SIC - Resolucion RE73873-2025 de 2025

Página 1 de 16

RESOLUCIÓN NÚMERO ________73873_________ DE 2025

(22 de septiembre 2025)

“Por la cual se resuelve un recurso de apelación”

Radicado 22-386528

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que, el 11 de agosto de 2022 , esta Superintendencia , tuvo conocimiento de la denuncia interpuesta por la señora XXXXX XXXXXX XXXXXXX XXXXXXXX, mediante comunicación obrante en el expediente bajo el radicado 22-386528-0, en contra de la CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S., identificada con NIT 900.644.979-3, por la presunta vulneración de su derecho fundamental al habeas data, ocasionada por el envío no autorizado de un correo electrónico masivo en el que se hicieron visibles 143 direcciones electrónicas, entre ellas la correspondiente a la denunciante.

SEGUNDO. Que, con ocasión de la denuncia presentada , la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 7595 del 6 de marzo de 2024, después de adelantar averiguaciones previas y solicitar cierta información decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de

mediante la Resolución No. 7595 del 6 de marzo de 2024, después de adelantar averiguaciones previas y solicitar cierta información decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto e n: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; (ii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem; (iii) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015; (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; (v) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

TERCERO. Que la Dirección determinó, con base en las pruebas aportadas a la

ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

TERCERO. Que la Dirección determinó, con base en las pruebas aportadas a la presente actuación, que CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. (i) no acreditó contar con la autorización de la titular para tratar sus datos personales; (ii) tampoco tener implementadas medidas de seguridad necesarias y adecuadas permitiendo el acceso sin autorización de 143 direcciones de correo electrónico; (iii) no tener implementado un manual de políticas de seguridad; y (iv) tampoco tener implementado un manual para la atención de consultas y reclamos. Por lo que impuso una sanción respecto de los cargos primero, segundo, cuarto y quinto respectivamente. Respecto del cargo tercero , se impartieron unas órdenes para adecuar la política de tratamiento al contenido mínimo establecido en la Ley. Por lo anterior, mediante Resolución No. 17874 del 4 de abril de 2025, resolvió:

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO _________73873________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 2 de 16

“ARTÍCULO 1: Imponer una sanción pecuniaria a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit. 900.644.979 -3 de CIENTO TREINTA Y DOS (132) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes QUINCE MIL TRESCIEN TOS DOCE (15.312) Unidades de Valor Básico – UVB

MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes QUINCE MIL TRESCIEN TOS DOCE (15.312) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CIENTO SETENTA Y SEIS MILLONES OCHOCIENTOS OCHENTA Y CUATRO MIL DOSCIENTOS VEINTICUATRO PESOS M/CTE (176.884.224) por la violación a lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4° y el artículo 9° ejusdem, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. (ii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4° ejusdem. (iii)El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 d e 2015. (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ejusdem, y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

(…)

ARTÍCULO 2: Ordenar a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit. 900.644.979 -3, cumplir las

(…)

ARTÍCULO 2: Ordenar a la sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. identificada con el Nit. 900.644.979 -3, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses hábiles siguientes a la ejecutoria de la presente decisión.

Las ordenes son:

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar un formato para solicitar la autorización previa, expresa e informada de los titulares sobre los cuales realiza tr atamiento, que incluya entre otras la finalidad de enviar información general sobre sus proyectos inmobiliarios a sus direcciones electrónicas.

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar y documentar un Manual de Seguridad de la información, de conformidad con la estructura interna de la organización, el tamaño de la sociedad y sus características, para lo cual se sugiere tener en cuenta la “Guía para la implementación del principio de responsabilidad demostrada” y el “Estudio de medidas de seguridad en el tratamiento de datos personales” los cuales son mandatos de optimización con el fin de que la sociedad como Responsable implemente el manual de forma adecuada.

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar procedimientos en materia de seguridad de la información en especial un protocolo de seguridad para el envío de correos electrónicos masivos de información general a los titulares ocultando sus datos personales.

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá realizar los siguientes ajustes en la Política de Tratamiento de Datos

Personales:

masivos de información general a los titulares ocultando sus datos personales.

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá realizar los siguientes ajustes en la Política de Tratamiento de Datos

Personales:

1. Aportar prueba de que se puso en conocimiento de los titulares la Política

de Tratamiento de Datos Personales.

2. Incluir el número de teléfono de la sociedad como Responsable del tratamiento.

3. Señalar en la Política de Tratamiento de Datos Personales el tipo de Tratamiento –manual o automatizado - al cual serán sometidos los datos personales.

4. Informar la finalidad del tratamiento de los datos personales que serán tratados por la sociedad como Responsable del tratamiento.

5. Indicar la fecha de entrada en vigencia de la Política de Tratamiento de

Datos Personales.

6. Indicar el periodo de vigencia de las bases de datos

7. Actualizar la normatividad del Régimen de Protección de Datos Personales señalada al inicio del documento.

• La sociedad CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. deberá implementar y documentar el Manual para la atención de consultas y reclamos relacionados con el Tratamiento de datos personales.”

CUARTO. Que, dentro del término legal establecido para el efecto, el 24 de abril de 2025 , CONSTRUCCIONES Y DISEÑOS PLANIFICADOS S.A.S. (en adelante la RECURRENTE), a través de su representante legal , interpusoRESOLUCIÓN NÚMERO _________73873________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 3 de 16

recurso de reposición y, en subsidio, de apelación1 contra la decisión contenida

“Por la cual se resuelve un recurso de apelación”

Página 3 de 16

recurso de reposición y, en subsidio, de apelación1 contra la decisión contenida en la Resolución No. 17874 del 4 de abril de 2025 , mediante escrito radicado con el número 22-386528-28. Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos:

• Atipicidad de la conducta. La sociedad recurrente Señala que el artículo 29 de la Constitución reconoce la potestad sancionadora del Estado, pero la supedita al debido proceso y al principio de legalidad, dentro del cual se enmarca la tipicidad. Este exige que las conductas sancionables estén previamente definidas en la ley, conforme lo ha reiterado la Corte Constitucional. La Ley 1581 de 2012, que regula la protección de datos personales, establece tales límites, deberes y responsabilidades. En este marco, mediante la Resolución 17874 de 2025, el Despacho concluyó que CODISPLAN S.A.S. desconoció los deberes previstos en los literales b), d) y k) del artículo 17 de dicha ley, razón por la cual impuso sanciones y ordenó adoptar medidas de cumplimiento.

• Respecto de los manuales y la política de tratamiento. Señala que implementó un manual de políticas de tratamiento de datos conforme al artículo 17 de la Ley 1581 de 2012 y cuestiona que la Dirección concluya que dicho manual y las medidas de seguridad están desactualizados, sin haber solicitado previamente documentación que lo demostrara.

• Respecto del deber de seguridad. Sostiene que corresponde a la

que dicho manual y las medidas de seguridad están desactualizados, sin haber solicitado previamente documentación que lo demostrara.

• Respecto del deber de seguridad. Sostiene que corresponde a la Dirección demostrar la ilicitud, lo cual no ocurrió, pues no se acreditó daño alguno derivado del envío de información a terceros por co rreo electrónico. Asimismo, que acreditó, con las pruebas documentales aportadas al proceso, que “ cumple con recelo la protección de los datos personales de cada uno de los compradores de las unidades inmobiliarias Vis del proyecto de Teusa”.

Reconoce el envío del correo electrónico, pero sostiene que cumplió con la Ley 1581 de 2012 y su manual de políticas, garantizando la protección de los datos de los compradores.

• Respecto de la autorización previa. Afirma que la Dirección desconoce que la denunciante entregó su información personal de manera libre, previa, expresa y espontánea, lo que justificó su inclusión en la base de datos, hecho que se acredita con la promesa de compraventa y la carta de instrucciones suscritas por la titular.

La recurrente señala que, en virtud del contrato, debía cumplir con la Ley 1581 de 2012 y demás normas aplicables. No obstante, insiste en que corresponde a la Dirección demostrar que la conducta era típica y sancionable. Añade que la denunciante entregó volu ntariamente su información personal, la cual fue incluida legítimamente en la base de datos y resultaba necesaria para la escrituración y entrega de los inmuebles.

Finalmente, solicita se tenga en cuenta que actualmente la sociedad recolecta los datos personales de los distintos titulares mediante una

datos y resultaba necesaria para la escrituración y entrega de los inmuebles.

Finalmente, solicita se tenga en cuenta que actualmente la sociedad recolecta los datos personales de los distintos titulares mediante una autorización expresa, en cumplimiento con lo establecido en el manual de políticas de tratamiento de datos personales.

• Respecto de la responsabilidad objetiva. Sostiene que está prohibida la responsabilidad objetiva y que las sanciones solo proceden a título de dolo o culpa.

• Respecto la proporcionalidad de la sanción . La sociedad recurrente alega que, conforme al principio de proporcionalidad, la sanción debe ajustarse a la gravedad de la infracción. Sostiene que cumplió con el deber

1 La Resolución No. 17874 del 4 de abril de 2025 , fue notificada personalmente a la RECURRENTE el 9 de abril de 2025.RESOLUCIÓN NÚMERO _________73873________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 4 de 16

de proteger los datos personales y sensibles de los compradores del proyecto Parque Teusa y que dicha informac ión, contenida en los contratos de promesa de compraventa y anexos, era necesaria para el proceso de escrituración.

Invoca la responsabilidad contractual y extracontractual . Además alega que la sanción impuesta no cumple con los criterios del artículo 24 de la Ley 1581 de 2012, pues la Dirección no analizó aspectos como la capacidad económica, la reiteración de la infracción o la colaboración del investigado. A su vez, s ostiene que debió aplicarse el criterio de atenuación previsto en dicha norma, ya que l a sociedad reconoció

capacidad económica, la reiteración de la infracción o la colaboración del investigado. A su vez, s ostiene que debió aplicarse el criterio de atenuación previsto en dicha norma, ya que l a sociedad reconoció voluntariamente la infracción como un error involuntario, lo cual quedó acreditado en el expediente.

QUINTO. Que la Dirección, mediante la Resolución No. 50009 del 28 de julio de 2025, resolvió el recurso de reposición interpuesto y confirmó la Resolución No. 17874 del 4 de abril de 2025.

En su decisión, la Dirección concluyó que se cumplió con el principio de tipicidad, toda vez que la conducta reprochable fue claramente detallada desde la formulación de cargos, teniendo en cuenta los deberes establecidos en el artículo 17 de la Ley 1581 de 2012.

La sociedad recurrente no acreditó que contaba con la autorización previa, expresa e informada de la titular para el tratamiento de sus datos personales. A su vez, la Dirección precisó que el suministro de los datos por parte de la denunciante no implica consentimiento para realizar su tratamiento para cualquier finalidad que decida el responsable, y también que no se tuvo en cuenta el criterio de graduación establecido en el literal f) del artículo 24 de la Ley 1581 de 2011, puesto que la sociedad no aceptó la infracción de ninguno de los deberes formulados.

Destacó que la sanción impuesta fue proporcional a la capacidad financiera de la sociedad, a la dimensión del da ño o peligro a los intereses causado con el incumplimiento de los deberes señalados y a la vulneración del derecho de habeas data de la titular.

la sociedad, a la dimensión del da ño o peligro a los intereses causado con el incumplimiento de los deberes señalados y a la vulneración del derecho de habeas data de la titular.

SEXTO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, d e conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 092 de 2022).

6.1. Respecto de la presunta falta de tipicidad de la conducta

El principio de tipicidad en el derecho administrativo sancionador exige la concurrencia de tres elementos: (i) que la conducta sancionable esté descrita de manera específica en la norma o pueda ser determinada a partir de disposiciones jurídicas aplicables; (ii) que la sanción correspondiente esté definida en la ley; y (iii) que exista una correlación entre la conducta infractora y la sanción impuesta2.

La Corte Constitucional mediante se ntencia C -748 de 2011 3, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17

2 Cfr. Corte Constitucional, sentencia C-748 de 2011, de fecha 6 de octubre del 2011. M.P.: Jorge Ignacio Pretelt Chaljub.

ley, esto es, en términos específicos, la regulación que hacen los artículos 17

2 Cfr. Corte Constitucional, sentencia C-748 de 2011, de fecha 6 de octubre del 2011. M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.21.3.2. 3 Cfr. Corte Constitucional, sentencia C-748 de 2011, de fecha 6 de octubre del 2011. M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.21.3.2.RESOLUCIÓN NÚMERO _________73873________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 5 de 16

y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

En este sentido, el listado de deberes de responsables y encargados del tratamiento otorga un marco normativo suficientemente definido para la identificación de infracciones.

En el caso analizado, tanto la formulación de cargos como la decisión sancionatoria recurrida satisfacen las exigencias del principio de tipicidad. En la formulación de cargos se señalaron de manera clara y precisa las conductas presuntamente infractoras, se identificaron los deberes normativos que se estimaron incumplidos y se fundamentaron las i mputaciones en disposiciones legales específicas. A su vez, en la decisión recurrida se verificó el incumplimiento de dichos deberes y se impuso la sanción correspondiente, en estricta correlación con los cargos previamente formulados. Los deberes son los siguientes:

1. Solicitar y conservar copia de la respectiva autorización otorgada

incumplimiento de dichos deberes y se impuso la sanción correspondiente, en estricta correlación con los cargos previamente formulados. Los deberes son los siguientes:

1. Solicitar y conservar copia de la respectiva autorización otorgada por el titular, en las condiciones previstas en la ley, conforme al literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4, el artí culo 9 de la misma ley y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

2. Conservar la información bajo condiciones de seguridad adecuadas y necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, de acuerdo con el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 4 ibídem.

3. Adoptar un manual interno de políticas y procedimientos para garantizar el cumplimiento del principi o de seguridad, previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma norma y el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015.

4. Adoptar un manual interno de políticas y procedimient os para la atención de consultas y reclamos en materia de tratamiento de datos personales, conforme al literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 de la misma ley y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015.

en concordancia con los artículos 14 y 15 de la misma ley y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015.

Ahora bien, para cada uno de estos cargos quedó plenamente acreditada la conducta vulneratoria:

• Primer cargo: se demostró que la sociedad trató los datos personales de la denunciante sin contar con su autorización previa, expresa e informada.

• Segundo cargo: se verificó que la sociedad no adoptó medidas de seguridad adecuadas para proteger los datos personales, en tanto remitió un correo electrónico en el que quedaron visibles 143 direcciones electrónicas, lo que permitió el acceso de terceros no autorizados a dicha información.

• Tercer cargo: la sociedad no acreditó la existencia de un manual de seguridad.

• Cuarto cargo: la sociedad tampoco acreditó contar con un manual para la atención de consultas y reclamos relacionados con el tratamiento de datos personales.

En consecuencia, esta Delegatura desestimará el alegato sobre un supuesto incumplimiento del principio de tipicidad, en tanto: (i) las conductas infractoras fueron descritas de manera clara y precisa en la Ley 1581 de 2012, particularmente en su artículo 17; (ii) la sanción aplicada se encuentraRESOLUCIÓN NÚMERO _________73873________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 6 de 16

expresamente prevista en el artículo 23 de la misma ley, habiendo sido advertida en la formulación de cargos; y (iii) existe una correlación directa entre las conductas imputadas y la sanción impuesta.

Página 6 de 16

expresamente prevista en el artículo 23 de la misma ley, habiendo sido advertida en la formulación de cargos; y (iii) existe una correlación directa entre las conductas imputadas y la sanción impuesta.

Por lo anterior, esta Delegatura concluye que la sanción impuesta se ajusta a los principios rectores del derecho administrativo sancionador y que, durante toda la actuación, se garantizó el respeto del debido proceso y del derecho de defensa de la sociedad investigada.

6.2. Respecto de la política de tratamiento de datos personales y los manuales internos de políticas y procedimientos

En el marco de la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015, es necesario distinguir entre la política de tratamiento de datos personales y los manuales internos de procedimientos . Estos documentos cumplen finalidades y tienen alcances diferentes.

La política de tratamiento de datos personales referida en el inciso 3, del artículo 25 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.3.1, 2.2.2.25.3.4 y 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015, constituye un documento externo y público, dirigido a los titulares de los datos. Su finalidad es poner en conocimiento de estos, de manera clara y accesible, las reglas bajo las cuales la sociedad recolecta, utiliza, almacena, circula y suprime la información personal.

Dicha política debe contener, como mínimo, los aspectos previstos en la Ley y el Decreto Reglamentario, entre ellos la identificación del responsable, el

circula y suprime la información personal.

Dicha política debe contener, como mínimo, los aspectos previstos en la Ley y el Decreto Reglamentario, entre ellos la identificación del responsable, el tratamiento al cual serán sometidos los datos, los derechos de los titulares y los procedimientos para el ejercicio de estos. En consecuencia, se trata de un instrumento de transparencia y garantía de los derechos de los titulares.

Por su parte, los manuales internos de políticas y procedimientos referidos en el literal k, del artículo 17 de la Ley 1581 de 2012, tienen una naturaleza distinta. Estos corresponden a documentos de carácter interno y operativo , cuyo destinatario principal son los funcionarios y colaboradores de la sociedad. Su contenido no se encuentra predeterminado de manera taxativa en la Ley, sino que depende de las necesidades, procesos y riesgos específicos de la organización.

Dentro de estos manuales se encuentran, entre otros, (i) el manual de seguridad, exigido por el artícul o 17 literal k) de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, y (ii) el manual para la atención de consultas y reclamos, previsto en el artículo 17 literal k) de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 de la misma Ley y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015. Su finalidad es fijar los procedimientos internos, protocolos, controles y responsabilidades que deben seguir los trabajadores para garantizar la aplicación efectiva de los principios y deberes legales en materia de protección de datos personales.

Su finalidad es fijar los procedimientos internos, protocolos, controles y responsabilidades que deben seguir los trabajadores para garantizar la aplicación efectiva de los principios y deberes legales en materia de protección de datos personales.

De esta manera, mientras que la política de tratamiento es un documento de divulgación frente a los titulares, los manuales internos son instrumentos de gestión y cumplimiento destinados al ámbito organizacional.

Ahora bien, en el caso bajo estudio se encuentra que la Dirección solicitó a la sociedad recurrente mediante requerimiento de radicado 21 -386528-5 del día 13 de diciembre de 2022, la remisión, entre otras, de: (i) copia de la Política de Tratamiento de datos personales adoptada e implementada por la sociedad; (ii) copia del Manual de Políticas de Seguridad de la Información desarrollado e implementado por la sociedad con el objetivo de evitar la adulteración, pérdida, consulta uso o acceso no autorizado o fraudulento de datos personales; y (iii) copia del Manual de procedimientos desarrollados e implementados por la sociedad para la atención de consultas y reclamos relacionados con el Tratamiento de datos personales.RESOLUCIÓN NÚMERO _________73873________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 7 de 16

Mediante comunicación con número de radicado 21 -238528-7 del día 27 de diciembre de 2022, la sociedad no se pronunció ni aportó copia de ninguno de los documentos mencionados, razón por la cual se formularon los cargos tercero, cuarto y quinto respectivamente.

Posteriormente, en el escrito de alegatos de conclusión radicado bajo el número

los documentos mencionados, razón por la cual se formularon los cargos tercero, cuarto y quinto respectivamente.

Posteriormente, en el escrito de alegatos de conclusión radicado bajo el número 22-386528-20, la sociedad manifestó aportar el “ Manual de Políticas de Tratamiento de Datos implementado y ejecutado por CODISPLAN S.A.S .”, anexando el documento denominado “Manual de Políticas de Seguridad y Privacidad de la Información”.

La Dirección procedió a analizar su contenido y, atendiendo a la fecha de elaboración allí consignada y aplicando el principio de buena fe, se abstuvo d e sancionar a la sociedad por el cargo tercero, relativo al incumplimiento del deber de contar con una política de tratamiento de datos personales.

No obstante, se verificó que el documento no satisfac ía el contenido mínimo exigido en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, motivo por el cual mediante la Resolución No. 17874 de 2025 se impartieron órdenes específicas dirigidas a que la sociedad adec úe su política de tratamiento de datos a los parámetros legales y reglamentarios.

En cuanto a los cargos cuarto y quinto, relacionados con la obligación de contar con manuales internos de políticas y procedimientos en materia de seguridad de la información y de atención de consultas y reclamos, se constató que la sociedad no allegó docu mento alguno que acreditara su existencia o contenido.

Cabe precisar que la inclusión de apartados generales sobre seguridad de la información o sobre atención de consultas y reclamos dentro de la política de tratamiento de datos personales no constituye cumplimiento de la obligación

contenido.

Cabe precisar que la inclusión de apartados generales sobre seguridad de la información o sobre atención de consultas y reclamos dentro de la política de tratamiento de datos personales no constituye cumplimiento de la obligación legal de contar con manual es internos específicos. Dichos manuales cumplen funciones distintas, de carácter operativo y detallado, orientadas a la implementación efectiva de los principios y deberes previstos en la Ley 1581 de 2012 y su normativa reglamentaria, y no pueden equipara rse con las disposiciones generales contenidas en la política pública de tratamiento.

La sociedad sostiene que “en cumplimiento de la Ley 1581 de 2012, implementó el manual de política de tratamiento de datos, obligándose la sociedad a cumplir los deberes enmarcados en el artículo 17 de la mencionada norma” y que, en consecuencia, “no es de recibo que el Despacho de manera afirmativa en resolución recurrida, sin ex istir requerimiento alguno por este para que se aportará documentación relacionada con actualizaciones del manual de políticas de tratamiento de datos de la sociedad, afirme que no se encuentre actualizado el anotado manual y sus medidas internas de seguridad de la información”. Esta Delegatura estima que dicho argumento carece de sustento fáctico.

En efecto, está demostrado que desde la etapa de indagación preliminar la Dirección solicitó expresamente la remisión de una copia de l manual de seguridad, y del manual para la atención de consultas y reclamos. Pese a que la investigación se inició precisamente por el presunto incu mplimiento de los deberes relativos a la inexistencia o no adopción de dichos manuales , la

seguridad, y del manual para la atención de consultas y reclamos. Pese a que la investigación se inició precisamente por el presunto incu mplimiento de los deberes relativos a la inexistencia o no adopción de dichos manuales , la sociedad no aportó en ningún momento documento alguno que acreditara laRESOLUCIÓN NÚMERO _________73873________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 8 de 16

existencia, implementación y contenido de los mencionados instrumentos. En ninguno. Ni siquiera ahora en el recurso de apelación.

En consecuencia, el argumento planteado por la RECURRENTE carece de mérito, motivo por el cual esta Delegatura confirmará la decisión sancionatoria respecto de los cargos cuarto y quinto, así como de las órdenes segunda, cuarta y quinta, relacionadas con la implementación de los documentos en cuestión.

6.3. Respec