SIC - Resolucion RE32736-2026 de 2025

Página 1 de 12

RESOLUCIÓN NÚMERO 32736 DE 2026

(4 de mayo de 2026)

“Por la cual se resuelve un recurso de apelación”

Radicado 21-380202

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que el 23 de diciembre de 2021, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección) realizó una visita administrativa a la Clínica Porvenir Ltda., con el objeto de verificar el cumplimiento de lo dispuesto en la Ley 1581 de 2012 y demás normatividad vigente. En especial, en relación con la existencia de medidas de seguridad que garanticen la conservación de la información y que impidan su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento ; la existencia de políticas, manuales y procedimientos para el manejo de las quejas relacionadas con el cumplimiento de lo regulado en materia de protección de datos personales, así como ubicac ión de las bases de datos ; y las condiciones contractuales de seguridad y los acuerdos de confidencialidad con las personas que tienen acceso a la información. El acta correspondiente quedó registrada en el sistema de trámites con el número 21-380202 -01 el 5 de octubre de 2021.

contractuales de seguridad y los acuerdos de confidencialidad con las personas que tienen acceso a la información. El acta correspondiente quedó registrada en el sistema de trámites con el número 21-380202 -01 el 5 de octubre de 2021.

SEGUNDO. Que mediante Oficio No. 21-380202-04 del 25 de mayo de 2023, la Dirección presentó el Informe Final de Inspección de la visita realizada a la Clínica Porvenir Ltda. En éste se indica que la investigada realizó la inscripción en el RNBD de la base de datos clientes (Pacientes), sin embargo, el registro no fue finalizado. En efecto, no había evidencia de registro de ninguna información relacionada con esa u otra u otras bases de datos, tal como puede corroborarse con las siguientes imágenes:

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 32736 DE 2026

“Por la cual se resuelve un recurso de apelación ”

Página 2 de 12

TERCERO. Que, de acuerdo con los hallazgos encontrados en la visita de inspección y demás pruebas disponibles, la Dirección, mediante Resolución No. 44658 del 1 de agosto de 2023, decidió abrir una investigación administrativa y formular cargos en contra de la Clínica Porvenir Ltda. , por la presunta vulneración de lo dispuesto en:

(i) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b) y c) del artículo 4 de la misma Ley y los artículos 2.2.2.25.3.2.,

2.2.2.25.3.3., 2.2.2.25.3.4., y 2.2.2.25.3.5., del Decreto Único Reglamentario 1074 de 2015;

(ii) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015;

(iii) El literal d) del artículo 17 en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012;

(iv) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal h) del artículo 21 y el artículo 25 de la norma en mención el Decreto 090 de 2018.

CUARTO. Que mediante escrito radicado con el número 21-380202-10 del 30 de agosto de 2023, la Clínica Porvenir Ltda. a través de su Representante Legal presentó los descargos correspondientes . En estos, i nformó que su representada sí cuenta con las políticas y procedimientos para el debidoRESOLUCIÓN NÚMERO 32736 DE 2026

“Por la cual se resuelve un recurso de apelación ”

Página 3 de 12

tratamiento de los datos personales. Asimismo, indicó estar en disposición de realizar la inscripción de la base de datos y solicitó la práctica de una inspección en las instalaciones de la Clínica Porvenir Ltda. para que se reali zase la

tratamiento de los datos personales. Asimismo, indicó estar en disposición de realizar la inscripción de la base de datos y solicitó la práctica de una inspección en las instalaciones de la Clínica Porvenir Ltda. para que se reali zase la respectiva verificación, por parte de la Dirección.

QUINTO. Que mediante Resolución No. 74373 del 30 de noviembre de 2023, la Dirección incorporó a la actuación administrativa las pruebas allegadas, rechazó la práctica de una visita administrativa y corrió traslado para alegar.

SEXTO. Que mediante Resolución No. 35272 del 10 de junio de 2025, la Dirección corrigió la Resolución No. 74373 del 30 de noviembre de 2023, y con el fin de contar con elementos probatorios suficientes para decidir sobre el presunto incumplimiento de los deberes imputados a la Clínica Porvenir Ltda., decretó la práctica de unas pruebas.

SÉPTIMO. Que, de acuerdo con lo informado en el certificado de existencia y representación expedido por la Cámara de Comercio de Barranquilla, la Clínica Porvenir Ltda. se transformó en una sociedad por acciones simplificada bajo la denominación Clínica Provenir S.A.S. (en adelante Clínica Porvenir).

OCTAVO. Que de acuerdo con las pruebas allegadas a la presente actuación administrativa, la Dirección comprobó que la Clínica Porvenir no allegó copia de la Política de Tratamiento de Datos Personales que permitiera corroborar que dicho documento cuenta con la totalidad de los requisitos mínimos previstos en la Ley, y constató que dicho documento no estaba cargado en el RNBD . Asimismo, concluyó que no cuenta con las medidas de seguridad necesarias para

dicho documento cuenta con la totalidad de los requisitos mínimos previstos en la Ley, y constató que dicho documento no estaba cargado en el RNBD . Asimismo, concluyó que no cuenta con las medidas de seguridad necesarias para el debido tratamiento de los datos personales que son recolectados y que no había cumplido con el deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, relativo al cumplimiento de las instrucciones impartidas por la Superintendencia de Industria y Comercio al no registrar sus bases de datos en el RNBD, como lo establece el Capítulo Segundo, del Título V de la Circular Única. En virtud de lo anterior, la Dirección decidió, mediante Resolución No. 77220 del 30 de noviembre de 2025, imponer una sanción pecuniaria e imponer una orden administrativa, en los siguientes términos:

“ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad CLINICA PORVENIR S.A.S. , identificada con NIT. 802.019.573 -1, de OCHENTA (80) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL DOSCIENTOS OCHENTA (9.280) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO SIETE MILLONES DOSCIENTOS DOS MIL QUINIENTOS SESENTA PESOS M/CTE ($107.202.560) por la transgresión al deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal h) del artículo 21 y el artículo 25 de la norma en mención y el Decreto 090 de 2018 . (…)

de la Ley 1581 de 2012, en concordancia con lo establecido en el literal h) del artículo 21 y el artículo 25 de la norma en mención y el Decreto 090 de 2018 . (…)

ARTÍCULO 2. ORDENAR a la sociedad CLINICA PORVENIR S.A.S., identificada con NIT. 802.019.573 -1, cumplir con las siguientes instrucciones:

• La sociedad CLINICA PORVENIR S.A.S. deberá allegar lo siguiente:

• Formato o mecanismo de autorización implementado por la sociedad para el tratamiento de datos personales, - Aviso de privacidad, - Política de Tratamiento de Datos Personales, - Política(s) interna(s) de seguridad en relación con la conservación de la información y datos personales; y - Soportes de la inscripción en el Registro Nacional de Bases de Datos – RNBD.

NOVENO. Que la Clínica Porvenir a través de su representante legal (en adelante el recurrente), mediante escrito radicado con el número 21-38020230 del 31 de octubre de 2025, interpuso recurso de reposición y en subsidio de apelación1 contra la Resolución No. 77220 del 30 de septiembre de 2025, cuyos argumentos son los siguientes:

1 La Resolución No. 77220 del 30 de septiembre de 2025 fue notificada mediante aviso a la Clínica Porvenir el 21 de octubre de 2025.RESOLUCIÓN NÚMERO 32736 DE 2026

“Por la cual se resuelve un recurso de apelación ”

Página 4 de 12

1. Considera el recurrente que no hubo incumplimiento en materia de software ni de seguridad: se implementaron controles inmediatamente tras la

“Por la cual se resuelve un recurso de apelación ”

Página 4 de 12

1. Considera el recurrente que no hubo incumplimiento en materia de software ni de seguridad: se implementaron controles inmediatamente tras la advertencia. Informa que la Clínica adoptó de inmediato medidas técnicas, administrativas y humanas, entre ellas: “(i) sustitución y control de herramientas de acceso remoto bajo licenciamiento corporativo, registros y perfiles; (ii) política de control de accesos y copias de respaldo; (iii) acuerdos de confidencialidad y capacitación; (iv) bitácoras de incidentes y me jora continua. Todo ello se alinea con los deberes de los responsables (arts. 17 literal b), c) y d) de la Ley 1581) y el principio de seguridad (art. 4 ibidem).

En este punto no existió incumplimiento, pues las prácticas señaladas por la SIC fueron atendidas tan pronto fueron advertidas ”.

2. Señala que hubo un cumplimiento susta ncial y de buena fe de las instrucciones sobre RNBD, con obstáculos técnicos y de transición societaria.

La clínica creó el registro de su base de datos y lo mantuvo en estado de avance, aunque no finalizado, debido a incidencias documentales y a la transformación societaria de Limitada a Sociedad por acciones simplificada que exigió ajustar responsable, políticas y anexos en la plataforma RNBD. Esta situación refleja cumplimiento sustancial y de buena fe. Solicita se valoren los avances registrados en el RNBD y se recono zca que no existió renuencia, sino ajustes operativos razonables, en línea con los principios del artículo 3 del CPACA (proporcionalidad, razonabilidad y buena fe).

valoren los avances registrados en el RNBD y se recono zca que no existió renuencia, sino ajustes operativos razonables, en línea con los principios del artículo 3 del CPACA (proporcionalidad, razonabilidad y buena fe).

3. Debido proceso y necesidad probatoria: Afirma que se requiere valorar la evidencia de cumplimiento ex post y practicar verificación técnica. Dada la naturaleza técnica de los contr oles de seguridad y del RNBD , solicita el recurrente se admitan y valoren los medios de prueba anexos y de ser necesario se practique verificación técnica en sitio o remota para constatar la existencia y suficiencia de políticas y controles.

4. Tipicidad, culpabilidad y proporcionalidad de la sanción. Indica que la sanción se fundamenta en el literal o) del artículo 17 Ley 1581 de 2012, sin embargo, el derecho sancionador administrativo exige tipicidad y proporcionalidad (la sanción debe ser idónea y necesaria respecto de la gravedad de la conducta).

Afirma que en el caso concreto no hubo daño ni beneficio económico, no hubo reincidencia ni obstrucción, por lo que 80 SMLMV resulta excesivo frente a un s upuesto incumplimiento formal del RNBD con cumplimiento material de seguridad e información al titular.

5. Convalidación del quantum en UVB y solicitud subsidiaria de reducción.

Acepta el recurrente que conforme al artículo 313 de la Ley 2294 de 2023, los montos antes expresados en SMLMV deban convertirse a UVB y que para el 2025 el valor de UVB sea $11552. No obstante, la cuantía debe graduarse a la baja por las razones expuestas (artículo 24 Ley 1581 de 2012) ,

el 2025 el valor de UVB sea $11552. No obstante, la cuantía debe graduarse a la baja por las razones expuestas (artículo 24 Ley 1581 de 2012) , privilegiando órdenes de mejora y un término razonable para su acreditación.

6. En concreto solicita la revocación de la Resolución 77220 del 30 de septiembre de 2025 , incluidas la sanción y las órdenes administrativas relacionadas con el software y la seguridad, y subsidiariamente solicita una reducción de la sanción pecuniaria, y la extensión de un plazo para acreditar el cumplimiento de las órdenes administrativas.

DÉCIMO. Que la Dirección, mediante Resolución No. 9887 del 16 de febrero de 2026, resolvió el recurso de reposición interpuesto confirmando en todas sus partes la Resolución No. 77220 del 30 de septiembre de 2025 .

DECIMOPRIMERO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022).RESOLUCIÓN NÚMERO 32736 DE 2026

“Por la cual se resuelve un recurso de apelación ”

Página 5 de 12

11.1. Respecto de l cumplimiento de las instrucciones y la implementación de medidas por la Clínica Porvenir.

Indica el recurrente que posterior a la visita administrativa se implementaron las medidas de seguridad necesarias conforme las observaciones realizadas por

11.1. Respecto de l cumplimiento de las instrucciones y la implementación de medidas por la Clínica Porvenir.

Indica el recurrente que posterior a la visita administrativa se implementaron las medidas de seguridad necesarias conforme las observaciones realizadas por la Dirección en la visita, de acuerdo con los deberes establecidos en los literales b), c) y d) de la Ley 1581 de 2012 y el principio de seguridad.

Frente a este argumento, evidencia el Despacho que mediante escrito radicado con el número 21 -380202-26 del 12 de marzo de 2026, la Cínica Porvenir allega entre otros documentos el Protocolo de Seguridad de la Información, documento que fue solicitado dentro de la orden impartida en el artículo 2 de la Resolución que se revisa. Este documento , que tiene fecha de creación 11 de enero de 2026, deberá ser verificado por la Dirección, con el fin de determinar si se encuentra acorde con los requisitos necesarios para cumplir con la función de otorgar la seguridad necesaria a la información que es recolectada por el Responsable.

11.2. Respecto al principio de buena fe y la valoración probatoria.

En relación con el principio de buena fe invocado por el recurrente en su escrito, de acuerdo con lo establecido en el artículo 83 de la Constitución Política, “las actuaciones de los particulares y de las autoridades deberán ceñirse a los postulados de la buena fe, la cual se presumirá en todas las gestiones que aquellos adelanten ante és tas”.

En este mismo sentido, el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, señala que “todas las actuaciones deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimiento administrativo a la luz de los principios consagrados en la

y de lo Contencioso Administrativo, señala que “todas las actuaciones deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimiento administrativo a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de esta Código y en las leyes especiales.” Asimismo, indica que, “Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del deb ido proceso, igualdad, imparcialidad, buena fe2, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

Por su parte, el Consejo de Estado – Sala de lo Contencioso Administrativo – Sección Cuarta Consejero Ponente: Hugo Fernando Bastidas Bárcenas, mediante sentencia proferida dentro del expediente No. 11001031500020140111401, del 26 de febrero de 2015, indic ó:

“Como se ve, la buena fe es un principio que rige las actuaciones de los particulares y de la administración y obliga a actuar de manera leal, clara y transparente, esto es, sin el ánimo de sacar provecho injustificado de la contraparte y guiados siempre por la idea de mutua confianza… Aquí interesa resaltar que el principio de buena fe no es absoluto porque no puede constituir un eximente de responsabilidad frente a conductas lesivas del orden jurídico. (negrilla fuera de texto)

Conforme lo anterior, considera el Despacho que no basta que el Responsable obre de buena fe, sino que debe ser diligente y profesional en todas las actividades, especialmente aquellas que involucren el tratamiento de datos personales, de acuerdo con lo establecido en el artículo 15 de la Constitución Política.

obre de buena fe, sino que debe ser diligente y profesional en todas las actividades, especialmente aquellas que involucren el tratamiento de datos personales, de acuerdo con lo establecido en el artículo 15 de la Constitución Política.

En el presente caso, no fue objeto de estudio si la Clínica Porvenir actuó de mala o de buena fe en el cumplimiento de sus deberes como Responsable del tratamiento; se reprochó precisamente la omisión en relación con el registro de sus bases de datos en el RNBD, siendo ésta una instrucción clara impartida por esta Superintendencia en la Circular Única.

2 En lo que tiene que ver con el principio de buena fe, el citado artículo 3 del CPACA, establece en su numeral 4 que, “en virtud del principio de buena fe, las autoridades y los particulares presumirán el comportamiento leal y fiel de unos y otros en el ejercicio de sus competencias, derechos y deberes”.RESOLUCIÓN NÚMERO 32736 DE 2026

“Por la cual se resuelve un recurso de apelación ”

Página 6 de 12

Por otra parte, en relación con la valoración probatoria, solicita el recurrente que en sede de recursos se admitan y valoren unos documentos que dice haber anexado al escrito de los recursos . Este Despacho , al verificar el sistema de trámites evidencia que la documentación no fue anexada con el escrito de los recursos de reposición y en subsidio de apelación, sino posteriormente a través del escrito radicado con el número 21 -380202-26 del 12 de marzo de 2026 . Estos documentos, si bien son indicativos del compromiso del responsable en el tratamiento de datos personales, deberán ser analizados por la Dirección para que determine si se ajustan a l as exigencias del ordenamiento jurídico y, en

Estos documentos, si bien son indicativos del compromiso del responsable en el tratamiento de datos personales, deberán ser analizados por la Dirección para que determine si se ajustan a l as exigencias del ordenamiento jurídico y, en particular, si con los mismos se cumple con la orden impartida en el artículo 2 de la Resolución que se revisa.

11.3. Deber de cumplir con las instrucciones que imparta la Superintendencia de Industria y Comercio.

El literal o) del artículo 17 de la Ley 1581 de 2012, dispone lo siguiente:

ARTÍCULO 17. DEBERES DE LOS RESPONSABLES DEL RATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

La literalidad de la norma es clara y no requiere mayor desarrollo jurídico. Los Responsables del tratamiento están en la obligación de cumplir con las instrucciones que sobre protección de datos imparta esta Superintendencia.

En el caso particular se trata de la instrucción impartida en el Capítulo Segundo, del Título V de la Circular Única, el cual a la sazón disponía lo siguiente:

2.2. Procedimiento de inscripción en el Registro Nacional de Bases de Datos -RNBD

Los Responsables del Tratamiento de datos personales, sociedades y entidades sin ánimo de lucro que tengan activos totales o superiores a 100.000 Unidades de Valor Tributario (UVT) y personas jurídicas de naturaleza pública, deberán inscribir sus

Los Responsables del Tratamiento de datos personales, sociedades y entidades sin ánimo de lucro que tengan activos totales o superiores a 100.000 Unidades de Valor Tributario (UVT) y personas jurídicas de naturaleza pública, deberán inscribir sus bases de datos en el RNBD, de acuerdo con las instrucciones contenidas en el “Manual del Usuario del Registro Nacional de Bases de Datos - RNBD” publicado en el sitio Web de la Superintendencia de Industria y Comercio, www.sic.gov.co .

La inscripción se realizará en línea en el portal Web de esta entidad. De acuerdo con lo establecido en el artículo 2.2.2.26.3.1 de la Sección 3 del Capítulo 26 del Decreto 1074 de 20152, dicha inscripción se llevará a cabo en los siguientes plazos:

a) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unidades de Valor Tributario (UVT), deben realizar la referida inscripción a más tardar el treinta (30) de septiembre de 2018. b) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario (UVT), deben realizar la referida inscripción a más tardar el treinta (30) de noviem bre de 2018. c) Los Responsables del Tratamiento, personas jurídicas de naturaleza pública, deben realizar la referida inscripción a más tardar el treinta y uno (31) de enero de 2019.

El Registro Nacional de Bases de Datos, es definido por el artículo 25 de la Ley 1581 de 2012, como un directorio público de las bases de datos sujetas a

El Registro Nacional de Bases de Datos, es definido por el artículo 25 de la Ley 1581 de 2012, como un directorio público de las bases de datos sujetas a Tratamiento que operan en el país:

“Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mis mo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.”RESOLUCIÓN NÚMERO 32736 DE 2026

“Por la cual se resuelve un recurso de apelación ”

Página 7 de 12

A su vez, el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, dispone que las sociedades y entidades sin ánimo de lucro cuyos activos totales superen las 100.000 UVT están obligadas a registrar sus bases de datos en el Registro Nacional de Bases de Datos (R NBD). Asimismo, el artículo 2.2.2.26.3.1 de la citada norma, establece que la obligación de efectuar el registro recae sobre los responsables del tratamiento.

De esta manera, el Decreto 090 de 2018, que modificó el Decreto Único 1074 de 2015, exige el cumplimiento de dos requisitos para que una sociedad esté

responsables del tratamiento.

De esta manera, el Decreto 090 de 2018, que modificó el Decreto Único 1074 de 2015, exige el cumplimiento de dos requisitos para que una sociedad esté obligada a registrar sus bases de datos en el RNBD: (i) ser responsable del Tratamiento y (ii) contar con activos totales que excedan las 100.000 UVT .

De acuerdo con el análisis realizado por la Dirección la Clínica Porvenir, conforme a los activos reportados, está en la obligación de registrar sus bases de datos en el RNBD, aspecto que fue advertido al momento en que se realizó la visita administrativa en el año 2021, sin que se hayan tomado por parte del Responsable las medidas necesarias para su cumplimiento inclusive cuando la Dirección presentó el Informe Final en el mes de mayo de 2023.

Como se indicó en el considerando segundo del presente acto administrativo, la Dirección verificó que la Clínica Porvenir si bien inició el proceso de inscripción en el RNBD , en especial el de la base de datos clientes (pacientes), dicho proceso no se finalizó, y al no completarse como lo exige la Circular antes citada, es claro el fenómeno del incumplimiento de las instrucciones impartidas por esta Superintendencia, en los términos del literal o) del artículo 17 de la Ley 1581 de 2012.

11.4. Potestad sancionadora de la Superintendencia de Industria y Comercio. Principio de legalidad y contenido material del deber incumplido.

De conformidad con lo establecido en el artículo 3 del CPACA3, las actuaciones administrativas sancionatorias definidas en el artículo 47 de la misma codificación, se desarrollarán con arreglo al principio del debido proceso 4, en

incumplido.

De conformidad con lo establecido en el artículo 3 del CPACA3, las actuaciones administrativas sancionatorias definidas en el artículo 47 de la misma codificación, se desarrollarán con arreglo al principio del debido proceso 4, en virtud del cual, se tendrán en cuenta las normas de procedimiento y competencia establecidas en la Constitución y la Ley, con plena garantía de los derechos de representación, defensa y contradicción, así como del principio de legalidad de las faltas y de las sanciones.

En lo que tiene que ver con el principio de legalidad, la doctrina ha indicado que su finalidad es garantizar la libertad de los titulares y controlar la arbitrariedad judicial y administrativa mediante el señalamiento legal previo de las penas o sanciones aplicables. Y aunque la doctrina y la jurisprudencia han reconocido que el derecho administrativo sancionador no tiene la misma rigurosidad exigible en materia penal, aun así, el comportamiento sancionable debe estar precisado inequívocamente, como también la sanción correspondiente, a fin de garantizar el derecho al debido proceso5.

Respecto al principio de tipicidad , el legislador está obligado a describir la conducta o comportamiento que se considera ilegal o ilícito en la forma más clara posible, de modo que no quede duda alguna sobre el acto, el hecho, la omisión o la prohibición que da lugar a sanción, e igualmen te debe predeterminar la sanción indicando todos aquellos aspectos relativos a ella, esto es, la clase, el término, la cuantía, o el mínimo y el máximo dentro del cual ella

3 La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la

es, la clase, el término, la cuantía, o el mínimo y el máximo dentro del cual ella

3 La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en le yes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA. Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 4 Efectivamente, el artículo 29 de la Constitución Política, establece que el “debido proceso” se aplicará a toda clase de actuaciones judiciales y administrativas, así mismo indica que “nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio”, aspectos que se materializan en los principios de legalidad y tipicidad. 5 Restrepo Medina, MANUEL ALBERTO. Nieto Rodríguez MARÍA ANGELICA. El Derecho Administrativo Sancionador en Colombia. Editorial Universidad del Rosario. Legis. Bogotá Colombia Primera Edición 2017.RESOLUCIÓN NÚMERO 32736 DE 2026

“Por la cual se resuelve un recurso de apelación ”

Página 8 de 12

puede fijarse, la autoridad competente para imponerla y el procedimiento que ha de seguirse para su imposición.

En materia de protección de datos personales, esa potestad se concreta en el

Página 8 de 12

puede fijarse, la autoridad competente para imponerla y el procedimiento que ha de seguirse para su imposición.

En materia de protección de datos personales, esa potestad se concreta en el artículo 22 de la Ley 1581 de 2012, el cual establece que, para la imposición de una sanción, deberá determinarse que hubo una vulneración efectiva a las disposiciones descritas en la citada Ley.

Mediante Sentencia C–748 del 6 de octubre de 2011, la Corte Constitucional al estudiar la constitucionalidad del artículo 22 antes mencionado, manifestó:

“Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción285. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competen te para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar286. (v) La independencia de la sanción penal;

autoridad competen te para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar286. (v) La independencia de la sanción penal; esto significa que la sanci ón se