SIC - Resolucion RE3870-2026 de 2025

Página 1 de 9

RESOLUCIÓN NÚMERO ________3870_________ DE 2026

( 21 de enero 2026)

Por la cual se resuelve un recurso de apelación

Radicación 22-482908

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial, las conferidas en los artículos 19 y 21 de la Ley 1581 de 2012 y en el numeral 8, del artículo 16, del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO:

PRIMERO. Que, mediante Oficio radicado con el número 22-482908-00 del 6 de diciembre de 2022, el Oficial de Transparencia del Ministerio de Comercio Industria y Turismo remitió a esta Superintendencia la queja presentada por la señora xxxxx xxxxxxxx xxxxxx xxxxxxxx en contra del Banco Davivienda S.A., (en adelante Davivienda o el Banco) por la presunta vulneración a su derecho fundamental de habeas data, toda vez que un empleado de l Banco entregó a su padre información relacionada con un producto de crédito a su nombre sin tener la autorización para ello.

SEGUNDO. Que la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante Resolución No. 24068 del 14 de mayo de 2024, abrió una investigación administrativa y formuló un único cargo en contra de Davivienda, por la presunta vulneración de lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

en contra de Davivienda, por la presunta vulneración de lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

La Dirección, luego de realizar un análisis de las pruebas allegadas, concluyó en el citado acto administrativo que Davivienda, “desatendió el deber que le asiste de conservar la información con las medidas técnicas, humanas y administrativas de seguridad para garantizar que terceros no autorizados por su titular, pudieran acceder a esta (…)”

TERCERO. Que mediante los escritos con radicados No. 22-482908-30 y 22482908-31 del 14 de junio de 2024, Davivienda presentó los Descargos, a saber:

3.1. El funcionario incumplió con sus obligaciones contractuales, así como con los lineamientos otorgados por Davivienda para la confidencialidad y seguridad de la información de la Titular.

3.2. Davivienda actuó de forma diligente, no sólo estableciendo obligaciones contractuales claras, sino proporcionando todos los instrumentos, herramientas y capacitaciones necesarias para que el trabajador actuara acorde a derecho. Lo anterior como parte de un Programa Integral de Protección de Datos Personales activo y comprometido con el continuo refuerzo de la cultura de datos personales en la organización y frente a la seguridad de la información, la implementación de medidas técnicas, humanas y administrativas con miras a evitar eventos de uso, consulta no autorizada, adulteración, pérdida o destrucción de la información.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO _________3870________ DE 2026

“Por la cual se resuelve un recurso de apelación” Página 2 de 9

información.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO _________3870________ DE 2026

“Por la cual se resuelve un recurso de apelación” Página 2 de 9

3.3. A pesar de lo anterior, el funcionario actuó en contravención de todas sus obligaciones y de los Manuales y procedimientos que conocía, razón por la cual, Davivienda decidió, en primera instancia, sancionarlo con la suspensión de su contrato laboral y a la postre desvincularlo de la organización.

3.4. Esta situación se derivó de una situación extraordinaria correspondiente a una actuación intencional en razón a su vínculo de amistad con el señor xxxxxx xxxxxx y que vulneró la expectativa de Davivienda frente al profesionalismo que se espera, de manera razonable, de un funcionario que llevaba más de 22 años vinculado a la organización.

CUARTO. Que la Dirección determinó que no es suficiente que un establecimiento del tamaño empresarial como el que posee el Banco Davivienda limite su responsabilidad frente al tratamiento de datos personales de sus más de 130.000 clientes a la expedición de documentos en donde se establezcan los compromisos que recaen sobre sus trabajadores. Puesto que, dado el caudal y naturaleza de la información que administra en calidad de Responsable le es exigible un nivel de diligencia mayor , que se traduzca en acciones eficaces, verbigracia, la implementación de controles de seguridad que limiten el acceso a la información de un titular en tanto se verifique la concurrencia de los requisitos para que sea conocida solamente por él o por quienes este hubiere expresamente autorizado, de manera que no quede a merced del funcionario de turno la decisión de cumplir o no los lineamientos organizacionales y con ello

requisitos para que sea conocida solamente por él o por quienes este hubiere expresamente autorizado, de manera que no quede a merced del funcionario de turno la decisión de cumplir o no los lineamientos organizacionales y con ello garantizar la estricta confidencialidad de los datos personales, tal como sucedió en el caso sub examine.

La Dirección consideró además que los sistemas de información con los que cuenta el Banco Davivienda no le permiten identificar o percatarse a tiempo de las fallas relacionadas con el acceso a la información de sus clientes efectuado por terceros sin autorización del titular de los datos. Esto se colige, a partir de lo expuesto en los descargos , cuando se informa al Despacho que fue con ocasión de la queja interpuesta por la señora XXXXX XXXXXXXX XXXXXX XXXXXXXX ante la defensoría del consumidor financiero y el Banco que este último emprendió acciones tendientes a establecer las circunstancias en que se presentó el incidente. Por lo que, mediante Resolución No. 47347 del 18 de julio de 2025, resolvió:

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad BANCO DAVIVIENDA S.A. identificada con Nit 860.034.313 -7 de DOSCIENTOS (200) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTITRÉS MIL DOSCIENTOS (23.200) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SESENTA Y OCHO MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400).26, por la vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en

MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400).26, por la vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.”.

ARTÍCULO 2: ORDENAR a la sociedad BANCO DAVIVIENDA S.A. identificada con Nit 860.034.313-7 implementar medidas técnicas efectivas que le permitan ejercer un monitoreo y control permanentes para garantizar que la información financiera de sus clientes solo sea accedida por los terceros que se encuentren debidam ente autorizados por su respectivo titular.

La presente orden deberá ser cumplida por la sociedad BANCO DAVIVIENDA S.A., dentro del término de sesenta (60) días hábiles, siguientes a la ejecutoria de la presente decisión.

Parágrafo: La sociedad BANCO DAVIVIENDA S.A. identificada con el Nit. 860.034.313-7 deberá acreditar el cumplimiento de lo ordenado ante esta Superintendencia, dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

QUINTO. Que Davivienda a través de su representante legal (en adelante, también, la recurrente), mediante el escrito con radicado No. 22-482908-47 del 12 de agosto de 2025 , interpuso recurso de reposición y en subsidio deRESOLUCIÓN NÚMERO _________3870________ DE 2026

“Por la cual se resuelve un recurso de apelación” Página 3 de 9

12 de agosto de 2025 , interpuso recurso de reposición y en subsidio deRESOLUCIÓN NÚMERO _________3870________ DE 2026

“Por la cual se resuelve un recurso de apelación” Página 3 de 9

apelación1 contra la Resolución No. 47347 del 18 de julio de 2025 , cuyos argumentos son los siguientes:

5.1. Existencia de medidas de responsabilidad demostrada por parte de Davivienda.

Indica la recurrente que en el transcurso de la actuación administrativa logró demostrar que cuenta y “contaba” para el momento de los hechos con un Programa Integral de Gestión de Datos Personales que socializa con sus trabajadores y sobre los cuales el exfuncionario manifestó conocer su contenido.

Indica que, en cumplimiento del deber de previsión, Davivienda implementó las siguientes acciones, que reflejan un compromiso serio con la cultura de protección de datos:

1 La Resolución No. 47347 del 18 de julio de 2025 fue notificada por aviso al Banco Davivienda el 29 de julio de 2025.RESOLUCIÓN NÚMERO _________3870________ DE 2026

“Por la cual se resuelve un recurso de apelación” Página 4 de 9

En primer lugar , la compañía informó de manera clara y suficiente al exfuncionario sobre su deber de confidencialidad, la obligación de preservar la reserva bancaria y las responsabilidades en materia de seguridad de la información. Estas obligaciones fueron formalizadas contractualmente a través del Otrosí al contrato de trabajo suscrito en el año 1999.

Sostiene la recurrente que conforme la naturaleza de las funciones del

reserva bancaria y las responsabilidades en materia de seguridad de la información. Estas obligaciones fueron formalizadas contractualmente a través del Otrosí al contrato de trabajo suscrito en el año 1999.

Sostiene la recurrente que conforme la naturaleza de las funciones del exfuncionario, le reiteró : (i) la importancia crítica de la información a la que tendría acceso debido a su cargo (ii) la información es de los clientes y como tal no puede ser utilizada sin contar con la autorización previa para ello, (iii) el deber de la reserva bancaria (iv) las consecuencias jurídicas y disciplinarias que conllevan el incumplimiento.

Señala la recurrente que el exfuncionario aceptó expresamente su obligación de confidencialidad, comprometiéndose a: (i) mantener la información e n estricta reserva (ii) abstenerse de usar, compartir, aplicar o explotar la información para beneficio personal o de terceros; (iii) impedir el acceso de terceros no autorizados a dicha información y(iv) Devolver cualquier soporte o fuente de información al momento de finalizar su vínculo laboral.

En segundo lugar, tal como lo reconoció el exfuncionar io en la diligencia de descargos, los lineamientos de Davivienda eran claros en establecer que, previo a realizar la consulta de información personal de un cliente, era obligatorio (i) verificar que quien solicita la información sea el Titular o quien la solicite tenga la respectiva autorización , (ii) verificación del documento de identidad correspondiente (iii) realizar la validación biométrica y (iv) verificar la firma frente al sistema para confirmar su autenticidad.

Las anteriores medidas, señala la recurrente, evidencia n que no solo adoptó políticas generales, sino controles específicos y verificables en los puntos críticos

frente al sistema para confirmar su autenticidad.

Las anteriores medidas, señala la recurrente, evidencia n que no solo adoptó políticas generales, sino controles específicos y verificables en los puntos críticos del tratamiento de datos personales, como lo es el acceso a la información de los titulares.

Considera la recurrente que la interpretación hecha por la Dirección resulta problemática por al menos 2 razones:

Primero, porque parte de la premisa contraria a la lógica misma de los procedimientos administrativos sancionatorios en materia de protección de datos personales. Es decir, el hecho de que se adelante una actuación sancionatoria supone, por definición, que se ha presentado una eventual falla o vulneración. No obstante, ello no desvirtúa automáticamente la existencia de un programa de cumplimiento serio, estructurado y funcional que, aunque no haya evitado la materialización del riesgo, sí evidencia una gestión diligente por parte del Responsable.

Segundo, porque una interpretación que exija resultados perfectos e inmunes a cualquier incidente (materialización de un riesgo) convierte el estándar de cumplimiento en un ideal inalcanzable. Concluye la recurrente este aspecto del recurso, indicando que se parte del supuesto de que los riesgos existen, s on inherentes al tratamiento de datos personales, y en ciertos casos pueden materializarse, incluso con medidas razonables de control.

Reconoce la recurrente el mérito de la entidad para sancionar el incumplimiento de sus obligaciones legales. No controvierte la potestad sancionatoria del Estado ni la existencia de un hecho que da lugar a la actuación administrativa. Lo que sí controvierte, es que la posibilidad de reducir la sanción impuesta, como

de sus obligaciones legales. No controvierte la potestad sancionatoria del Estado ni la existencia de un hecho que da lugar a la actuación administrativa. Lo que sí controvierte, es que la posibilidad de reducir la sanción impuesta, como consecuencia de la verificación del principio de responsabilidad demostrada, haya sido descartada con base en una lógica que exige una eficacia absoluta de las medidas adoptadas. Esta interpretación, afirma, desnaturaliza el objetivo del régimen de responsabilidad demostrada, pues este no exige perfección, sino evidencia verificable de diligencia, proporcionalidad y mejora continua.RESOLUCIÓN NÚMERO _________3870________ DE 2026

“Por la cual se resuelve un recurso de apelación” Página 5 de 9

5.2. De los reparos por parte de la Dirección de Investigaciones de Protección de Datos Personales al Programa Integral de Datos de Davivienda.

Indica la recurrente que las medidas administrativas y humanas relacionadas con la protección de datos personales establecidos en el Reglamento Interno de Trabajo como el Código de Ética , no fueron valoradas ni consideradas para efectos de aplicar el principio de responsabilidad demostrada, a pesar de que constituyen parte integral del marco normativo adoptado por la entidad para garantizar el cumplimiento de sus obligaciones legales en esta materia.

SEXTO. Que la Dirección, mediante Resolución No. 107867 del 19 de diciembre de 2025, resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 47347 del 18 de julio de 2025.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, d e conformidad con lo

Resolución No. 47347 del 18 de julio de 2025.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, d e conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 092 de 2022).

7.1. Respecto de la existencia de medidas de responsabilidad demostrada por parte del Banco Davivienda y la solicitud de la reducción de la sanción.

El artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, dispone que “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto…”.

Sobre este particular, la Corte Constitucional mediante la sentencia C -32 de 2021 reconoció la existencia -validez del principio de responsabilidad demostrada en los siguientes términos:

“219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic). El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han impl ementado medidas apropiadas y

tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han impl ementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas. Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal. Con este fin, los responsables deben informar a la SIC acerca de los procedimien tos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporciona l a la estructura y tamaño empresarial del responsable; (ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, resp ecto de cualquier aspecto del tratamiento de datos personales.

El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”2 (negritas fuera de texto)

para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”2 (negritas fuera de texto)

Asimismo, el artículo 2.2.25.6.2, del Decreto 1074 de 2015, dispone:

2 Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021. M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htmRESOLUCIÓN NÚMERO _________3870________ DE 2026

“Por la cual se resuelve un recurso de apelación” Página 6 de 9

“ARTÍCULO 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2. 25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar:

1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo.

2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación.

3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.

incluyendo herramientas de implementación, entrenamiento y programas de educación.

3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.

La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

De acuerdo con lo expuesto por la recurrente, a pesar de contar con un “programa de cumplimiento serio, estructurado y funcional que, aunque no haya evitado la materialización del riesgo, sí evidencia una gestión diligente por parte del Responsable”, reprocha que no se opte por reducir la sanción impuesta como consecuencia de la verificación del principio de responsabilidad demostrada, pues éste no exige perfección, sino evidencia verificable de diligencia, proporcionalidad y mejora continua.

Las disposiciones del Decreto 1074 de 2015, inicialmente contenidas en el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2012, deben interpretarse en concordancia, precisamente, con las normas que buscaron reglamentar. Esto es, con las normas pertinentes de la Ley 1581 de 2012.

La Ley 1581 de 2012, no menciona el principio de responsabilidad demostrada. Aunque semejante expresión no fue reconocida explícitamente en su articulado, el mismo puede inferirse como un principio implícito, a partir de las disposiciones relacionadas con el principio de seguridad, reconocido en el literal g), del artículo

Aunque semejante expresión no fue reconocida explícitamente en su articulado, el mismo puede inferirse como un principio implícito, a partir de las disposiciones relacionadas con el principio de seguridad, reconocido en el literal g), del artículo 4, y con los deberes , precisamente, de conservar la información bajo condiciones de seguridad, de que trata el literal d), o de “contar con manuales internos de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley ”, contenido en el literal k ), ambos, del artículo 17. Todo ello, claro está, sin perjuicio de reconocer que el principio de responsabilidad demostrada ha sido reconocido también, por la Jurisprudencia de la Corte Constitucional, en los casos de las Sentencias C-032 de 2021, como ya se mencionó, y T-360 de 2022 y, explícitamente, en el artículo 12 de la Ley 2157 de 2021 que modificó la Ley Estatutaria 1266 de 2008.

No obstante, en la Ley 1581 de 2012, a diferencia de lo que sucede con el principio de responsabilidad demostrada, sí hay mención explícita a los criterios para, parafraseando lo dicho por la recurrente, “incidir en la determinación de la sanción”. Estos criter ios, fueron fijados por el legislador en el artículo 24, precisamente con el cabezote “criterios para graduar las sanciones”, así:

Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables:

a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley;

que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables:

a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley;

b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción;

c) La reincidencia en la comisión de la infracción;RESOLUCIÓN NÚMERO _________3870________ DE 2026

“Por la cual se resuelve un recurso de apelación” Página 7 de 9

d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio;

e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio;

f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

Ahora, siguiendo el principio de estricta tipicidad, la Superintendencia de Industria y Comercio no tiene competencia para incluir criterios adicionales, para graduar las sanciones, en ninguno de los dos sentidos, ni para agravarlas, ni para atenuarlas.

Si esto es así, entonces ¿cómo interpretar el inciso final del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, que dispone que “la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones”, y que la recurrente invoca en su escrito de impugnación?

específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones”, y que la recurrente invoca en su escrito de impugnación?

La alternativa interpretativa que advierte esta Delegatura como más plausible es que dicha verificación debe ser “tenida en cuenta” por esta Superintendencia para decidir si se impone o no una sanción, y si se decide imponer una sanción, para evaluar qué tipo de sanción se impone dentro de las que prevé el artículo 23 de la Ley 1581 de 2012 (multa, suspensión de actividades, cierre temporal o cierre inmediato y definitivo).

Esta no es una norma que habilite a la Dirección de Investigaciones o a esta Delegatura para graduar las sanciones pecuniarias, ya a la baja, ya al alta. Pues esos criterios, como ya lo precisamos, fueron decididos por el Legislador y a ello debe atenerse la Superintendencia en relación con el ejercicio de sus facultades sancionatorias.

En este contexto, esta Delegatura no puede acoger el argumento de la Recurrente que cuestiona la decisión de instancia por haber supuestamente descartado la aplicación del princ ipio de responsabilidad demostrada para “reducir la sanción impuesta... como consecuencia de la verificación del principio de responsabilidad demostrada”. No es esa la lógica la que guio la imposición de la sanción, ni con la cual se puede , con apego al derecho , caracterizar el análisis efectuado respecto de los criterios para su graduación en la Resolución ahora bajo examen . Y no lo es, y no lo podría ser, porque una valoración semejante no es posible dentro del marco jurídico actual, en el que, como ya se

análisis efectuado respecto de los criterios para su graduación en la Resolución ahora bajo examen . Y no lo es, y no lo podría ser, porque una valoración semejante no es posible dentro del marco jurídico actual, en el que, como ya se explicó, no figura la responsabilidad demostrada dentro de los criterios de graduación de las sanciones, y en el que, por el principio de estricta tipicidad, no podía, ni puede esta Superintendencia así valorarlo.

Dicho esto, esta Delegatura quiere hacer claridad en que, de lo que se advierte en el texto de la Resolución ahora impugnada y en general en el expediente administrativo íntegro, la imposición de la sanción en la presente actuación administrativa no desconoce ni el compromiso ético de Davivienda con el respeto y la protección de los datos personales de sus clientes, ni mucho menos las medidas para la gestión de la información personal que el Banco Davivienda tiene adoptadas en términos generales. La imposición de la sanción r esponde eso sí, y de forma exclusiva, al incumplimiento puntual de un deber legal.

Finalmente, no quiere esta Delegatura dejar de resaltar que la sanción impuesta se enmarca en los límites establecidos en la Ley. La misma se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales vigentes, establecido en el artículo 23 de la Ley 1581 de 2012 y equivale al 10% del umbral máximo permitido. Tampoco quiere esta Delegatura dejar de resaltar que, en su imposición, la Dirección valoró las causales de agravación y de atenuación establecidas en el artículo 24 de la Ley 1581 de 2012, ya mencionado, así como

permitido. Tampoco quiere esta Delegatura dejar de resaltar que, en su imposición, la Dirección valoró las causales de agravación y de atenuación establecidas en el artículo 24 de la Ley 1581 de 2012, ya mencionado, así como el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general,RESOLUCIÓN NÚMERO _________3870________ DE 2026

“Por la cual se resuelve un recurso de apelación” Página 8 de 9

su información financiera, y demás aspectos jurídicos y fácticos relevantes. De tal forma que la misma se enmarca en el ejercicio de la discrecionalidad limitada por parámetros legales propia de la administración pública , no tiene carácter confiscatorio, es proporcional y está acorde con la capacidad económica de l Banco Davivienda.

7.2. Respecto de los reparos realizados por la Dirección frente al Programa Integral de Protección de Datos de Davivienda.

Frente a las observaciones hechas por la Dirección en la Resolución que se revisa, relacionados con el Programa Integral de Protección de Datos Personales, con especial énfasis en (i) Manual de Protección de Datos Personale s, (ii) la política de Tratamiento de la Información (iii) el Manual de Seguridad de la Información y Ciberseguridad (iv) las capacitaciones impartidas al exfuncionario involucrado en la presente actuación administrativa, esta Delegatura concuerda con el análisis probatorio realizado por la Dirección tanto en el acto administrativo que se revisa, como en el que resolvió el recurso de reposición.

En relación con las Políticas de Tratamiento esta Delegatura coincide con la Dirección en que el objeto de reproche no se centra en la mera inclusión de las

administrativo que se revisa, como en el que resolvió el recurso de reposición.

En relación con las Políticas de Tratamiento esta Delegatura coincide con la Dirección en que el objeto de reproche no se centra en la mera inclusión de las disposiciones legales relacionadas con el principio de seguridad, sino en que las políticas no incluyesen “procedimientos ajustados a las necesidades propias de la organización, esto es, “que no se articulen los principios normativos con los procesos internos” de la organización.

Una situación similar, ocurre en relación con el manual de seguridad de la información en el que se evidencia la ausencia de “ controles técnicos ” para impedir que terceros no autorizados accedan a la información, o de “protocolos de acceso ” que efectivamente garantice n que los