la mezcla de bases de datos ni de finalidades, ya que cada lín ea de negocio opera de manera independiente y bajo marcos regulatorios diferenciados.

6.1.1. Respecto de que el responsable del tratamiento de acuerdo con la Ley 1581 de 2012 es quien decide las finalidades de las bases de datos, pero no quien tiene los medios del tratamiento

Sostiene que la interpretación de la Dirección es jurídicamente errada al

6.1.1. Respecto de que el responsable del tratamiento de acuerdo con la Ley 1581 de 2012 es quien decide las finalidades de las bases de datos, pero no quien tiene los medios del tratamiento

Sostiene que la interpretación de la Dirección es jurídicamente errada al equiparar la provisión de medios tecnológicos con la calidad de responsable del tratamiento. Argumenta que, conforme al artículo 3 de la Ley 1581 de 2012, el responsable es quien defi ne las finalidades y condiciones del tratamiento, y no necesariamente quien dispone de los medios técnicos, operativos o logísticos, los cuales pueden ser proveídos por un encargado. En ese sentido, afirma que no es válido concluir que OLIMPIA adquiere la calidad de responsable por el solo hecho de suministrar software, equipos o mecanismos de almacenamiento de datos biométricos.

Adicionalmente, señala que la Dirección desconoce que, en el marco del SICOV, son los Centros de Enseñanza Automovilística (CEA) y los Centros de Reconocimiento de Conductores (CRC) quienes determinan la necesidad de recolectar los datos personales y las f inalidades del tratamiento, en desarrollo de sus funciones legales. Aunque la captura y validación de los datos se realice a través de la plataforma tecnológica provista por OLIMPIA, ello obedece a una obligación normativa impuesta por la regulación de la Superintendencia de Transporte, sin que implique que la sociedad defina los fines del tratamiento. Por tanto, concluye que su rol se limita a ejecutar técnicamente dichas actividades como operador del sistema, mientras que la calidad de responsable recae en los CEA y CRC que solicitan y utilizan la información de los titulares.

6.1.2. Aclaración respecto del rol que presta en los múltiples

del sistema, mientras que la calidad de responsable recae en los CEA y CRC que solicitan y utilizan la información de los titulares.

6.1.2. Aclaración respecto del rol que presta en los múltiples servicios que ofrece

La RECURRENTE sostiene que presta múltiples servicios bajo esquemas regulatorios y contractuales distintos, lo que explica que un mismo titular pueda aparecer en diferentes bases de datos (CEA, CRC y servicios de validación biométrica), sin que ello implique un único ro l en el tratamiento. En ese sentido, afirma que su actividad se desarrolla tanto en el marco de regulaciones sectoriales —como el SICOV y la operación biométrica ante la RNEC — como en servicios tecnológicos ofrecidos de manera autónoma, lo que determina qu e su participación en el tratamiento de datos varíe según el servicio específico prestado.

Con base en lo anterior, argumenta que en los servicios asociados al SICOV y a la operación biométrica de la RNEC actúa como encargado del tratamiento, dado que los fines son definidos por los CEA, CRC o la propia RNEC y las entidades que acceden a sus bases de datos. De igual forma, en la prestación de servicios tecnológicos a terceros, sostiene que actúa como encargado cuando los aliados comerciales determinan las finalidades del tratamiento y solicitan las autorizaciones a los titulares. No obstante, reconoce que asume la calidad de responsable únicamente en aquellos casos en los que obtiene una autorización directa y adicional del titular para tratar datos —principalmente biometría facial — con fines propios, como la verificación de identidad y la prevención del fraude, integrándolos en sus bases de datos.RESOLUCIÓN NÚMERO 30774 DE 2026

titular para tratar datos —principalmente biometría facial — con fines propios, como la verificación de identidad y la prevención del fraude, integrándolos en sus bases de datos.RESOLUCIÓN NÚMERO 30774 DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 9 de 22

Finalmente, concluye que el reconocimiento de esta doble calidad — responsable y encargado— no es accesorio, sino esencial para la correcta aplicación del régimen de protección de datos personales, en la med