SIC - Resolucion RE47347-2025 de 2025

Página 1 de 21

RESOLUCIÓN NÚMERO 47347 DE 2025

(18 de julio de 2025)

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Radicación 22-482908

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad BANCO DAVIVIENDA S.A., identificada con Nit 860.034.313-7 (la investigada), por lo que decidió iniciar investigación administrativa con base en los hechos advertidos en la denuncia interpuesta por la señora xxxxxxxxxxxxxxxxxxxxxxx.

De la comunicación recibida se extrajeron los siguientes supuestos fácticos:

1.1 “El señor xxxxxxxxxxx asesor de esta prestigiosa entidad, se prestó para entregar datos privados los cuales son de interés únicamente del banco y míos como titular del producto que tengo con tan prestigiosa entidad para los debidos trámites que yo como titular requiera realizar de manera presencial.

(…)

En el momento en que entregó información de mi crédito bancario al señor xxxxxxxxxxxxx, quien es padre mío, a quien NO le he otorgado ninguna

entidad para los debidos trámites que yo como titular requiera realizar de manera presencial.

(…)

En el momento en que entregó información de mi crédito bancario al señor xxxxxxxxxxxxx, quien es padre mío, a quien NO le he otorgado ninguna clase de autorización y/o poder amplio o específico por escrito o verbal, para tales efectos, los hechos se presentaron el día 10 Agosto (sic) de 2022 en las oficinas físicas de Davivienda donde está asignado el funcionario en relación.

Donde mi señor padre contactó al señor xxxxxxxxxxxx para solicitarle toda información referente a mis productos crediticios dentro de la entidad, en aras de tener de primera mano la información para poder realizar negocio de venta del inmueble, el cual esta (sic) a mi nombre con prenda en esta entidad”

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación:

2.1 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-6 del 14 de febrero de 2022. Versión PúblicaRESOLUCIÓN NÚMERO 47347 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 2 de 21

2.2. Respuesta al requerimiento de información remitida por la sociedad BANCO DAVIVIENDA S.A., radicada bajo los números 22-482908 consecutivos 7, 8, 9, 10 y 11 de los días 02 y 03 de marzo de 2022.

DAVIVIENDA S.A., radicada bajo los números 22-482908 consecutivos 7, 8, 9, 10 y 11 de los días 02 y 03 de marzo de 2022.

2.3 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, radicada bajo el número 22-482908-12 del 09 de agosto de 2023.

2.4 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-13 del 09 de agosto de 2023.

2.5 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, radicada bajo el número 22-482908-16 del 24 de octubre de 2023.

2.6 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-17 del 24 de octubre de 2023.

2.7 Respuesta al requerimiento de información entregada por la denunciante, bajo el radicado 22 - 48290820 del 25 de octubre de 2023. 2.8 Respuesta al requerimiento de información remitida por la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-21 del 09 de noviembre de 2023.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, mediante Resolución 24068 del 14 de mayo de 2024 se le formuló el cargo único a la sociedad BANCO DAVIVIENDA S.A. por la presunta contravención de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.

Que la mencionada resolución le fue notificada a EFRAÍN ENRIQUE FORERO FONSECA, en representación de la sociedad investigada, mediante Aviso 8084 del 2 3 de mayo del 2024 , según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia obrante bajo el radicado 22-482908-29 del 23 de mayo de 2024.

CUARTO: Que, la sociedad BANCO DAVIVIENDA S.A. , por medio de su representante legal presentó escrito de descargos , obrante bajo los radicados 22-482908 consecutivos 30 y 31 del 17 de junio de 2024, a través de los cuales

expresó, entre otras cosas, lo siguiente:

4.1. En primer lugar , manifiesta que “ (…) de acuerdo con lo indicado por el Despacho en la Resolución y, según las normas aplicables, le compete a Davivienda probar que actuó de manera diligente, estableciendo políticas y procedimientos adecuados, así como medidas de carácter técnico, humano y

Despacho en la Resolución y, según las normas aplicables, le compete a Davivienda probar que actuó de manera diligente, estableciendo políticas y procedimientos adecuados, así como medidas de carácter técnico, humano y administrativo, con el fin de propender por la seguridad de la información de los Titulares y que, la situación acontecida con la Titular, se debió a un acto de un funcionario puntual que, a pesar de contar con la deb ida capacitación e instrumentos a su disposición para asegurar el debido tratamiento y seguridad de los datos de la Titular, omitió sus obligaciones, pasando por alto los procedimientos establecidos por Davivienda (…)”

4.2 A continuación, detalla los antecedentes que dieron origen a la presente investigación administrativa de carácter sancionatorio, exponiendo que “ El día 10 de agosto de 2022 el funcionario xxxxxxxxxxxxxxxxxx, en adelante (el funcionario) identificado con cédula de ciudadanía xxxxxxxxxxxx, vinculado con Davivienda desde el año 1999 (se adjunta Contrato de trabajo como Anexo 2) y quien se desempeñaba como informador de la oficina Carrera 10 de la ciudad de Bogotá, atendió en las instalaciones de esta sucur sal al señor xxxxxxxxxxxx,RESOLUCIÓN NÚMERO 47347 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 3 de 21

padre de la Titular y a quien ya conocía de tiempo atrás, por haber sido compañeros de trabajo y haber desarrollado un vínculo de amistad.

El señor xxxxxxxxxxxxxxx solicitó al funcionario consultar el estado de un crédito hipotecario de su hija, la señora xxxxxxxxxxxxxxxxxxxxx (en adelante la

compañeros de trabajo y haber desarrollado un vínculo de amistad.

El señor xxxxxxxxxxxxxxx solicitó al funcionario consultar el estado de un crédito hipotecario de su hija, la señora xxxxxxxxxxxxxxxxxxxxx (en adelante la Titular), arguyendo que él, aunque no aparecía como titular del crédito, era quien realizaba el pago de las cuotas de este crédito.

En virtud del vínculo de amistad y la relación de confianza existente entre el funcionario y el señor xxxxxxxxxxxxxx, el funcionario procedió a realizar la consulta del estado de este crédito hipotecario de la Titular, omitiendo los procedimientos establecidos por Davivienda para la consulta de información de los clientes del Banco, el cual exigía la presencia de la Tit ular o el poder que autorizase a un tercero -en ese caso al señor xxxxxxxxxxxpara la respectiva consulta.

En consecuencia, el funcionario realizó un total de dos consultas a la información de la Titular, el día 10 de agosto de 2022 a las 13:43 y 15:02, esto a través del aplicativo Cliente 360 (…)

4.3. En virtud de lo descrito, expone que “Davivienda dio inicio a la investigación de lo sucedido e informa a la Titular del inicio de su actuación a través de las validaciones del caso con el fin de dar respuesta de fondo a su queja.

El día 22 de febrero de 2023 -como se verifica en el Informe de Auditoría Especial de Conductas Laborales, el exfuncionario es citado a través de la aplicación corporativa Meet para esclarecer lo ocurrido. En dicha reunión, manifiesta no recordar quién es la Titular, sin embargo, al ser preguntado si conoce al señor xxxxxxxxxx, indica que es un ex compañero del Banco y que la Titular del crédito

corporativa Meet para esclarecer lo ocurrido. En dicha reunión, manifiesta no recordar quién es la Titular, sin embargo, al ser preguntado si conoce al señor xxxxxxxxxx, indica que es un ex compañero del Banco y que la Titular del crédito es su hija. A su vez, manifiesta que no recuerda la consulta realizada el 10 de agosto de 2022, pero que es probable que se trate de una información por mora en un crédito que le solicitó el señor xxxxxxxxxxxxxxxxx en alguna oportunidad.

De acuerdo con lo indicado por el funcionario, a través de correo electrónico corporativo (incluido en el Informe de Auditoría Especial de Conductas Laborales que se anexa) se solicita al funcionario aportar el soporte de la autorización para la consulta otorgada por la Titular, sin embargo, el funcionario informa que no cuenta con el soporte que le permita justificar la consulta realizada”.

4.4 Frente a los cargos formulados por esta Dirección, expresa que “(…) Davivienda estableció desde el mismo momento del contrato laboral con el exfuncionario, las obligaciones relativas a la confidencialidad de la información de sus clientes y la responsabilidad del exfuncionario de evitar un acceso por terceros no autorizados y el funcionario tuvo la oportunidad de conocer desde el inicio de su vinculación, las obligaciones que se le asignaban frente a la información custodiada por Davivienda.

(…)

La consulta del exfuncionario y su entrega de información al señor xxxxxxxxx no fue consecuencia de la inexistencia de un procedimiento reglado para la atención de este tipo de solicitudes, por el contrario, fue un desconocimiento de los lineamientos que deben seguir los informadores, en este caso para la consulta del Aplicativo 360 de Davivienda.

(…)

atención de este tipo de solicitudes, por el contrario, fue un desconocimiento de los lineamientos que deben seguir los informadores, en este caso para la consulta del Aplicativo 360 de Davivienda.

(…)

Una vez explicadas las obligaciones del exfuncionario, las instrucciones entregadas por Davivienda a través de Políticas y Manuales, la existencia de un Programa Integral de Gestión de Datos y la sensibilización adelantada a través de diferentes sesiones d e capacitación al funcionario, es importante tener en cuenta un elemento unilateral que resultó determinante para la generación de los hechos que dan lugar a la presente investigación: en este caso, el acceso a la información de la Titular y su entrega al señor xxxxxxxxxxxxx, se debió a unaRESOLUCIÓN NÚMERO 47347 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 4 de 21

conducta puntual e individual, por fuera de todos los lineamientos de Davivienda, a través de la cual, el exfuncionario xxxxxxxxxxxxxxxxxx, motivado por una relación de amistad y confianza con el padre de la titular, ignoró las políticas, procedimientos, lineamientos y códigos de conducta de Davivienda y decidió consultar la información financiera de la Titular y hacer entrega de ella sin contar con la debida autorización y correspondiente validación de identidad”.

4.5. Concluye su escrito, asegurando que “Davivienda actuó de forma diligente, no sólo estableciendo obligaciones contractuales claras, sino proporcionando todos los instrumentos, herramientas y capacitaciones necesarias para que el trabajador actuara acorde a derecho. Lo anterior como parte de un Programa Integral de Protección de Datos Personales activo y comprometido con el

no sólo estableciendo obligaciones contractuales claras, sino proporcionando todos los instrumentos, herramientas y capacitaciones necesarias para que el trabajador actuara acorde a derecho. Lo anterior como parte de un Programa Integral de Protección de Datos Personales activo y comprometido con el continuo refuerzo de la cultura de datos personales en la organización y frente a la seguridad de la información, la implementación de medidas técnicas, humanas y administrat ivas con miras a evitar eventos de uso, consulta no autorizada, adulteración, pérdida o destrucción de la información”.

QUINTO Que mediante Resolución 35271 del 10 de junio de 202 5, este Despacho procedió a incorporar las pruebas obrantes en el expediente, declaró agotada la etapa probatoria y le corrió traslado a la sociedad BANCO DAVIVIENDA S.A. para que , de encontrarlo procedente, presentara los respectivos alegatos de conclusión.

Así las cosas, las pruebas incorporadas son las siguientes:

5.1 Pruebas recaudadas por esta Dirección:

5.1.1 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-6 del 14 de febrero de 2022.

5.1.2 Respuesta al requerimiento de información remitida por la sociedad BANCO DAVIVIENDA S.A. , radicada bajo los números 22 -482908 consecutivos 7, 8, 9, 10 y 11 de los días 02 y 03 de marzo de 2022.

5.1.3 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, radicada bajo el

5.1.3 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, radicada bajo el número 22-482908-12 del 09 de agosto de 2023.

5.1.4 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-13 del 09 de agosto de 2023.

5.1.5 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, radicada bajo el número 22-482908-16 del 24 de octubre de 2023.

5.1.6 Requerimiento de información enviado por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-482908-17 del 24 de octubre de 2023.

5.1.7 Respuesta al requerimiento de información entregada por la denunciante, bajo el radicado 2248990820 del 25 de octubre de 2023.

5.1.8 Respuesta al requerimiento de información remitida por la sociedad BANCO DAVIVIENDA S.A., radicada bajo el número 22-489908-21 del 09 de noviembre de 2023.

5.2 Pruebas aportadas por la sociedad investigada

5.2.1 Pruebas al interior del escrito de descargosRESOLUCIÓN NÚMERO 47347 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 5 de 21

5.2.1 Pruebas al interior del escrito de descargosRESOLUCIÓN NÚMERO 47347 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 5 de 21

5.2.1.1 Imagen de extracto del contrato del señor xxxxxxxxxxxxxx, obrante a folios 6 y 7.

5.2.1.2 Imagen tomada del Código de Ética de la sociedad investigada, obrante a folio 8.

5.2.1.3 Imagen descriptiva del modelo de protección de datos de la sociedad investigada, obrante a folio 10.

5.2.2 Pruebas aportadas junto con el escrito de descargos

5.2.2.1 Documento denominado xxxxxxxxxxxxxxxxxxx-CONTRATO LABORAL Y

CLÁUSULAS ADICIONALES.

5.2.2.2 Documento denominado “Informe de Auditoría Violación Reserva Bancaria”.

5.2.2.3 Documento denominado “Citación a diligencia de descargos”.

5.2.2.4 Documento denominado “Reglamento Interno de Trabajo”.

5.2.2.5 Documento denominado “Acta diligencia de descargos”.

4.2.2.6 Documento denominado “Suspensión Firmada xxxxxxxxxxxxxxx”

4.2.2.7 Documento denominado “Davivienda Código Disciplinario 2021”.

4.2.2.8 Copia de la Política de Tratamiento de Datos Personales del Banco Davivienda.

4.2.2.9 Copia del Manual de Protección de Datos Personales del Banco Davivienda.

4.2.2.10 Copia del Código de Ética del Grupo Bolívar.

Davivienda.

4.2.2.9 Copia del Manual de Protección de Datos Personales del Banco Davivienda.

4.2.2.10 Copia del Código de Ética del Grupo Bolívar.

4.2.2.11 Documento denominado “extracto manual de seguridad”.

4.2.2.12 Archivo en formato Excel denominado “Datos xxxxxxxx 2017”

4.2.2.13 Archivo en formato Excel denominado “Historial académico xxxxxxxxxxx”

La mencionada resolución le fue comunicada a la sociedad investigada el día 10 de junio de 2025, de conformidad con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-482908 -35 del 11 de junio de 2025.

SEXTO: Que, dentro del término concedido para el efecto, por conducto de su representante legal, mediante escrito radicado bajo el número 22 -482908-36 del 26 de junio de 2025, presentó sus respectivos alegatos de conclusión por medio de los cuales reiteró lo expresado en el escrito de descargos.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.RESOLUCIÓN NÚMERO 47347 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 6 de 21

OCTAVO: Análisis del caso

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 6 de 21

OCTAVO: Análisis del caso

8.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 1, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)”

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones d efinidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto

posible vulneración de lo consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente.

8.2 Valoración probatoria y conclusiones

8.2.1. Respecto del deber de conservar la información bajo las medidas de seguridad necesarias para evitar el acceso de terceros no autorizados por su respectivo titular.

El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada no sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial ate nción por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C -748 de 2011, así:

“De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional,

así:

“De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulteriores transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se

1 1 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduaciónRESOLUCIÓN NÚMERO 47347 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 7 de 21

encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. (…)2”(Se destaca).

En el caso bajo estudio se pudo establecer que el 10 de agosto de 2022, el funcionario del Banco Davivienda, xxxxxxxxxxxxxxxxxxx, suministró

debe tomar las medidas acordes con el sistema de información correspondiente. (…)2”(Se destaca).

En el caso bajo estudio se pudo establecer que el 10 de agosto de 2022, el funcionario del Banco Davivienda, xxxxxxxxxxxxxxxxxxx, suministró información relativa al estado del crédito hipotecario de la Titular xxxxxxxxxxxxxxxxxxxx al señor xxxxxxxxxxxxxxx, su progenitor, sin que mediara una autorización previa para ese fin.

Frente a lo descrito, la sociedad investigada expresó en sus descargos que “ el funcionario (hoy exfuncionario) involucrado faltó abiertamente a las obligaciones y deberes de confidencialidad y debido tratamiento de los datos personales, contraídos a través de su Contrato de Trabajo, y en contravía de los Códigos de la organización.

1. Davivienda cuenta con Políticas y Procedimientos implementados como parte de su programa integral de gestión de datos personales, los cuales fueron oportunamente socializados y eran claramente conocidos por el funcionario al momento de cometer la falta.

1. No obstante, para el funcionario prevaleció su vínculo de amistad, con el tercero involucrado en la situación presentada, sobre sus obligaciones con Davivienda, actuando por fuera del marco ético y normativo establecido y conocido por él y aprovechándose de las funciones del cargo que ostentaba para beneficiar a este tercero. Así, la situación ocurrida con la información de la Titular correspondió a un suceso aislado, derivado del comportamiento errado del exfuncionario de la entidad, quien, a pesar de conocer las políticas y los procedimientos de Davivienda frente a la consulta y entrega de información a terceros, omitió abiertamente sus obligaciones en razón de una relación de

exfuncionario de la entidad, quien, a pesar de conocer las políticas y los procedimientos de Davivienda frente a la consulta y entrega de información a terceros, omitió abiertamente sus obligaciones en razón de una relación de amistad y confianza con el señor xxxxxxxxxxx, padre de la Titular3.

Como sustento de sus afirmaciones aportó a la presente investigación un extracto del otrosí suscrito por el funcionario, documento que se cita a continuación:

2 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. 3 Escrito de descargos obrante bajo el radicado 22-482908-31 del 17 de junio de 2024.RESOLUCIÓN NÚMERO 47347 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 8 de 21

Sobre el particular, aseguró al Despacho que “Lo anterior evidencia que Davivienda, desde el inicio de sus relaciones laborales con sus colaboradores, establece obligaciones claras respecto de la confidencialidad y la seguridad de la información de sus clientes, siendo claro para los colaboradores el deber que tienen frente a la información a la que tienen acceso como parte del desarrollo habitual de sus funciones.

Esto se suma a la existencia en Davivienda de un Código Disciplinario (Anexo 5) y un Código de Ética del Grupo Empresarial Bolívar, del que hace parte el Banco Davivienda (Anexo 6), que se integran a los lineamientos que deben tener en cuenta los colaboradores en sus actividades. Estos buscan que los funcionarios comprendan la gravedad de sus faltas y los comportamientos

Banco Davivienda (Anexo 6), que se integran a los lineamientos que deben tener en cuenta los colaboradores en sus actividades. Estos buscan que los funcionarios comprendan la gravedad de sus faltas y los comportamientos esperados por la Compañía. En el caso del exfuncionario, su comportamiento no sólo fue violatorio del Código Disciplinario (Artículos 15, numeral 4 y 23, numerales 4, 9 y 12, sino que además defraudó la confianza y actuar esperado de Davivienda, indicado en el Código de Ética así:

En adición a esto, pone de presente la existencia de medidas y procedimientos internos frente a la protección de los datos personales y las instrucciones para consulta de información de titulares, precisando que “ la consulta del exfuncionario y su entrega de información al señor xxxxxxxxxxxxx no fue consecuencia de la inexistencia de un procedimiento reglado para la atención de este tipo de solicitudes, por el contrario, fue un desconocimiento de los lineamientos que deben seguir los informadores, en este c aso para la consulta del Aplicativo 360 de Davivienda.

Así, como lo señala el mismo funcionario en el Acta de Descargos, el informador que recibe la consulta debe asegurarse de que la persona que solicita la información tenga un soporte de la autorización del Titular, pedir la cédula de quien ha sido autorizado, validar que el número se encuentre en el documentoRESOLUCIÓN NÚMERO 47347 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 9 de 21

soporte de la autorización, hacer biometría al autorizado y verificar su firma contra el sistema. De no encontrar la firma registrada, se deberá comunicar al

Página 9 de 21

soporte de la autorización, hacer biometría al autorizado y verificar su firma contra el sistema. De no encontrar la firma registrada, se deberá comunicar al

cliente y verificar la autorización tomando como base el registro de número telefónico en la Aplicación.

De otra parte, expone en relación con la socialización de los procedimientos implementados por esa corporación, que “ (…) Davivienda también elabora, actualiza, y pone a disposición de todos sus colaboradores políticas y procedimientos especiales como parte de su debida diligencia y compromiso con la implementación de un Programa Integral de Datos Personales y de elementos que permitan a los colaboradores comprender e implementar las medidas necesarias con el fin proteger la información de los Titulares.

(…)

Lo anterior se evidencia en el Acta de descargos del exfuncionario, en la cual indica expresamente su conocimiento frente las plataformas intranet, conecta, Vi, en donde se ponen a su disposición los manuales y circulares de Davivienda, así como la normatividad de seguridad aplicable al cargo que desempeñaba.

Con base en lo anterior, es importante destacar que Davivienda cuenta con un Manual de Protección de Datos Personales (Anexo 7) aprobado por la alta dirección, en el cual se establecen las obligaciones de los colaboradores teniendo en cuenta la Política de Tratamiento de Datos Personales de la Compañía, el tratamiento que realizan las diferentes áreas y las obligaciones de la Compañía como Responsable del Tratamiento. En dicho Manual se destacan entre otras disposiciones, la obligatoriedad de su aplicación para los colaboradores (art. 4), los principios rectores para el tratamiento, dentro del cual se encuentra el principio de seguridad (Artículo 11), los usos autorizados para el tratamiento de

disposiciones, la obligatoriedad de su aplicación para los colaboradores (art. 4), los principios rectores para el tratamiento