SIC - Resolucion RE79163-2025 de 2025

Página 1 de 25

RESOLUCIÓN NÚMERO 79163 DE 2025

(06 de octubre de 2025)

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Radicación 24-386569

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que mediante escritos radicados bajo los números 24 -387304-0 y 24-386569-0, ambos del 10 de septiembre de 2024, se puso en conocimiento de esta Superintendencia, de manera anónima, la ocurrencia de unos hechos presuntamente transgresores de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de la sociedad GLOBALWORK COLOMBIA S.A.S, identificada con Nit 901.128.388-1, en adelante GLOBALWORK o LA INVESTIGADA.

De la comunicación recibida se extrajeron los siguientes supuestos fácticos:

1.1 “Un descubrimiento alarmante ha puesto en evidencia una violación masiva a la seguridad y privacidad de inspaniduos (sic) y empresas en Colombia. Empresas reconocidas como SURA, Compensar (Universidad), Corbeta, Banco Unión, PepsiCo, Colanta, Cerámica Italia, Algar Tecnologia SAS, entidades como

a la seguridad y privacidad de inspaniduos (sic) y empresas en Colombia. Empresas reconocidas como SURA, Compensar (Universidad), Corbeta, Banco Unión, PepsiCo, Colanta, Cerámica Italia, Algar Tecnologia SAS, entidades como el Acueducto Metropolitano de Bucaramanga y AXXA Asistencia se han visto salpicados por la filtración de más de 170,000 documentos sensibles debido a una falla de seguridad de su proveedor. La vulnerabilidad se encuentra en la estructura de las URL utilizadas por el proveedor para acceder a los informes inspaniduales (sic) solo se requiere la URL: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. En esta, el número final (en este caso, xxxxxx) corresponde a un informe específico.

1.2 Al cambiar este número, se puede acceder a otros informes. Con más de 170,000 informes disponibles, esta simple alteración de la URL permite a cualquier persona acceder a una cantidad alarmante de información sensible, personalmente se han podido verificar que la falla existe con cientos de documentos accesibles al publico (sic). Esta información filtrada contiene detalles extremadamente delicados, incluyendo conducta social, exámenes de polígrafo, estudios de seguridad y visitas domiciliarias. Esta situación representa una violación flagrante a las leyes de protección de datos personales en Colombia, poniendo en riesgo la privacidad de los inspaniduos (sic) y exponiendo la reputación de las empresas y entidades involucradas. Además, es importante destacar que esta brecha de seguridad ha permanecido abierta y no ha sido reportada al SIC ni subsanada. Esto significa que estos documentos sensibles podrían haber estado circulando en el internet oscuro durante un tiempo indeterminado, aumentando aún más el riesgo y el impacto de esta violación a la privacidad.

reportada al SIC ni subsanada. Esto significa que estos documentos sensibles podrían haber estado circulando en el internet oscuro durante un tiempo indeterminado, aumentando aún más el riesgo y el impacto de esta violación a la privacidad. Versión PúblicaRESOLUCIÓN NÚMERO 79163 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 2 de 25

1.3 Es crucial entender que esta situación no corresponde a un ataque informático, sino a una simple acumulación de malas prácticas. La falta de controles de seguridad adecuados y la negligencia en la protección de datos han llevado a esta exposición masiva de información sensible y su circulación libre al publico (sic). Este incidente resalta un problema común y preocupante: las empresas y entidades, cuando contratan, suelen no evaluar la seguridad de la información de sus proveedores o considerarla como u n factor de decisión, la prioridad se inclina hacia menor costo, sin considerar las posibles amenazas a la seguridad de la información.

1.4 Este descuido puede llevar a brechas de seguridad como la actual, que exponen los datos de las empresas, entidades y de sus clientes. Es imperativo que las empresas y entidades tomen medidas inmediatas para remediar esta situación y garantizar que no se repita en el futuro. Esto incluye la consideración de la seguridad de la información al seleccionar y trabajar con proveedores, y no solo centrarse en la opción más económica.

1.5 La seguridad de los datos no debe ser comprometida por el coste del servicio. Se ha podido verificar que es posible acceder a documentos que incorporan datos desde los años 2019 al 2024 de las empresas mencionadas y otras. Esta filtración masiva de datos es una señal de alerta para todas las empresas y

Se ha podido verificar que es posible acceder a documentos que incorporan datos desde los años 2019 al 2024 de las empresas mencionadas y otras. Esta filtración masiva de datos es una señal de alerta para todas las empresas y entidades, subrayando la importancia de una rigurosa evaluación de la seguridad de la información.

1.6 A continuación, se proporcionan ejemplos de los documentos encontrados”. Junto con la denuncia se aportaron 9 documentos en formato PDF.

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que sirvieron como fundamento para dar apertura a la presente investigación de carácter sancionatorio.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación , mediante Resolución 10645 del 15 de marzo de 2024 se le formularon cargos a la sociedad GLOBALWORK COLOMBIA S.A.S., identificada con Nit 901.128.388-1, por la presunta vulneración de las normas de protección de datos personales, en

particular las contenidas en:

1. El literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales g) y h) del artículo 4 y el artículo 5 de la misma ley, así como los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015; y, ii) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y el artículo 9 de la

1. El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y el artículo 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

CUARTO: Que la Resolución 77518 del 11 de diciembre de 2024 le fue notificada mediante Aviso 33082 del 20 de diciembre de 2024 , según consta en la certificación expedida por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 24-386569-9 del 23 de diciembre de

2024.

QUINTO: Que, mediante escritos radicados bajo los números 24-386569 consecutivos 10, 11, 12 y 13 del 07 de enero de 2024, SILVIA LILIANA ESPINOSA ORREGO , en calidad de Representante Legal de la sociedad GLOBALWORK COLOMBIA S.A.S. , presentó ante esta Superintendencia los descargos, así como el material probatorio que pretende hacer valer en la presente investigación.

SEXTO: Que mediante Resolución 15721 del 27 de marzo de 202 5, este Despacho resolvió incorporar y tener como prueba, las obrantes a la fecha en el expediente 24-386569 con el valor probatorio que les corresponda.RESOLUCIÓN NÚMERO 79163 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 3 de 25

Así las cosas, la totalidad de las pruebas incorporadas en el expediente son las que, se enlistan a continuación:

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 3 de 25

Así las cosas, la totalidad de las pruebas incorporadas en el expediente son las que, se enlistan a continuación:

6.1 Pruebas recaudadas por esta Dirección:

6.1.1 Denuncia anónima obrante bajo el radicado 24 -386569-0 del 10 de septiembre de 2024. 6.1.2 Acta de preservación de páginas web pre - investigación suscrita por un ingeniero vinculado al Grupo de Trabajo de Informática Forense y Seguridad Digital de la Superintendencia de Industria y Comercio, obrante bajo el radicado 24-386569-3 del 25 de octubre de 2024. 6.2 Pruebas obrantes en el expediente 24-387304 acumulado al expediente 24-386569. 6.2.1 Denuncia anónima, junto con sus respectivos anexos, obrante bajo el radicado 24-387304-0 del 10 de septiembre de 2024. 6.3 Pruebas aportadas por la sociedad investigada 6.3.1 Pruebas al interior del escrito de descargos

6.3.1.1 Imágenes tomada del sitio web de la sociedad investigada, obrantes a folios 8 y 9.

6.3.1.2 Imagen captada del Manual de Políticas de Tratamiento de Datos Personales, obrante a folio 10.

6.3.1.3 Imagen de registro en la plataforma NEX FORMS, obrante a folio 10.

6.4 Pruebas aportadas junto con el escrito de descargos

6.4.1 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXXXXXXX.

6.4 Pruebas aportadas junto con el escrito de descargos

6.4.1 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXXXXXXX.

6.4.2 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXXXXXXX.

6.4.3 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXXXXXXX.

6.4.4 Copia del formato de autorización para el tratamiento de datos personales otorgada por la señora XXXXXXXXXXXXXXXX.

6.4.5 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXXXXXXX.

6.4.6 Copia del formato de autorización para el tratamiento de datos personales otorgada por la señora XXXXXXXXXXXXXXXX.

6.4.7 Copia del formato de autorización para el tratamiento de datos personales otorgada por la señora XXXXXXXXXXXXXXXX.

6.4.8 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXXXXXXX.

6.4.9 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXXXXXXX.

6.4.10 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXXXXXXX.

6.4.11 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXXXXXXX.RESOLUCIÓN NÚMERO 79163 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 4 de 25

otorgada por el señor XXXXXXXXXXXXXXXX.RESOLUCIÓN NÚMERO 79163 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 4 de 25

6.4.12 Copia del formato de autorización para el tratamiento de datos personales otorgada por el señor XXXXXXXXXXX.

6.4.13 Copia del formato de autorización para el tratamiento de datos personales otorgada por la señora XXXXXXXXXXX.

6.4.14 Copia del formato de autorización para el tratamiento de datos personales otorgada por la señora XXXXXXXXXXX.

6.4.15 Copia del formato de autorización para el tratamiento de datos personales otorgada por la señora XXXXXXXXXXX.

SÉPTIMO: Que la Resolución 15721 del 27 de marzo de 2025 le fue comunicada a SILVIA LILIANA ESPINOSA ORREGO en calidad de representante legal de la sociedad GLOBALWORK S.A.S. el día 27 de marzo de 2025, según consta en la certificación expedida por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 24 -386569-17 del 28 de marzo de

2025.

OCTAVO: Que dentro del término concedido para el efecto, mediante comunicación radicada bajo el número 24-386569, consecutivos 18 y 19 del 11 de abril de 2025, la sociedad GLOBALWORK S.A.S. , por medio de su representante legal presentó los respectivos alegatos de conclusión.

NOVENO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que

NOVENO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso

10.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 1, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)”

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones d efinidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados en la denuncia y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17 de la

probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales g) y h) del artículo 4 y el artículo 5 de la misma ley, así como los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015 ; y el literal b) del artíc ulo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y el artículo 9 de la precitada ley; en concordancia con

1 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 79163 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 5 de 25

el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción , para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente.

para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente.

10.2 Valoración probatoria y conclusiones

10.2.1. Consideraciones generales respecto a las conductas investigadas.

• De los principios rectores en el tratamiento de datos personales

Los principios que rigen la administración de datos personales tienen origen en la Constitución Política de 1991, y han sido desarrollados jurisprudencialmente por la Corte Constitucional en innumerables sentencias que han determinado su naturaleza y aplicación en dicha materia. De esta forma, se ha e stablecido que la naturaleza de dichos principios corresponde a un mandato de optimización que ordena realizar algo de acuerdo con las posibilidades jurídicas y fácticas otorgadas; mandato que deberá entrarse a ponderar en caso de que se vea involucrado en una colisión con otros principios.2

En ese sentido, la Corte Constitucional ha determinado que el Título II de la Ley 1581 de 2012, en el cual se enuncian los principios rectores en el Tratamiento de datos personales se establecen "(...) las pautas mínimas que deben seguir tanto las autoridades públicas como los particulares que se relacionan con el tratamiento de datos personales. Estos principios limitan el alcance del tratamiento y definen las pautas para que procedan las reclamaciones de acceso, inclusión, actualización, corrección y exclusión”3. En adición a lo anterior, es importante tener en cuenta que las pautas que rigen la administración de datos personales en Colombia, establecidas en la Ley Estatutaria de Protección de Datos Personales, son el resultado del desarrollo

En adición a lo anterior, es importante tener en cuenta que las pautas que rigen la administración de datos personales en Colombia, establecidas en la Ley Estatutaria de Protección de Datos Personales, son el resultado del desarrollo jurisprudencial realizado por la Corte Constitucional de los principios establecidos en instrumentos internacionales respecto a esta materia, verbigracia la Directiva 95/46 CE y el Proyecto de Principios y Recomendaciones Preliminares sobre la Protección de Datos de la Organización de Estados Americanos. En el caso en cuestión, esta Dirección observa que del conjunto de principios rectores enunciado en el artículo 4 de la Ley 1581 de 2012 y de conformidad con la fundamentación fáctica que dio origen a la presente investigación, podrían verse afectados con la conducta indagada los principios de libertad, circulación restringida y seguridad.

(i) Del principio de libertad En primer lugar, respecto del principio de libertad, considerado como pilar fundamental en la protección de datos personales, esta Delegatura advierte que es un principio con relevancia constitucional. Así, el principio de libertad, enunciado en el literal c) del artículo 4 de la Ley 1581 de 2012 requiere que el consentimiento otorgado por el Titular de la información sea previo, expreso e informado, para que sea posible realizar el tratamiento de la misma . En consecuencia, de acuerdo con la Corte Constituc ional, este principio "(...) permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos . También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente"4

ser utilizada o no en bases de datos . También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente"4

2 Cfr. Corte Constitucional, Sentencia C-1011 de 2008. M.P. Jaime Córdoba Triviño 3 Ídem 4 Corte Constitucional, Sentencia C-748 del 06 de octubre de 2011. MP Dr. Jorge Ignacio Pretelt Chaljub.RESOLUCIÓN NÚMERO 79163 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 6 de 25

Continuando con la misma línea argumentativa, en Sentencia C -1011 de 2008 la Corte Constitucional manifestó que el ejercicio efectivo de la libertad de la que goza el Titular de la información en los procesos informáticos se concreta en la autorización previa, expresa y suficiente, debido a que: "(…) Para la Constitución, la libertad del sujeto concernido significa que la administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momento y lugar pueda conocer en dónde es tá su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La eliminación de la autorización previa, expresa y suficiente para la incorporación del dato en los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del todo incompatibles con los derechos y garantías propios del habeas data”

los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del todo incompatibles con los derechos y garantías propios del habeas data”

Por consiguiente, teniendo en cuenta lo establecido por la Corte frente a los tres elementos que constituyen el consentimiento calificado al que se refiere el principio rector de la libertad en el Tratamiento de datos personales, el Titular de la informaci ón otorga su autorización a un Responsable o Encargado del mismo, conforme a la ley, cuando: (i) la confirió antes de incorporarse el dato; (ii) es inequívoca y, bajo ninguna situación, puede ser tácita, entre otras cosas porque el consentimiento debe ser explícito y concreto a la finalidad especifica de la base de datos; y, (ii) es otorgada de manera consciente. (ii) Del principio de acceso y circulación restringida De otro lado, se encuentra el principio de acceso y circulación restringida, el cual establece que el tratamiento de la información personal debe sujetarse a los límites que se derivan de la naturaleza del dato, las disposiciones legales sobre la materia y la Constitución Nacional y que dicho tratamiento solo puede hacerlo la persona que se encuentre autorizada por el Titular o las personas previstas en la ley. Adicionalmente, este principio prohíbe que los datos personales, a excepción de la información pú blica, se encuentren disponibles en internet, a menos que se cuente con un acceso técnicamente controlable que garantice el conocimiento restringido de los mismos únicamente al Titular o a los terceros autorizados conforme a la Ley. En efecto, considera la Corte Constitucional que en lo relacionado con la

menos que se cuente con un acceso técnicamente controlable que garantice el conocimiento restringido de los mismos únicamente al Titular o a los terceros autorizados conforme a la Ley. En efecto, considera la Corte Constitucional que en lo relacionado con la publicación de datos semiprivados, privados o sensibles 5 en medios de comunicación masiva, verbigracia Internet, ateniendo a las siguientes consideraciones: "(..) sólo podrían ser publicados si se ofrecen todas las garantías. De lo anterior se infiere que si el sistema permite el acceso con la simple digitación de la cédula, no es un sistema que cumpla con los requerimientos del inciso segundo del literal f) del artículo 4. Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella. De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. De otra parte, cabe señalar que aún (sic) cuando se trate de información pública, su divulgación y circulación está sometida a los limites específicos determinados por el objeto y finalidad de la base de datos. Por lo anterior, entiende esta Dirección que en los casos en que los datos personales divulgados en un portal web tengan la categoría de datos sensibles, el Responsable de dicho Tratamiento de información únicamente cumple con lo dispuesto por el principio de acceso y circulación restringida si demuestra que sólo se puede acceder a los mismos utilizando medidas de control técnico

5 ÍdemRESOLUCIÓN NÚMERO 79163 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

sólo se puede acceder a los mismos utilizando medidas de control técnico

5 ÍdemRESOLUCIÓN NÚMERO 79163 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 7 de 25

efectivas que garanticen el conocimiento restringido de dichos datos personales única y exclusivamente al Titular, o a los terceros que este autorizó. (iii) Del principio de seguridad Por último, se encuentra el principio de seguridad, el cual impone a los Responsables y Encargados del Tratamiento de la información personal el deber de mantener la misma en condiciones de seguridad tales que impidan la adulteración, pérdida, consulta, uso o acceso a terceros no autorizados. Con el principio de seguridad la ley impuso un claro deber a los Responsables y Encargados del Tratamiento de datos personales de establecer controles de seguridad, acorde con el tipo de datos que traten y el volumen, trazabilidad y sensibilidad de la información que administren, con el fin de que efectivamente se garantice la protección de la información personal de los Titulares. 10.2.2 Del deber de conservar la información bajo medidas de seguridad para necesarias para impedir su adulteración, pérdida o acceso no autorizado.

El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada no sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial ate nción por parte de la

autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial ate nción por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C -748 de 2011, así:

“De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulteriores transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se

encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. (…)6”(Se destaca).

De esta manera, el Responsable deberá tener en cuenta tanto la cantidad como la naturaleza de los datos contenidos en la base de datos, haciendo que dichas medidas o controles de seguridad sean directamente proporcionales a estos factores. Especialmente se debe tener presente que a pesar de que exista

De esta manera, el Responsable deberá tener en cuenta tanto la cantidad como la naturaleza de los datos contenidos en la base de datos, haciendo que dichas medidas o controles de seguridad sean directamente proporcionales a estos factores. Especialmente se debe tener presente que a pesar de que exista previamente una autorización por parte del titular para el tratamiento de su información personal, la divulgación, circulación y acceso de los datos tiene que estar controlado y restringido frente a terceros n o autorizados. Únicamente de esta forma, se cumplirá con los estándares exigidos por la Ley. En la presente actuación, se pudo establecer que la información de aproximadamente doscientos mil (200.000) titulares quedó disponible para su consulta por cualquier persona en internet, evidenciando la ausencia de medidas conservación de la información idóneas y de controles de seguridad necesarios para mitigar los riesgos de filtración de datos personales en la red, por tanto debe entenderse que l a información que los Responsables y Encargados

6 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub.RESOLUCIÓN NÚMERO 79163 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 8 de 25

recolectan, almacenan y procesan —ya sea de clientes, empleados o proveedoresno es simplemente un activo comercial , sino un reflejo de la identidad, la intimidad y la dignidad de l os Titulares . Su exposición indebida puede tener consecuencias graves e irreparables, piénsese en la suplantación de identidad y fraudes financieros, hasta extorsiones, discriminación y afectaciones profundas a la vida privada.

puede tener consecuencias graves e irreparables, piénsese en la suplantación de identidad y fraudes financieros, hasta extorsiones, discriminación y afectaciones profundas a la vida privada.

Una vez revisada la descripción literal del principio y el deber de seguridad, si bien no establecen específicamente cuáles son las medidas conducentes para brindar seguridad a los registros para evitar la "adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento (de la información)" , sí señala que deben implementarse las medidas necesarias. Es más, el mismo artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, el cual introdujo en la en nuestro ordenamiento jurídico el concepto de Accountability o de responsabilidad demostrada, hace énfasis en dicha situación, cuando dispone que "( l)os responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Super