SIC - Resolucion RE79153-2025 de 2025

Página 1 de 16

RESOLUCIÓN NÚMERO 79153 DE 2025

(06 de octubre de 2025)

“Por la cual se impone una sanción administrativa”

Radicado 22-177957

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, con el fin de garantizar el cumplimiento de las disposiciones contenidas en la ley 1581 de 2012, la Dirección de Investigaciones de Protección de Datos Personales impartió una orden administrativa a la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. , identificada con NIT. 900.508.212-1, por medio de la Resolución N.º 33088 del 31 de mayo de 2022,

en el siguiente sentido:

“(…)

ARTÍCULO PRIMERO: ORDENAR a la sociedad PROYECTOS Y GESTION DEL DESARROLLO S.A.S. que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas. A

ARTÍCULO SEGUNDO: La sociedad PROYECTOS Y GESTION DEL DESARROLLO S.A.S. deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas.

(…)”.

SEGUNDO: Que, la Resolución N.º 33088 del 31 de mayo de 2022 le fue notificada a la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. por medio de Aviso N.º 11200 del 14 de junio de 2022, de acuerdo con el certificado expedido por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicado con el número 22-177957-6 del 21 de junio de 2022.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 79153 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 16

De conformidad con lo anterior, se tiene que el término que tenía la sociedad para interponer los recursos de ley vencía el 29 de junio de 2022, de modo que

Página 2 de 16

De conformidad con lo anterior, se tiene que el término que tenía la sociedad para interponer los recursos de ley vencía el 29 de junio de 2022, de modo que la Resolución mencionada quedó en firme a partir del 30 de junio de 2022.

Dado que el acto administrativo concedió a la sociedad referida un término de seis (06) meses siguientes a la ejecutoria para dar cumplimiento a la orden administrativa impartida, es claro que el plazo para dar cumplimiento vencía el día 30 de diciembre de 2022.

TERCERO: Que, la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. presentó una comunicación con radicado número 22-489734-0 del 13 de diciembre de 2022, en la que manifestó lo siguiente:

“(…)

Por medio de la presente, actuando en mi condición de representante legal de la sociedad comercial PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. , con NIT 900.508.212 -1, me permito informar a la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO - DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES que la sociedad que represento tiene implementada una política de tratamiento de base de datos, la cua l contiene medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. De igual forma, notifico que las bases de datos se encuentran debidamente actualizadas en el Registro Nacional de Bases de Datos – RNBD.

(…)”.

CUARTO: Que, el Grupo de Investigaciones Administrativas de Protección de

fraudulento. De igual forma, notifico que las bases de datos se encuentran debidamente actualizadas en el Registro Nacional de Bases de Datos – RNBD.

(…)”.

CUARTO: Que, el Grupo de Investigaciones Administrativas de Protección de Datos realizó un análisis técnico de fecha 14 de agosto de 2023, contenido dentro del radicado número 22-177957-8 del 24 de agosto de 2023, en el que se analizó lo aportado por la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. y la información contenida en el Registro Nacional de Bases de Datos –en adelante RNBD-.

QUINTO: Que, advirtiendo que se presentó una presunta violación de las normas de protección de datos personales, esta Dirección decidió iniciar una investigación administrativa en contra de la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S., identificada con NIT. 900.508.212-1, por medio de la Resolución N.º 32310 del 24 de junio de 2024, en la cual se formuló un cargo único a la sociedad en mención, por la presunta infracción a lo dispuesto en:

1. El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

La mencionada resolución le fue notificada a la investigada de forma electrónica el día 25 de junio de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22177957-15 del 02 de julio de 2024 , para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer

Secretaría General de esta Superintendencia, radicada bajo el número 22177957-15 del 02 de julio de 2024 , para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

SEXTO: Que, la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. presentó su escrito de descargos, por medio de comunicación con radicado número 22-177957-16 del 17 de julio de 2024, en el que manifestó lo siguiente:

6.1 La sociedad manifestó que por medio de la comunicación de fecha 12 de diciembre de 2022 , demostró el cumplimiento de la orden impartida por este Despacho y explicó que tienen implementada una Política de tratamiento de bases de datos, en la cual se encuentran contenidas las medidas técnicas, humanas y administrativas necesarias para otorgarRESOLUCIÓN NÚMERO 79153 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 16

seguridad a los datos personales. Así mismo, manifestó que las bases de datos se encuentran debidamente actualizadas en el Registro Nacional de Bases de Datos – en adelante RNBD-.

6.2 La sociedad afirma que no es cierto que no se hayan implementado las medidas de seguridad y destacó las siguientes:

• Gestión de cumplimiento de políticas, normas y procedimientos de seguridad. - Controles de acceso físico y lógico. - Seguridad Local. - Gestión de Actualizaciones de Seguridad. - Monitoreo y protección de las bases de datos. - Gestión de Incidentes de Seguridad.

seguridad. - Controles de acceso físico y lógico. - Seguridad Local. - Gestión de Actualizaciones de Seguridad. - Monitoreo y protección de las bases de datos. - Gestión de Incidentes de Seguridad. - Capacitación y Concienciación – Simulacros. - Auditorias. - Gestión con terceras partes, proveedores, outsourcing. - Control en la transferencia de información. - Monitoreo y seguimiento de riesgos en Matriz de Riesgos. - Identificar, Controlar y Monitorear los Riesgos relacionados con la Operación de La Empresa en cuanto a la Seguridad de la Información, Ciberseguridad y los Activos que contienen datos e información. - Asegurar la Confidencialidad, Integridad y Disponibilidad de los activos de información a través de la ejecución de políticas, gestión de riesgo y aseguramiento informático de plataformas IT. - Definir e implementar controles informáticos robustos para mitigar ataques cibernéticos conocidos, a los que se encuentran expuestas las aplicaciones y plataformas IT de la organización. - Gestionar la vulnerabilidad técnica y tratar el riesgo asociado a través de los análisis de vulnerabilidades sobre las plataformas IT.

6.3 Aceptó y reconoció expresamente que no realizó en el RNBD las modificaciones en las medidas de seguridad que habían sido originalmente registradas al momento de la creación de las bases de datos; así mismo, no adjuntó la correspondiente política ni la documentación relacionada con las medidas de seguridad al momento de dar la respuesta a la Superintendencia. Lo anterior no evidencia que la sociedad no haya implementado las medidas de seguridad.

6.4 Al momento de la inscripción en el RNBD las medidas de seguridad que fueron marcadas y que coinciden con las medidas implementadas, no

Superintendencia. Lo anterior no evidencia que la sociedad no haya implementado las medidas de seguridad.

6.4 Al momento de la inscripción en el RNBD las medidas de seguridad que fueron marcadas y que coinciden con las medidas implementadas, no fueron debidamente guardadas. En el momento se presentaron dificultades para actualizar las medidas de seguridad en el RN BD y en su lugar únicamente se encontraba marcada la medida registrada inicialmente.

6.5 De conformidad con lo dispuesto en la Resolución No. 33088 del 31 de mayo de 2022, la sociedad debía remitir únicamente una certificación suscrita por el Representante Legal en la que se acredita el cumplimiento de la orden administrativa.

SÉPTIMO: Que, mediante la Resolución N.º 6139 del 19 de febrero de 2025, se incorporaron las pruebas allegadas a la presente actuación administrativa, se cerró la etapa probatoria y se corrió traslado a la sociedad investigada para que presentara alegatos de conclusión.

Las pruebas incorporadas son las siguientes:

7.1. Oficio de apertura de investigación de oficio en contra de la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. radicado bajo el número 22-177957-0 del 5 de mayo de 2022.RESOLUCIÓN NÚMERO 79153 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 16

7.2. Oficio, junto con anexos, radicado por la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. el 25 de enero de 2023, bajo el número 22-177957-7.

7.3. Análisis técnico realizado por esta Superintendencia, junto con anexos,

GESTIÓN DEL DESARROLLO S.A.S. el 25 de enero de 2023, bajo el número 22-177957-7.

7.3. Análisis técnico realizado por esta Superintendencia, junto con anexos, radicado bajo el número 22-177957-8 del 24 de agosto de 2023.

7.4. Escrito de descargos presentados por la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S., junto con sus anexos, radicado bajo el número 22177957-16 del 17 de julio de 2024.

La mencionada resolución le fue comunicada a la sociedad investigada el 19 de febrero de 2025, de conformidad con la certificación del 26 de febrero de 2025 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22-177957-20.

OCTAVO: Que, la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. no presentó los alegatos de conclusión.

NOVENO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada ley.

DÉCIMO: Análisis del caso

10.1. Adecuación típica

La Corte Constitucional mediante Sentencia C -748 de 2011, estableci ó́ lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la

La Corte Constitucional mediante Sentencia C -748 de 2011, estableci ó́ lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato” 1.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

1. El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará́ lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

1. De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará́ lugar o no a la imposición de una sanción,

concordancia con el literal f) del artículo 21 de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará́ lugar o no a la imposición de una sanción,

1 Corte Constitucional. Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011. Expediente PE-032.RESOLUCIÓN NÚMERO 79153 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 16

para lo cual se deberá́ tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada tanto en su escrito de descargos, como en los alegatos de conclusión, as í́ como el conjunto de pruebas allegadas al expediente.

10.2. Valoración probatoria y conclusiones

10.2.1. Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

El artículo 17 de la Ley 1581 de 2012 establece los deberes de los Responsables del tratamiento, preceptuando en su literal o) lo siguiente:

“Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

(…)”.

A su vez, el literal e) del artículo 21 de la Ley 1581 de 2012 estableció lo

(…)

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

(…)”.

A su vez, el literal e) del artículo 21 de la Ley 1581 de 2012 estableció lo siguiente:

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

(…)

e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;

(…)”.

Por su parte, la Corte Constitucional mediante sentencia C-748 del 6 de octubre de 2011 al realizar el control previo de constitucionalidad del proyecto de ley que culminó en la expedición de la Ley 1581 de 2012, estableció lo siguiente frente a las funciones de esta Superintendencia en relación con la protección de los datos personales en Colombia:

“(…)

Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales. Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos

Además, debe afirmarse que, tal como lo estableció la Corte en la Sentencia C-1011 de 2008, la naturaleza de las facultades atribuidas a la

transferencia internacional de datos y de promoción de la protección de datos

Además, debe afirmarse que, tal como lo estableció la Corte en la Sentencia C-1011 de 2008, la naturaleza de las facultades atribuidas a la Superintendencia –a través de la Delegatura-, “caen dentro del ámbito de las funciones de policía administrativa que corresponden a esos órganos técnicos adscritos al ejecutivo (Art. 115 C.P.), en tanto expresión de la potestad de dirección e intervención del Estado en la economía (Art.334), y de intervención reforzada del Gobierno en las actividades financiera, bursátiles y aseguradoras (Art. 335 C.P.).RESOLUCIÓN NÚMERO 79153 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 16

(…)”.

De igual manera, con la expedición del Decreto 4886 del 2011 modificado por el Decreto 92 de 2022, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data , que se encuentra consagrado en el artículo 15 de la Constitución, en este caso particular, en la Ley 1581 de 2012, al respecto traemos a colación los numerales del artículo 17 del Decreto 4886 de 2011:

“Artículo 17. Funciones de la Dirección de Investigaciones de Protección de Datos Personales. Son funciones de la Dirección de Investigaciones de

Protección de Datos Personales:

(…)

2. Ejercer la supervisión de las órdenes o instrucciones impartidas por la Superintendencia de Industria y Comercio en materia de protección de datos personales.

3. Administrar el Registro Nacional de Bases de Datos, emitir las órdenes

2. Ejercer la supervisión de las órdenes o instrucciones impartidas por la Superintendencia de Industria y Comercio en materia de protección de datos personales.

3. Administrar el Registro Nacional de Bases de Datos, emitir las órdenes y los actos necesarios para su administración y funcionamiento, así como y disponer de su libre consulta.

4. Adelantar las indagaciones, investigaciones, procedimientos y actuaciones administrativas del caso, de oficio o a petición de parle, sobre presuntas actuaciones contrarias o violaciones a las Leyes Estatutarias 1266 de 2008 y 1581 de 2012, los decretos reglamentarios y demás normas que los complementen, modifiquen, adicionen o sustituyan, así como dictar las sanciones, órdenes, requerimientos e instrucciones a que haya lugar.

(…)

8. Verificar el cumplimiento de las decisiones proferidas, en el curso de las investigaciones o actuaciones administrativas adelantadas de oficio o a petición de parte.

(…)

En esa medida, esta Superintendencia protege el derecho fundamental de habeas data , es decir, el derecho que tiene todo Titular de información de conocer, actualizar y rectificar los datos personales que sobre ellos se encuentren en cualquier base de datos. Para el caso particular, la protección está amparada en la Ley 1581 de 2012, la cual establece que la protección será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

Así las cosas, no solo la Ley 1581 de 2012 faculta a esta Dirección a impartir órdenes e instrucciones administrativas, también dentro de las competencias

haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

Así las cosas, no solo la Ley 1581 de 2012 faculta a esta Dirección a impartir órdenes e instrucciones administrativas, también dentro de las competencias otorgadas se encuentra la de ejercer la supervisión de dichas órdenes o instrucciones. Es así como en virtud de dichas competencias se inició una actuación administrativa sancionatoria y se formuló un cargo a la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. , por la presunta contravención de lo dispuesto en literal o) del artículo 17 de la Ley 1581 de 2012, por medi o de la Resolución N.º 32310 del 24 de junio de 2024, al considerar que:

• No hubo modificación ni implementación de las medidas de seguridad contenidas dentro de la Política de Tratamiento de Datos Personales cargada en el RNBD.

• La sociedad no aportó dentro de su respuesta, documento que acreditara que efectivamente contaba con una un Política de SeguridadManual de Seguridad - de la Información que cumpliera con los lineamientos establecidos por la ley.RESOLUCIÓN NÚMERO 79153 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 16

• De acuerdo con la información contenida en el RNBD, la Sociedad no cuenta con la correspondiente autorización para el tratamiento de los datos personales de los Titulares de la información.

En relación con el acervo probatorio, este Despacho encuentra que la Resolución N.º 33088 del 31 de mayo de 2022 , mediante la cual se impartió una orden administrativa, fue efectivamente notificada por medio del aviso No. 11200 del

En relación con el acervo probatorio, este Despacho encuentra que la Resolución N.º 33088 del 31 de mayo de 2022 , mediante la cual se impartió una orden administrativa, fue efectivamente notificada por medio del aviso No. 11200 del 14 de junio de 2022 a la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S., a través de su representante legal Enrique Carlos Posada Gutiérrez, razón por la cual este Despacho evidencia que la sociedad investigada conoció de la orden administrativa impartida por este Despacho.

Cabe resaltar que la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. tenía un término de diez (10) hábiles posteriores a su notificación para interponer los recursos de ley, lo cual indica que dicho término vencía el día 29 de junio de 2022, y se evidencia en el expediente que la sociedad referida no interpuso recurso alguno. Adicionalmente, la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. contaba con un término de seis (06) meses siguientes a la notificación de la Resolución N.º 33088 del 31 de mayo de 2022 para acreditar el cumplimiento de lo ordenado en dicho acto administrativo, lo cual indica que este término vencía el 30 de diciembre de 2022.

La sociedad investigada aportó, por medio de comunicación con radicado número 22-489734-0, contenido dentro del radicado número 22-177957-7 del 25 de enero de 2023, un certificado suscrito por el representante legal en el que afirma que la sociedad tiene implementadas las medidas de seguridad de la información y que el Registro Nacional de Bases de Datos fue actualizado.

Por otra parte, el Grupo de Investigaciones Administrativas de Protección de

enero de 2023, un certificado suscrito por el representante legal en el que afirma que la sociedad tiene implementadas las medidas de seguridad de la información y que el Registro Nacional de Bases de Datos fue actualizado.

Por otra parte, el Grupo de Investigaciones Administrativas de Protección de Datos Personales realizó un análisis técnico sobre la acreditación del cumplimiento de la orden administrativa radicada por la sociedad investigada, el cual se encuentra contenido en el radicado número 22 -177957-8 del 24 de agosto de 2023, y en el que se encuentran las siguientes conclusiones:

• Se realizó un análisis de las cinco (05) bases de datos suscritas en el Registro Nacional de Bases de Datos y se encontró que, al momento del análisis técnico, no se había realizado ninguna modificación en las medidas de seguridad que fueron registradas originalmente . En estos registros únicamente se encuentra marcada la medida titulada ‘Seguridad de la información personal en torno al recurso humano - ¿Tiene implementados controles de seguridad de la información personal para el Recurso Humano antes de la vinculación y una vez finalizado el contrato laboral?’.

• Se encontró que el documento denominado ‘POLITICA DE TRATAMIENTOS DE DATOS PYG.pdf’ constituye una versión actualizada de documento

‘POLITICA DE TRATAMIENTO DE DATOS PERSONALES.pdf’.

• La política de tratamiento de datos que se encuentra en el RNBD no contiene elementos, políticas ni documentación vinculados a las medidas de seguridad de la información que estuvieran presentes en la política de tratamiento de datos encontrada o en documentos adicionales.

Por su parte, la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. tuvo la oportunidad de pronunciarse sobre el cumplimiento de la orden administrativa, en su escrito de descargos, presentado por medio de

datos encontrada o en documentos adicionales.

Por su parte, la sociedad PROYECTOS Y GESTIÓN DEL DESARROLLO S.A.S. tuvo la oportunidad de pronunciarse sobre el cumplimiento de la orden administrativa, en su escrito de descargos, presentado por medio de comunicación con radicado número 22-177957-16 del 17 de julio de 2024, en el que manifestó lo siguiente:

La sociedad manifestó que demostró el cumplimiento de la orden impartida por este Despacho y explicó que tienen implementada una Política de tratamiento de bases de datos, en la cual se encuentran contenidas las medidas técnicas,RESOLUCIÓN NÚMERO 79153 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 16

humanas y administrativas necesarias para otorgar seguridad a los datos personales. Así mismo, manifestó que las bases de datos se encuentran debidamente actualizadas en el Registro Nacional de Bases de Datos – en adelante RNBD-.

La sociedad destacó la implementación de medidas de seguridad como:

• Gestión de cumplimiento de políticas, normas y procedimientos de seguridad. - Controles de acceso físico y lógico. - Seguridad Local. - Gestión de Actualizaciones de Seguridad. - Monitoreo y protección de las bases de datos. - Gestión de Incidentes de Seguridad. - Capacitación y Concienciación – Simulacros. - Auditorias. - Gestión con terceras partes, proveedores, outsourcing. - Control en la transferencia de información. - Monitoreo y seguimiento de riesgos en Matriz de Riesgos. - Identificar, Controlar y Monitorear los Riesgos relacionados con la Operación de La Empresa en cuanto a la Seguridad de la Información,

• Control en la transferencia de información. - Monitoreo y seguimiento de riesgos en Matriz de Riesgos. - Identificar, Controlar y Monitorear los Riesgos relacionados con la Operación de La Empresa en cuanto a la Seguridad de la Información, Ciberseguridad y los Activos que contienen datos e información. - Asegurar la Confidencialidad, Integridad y Disponibilidad de los activos de información a través de la ejecución de políticas, gestión de riesgo y aseguramiento informático de plataformas IT. - Definir e implementar controles informáticos robustos para mitigar ataques cibernéticos conocidos, a los que se encuentran expuestas las aplicaciones y plataformas IT de la organización. - Gestionar la vulnerabilidad técnica y tratar el riesgo asociado a través de los análisis de vulnerabilidades sobre las plataformas IT.

Aceptó y reconoció expresamente que no realizó en el RNBD las modificaciones en las medidas de seguridad que habían sido originalmente registradas al momento de la creación de las bases de datos; así mismo, no adjuntó la correspondiente política ni la docu mentación relacionada con las medidas de seguridad al momento de dar la respuesta a la Superintendencia. Lo anterior no evidencia que la sociedad no haya implementado las medidas de seguridad.

Al momento de la inscripción en el RNBD las medidas de seguridad que fueron marcadas y que coinciden con las medidas implementadas, no fueron debidamente guardadas. En el momento se presentaron dificultades para actualizar las medidas de seguridad en el RN BD y en su lugar únicamente se encontraba marcada la medida registrada inicialmente.

De conformidad con lo dispuesto en la Resolución N.º 33088 del 31 de mayo de 2022, la sociedad debía remitir únicamente una certificación suscrita por el

encontraba marcada la medida registrada inicialmente.

De conformidad con lo dispuesto en la Resolución N.º 33088 del 31 de mayo de 2022, la sociedad debía remitir únicamente una certificación suscrita por el Representante Legal en la que se acredita el cumplimiento de la orden administrativa.

De conformidad con lo anterior, este Despacho procedió a realizar la revisión de la inscripción realizada en el RNBD por parte de la sociedad PROYECTOS Y GESTION DEL DESARROLLO S.A.S., en la que se evidencio que la información inscrita en el RNBD fue modificada con fecha posterior al análisis técnico sobre la acreditación del cumplimiento de la orden administrativa , contenido en el radicado número 22-177957-8 del 24 de agosto de 2023.

En la revisión del RNBD este Despacho encontró que de las cinco (05) bases de datos inscritas, tres (03) de ellas fueron debidamente actualizad as en relación con las medidas de seguridad (‘Clientes’, ‘Empleados’ y ‘Proveedores’ -Base de datos automatizada-), y en dos (02) de ellas (‘Accionistas’ y ‘Proveedores’-Base de datos física) no se actualizaron las medidas de seguridad implementadas y solo se encuentra seleccionada la medida “Tiene implementados controles deRESOLUCIÓN NÚMERO 79153 DE 2025

“Por la cual se impone una sanción administrativa”

Página 9 de 16

seguridad de la información personal para el Recurso Humano antes de la vinculación y una vez finalizado el contrato laboral”.

De otra parte, este Despacho encuentra pertinente resaltar que en el documento por medio del cual se acredita el cumplimiento de la orden administrativa

segurida