SIC - Resolucion RE87414-2025 de 2025

Página 1 de 26

RESOLUCIÓN NÚMERO 87414 DE 2025

(28 de octubre de 2025)

“Por la cual se impone una sanción administrativa”

Radicación 24-448615

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN

DE DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO. Que mediante la Resolución N.º 86549 del 05 de diciembre de 2022, la Dirección de Hábeas Data en el marco del radicado 22-54815 ordenó a la sociedad BANCO SERFINANZA S.A.- en adelante, “la investigada” - con NIT. 860.043.186-6 lo siguiente:

“ARTÍCULO PRIMERO: Ordenar a la sociedad BANCO SERFINANZA S.A, identificada con Nit. 860.043.186-6, para que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, elimine el número de celular XXXXXXXXX en su relación con la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX, identificado (sic) con cédula de ciudadanía No. XXXXXXXXXXXXX de sus bases de datos, de tal manera que cese el contacto a dicho abonado telefónico, teniendo en cuenta que dicha sociedad posiblemente incumplió el literal

(sic) con cédula de ciudadanía No. XXXXXXXXXXXXX de sus bases de datos, de tal manera que cese el contacto a dicho abonado telefónico, teniendo en cuenta que dicha sociedad posiblemente incumplió el literal e) del artículo 8 de la Ley 1581 de 2012.

PARÁGRAFO PRIMERO: La sociedad BANCO SERFINANZA S.A deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

PARÁGRAFO SEGUNDO : El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad BANCO SERFINANZA S.A acreedora de las sanciones previstas en la Ley. (…)”1.

SEGUNDO. Que la sociedad BANCO SERFINANZA S.A. fue notificada de la Resolución N.º 86549 del 05 de diciembre de 2022, mediante aviso el día 16 de diciembre de 2022, de conformidad con la certificación expedida por la Secretaria General AD-HOC de esta Superintendencia del 16 de diciembre de 2022, obrante en el expediente, bajo el Radicado N.º 22-54815-17.

TERCERO. Que transcurrido el término otorgado mediante la N.º 86549 del 05 de diciembre de 2022 la sociedad BANCO SERFINANZA S.A. guardó silencio y no acreditó el cumplimiento de la orden impartida.

1 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folio 7.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 87414 DE 2025

1 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folio 7.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 87414 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 26

CUARTO. Que mediante Resolución N.º 73072 del 26 de noviembre de 20242 la Dirección de Investigaciones de Protección de Datos Personales resolvió iniciar investigación administrativa contra la sociedad BANCO SERFINANZA S.A.- en adelante, “la investigada” - con NIT. 860.043.186-6, por la presunta vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma.

De acuerdo con lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la sociedad investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendiera hacer valer dentro de la presente actuación administrativa.

QUINTO. Que la investigada fue notificada de la Resolución N.º 73072 del 26 de noviembre de 2024 de manera electrónica , el 2 de diciembre de 2024, de conformidad con la certificación expedida por la Secretaria General AD-HOC de esta Superintendencia del 5 de diciembre de 2024, obrante en el expediente, bajo el Radicado N.º 24-448615-8.3

SEXTO. Que la investigada , a través de su apoderado, presentó escrito de descargos dentro del término procesal para ello, esto es, el 20 de diciembre de

bajo el Radicado N.º 24-448615-8.3

SEXTO. Que la investigada , a través de su apoderado, presentó escrito de descargos dentro del término procesal para ello, esto es, el 20 de diciembre de 2024 bajo el radicado 24-448615-00009-0000 del 23 de diciembre de 2024 4, mediante el cual expuso sus argumentos de defensa y aportó los medios de prueba que pretende hacer valer en la presente actuación. Sobre el cargo único formulado expuso lo siguiente:

6.1. Que el BANCO SERFINANZA S.A. dispone de una Política de Protección de Datos Personales, así como de su respectivo Manual. Asimismo, informa que ha implementado medidas internas de cumplimiento aplicables a todas sus áreas, incluyendo la Unidad de Seguridad de la Información y Ciberseguridad, así como el área de Atención al Consumidor Financiero. Entre dichas medidas, se destacan las siguientes:

• Asegurar que los datos personales sean utilizados exclusivamente para los fines legítimos y comunicados al titular, tales como la gestión comercial, el cumplimiento de obligaciones legales y la prevención de actividades ilícitas. - Implementar controles estrictos y medidas tecnológicas avanzadas para proteger la integridad, disponibilidad y confidencialidad de los datos personales. - Facilitar a los titulares el ejercicio de sus derechos de acceso, actualización, rectificación, cancelación, revocatoria y oposición a través de mecanismos efectivos y gratuitos. - Realizar programas de formación continua para empleados y contratistas, además de auditorías internas y externas que evalúan la conformidad con las normativas internas y externas aplicables.

través de mecanismos efectivos y gratuitos. - Realizar programas de formación continua para empleados y contratistas, además de auditorías internas y externas que evalúan la conformidad con las normativas internas y externas aplicables.

6.2. Que el BANCO SERFINANZA S.A. informa que, desde el año 2022, ha implementado un programa de cumplimiento en conjunto con asesores jurídicos externos, con el fin de garantizar que sus operaciones se desarrollen conforme a los principios de legalidad, transparencia, seguridad y responsabilidad. En el marco de dicho programa, se elaboró un informe técnico que se presenta ante este Despacho como anexo.

6.3. Respecto a la “Garantía del derecho a la supresión de información” la sociedad investigada señaló expresamente lo siguiente:

“En respuesta a las solicitudes presentadas por la titular, el Banco Serfinanza procedió con la eliminación del número de teléfono fijo de la base de datos destinada a las gestiones de cobro. Esta acción fue confirmada en varias

2 Expediente digital 24-448615. Actos Administrativos. RE 73072 2024/11/26. Folios 12. 3 Expediente Digital 24-448615. Consecutivo número 8. Página 1. Folios 1. 4 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 1 al 26.RESOLUCIÓN NÚMERO 87414 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 26

ocasiones mediante comunicaciones oficiales enviadas a la titular, destacando los siguientes hitos:

• Primera solicitud: El 18 de enero de 2022, XXXX XXXXXXXXX XXXXXXXXX

Página 3 de 26

ocasiones mediante comunicaciones oficiales enviadas a la titular, destacando los siguientes hitos:

• Primera solicitud: El 18 de enero de 2022, XXXX XXXXXXXXX XXXXXXXXX XXXXXX solicitó eliminar su línea fija y que las gestiones de cobro fueran realizadas exclusivamente a su número de celular. El Banco atendió esta solicitud y confirmó, mediante comunicación del 31 de enero de 2022, que las actualizaciones requeridas habían sido implementadas en su sistema.

• Reiteraciones atendidas: Ante las reiteraciones de la consumidora el 14 de febrero y el 3 de marzo de 2022, el Banco respondió el 21 de febrero y el 15 de marzo de 2022, respectivamente, ratificando que la línea fija había sido eliminada de su base de datos y que, en consecuencia, no se realizarían más gestiones de cobro a través de este canal. Estas respuestas demuestran la debida diligencia y el compromiso del Banco en el cumplimiento del derecho de supresión de información personal, garantizando que lo s datos no requeridos fueran eliminados conforme a lo solicitado por la titular.

Asimismo, es importante destacar que, desde febrero de 2022, el Banco no ha efectuado gestiones de cobro utilizando la línea fija de la consumidora. Estas acciones reflejan la alineación de las prácticas del Banco con los principios de respeto, transparenc ia y protección de los derechos de los titulares de datos personales, en conformidad con las disposiciones normativas aplicables.”

6.4. Respecto al cargo único la sociedad investigada indicó que “reconoce su deber de atender las instrucciones y requerimientos impartidos por la Superintendencia de Industria y Comercio en su calidad de responsable del

normativas aplicables.”

6.4. Respecto al cargo único la sociedad investigada indicó que “reconoce su deber de atender las instrucciones y requerimientos impartidos por la Superintendencia de Industria y Comercio en su calidad de responsable del tratamiento de datos personales. Sin embargo, es necesario señalar que la falta de respuesta oportu na a los requerimientos obedeció a factores excepcionales y no a una actitud deliberada de desconocer las obligaciones legales, así como tampoco una práctica común o sistemática dentro de la organización”.

6.5. Que el BANCO SERFINANZA S.A. señala que la falta de respuesta a los requerimientos formulados se debió a un “error humano derivado de fallas en la administración del correo electrónico del Banco ” vinculado con la administración del correo electrónico institucional. En particular, la sociedad investigada manifestó lo siguiente:

“… el sistema de correo electrónico del Banco no estaba configurado para priorizar las notificaciones provenientes del dominio @sic.gov.co, lo que permitió que estos mensajes se confundieran entre otras comunicaciones, reduciendo la probabilidad de que fue ran detectados y gestionados oportunamente. Como resultado, la falta de contestación a los requerimientos generó la percepción de un posible incumplimiento de las obligaciones del Banco Serfinanza frente a la SIC.”

6.6. A partir de este hecho, la sociedad investigada manifiesta que ha implementado medidas correctivas para la optimización de los procesos internos y el fortalecimiento tecnológicos , tales como, la optimización del sistema del correo electrónico. Esta mejora se encuentra documentada en uno de los anexos denominado “Certificación de Configuración de la Regla de Notificaciones Judiciales”.

6.7. También señala en el documento de descargos , que las sanciones que

sistema del correo electrónico. Esta mejora se encuentra documentada en uno de los anexos denominado “Certificación de Configuración de la Regla de Notificaciones Judiciales”.

6.7. También señala en el documento de descargos , que las sanciones que impone la Superintendencia de Industria y Comercio debe atender el principio de proporcionalidad , en el marco del derecho administrativo sancionador. En este punto, aduce la sociedad investigada que “no ha trasgredido las disposiciones esenciales de la Ley 1581 de 2012. La solicitud del titular fue atendida de manera eficiente, eliminando los datos personales requeridos y respetando el derecho fundamental 19 al hábeas data. Además, el Banco ha demostra do un compromiso continuo con el respeto de los principios de protección de datos personales, implementandoRESOLUCIÓN NÚMERO 87414 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 26

medidas correctivas y preventivas que fortalecen sus procesos internos y garantizan el cumplimiento normativo.”

6.8. Finalmente, señala que la imposición de una sanción pecuniaria por parte de este Despacho sería una medida desproporcionada , que, por el contrario, una orden administrativa permite “abordar la situación de manera integral y eficiente, asegurando tanto la restauración del orden jurídico como la protección del interés público.”.

SÉPTIMO. Que de acuerdo con los documentos recaudados por esta Dirección de manera preliminar y los documentos aportados con los descargos, esta instancia dispuso incorporar las siguientes pruebas mediante la Resolución N .° 58867 del 15 de agosto de 20255 y correr traslado por 10 días para que la

de manera preliminar y los documentos aportados con los descargos, esta instancia dispuso incorporar las siguientes pruebas mediante la Resolución N .° 58867 del 15 de agosto de 20255 y correr traslado por 10 días para que la sociedad investigada presentara los alegatos de conclusión:

7.1. Resolución N.º 86549 del 5 de diciembre de 2022 por la cual la Dirección de Habeas Data imparte una orden administrativa a la sociedad BANCO

SERFINANZA S.A.6

7.2. Correo electrónico remitido por la Titular de la información el 11 de febrero de 2022 , en el que manifiesta su inconformidad con la sociedad investigada por contactarla al número telefónico XXXXXXXXXX, el cual, según lo manifiesta, ha solicitado eliminar de las bases de datos.7

7.3. Requerimiento de información dirigido a la sociedad BANCO SERFINANZA S.A. por parte de la Coordinador del Grupo de Trabajo de Tratamiento de Datos Personales de fecha 11 de octubre de 2022.8

7.4. Certificación de notificación mediante aviso N.º 34454 de la Resolución N.º 86549 del 5 de diciembre de 2022, expedida por la Secretaria General AD-HOC de esta Superintendencia el 16 de diciembre de 2022.9

7.5. Requerimiento de información dirigido a la sociedad BANCO SERFINANZA S.A. por parte de la Coordinador del Grupo de Trabajo de Tratamiento de Datos Personales de fecha 23 de julio de 2024.10

7.6. Escrito de descargos presentado por la sociedad BANCO SERFINANZA S.A. el 20 de diciembre de 2024 bajo el radicado 24-448615-00009-0000

7.6. Escrito de descargos presentado por la sociedad BANCO SERFINANZA S.A. el 20 de diciembre de 2024 bajo el radicado 24-448615-00009-0000 del 23 de diciembre de 2024 11. Al cual, se adjuntan los siguientes documentos:

7.6.1. Poder especial otorgado por la sociedad BANCO SERFINANZA S.A., al abogado ANDRÉS FELIPE DÍAZ ARANA.12 7.6.2. Solicitud única de vinculación de clientes de la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX con la sociedad BANCO SERFINANZA S.A..13 7.6.3. Respuesta del 31 de enero de 202 2 de la sociedad BANCO SERFINANZA S.A a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX.14 7.6.4. Respuesta del 2 de febrero de 2022 de la Defensoría del Consumidor Financiero a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX, respecto a la reclamación 04-023-20225 Expediente Digital 24-448615. Actos Administrativos. RE 58867 2025/08/15 6 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folios 1 al 9. 7 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folio 10. 8 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folios 11 al 12. 9 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folio 13. 10 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folios 14 y 15.

9 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folio 13. 10 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folios 14 y 15. 11 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 1 al 26. 12 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 28 al 30. 13 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 32 a 36. 14 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 37.RESOLUCIÓN NÚMERO 87414 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 26

01-19-2 contra la sociedad BANCO SERFINANZA S.A..15 7.6.5. Respuesta del 21 de febrero de 2022 de la sociedad BANCO SERFINANZA S.A a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX y soporte de envío16 7.6.6. Respuesta del 15 de marzo de 2022 de la sociedad BANCO SERFINANZA S.A a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX y soporte de envío.17 7.6.7. Certificación de configuración de la Regla de Notificaciones Judiciales “Gestión de Corres de Dominio SIC”.18 7.6.8. Informe técnico de debida diligencia del Banco Serfinanza en PUNITECH.19 7.6.9. Balance general y el estado de pérdidas y ganancias 2021.20 7.6.10. Balance general y el estado de pérdidas y ganancias 2022.21

PUNITECH.19 7.6.9. Balance general y el estado de pérdidas y ganancias 2021.20 7.6.10. Balance general y el estado de pérdidas y ganancias 2022.21 7.6.11. Balance general y el estado de pérdidas y ganancias 2023.22

OCTAVO. Que a la investigada le fue comunicada la Resolución N.º 58867 del 15 de agosto de 2025 en la misma fecha de expedición del acto administrativo, de conformidad con la certificación expedida por la Secretaria General AD -HOC de esta Superintendencia el 19 de agosto del 2025 bajo el Radicado N.º 24448615- -13.23

NOVENO. Que la sociedad investigada a través de apoderado presentó escrito de alegatos de conclusión dentro del término legal, esto es, el 29 de agosto del 2025 bajo el radicado N°. 24-448615- -00014-0000 del 1 de septiembre del 2025, en el que reiteró lo manifestado en el escrito de descargos y agregó lo siguiente:

9.1. La sociedad investigada presenta un análisis relacionado con el ius puniendi, citando apartes de la jurisprudencia de la Corte Constitucional. Posteriormente, enfoca su argumentación en el poder sancionador de la administración pública y concluye con consideraciones sobre la función de inspección, vigilancia y control ejercida por la Superintendencia.

9.2. En cuanto al cargo único formulado por este Despacho , la sociedad investigada aporta dentro de los documentos allegados como prueba “el “Informe Técnico de Cumplimiento” PUNITECH® presentado en diciembre de 2024, el cual da cuenta del desarrollo, avance y consolidación del

investigada aporta dentro de los documentos allegados como prueba “el “Informe Técnico de Cumplimiento” PUNITECH® presentado en diciembre de 2024, el cual da cuenta del desarrollo, avance y consolidación del programa de cumplimiento normativo en protección de datos personales implementado por el Banco Serfinanza desde el año 2022.”

9.3. La sociedad sostiene que el programa descrito en el informe mencionado en el numeral anterior ha sido implementado internamente con el propósito de dar cumplimiento a las disposiciones legales en materia de protección de datos personales. En ese sentido, resalta que dicho informe concluye que “el Banco Serfinanza ha alcanzado un nivel de cumplimiento ALTO en materia de tratamiento de datos personales, destacando la solidez de su arquitectura normativa y el compromiso institucional 12 con la mejora continua y la adecuación al marco legal vigente. Esta evidencia permite afirmar que el Banco ha actuado con debida diligencia y transparencia frente a sus deberes legales, adoptando medidas estructurales orientadas no solo a subsanar posibles falencias, sino

15Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 38. 16 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 40 a 41. 17 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 43 a 44 18 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 46 a 48. 19 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 50 a 68 20 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 71 a 72

19 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 50 a 68 20 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 71 a 72 21 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 74 a 75 22 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 77 a 78 23 Expediente Digital 24-448615. Consecutivo número 13. Página 1.RESOLUCIÓN NÚMERO 87414 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 26

también a prevenir su repetición.”.

9.4. Adicionalmente, presentan la “Certificación de Configuración de la Regla de Notificaciones Judiciales – Gestión de Correos de Dominio SIC” suscrita por el Departamento de Tecnología de la Información el 10 de diciembre de 2024. Lo anterior, como medida correctiva para la priorización y categorización de las notificaciones respecto a los mensajes que reciban con el dominio @sic.gov.co.

9.5. En relación con las comunicaciones enviadas por la titular de la información a la sociedad investigada, solicitando la eliminación de su número fijo de las bases de datos utilizadas para las gestiones de cobro, esta última afirma haber respondido a las tres solicitudes de la siguiente manera:

“• Primera solicitud: El 18 de enero de 2022, XXXX XXXXXXXXX XXXXXXXXX XXXXXX solicitó eliminar su línea fija y que las gestiones de cobro fueran realizadas exclusivamente a su número de celular. El Banco atendió esta solicitud y confirmó, mediante

“• Primera solicitud: El 18 de enero de 2022, XXXX XXXXXXXXX XXXXXXXXX XXXXXX solicitó eliminar su línea fija y que las gestiones de cobro fueran realizadas exclusivamente a su número de celular. El Banco atendió esta solicitud y confirmó, mediante comunicación del 31 de enero de 2022, que las actualizaciones requeridas habían sido implementadas en su sistema.

• Reiteraciones atendidas: Ante las reiteraciones de la consumidora el 14 de febrero y el 3 de marzo de 2022, el Banco respondió el 21 de febrero y el 15 de marzo de 2022, respectivamente, ratificando que la línea fija había sido eliminada de su base de datos y que, en consecuencia, no se realizarían más gestiones de cobro a través de este canal.

• Asimismo, es importante destacar que, desde febrero de 2022, el Banco no ha efectuado gestiones de cobro utilizando la línea fija de la consumidora.”

9.6. De otra parte, la sociedad investigada aduce que en el presente caso, los derechos de la titular de la información fueron garantizados de forma previa a la intervención de la Superintendencia. De manera específica señala sobre el particular lo siguiente:

“En este contexto, la omisión en la remisión oportuna de la acreditación del cumplimiento no puede equipararse a una vulneración sustancial de los derechos de la titular. La Ley 1581 de 2012, en su artículo 1, establece como objeto principal la protección d e los derechos fundamentales, libertades y garantías de los titulares. La normativa sobre protección de datos debe subordinarse, por tanto, a la eficacia de los derechos fundamentales del individuo, privilegiando la restauración

establece como objeto principal la protección d e los derechos fundamentales, libertades y garantías de los titulares. La normativa sobre protección de datos debe subordinarse, por tanto, a la eficacia de los derechos fundamentales del individuo, privilegiando la restauración material de los derechos so bre el cumplimiento de formalismos administrativos. Por lo tanto, cualquier eventual incumplimiento formal en la remisión oportuna de acreditaciones carece de trascendencia material y no justifica la imposición de una sanción -mucho menos si es de carácter pecuniaria-. Esto resultaría desproporcionado y contrario a los principios de proporcionalidad y de necesidad, que rigen el derecho administrativo sancionador:”

En este apartado, la sociedad sostiene que este Despacho “deberá” concluir que, en el presente caso, corresponde imponer una orden administrativa y no una sanción pecuniaria.

9.7. Finalmente, la sociedad investigada presenta dos solicitudes dentro de su escrito de alegatos de conclusión:

1. Ordenar el archivo de la investigación por la inexistencia de la infracción al literal o) del artículo 17 de la Ley 1581 de 2012. ii. Deforma subsidiaria, si este Despacho resuelve que la sociedad investigada efectivamente trasgredió la norma, la sociedad solicita que se impartan medidas correctivas de car ácter pedagógico yRESOLUCIÓN NÚMERO 87414 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 26

preventivo.

DÉCIMO. Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le

Página 7 de 26

preventivo.

DÉCIMO. Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO. Análisis del caso

11.1. Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 20116, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, e n términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

Atendiendo los parámetros señalados por la citada jurisprudencia, en el caso concreto, se tiene que la sociedad BANCO SERFINANZA S.A. con N IT. 860.043.186-6, vulneró presuntamente lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma; al no dar cumplimiento a lo ordenado mediante la Resolución N.° 86549 del 05 de diciembre de 2022.

artículo 21 de la misma norma; al no dar cumplimiento a lo ordenado mediante la Resolución N.° 86549 del 05 de diciembre de 2022.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el conjunto de pruebas obrantes en el expediente.

11.2. Valoración probatoria y conclusiones

11.2.1. Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio

Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente:

“Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.”

Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente:

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

(…)RESOLUCIÓN NÚMERO 87414 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 26

b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre

Página 8 de 26

b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

(…)

e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;

(…)” (Cursiva y negrilla fuera de texto)

En primer lugar, es importante recordar que, en el presente caso, la parte considerativa de la Resolución N.° 86549 del 5 de diciembre de 2022 señaló lo siguiente:

“6.1 Respecto del silencio de los Responsables frente a los Requerimientos de esta Superintendencia Teniendo en cuenta que la sociedad BANCO SERFINANZA S.A, no respondió al requerimiento realizado por este Despacho el día 11 de octubre de 2022 (Consecutivo No. 22-54815-7), es preciso tener en cuenta en el caso particular que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (Ley 1437 de 2011) dispone lo siguiente:

‘(…) Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión que será motivada’ (…).

Por otra parte, el artículo 176 del Código General del Proceso señala que:

opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión que será motivada’ (…).

Por otra parte, el artículo 176 del Código General del Proceso señala que:

‘Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana crítica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos (…)’.

Atendiendo las reglas citadas, se encuentra que en el presente caso vencido el término otorgado por esta Superintendencia para que la sociedad BANCO SERFINANZA S.A, rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, no se pronun ció al respecto; es decir, guardó silencio, pese a que el requerimiento de información fue notificada (sic) el 11 de octubre de 2022 al correo electrónico de notificación judicial que aparece en el Certificado de Existencia y Representación Legal de la soc iedad, que para el efecto corresponde al correo notificacionesjudiciales@bancoserfinanza.com

(…)

Razón por la cual, se tendrá en cuenta con mayor énfasis lo informado por la titular en su queja y lo que éste allegó al expediente, a la hora de resolver el presente asunto.

El oficio identificado con el número de radicado 22 -54815-7, fechado el 11 de octubre de 2022 , fue remitido a la dirección electrónica notificacionesju