SIC - Resolucion RE47342-2025 de 2025

Página 1 de 31

RESOLUCIÓN NÚMERO 47342 DE 2025

(18 de julio de 2025)

“Por la cual se impone una sanción administrativa”

Radicación 24-395529

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que en la Resolución N.° 79343 del 15 de diciembre 2023, expedida por la Dirección de Habeas Data, se ordenó lo siguiente:

“ARTÍCULO 3. Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección para que determine si hay mérito o no para iniciar una investigación administrativa de carácter sancionatorio, dirigida a establecer el posible incumplimiento de los deberes y principios regulados por la Ley 1582 (sic) de 2012 por parte del BANCO DAVIVIENDA S.A.”1

SEGUNDO: Que en la parte motiva de la Resolución N.° 79343 del 15 de diciembre 2023 , expedida por la Dirección de Habeas Data , se indicó lo

siguiente:

“Ahora bien, efectuada la valoración probatoria este Despacho encontró lo siguiente:

1. La Titular acreditó que el 27 de marzo de 2023, el BANCO DAVIVIENDA S.A

siguiente:

“Ahora bien, efectuada la valoración probatoria este Despacho encontró lo siguiente:

1. La Titular acreditó que el 27 de marzo de 2023, el BANCO DAVIVIENDA S.A sin autorización divulgó su correo personal xxxxxxxxxxxxxxxxxxxxx. con xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx..

2. El BANCO DAVIVIENDA S.A:

i Afirmó que la comunicación del 27 de marzo de 2023, fue enviada a la Titular en su calidad de representante legal de CREDIYES SAS y a todos los correos electrónicos encontrados en el repositorio asociados a la dicha sociedad y a su representante legal;

ii Acreditó mediante formato de vinculación del 7 de septiembre de 2021, que la Titular registró el correo electrónico xxxxxxxxxxxxxxxxxxxxx. y autorizó compartirlo con empresas del grupo Bolívar y aliados comerciales;

iii Acreditó mediante formato de actualización del 12 de abril de 2023, que la sociedad CREDIYES SAS registró el correo electrónico xxxxxxxxxxxxxxxxxxxxxx;

1 Expediente digital 23-144597. Resolución N.° 79343 del 15 de diciembre 2023. Folio 10.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 47342 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 31

iv Acreditó que dejó asociado el correo electrónico xxxxxxxxxxxxxxxxxxxxx. a los productos de la Titular como cliente persona natural y el correo electrónico xxxxxxxxxxxxxxxxxxxxXX a la empresa de CREDIYES SAS.

(…)

Página 2 de 31

iv Acreditó que dejó asociado el correo electrónico xxxxxxxxxxxxxxxxxxxxx. a los productos de la Titular como cliente persona natural y el correo electrónico xxxxxxxxxxxxxxxxxxxxXX a la empresa de CREDIYES SAS.

(…)

Por lo anterior, el BANCO DAVIVIENDA S.A preliminarmente incumplió con el deber establecido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el artículo 2.2.2.25.2.2. del Decreto 1074 de 2015, por compartir el dato personal de la Titular con terceros no autorizados.” 2

TERCERO: Que el 28 de marzo de 2023 la Titular XXXXx XXXXXXXXX XXXX XXXXXXX identificada con cédula de ciudadanía N.º XxxxxxxxxxxX, presentó denuncia radicada bajo el radicado No. 23-144597 contra la sociedad BANCO DAVIVIENDA S.A. con NIT. 860.034.313-7, por los siguientes hechos:

3.1. La Titular manifiesta que el 27 de marzo de 2023, el BANCO DAVIVIENDA S.A. divulgó sin autorización su correo electrónico personal xxxxxxxxxxxxxxxxxxxxx..

Al respecto, la Titular afirma que el BANCO DAVIVIENDA S.A. envió un correo electrónico donde requería a la sociedad CREDIYES S.A.S. la actualización de datos y soportes . No obstante, en el correo enviado además del correo de notificación judicial de la sociedad, se encontraban los siguientes correos electrónicos : xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxx..

además del correo de notificación judicial de la sociedad, se encontraban los siguientes correos electrónicos : xxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxx., xxxxxxxxxxxxxxxxxxxx. xxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxx..

3.2. Como pruebas, la Titular allegó los siguientes documentos:

• Derecho de petición dirigido al BANCO DAVIVIENDA S.A. de fecha de 27 de marzo de 20233. • Comunicado “Asunto: Actualización de datos y soportes ” de fecha de 27 de marzo de 20234, enviado por el BANCO DAVIVIENDA S.A. y dirigido a la sociedad CREDIYES SAS. • Respuesta brindada por la sociedad BANCO DAVIVIENDA S.A. al derecho de petición interpuesto por la Titular de fecha de 18 de abril de 20235. • Derecho de petición dirigido al BANCO DAVIVIENDA S.A. de fecha de 26 de abril de 20236.

CUARTO: Que, dentro de la actuación administrativa adelantada por la Dirección de Habeas Data , se recolectaron los elementos materiales de prueba que se

enlistan a continuación:

4.1. Memorando de Traslado de Expediente; en Expediente digital, consecutivo número 0, página 2, folios 1 a 2.

4.2. Denuncia presentada por la Titular XXXXx XXXXXXXXX XXXX XXXXXXX, de fecha 28 de marzo de 2023; en Expediente digital, consecutivo número 0, página 2, folios 3 a 8.

4.3. Oficio de s olicitud de explicaciones realizado a la sociedad BANCO DAVIVIENDA S.A. de fecha de 10 de abril de 2023; en Expediente digital, consecutivo número 0, página 2, folios 9 a 10.

4.3. Oficio de s olicitud de explicaciones realizado a la sociedad BANCO DAVIVIENDA S.A. de fecha de 10 de abril de 2023; en Expediente digital, consecutivo número 0, página 2, folios 9 a 10.

2 Expediente digital 23-144597. Resolución N.° 79343 del 15 de diciembre 2023. Folios 5 a 9. 3 Expediente digital. Consecutivo número 0. Página 2. Folios 4 a 5. 4 Expediente digital. Consecutivo número 0. Página 2. Folios 6 a 8. 5 Expediente digital. Consecutivo número 0. Página 2. Folio 12. 6 Expediente digital. Consecutivo número 0. Página 2. Folios 13 a 15.RESOLUCIÓN NÚMERO 47342 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 31

4.4. Complemento de información allegado por la Titular XXXXx XXXXXXXXX XXXX XXXXXXX, de fecha de 26 de abril de 2023; en Expediente digital, consecutivo número 0, página 2, folios 11 a 15.

4.5. Respuesta de la sociedad BANCO DAVIVIENDA S.A. al requerimiento realizado, de fecha de 28 de abril de 2023; en Expediente digital, consecutivo número 0, página 2, folios 16 a 76.

4.6. Resolución N.° 79343 del 15 de diciembre de 2023, en Expediente digital, consecutivo número 0, página 2, folios 77 a 87.

4.7. Certificación de notificaciones de la Resolución N.° 79343 del 15 de

consecutivo número 0, página 2, folios 77 a 87.

4.7. Certificación de notificaciones de la Resolución N.° 79343 del 15 de diciembre de 2023, expedida por la Secretaría General Ad -Hoc de la Superintendencia de Industria y Comercio ; en Expediente digital, consecutivo número 0, página 2, folio 88.

QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 27 de septiembre de 2024, se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 56950 por medio de la cual, se formuló cargos en contra de la sociedad BANCO DAVIVIENDA S.A., con Nit. 860.034.313-7, por la presunta infracción de lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

SEXTO: Que, la Resolución N.° 56950 del 27 de septiembre de 2024 le fue notificada mediante aviso N.° 23707 a la sociedad investigada , el 8 de octubre de 2024 , de conformidad con la certificación con número de radicado 24395529- -8 de fecha de 8 de octubre de 2024, expedida por la Secretaría General AD-HOC de esta Superintendencia.

SÉPTIMO: Que encontrándose dentro del término establecido para el efecto, la sociedad BANCO DAVIVIENDA S.A. allegó escrito de descargos bajo

AD-HOC de esta Superintendencia.

SÉPTIMO: Que encontrándose dentro del término establecido para el efecto, la sociedad BANCO DAVIVIENDA S.A. allegó escrito de descargos bajo consecutivos N.° 24-395529- -9 y 24-395529- -10 de fecha de 30 de octubre de 2024, argumentando, entre otras cosas, lo siguiente:

Primero, la sociedad respecto de los hechos denunciados por la Titular aclara que la Titular se encuentra vinculada al Banco Davivienda como cliente persona natural desde el 7 de septiembre de 2021. Adicionalmente, figura en las bases de datos de la entidad como representante legal de la empresa CrediYes S.A.S., conforme al formato de actualización de datos fechado el 12 de abril de 20237.

El 27 de marzo de 2023, a raíz de una alerta originada en el marco de la actividad financiera ordinaria de CrediYes S.A.S., el Banco, en cumplimiento de sus deberes legales y sin haber recibido actualización alguna por parte de la Titular a través de los canales dispuestos para tal efecto, le remitió al correo electrónico asociado un comunicado titulado “SO-69 Solicitud de Información y Actualización de Datos Cliente”. El propósito de dicha comunicación fue requerir la actualización y complementación de la información de la empresa, así como la entrega de documentos soporte e información adicional, todo ello en atención a la gestión de riesgos inherente a la actividad de las entidades vigiladas y de sus clientes.8

Segundo, la sociedad respecto al cargo imputado argumenta que la notificación dirigida al representante legal tuvo como finalidad la protección de intereses de orden público y la salvaguarda de la seguridad del sistema financiero. En ese

clientes.8

Segundo, la sociedad respecto al cargo imputado argumenta que la notificación dirigida al representante legal tuvo como finalidad la protección de intereses de orden público y la salvaguarda de la seguridad del sistema financiero. En ese contexto, se justifica que el Banco utilice los datos de contacto previamente suministrados a través de los formularios autorizados, a fin de verificar la información pertinente tanto con la sociedad como con las personas naturales

7 Expediente digital. Consecutivo número 9. Página 11. Folio 2. 8 Expediente digital. Consecutivo número 9. Página 11. Folio 2.RESOLUCIÓN NÚMERO 47342 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 31

que, en su calidad de representantes legales, pueden ser legítimamente contactadas para atender los requerimientos formulados.9

De igual forma, la sociedad establece que el deber de actualizar la información del cliente se deriva de la Circular Básica Jurídica Superintendencia Financiera de Colombia Parte I Título IV Capítulo IV 10, y hace hincapié en que el proceso de actualización puede suponer el uso de datos igualmente autorizados para fines paralelos en actividades en que los clientes pueden realizar desde distintos roles. Contexto que, sin duda, debe observarse bajo la necesidad de cumplimiento y de protección de un interés, como son los contextos de fraude, lavado de activos, corrupción u otros riesgos11.

Así, la sociedad solicita que se valoren las actuaciones del Banco Davivienda en el marco de su naturaleza como entidad del sector financiero, el cual está sujeto no solo a la normativa general en materia de protección de datos personales,

Así, la sociedad solicita que se valoren las actuaciones del Banco Davivienda en el marco de su naturaleza como entidad del sector financiero, el cual está sujeto no solo a la normativa general en materia de protección de datos personales, sino también a regula ciones especiales aplicables a dicha actividad. En particular, resalta que deben considerarse las disposiciones relativas a condiciones de seguridad, necesidades de consulta y finalidades del tratamiento, contenidas en normas especiales como la Circular Única de la Superintendencia Financiera de Colombia.12.

Tercero, la sociedad sostiene que no resulta aplicable el literal d) del artículo 17 de la Ley 1581 de 2012 al caso en cuestión, toda vez que el envío del correo electrónico referido se enmarca dentro de las obligaciones legales del Banco y responde a un interés pre valente, relacionado con la necesidad de ejecutar acciones especiales e inmediatas para mitigar riesgos.

En respaldo de lo anterior, se invoca la jurisprudencia de la Corte Constitucional, la cual ha exceptuado la aplicación estricta de dicha norma en escenarios orientados a la prevención, detección y monitoreo de actividades asociadas al lavado de activos, l a financiación del terrorismo y fraudes que puedan derivar en dichos delitos. Asimismo, se destaca que el cumplimiento de la normativa especial aplicable al sector financiero impone a entidades como Davivienda la obligación de generar comunicaciones y acti var protocolos destinados a la atención inmediata de este tipo de situaciones. 13

La sociedad resalta que, conforme a la Política de Tratamiento de Datos Personales de Davivienda, puesta a disposición tanto de la titular como de CrediYes S.A.S., el tratamiento de los datos tiene como finalidades, entre

La sociedad resalta que, conforme a la Política de Tratamiento de Datos Personales de Davivienda, puesta a disposición tanto de la titular como de CrediYes S.A.S., el tratamiento de los datos tiene como finalidades, entre otras: la adecuada prestación de los servicios contratados; la consulta y verificación del comportamiento comercial, crediticio y financiero ante operadores de información autorizados por la Ley 1 266 de 2008; la evaluación de riesgos contractuales; la realización de estudios de mercado; y el desarrollo e implementación de herramientas para la prevención del fraude, prácticas corruptas y el monitoreo del comportamiento financiero14.

Cuarto, la sociedad argumenta que e l correo electrónico es un dato de naturaleza semiprivada, cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas -por ejemplo, al Banco Davivienda. En ese sentido, la sociedad recalca que en el presente caso es un dato que está directamente relacionado con la vinculación a l os productos personales que la Titular tiene con Davivienda y, necesariamente, con aquellos que la Titular adquiera para las Compañías respecto de las cuales actúe en calidad de Representante Legal15.

9 Expediente digital. Consecutivo número 9. Página 11. Folio 6. 10 Expediente digital. Consecutivo número 9. Página 11. Folios 6 a 7. 11 Expediente digital. Consecutivo número 9. Página 11. Folio 7. 12 Expediente digital. Consecutivo número 9. Página 11. Folio 8. 13 Expediente digital. Consecutivo número 9. Página 11. Folio 9. 14 Expediente digital. Consecutivo número 9. Página 11. Folios 11 a 12.

12 Expediente digital. Consecutivo número 9. Página 11. Folio 8. 13 Expediente digital. Consecutivo número 9. Página 11. Folio 9. 14 Expediente digital. Consecutivo número 9. Página 11. Folios 11 a 12. 15 Expediente digital. Consecutivo número 9. Página 11. Folios 11 a 13.RESOLUCIÓN NÚMERO 47342 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 31

Quinto, la sociedad destaca que cuenta con un Programa Integral de Protección de Datos Personales, el cual constituye la base para el tratamiento de datos dentro de la organización. Este programa incluye un Manual de Protección de Datos Personales, una Política de Tratamiento de Dat os Personales, así como diversas políticas y procedimientos orientados a garantizar la seguridad en la gestión de los activos de información y a prevenir posibles vulneraciones.

Asimismo, indica que dicho programa se encuentra alineado con las directrices establecidas en el Código de Ética del Grupo Bolívar, lo cual refuerza su enfoque preventivo en materia de seguridad y permite atender adecuadamente situaciones que involucren intereses superiores, como la prevención del fraude y el lavado de activos. 16

Sexto, la sociedad manifiesta que, ante la detección de una alerta por actividades inusuales relacionadas con la empresa CREDIYES S.A.S. , se procedió a remitir la información pertinente a los correos electrónicos asociados a la compañía y, de manera excepcional, a aquellos vinculados directamente con su representante legal, en atención a la urgencia del caso.

Sostiene, además, que el envío del correo no generó un impacto significativo ni

a la compañía y, de manera excepcional, a aquellos vinculados directamente con su representante legal, en atención a la urgencia del caso.

Sostiene, además, que el envío del correo no generó un impacto significativo ni desproporcionado sobre la Titular, dado que los destinatarios del mensaje ya conocían la dirección electrónica utilizada y el contenido del mensaje se limitaba a un formulario de naturaleza empresarial, sin incluir datos personales sensibles que pudieran afectar los derechos de la Titular. 17

Por último, la sociedad solicita que se ordene el archivo de la investigación iniciada mediante la Resolución N.° 56950 del 27 de septiembre de 2024, adelantada en contra del Banco Davivienda S.A. 18 Subsidiariamente, pide que se valoren las medidas de debida diligencia adoptadas por la entidad, así como la aplicación del principio de responsabilidad demostrada (Accountability), evidenciadas tanto en la atención oportuna a la Titular como en la implementación de un Programa Integral de Protección de Datos Personales conforme con la normativa vigente y la naturaleza de sus operaciones19.

Adicionalmente, solicita que se tenga en cuenta el tipo de información compartida, la ausencia de un daño irreparable a la Titular, y que, en lugar de una sanción, se evalúe la posibilidad de impartir instrucciones al Banco encaminadas a fortalecer su programa de gestión de datos personales20.

OCTAVO: Que mediante Resolución N.º 76476 de 4 de diciembre de 2024, ésta Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 24-395529, con el valor legal correspondiente:

8.1. Memorando de traslado; obrante en el expediente digital, consecutivo

Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 24-395529, con el valor legal correspondiente:

8.1. Memorando de traslado; obrante en el expediente digital, consecutivo número 0, página 2, folios 1 a 2.

8.2. Denuncia presentada por la Titular el día 28 de marzo de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folio 3; donde se aportan los siguientes anexos:

8.2.1. Escrito de la denuncia; obrante en el expediente digital, consecutivo número 0, página 2, folios 4 a 5.

8.2.2. Comunicación dirigida a la sociedad CREDIYES S.A.S. enviada el 27 de marzo de 2023 por la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 0, página 2, folios 6 a 8.

16 Expediente digital. Consecutivo número 9. Página 11. Folios 13 a 15. 17 Expediente digital. Consecutivo número 9. Página 11. Folio 16 a 17. 18 Expediente digital. Consecutivo número 9. Página 11. Folio 19. 19 Expediente digital. Consecutivo número 9. Página 11. Folios 11 a 13. 20 Expediente digital. Consecutivo número 9. Página 11. Folios 11 a 13.RESOLUCIÓN NÚMERO 47342 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 31

8.3. Solicitud de explicaciones realizada el 10 de abril de 2023 a la sociedad

“Por la cual se impone una sanción administrativa”

Página 6 de 31

8.3. Solicitud de explicaciones realizada el 10 de abril de 2023 a la sociedad BANCO DAVIVIENDA S.A. ; obrante en el expediente digital, consecutivo número 0, página 2, folios 9 a 10.

8.4. Complemento de información remitido por la titular el 26 de abril de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folio 11; donde se aportan los siguientes anexos:

8.4.1. Respuesta brindada por la sociedad BANCO DAVIVIENDA S.A. a la Titular de fecha de 18 de abril de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folio 12.

8.4.2. Reclamación interpuesta por la Titular ante la sociedad BANCO DAVIVIENDA S.A. de fecha de 26 de abril de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folios 13 a 15.

8.5. Respuesta otorgada por la sociedad BANCO DAVIVIENDA S.A. el 28 de abril de 2023 a la solicitud de explicaciones; obrante en el expediente digital, consecutivo número 0, página 2, folio 16, donde se aportan los siguientes anexos:

8.5.1. Escrito de respuesta a la solicitud de explicaciones; obrante en el expediente digital, consecutivo número 0, página 2, folios 17 a 27.

8.5.2. Formato NIC “Nos interesa conocerlo” (Persona natural) diligenciado

expediente digital, consecutivo número 0, página 2, folios 17 a 27.

8.5.2. Formato NIC “Nos interesa conocerlo” (Persona natural) diligenciado el 7 de septiembre de 2021; obrante en el expediente digital, consecutivo número 0, página 2, folios 28 a 30.

8.5.3. Formato de actualización de datos (Persona Jurídica) diligenciado 12 de abril 2023; obrante en el expediente digital, consecutivo número 0, página 2, folios 31 a 36.

8.5.4. Formato de vinculación inicial de la sociedad CREDIYES S.A.S.; obrante en el expediente digital, consecutivo número 0, página 2, folio 37 a 41.

8.5.5. Certificado de existencia y representación legal de la sociedad CREDIYES S.A.S. obrante en el expediente digital, consecutivo número 0, página 2, folios 42 a 47.

8.5.6. Soporte del aplicativo 360 clientes Davivienda de la reclamación presentada por la Titular el 11 de abril de 2023; obrante en el expediente digital, consecutivo número 0, página 2, folio 48.

8.5.7. Soporte de la respuesta brindada a la Titular el 18 de abril respecto de una reclamación interpuesta; obrante en el expediente digital, consecutivo número 0, página 2, folios 49 a 50.

8.5.8. Loc de eliminación y actualización del correo electrónico xxxxxxxxxxxxxxxxxxxxx.; obrante en el expediente digital, consecutivo número 0, página 2, folio 51.

8.5.9. Loc de eliminación y actualización del correo electrónico

8.5.8. Loc de eliminación y actualización del correo electrónico xxxxxxxxxxxxxxxxxxxxx.; obrante en el expediente digital, consecutivo número 0, página 2, folio 51.

8.5.9. Loc de eliminación y actualización del correo electrónico xxxxxxxxxxxxxxxxxxxxXXXX; obrante en el expediente digital, consecutivo número 0, página 2, folio 52.

8.5.10. Política de Tratamiento de Datos Personales de la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 0, página 2, folios 53 a 76.

8.6. Resolución N.° 79343 de 15 de diciembre de 2023 “Por la cual se archiva una actuación administrativa ”, expedida dentro de la actuaciónRESOLUCIÓN NÚMERO 47342 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 31

adelantada por la Dirección de Hábeas Data; obrante en el expediente digital, consecutivo número 0, página 2, folios 77 a 87.

8.7. Certificación de notificación de la Resolución N.° 79343 de 15 de diciembre de 2023 emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio de fecha de 24 de enero de 2024; obrante en el expediente digital, consecutivo número 0, página 2, folio 88.

8.8. Escrito de descargos presentado por la sociedad BANCO DAVIVIENDA S.A. el 30 de octubre del 2024; obrante en el expediente digital, consecutivo número 9, donde se aportan los siguientes anexos:

8.8. Escrito de descargos presentado por la sociedad BANCO DAVIVIENDA S.A. el 30 de octubre del 2024; obrante en el expediente digital, consecutivo número 9, donde se aportan los siguientes anexos:

8.8.1. Certificado de existencia y representación legal de la sociedad BANCO DAVIVIENDA S.A. ; obrante en el expediente digital, consecutivo número 9, página 2.

8.8.2. Formato NIC “Nos interesa conocerlo” (Persona natural) diligenciado el 7 de septiembre de 2021; obrante en el expediente digital, consecutivo número 9, página 3.

8.8.3. Formato de actualización de datos (Persona Jurídica) diligenciado 12 de abril 2023; obrante en el expediente digital, consecutivo número 9, página 4.

8.8.4. Comunicación dirigida a la sociedad CREDIYES S.A.S. enviada el 27 de marzo de 2023 por la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 9, página 5.

8.8.5. Reclamación interpuesta por la Titular ante la sociedad BANCO DAVIVIENDA S.A. de fecha de 27 de marzo de 2023; obrante en el expediente digital, consecutivo número 9, página 6.

8.8.6. Reclamación interpuesta por la Titular ante la sociedad BANCO DAVIVIENDA S.A. de fecha de 26 de abril de 2023; obrante en el expediente digital, consecutivo número 9, página 7.

8.8.7. Política de Tratamiento de Datos Personales de la sociedad BANCO

DAVIVIENDA S.A. de fecha de 26 de abril de 2023; obrante en el expediente digital, consecutivo número 9, página 7.

8.8.7. Política de Tratamiento de Datos Personales de la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 9, página 8.

8.8.8. Código de Ética de la Familia Bolívar; obrante en el expediente digital, consecutivo número 9, página 9.

8.8.9. Manual de Protección de Datos Personales de la sociedad BANCO DAVIVIENDA S.A.; obrante en el expediente digital, consecutivo número 9, página 10.

8.8.10. Escrito de descargos; obrante en el expediente digital, consecutivo número 9, página 11

8.8.11. Estados financieros de la sociedad BANCO DAVIVIENDA S.A. de los años 2021, 2022, 2023; obrantes en el expediente digital, consecutivo número 10, páginas 2, 3, y 4.

NOVENO: Que, la Resolución N.º 76476 de 4 de diciembre de 2024 le fue comunicada el día 4 de diciembre de 2024 al Re presentante Legal de la investigada; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia , obrante en el expediente, bajo el radicado N.º 24-395529- -14 de fecha de 11 de diciembre de 2024.

DÉCIMO: Que el BANCO DAVIVIENDA S.A. presentó escrito alegatos de

N.º 24-395529- -14 de fecha de 11 de diciembre de 2024.

DÉCIMO: Que el BANCO DAVIVIENDA S.A. presentó escrito alegatos de conclusión mediante radicado N.° 24 -395529- -15, reiterando lo argumentado en su escrito de descargos.RESOLUCIÓN NÚMERO 47342 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 31

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y

Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso

12.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 21, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso

18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta la denuncia interpuesta por el Titular, el escrito de descargos presentados por la sociedad y el conjunto de pruebas obrantes en el expediente.

12.2 Valoración probatoria

12.2.1. Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento

Frente a este deber, el literal d) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente:

Ley 1581 de 2012

pérdida, consulta, uso o acceso no autorizado o fraudulento

Frente a este deber, el literal d) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente:

Ley 1581 de 2012

“Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

21 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 47342 DE 2025

“Por la cual se impone una sanción administrativa”

Página 9 de 31

(…).

d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…).

Así mismo,