SIC - Resolucion RE8845-2026 de 2025

Página 1 de 13

RESOLUCIÓN NÚMERO 8845 DE 2026

(11 de febrero de 2026)

“Por la cual se resuelve un recurso”

Radicación 19-208310

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia Industria y Comercio impuso una sanción administrativa a la sociedad SPRAY SOLUTIONS INT S.A.S identificada con NIT. 900.926.163-1 mediante Resolución N°. 51489 de 30 de julio de 2025,

en la cual se resolvió lo siguiente:

“(…)

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad SPRAY SOLUTIONS INT S.A.S ., identificada con NIT. 900.926.163 -1, de NOVENTA (90) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DIEZ MIL CUATROCIENTOS CUARENTA (10.440) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO VEINTE MILLONES SEISCIENTOS DOS MIL OCHOCIENTOS OCHENTA PESOS M/CTE ($120.602.880), por la vulneración al deber establecido en e l

BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO VEINTE MILLONES SEISCIENTOS DOS MIL OCHOCIENTOS OCHENTA PESOS M/CTE ($120.602.880), por la vulneración al deber establecido en e l literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

Parágrafo Primero. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, NIT. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el origina l de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual. (…)”

SEGUNDO: Que la Resolución N° 51489 de 30 de julio de 2025 se notificó a la sociedad SPRAY SOLUTIONS INT S.A.S por medio electrónico el día 30 de julio de 2025, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia con radicación 19-208310–31 del 4 de agosto de 2025.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 19–208310–32 el 11 de agosto de 2025 la sociedad

de 2025.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 19–208310–32 el 11 de agosto de 2025 la sociedad SPRAY SOLUTIONS INT S.A.S, interpuso recurso de reposición y en subsidio de apelación, contra la Resolución N°. 51489 de 30 de julio de 2025, mediante

el cual argumentó lo siguiente:

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 8845 DE 2026

“Por la cual se resuelve un recurso”

Página 2 de 13

3.1 Señala que la sociedad sí adoptó medidas de seguridad oportunas y efectivas para garantizar la protección de los datos personales, aunque se haya considerado lo contrario.

3.2 Indica que, los documentos requeridos por este Despacho fueron apartados, sin embargo, aclara que las versiones entregadas tienen fecha posterior, no obstante, las medidas ya estaban implementadas antes del vencimiento de los plazos. Esto se respalda con soportes presentados y con la certificación BASC (Business Alliance for Secure Commerce o Alianza de Negocios para el Comercio Seguro) , otorgada por la entidad Work BASC Organization (órgano certificador BASC a nivel global) obtenida por la sociedad en marzo de 2022, q ue exige altos estándares de ciberseguridad.

3.3 Afirma que han desarrollado las siguientes acciones:

3.3.1 Adopción de la Política de Control y Seguridad BASC.

3.3.2 Implementación del Procedimiento de Seguridad Informática con medidas técnicas, humanas y administrativas.

3.3.3 Formalización de acuerdos de confidencialidad y manejo de la

3.3.2 Implementación del Procedimiento de Seguridad Informática con medidas técnicas, humanas y administrativas.

3.3.3 Formalización de acuerdos de confidencialidad y manejo de la información con colaboradores que acceden a datos personales.

3.3.4 Capacitaciones con estándares BASC, con énfasis en seguridad de la información.

3.3.5 “Elaboración e implementación un modelo de “Acuerdo de Confidencialidad y Manejo de la Información” el cual establece una serie de obligaciones en cabeza de la parte receptora y regula las condiciones en las cuales debe presentarse el tratamiento de la información”1.

3.4 Resalta que se crearon las siguientes medidas adicionales:

3.4.1 Elaboración del Manual de Seguridad de Datos Personales y de Gestión de Incidentes, que establece mecanismos de prevención y respuesta a brechas de seguridad.

3.4.2 Creación del Procedimiento de Tratamiento de Datos Personales, que unifica lineamientos sobre recolección, uso, almacenamiento, circulación y supresión de datos.

3.4.3 Compromiso empresarial: SPRAY SOLUTIONS INT S.A.S demuestra contar con una estructura robusta de cumplimiento y una cultura corporativa orientada a la privacidad y la protección de datos personales.

3.5 Manifiesta, que la sanción impuesta por este Despacho vulnera el principio de proporcionalidad en materia sancionatoria. Resalta que tanto la Corte Constitucional como tribunales administrativos han establecido que las sanciones deben guardar relación con la gravedad de la conducta y no ser excesivas frente a los fines de la norma.

3.6 Indica que: “si bien la regulación de protección de datos personales no

sanciones deben guardar relación con la gravedad de la conducta y no ser excesivas frente a los fines de la norma.

3.6 Indica que: “si bien la regulación de protección de datos personales no establece unos rangos específicos para la imposición de la sanción, únicamente existiendo el tope máximo (2000 SMLV), no hay un criterio que permita establecer con mayor claridad la dosimetría de l a sanción. No obstante lo anterior, el artículo 24 de la Ley 1581 de 2012 establece los criterios de graduación que deberán ser tenidos en cuenta al momento de decidir sobre la sanción a imponer, a saber: (a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley; (b) el beneficio

1 Radicado 19-208310 Consecutivo 32 Página 2 folio 3RESOLUCIÓN NÚMERO 8845 DE 2026

“Por la cual se resuelve un recurso”

Página 3 de 13

económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; (c) la reincidencia en la comisión de la infracción; (d) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la SIC; (e) la renuencia o desacato a cumplir las órdenes impartidas por la SIC; (f) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”2.

3.7 Señala, que se aplicó el agravante relacionado con daño o peligro a los intereses jurídicos, sin demostrar la existencia real o potencial del mismo

imposición de la sanción a que hubiere lugar”2.

3.7 Señala, que se aplicó el agravante relacionado con daño o peligro a los intereses jurídicos, sin demostrar la existencia real o potencial del mismo ni su dimensión. Sostiene, que no hubo afectación ni riesgo relevante, puesto que ya contaba n con medidas de seguridad y lineamientos internos implementados desde antes del plazo, por lo que dicho agravante no debió aplicarse. Aun si se reconociera un riesgo, este debía valorarse como mínimo.

3.8 Indica que, al momento de imponer la sanción, se tuvo en cuenta el tamaño e ingresos de la empresa para calcularla. Sin embargo, al comparar con otras decisiones administrativas de esta entidad entre los años 2023-2024, se observa que 12 compañías fueron sancionadas por la misma falta , sin embargo, recibieron multas mucho menores (promedio de $17.206.000 y un máximo de $82.570.540), incluso tratándose de organizaciones con ingresos diez veces superiores y, en varios casos, con agravantes aplicables. En contraste, SPRAY SOLUTIONS INT S.A.S, sin agravantes y con reconocimiento expreso de la falta, recibió una de las sanciones más altas en los últimos años.

3.9 En consecuencia, solicita a este Despacho se revoque la sanción, teniendo en cuenta que se logró acreditar que no existió negligencia, que las órdenes sí fueron cumplidas en la práctica y que no hay riesgos para los derechos de los titulares. Adicionalmente, y dado que considera que hubo un exceso en la dosificación de la sanción, solicita se revise el monto de la sanción impuesto, a fin de asegurar una aplicación razonable y

derechos de los titulares. Adicionalmente, y dado que considera que hubo un exceso en la dosificación de la sanción, solicita se revise el monto de la sanción impuesto, a fin de asegurar una aplicación razonable y proporcional del régimen sancionatorio.

CUARTO: Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición y en subsidio de apelación contra actos administrativos de carácter sancionatorio se encuentran contemplados en la Ley 1437 de 2011

(Código de Procedimiento Administrativo y de lo Contencioso Administrativo) de la siguiente manera:

“Artículo 74. Recursos contra los activos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos.

1. El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque…”

2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito.

No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.

Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial.

(…)

2 Radicado 19-208310 Consecutivo 32 Página 2 folio 6RESOLUCIÓN NÚMERO 8845 DE 2026

“Por la cual se resuelve un recurso”

Página 4 de 13

(…)

2 Radicado 19-208310 Consecutivo 32 Página 2 folio 6RESOLUCIÓN NÚMERO 8845 DE 2026

“Por la cual se resuelve un recurso”

Página 4 de 13

Artículo 76. Oportunidad y presentación . Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el cas o. Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez

(…)

Artículo 77 Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos. Los recursos deberán reunir, además, los siguientes requisitos:

1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido.

2. Sustentarse con expresión concreta de los motivos de inconformidad.

3. Solicitar y aportar las pruebas que se pretende hacer valer.

4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio (…)”3.

QUINTO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos previstos en las citadas normas para estudiar de fondo el recurso recibido para el caso en concreto, por cuanto:

QUINTO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos previstos en las citadas normas para estudiar de fondo el recurso recibido para el caso en concreto, por cuanto:

5.1. El recurso fue interpuesto oportunamente por parte de la sociedad SPRAY SOLUTIONS INT S.A.S mediante correo electrónico del 11 de agosto de 2025 con radicación 19-208310- -00032.

5.2. En dicho escrito, se señalan con precesión las razones de disentimiento en contra de la Resolución N°. SPRAY SOLUTIONS INT S.A.S “Por la cual se impone una sanción administrativa”, las cuales se resumieron en el numeral TERCERO de este escrito.

5.3. La investigada aportó las pruebas que pretende hacer valer dentro del trámite del recurso.

5.4. Finalmente, en el recurso se señalan con claridad los datos de identificación del recurrente y sus direcciones de notificación con el objeto dar cumplimiento al principio de publicidad y dar a conocer efectivamente a la sancionada la presente decisión.

Con base en lo anterior, procederá este Despacho en ejercicio de sus funciones a estudiar el recurso interpuesto por la sancionada en lo siguiente términos:

SEXTO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimi entos previstos en la mencionada Ley y sus normas complementarias.

corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimi entos previstos en la mencionada Ley y sus normas complementarias.

SÉPTIMO: Que con base en las funciones otorgadas a esta Superintendencia y de acuerdo con los motivos de inconformidad expuestos por la recurrente, este Despacho procederá a resolver a continuación el recurso interpuesto, en el cual

se alegan esencialmente los siguientes puntos:

3 Ley 1437 de 2011 “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo”RESOLUCIÓN NÚMERO 8845 DE 2026

“Por la cual se resuelve un recurso”

Página 5 de 13

7.1 Frente a las órdenes administrativas interpuestas por esta Dirección

Sobre el particular, es necesario resaltar que los aspectos relacionados al presente cargo obedecen a la obligación que tienen los Responsables de la información, de atender oportunamente los requerimientos impartidos por esta Superintendencia, ello, en virtud de la facultad de vigilancia otorgada por la Ley 1581 de 2012, la cual establece lo siguiente:

“Artículo 19. Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimiento s previstos en la presente ley.”

De forma que, el literal o) del artículo 17 de la Ley 1581 de 2012, y los literales

principios, derechos, garantías y procedimiento s previstos en la presente ley.”

De forma que, el literal o) del artículo 17 de la Ley 1581 de 2012, y los literales e) y f) del artículo 21 de la norma en mención, señalan lo siguiente:

“Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…);

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

(…)

Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

(…)

e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;

f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones”.

En desarrollo de esta facultad, mediante Resolución N°. 34526 del 3 de junio de 2022, la Dirección de Investigación de Protección de Datos Personales ordenó a la sociedad SPRAY SOLUTIONS INT S.A.S . documentar, implementar y monitorear medidas de seguridad adecuadas y verificables para garantizar el tratamiento de los datos personales objeto de transferencia internacional, así como actualizar la información en el Registro Nacional de Bases de Datos, de conformidad con lo previsto en el artículo 25 de la Ley 1581 de 2012 y en el

tratamiento de los datos personales objeto de transferencia internacional, así como actualizar la información en el Registro Nacional de Bases de Datos, de conformidad con lo previsto en el artículo 25 de la Ley 1581 de 2012 y en el Decreto 1074 de 2015.

Para el cumplimiento de dichas órdenes se otorgó un término perentorio de DOS (2) meses, término que venció sin que la sociedad allegara prueba alguna de haber acatado las obligaciones impuestas. Fue únicamente después de más de un año y medio, y ya iniciado el procedimiento administrativo sancionatorio, que la sociedad remitió los documentos y soportes requeridos.

Este cumplimiento extemporáneo carece de eficacia jurídica frente a la infracción, toda vez que los términos fijados por la administración son obligatorios y su desconocimiento configura una conducta sancionable.RESOLUCIÓN NÚMERO 8845 DE 2026

“Por la cual se resuelve un recurso”

Página 6 de 13

Así, aun cuando la sociedad SPRAY SOLUTIONS INT S.A.S ., alegue haber adoptado medidas de seguridad con anterioridad, lo cierto es que no las acreditó ni actualizó la información en el RNBD dentro del plazo otorgado. Bajo el principio de responsabilidad demostrada (accountability), el deber del Responsable no solo es implementar medidas, sino también demostrar su adopción y eficacia ante la autoridad de control en los términos y condiciones que esta fije.

En este orden de ideas, resulta claro que la investigada incumplió el mandato expreso impartido mediante la Resolución N°. 34526 del 3 de junio de 2022, al no acreditar dentro del término de DOS (2) meses las medidas ordenadas ni

En este orden de ideas, resulta claro que la investigada incumplió el mandato expreso impartido mediante la Resolución N°. 34526 del 3 de junio de 2022, al no acreditar dentro del término de DOS (2) meses las medidas ordenadas ni actualizar oportunamente la información en el RNBD.

El hecho de allegar documentos y certificaciones de manera extemporánea no desvirtúa la infracción, pues, como lo ha precisado la jurisprudencia, el cumplimiento tardío carece de eficacia jurídica frente a órdenes perentorias de la administración.

En consecuencia, se configura un incumplimiento autónomo y sancionable, toda vez que el objeto de la investigación no se centraba en establecer si la sociedad contaba con una política de seguridad en abstracto, sino en verificar que la misma estuviera debi damente documentada, implementada, monitoreada y reportada en el tiempo fijado por la autoridad.

Permitir que el cumplimiento tardío enerve la infracción desconocería los principios de eficacia, seguridad jurídica y responsabilidad demostrada que orientan el régimen de protección de datos personales, además de propiciar un desgaste innecesario en la función de control que ejerce esta Superintendencia.

7.2 Frente a los criterios de graduación de las sanciones y el principio de proporcionalidad

En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irracionalmente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de

tenga fundamento legal, que la misma sea aplicada sin afectar irracionalmente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así:

“(…) 15.1.1 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley

De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el caso sub examine, con base en el citado literal a), esta Dirección evidencia que los cargos comprobados en contra de la sociedad SPRAY SOLUTIONS INT S.A.S . afectaron de forma real y concreta los intereses jurídicos consagrados en el régimen de protección de datos personales y sus normas complementarias, debido a que vulneraron las siguientes normas en su calidad de Responsable de la información:

El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma; toda vez que, mediante la Resolución N.º. 34526 del 3 de junio de 2022, se impartieron unas órdenes

literal f) del artículo 21 de la misma norma; toda vez que, mediante la Resolución N.º. 34526 del 3 de junio de 2022, se impartieron unas órdenes a la sociedad investigada otorgán dole un plazo de dos (2) meses para su cumplimiento, vencido el término mencionado la sociedad no acreditó elRESOLUCIÓN NÚMERO 8845 DE 2026

“Por la cual se resuelve un recurso”

Página 7 de 13

cumplimiento de lo ordenado. Adicionalmente, se aclara que a lo largo de la investigación administrativa iniciada en virtud del presunto incumplimiento la sociedad, presentó descargos, aporto pruebas y alegatos de conclusión. Sin embargo, no logró desvirtuar el cargo formulado.

En virtud de lo expuesto, se impondrá la suma de CIENTO CINCUENTA (150) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a DIECISIETE MIL CUATROCIENTOS (17.400) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a

DOSCIENTOS UN MILLONES CUATRO MIL OCHOCIENTOS PESOS

M/CTE ($201.004.800)4.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023.

15.1.2. Literal f) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la

artículo 313 de la Ley 2294 de 2023.

15.1.2. Literal f) el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción.

El criterio de atenuación señalado en el literal f) artículo 24 de la Ley 1581 de 2012 se aplicará pues en escrito de descargos presentado por la sociedad SPRAY SOLUTIONS INT S.A.S., reconoció la comisión de la infracción.

En virtud de lo expuesto se procederá a reducir las sanciones impuestas así:

Frente al cargo se reducirá la sanción impuesta a un valor de NOVENTA (90) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a DIEZ MIL CUATROCIENTOS CUARENTA (10.440) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 –

equivalentes a CIENTO VEINTE MILLONES SEISCIENTOS DOS MIL

OCHOCIENTOS OCHENTA PESOS M/CTE ($120.602.880).

15.1.3. Otros criterios de graduación

En este punto, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción; (ii) no hubo reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y; (iv) no hubo re nuencia o

económico alguno por la comisión de la infracción; (ii) no hubo reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y; (iv) no hubo re nuencia o desacato a cumplir las órdenes e instrucciones del Despacho. (…)”.

Asimismo, la sociedad argumenta que no se tuvieron en cuenta la totalidad los criterios definidos por la norma en la graduación de la sanción. En relación con esto, este Despacho considera pertinente analizar los criterios de graduación establecidos en la norma, y cómo los mismos fueron aplicados en la Resolución N.° 51489 del 30 de julio de 2025.

El artículo 24 de la Ley 1581 de 2012 establece lo siguiente:

“Artículo 24. Criterios para graduar las Sanciones . Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables:

a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio;

4 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024.RESOLUCIÓN NÚMERO 8845 DE 2026

“Por la cual se resuelve un recurso”

Página 8 de 13

febrero de 2024.RESOLUCIÓN NÚMERO 8845 DE 2026

“Por la cual se resuelve un recurso”

Página 8 de 13

e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.”

Frente a estos criterios, la Corte Constitucional en la sentencia C-748 del 2011 en el análisis de constitucionalidad de la norma estableció que:

“Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del inves tigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”5.

Así, conforme a lo señalado por la Corte, el artículo 24 de la Ley 1581 de 2012 establece seis criterios para la graduación de sanciones, de los cuales los cinco primeros constituyen circunstancias agravantes y el último corresponde a una circunstancia atenuante.

En ese orden de ideas, si bien la sociedad sostiene que “Ahora bien, aunque la Resolución menciona que en el presente caso al agravante del literal (a) es aplicable, ponemos de presente que la SIC no realizó un análisis sobre el potencial daño a los intereses jurídicos del titular o el nivel de riesgo que

Resolución menciona que en el presente caso al agravante del literal (a) es aplicable, ponemos de presente que la SIC no realizó un análisis sobre el potencial daño a los intereses jurídicos del titular o el nivel de riesgo que presentó el error de SPRAY SOLUTIONS para los intereses tutelados por la Ley 1581 de 2012. Por lo tanto, y en la medida en que no se evidencia la configuración de dicho daño (o incluso su potencialidad), consideramos que dicho agravante no debe ser aplicable. Lo anterior, teniendo en cuenta que, a pesar de no haber presentado la certificación de cumplimiento de forma oportuna, como se señaló arriba, SPRAY SOLUTIONS contaba con lineamientos de seguridad de la información e instrumentos jurídicos diseñados para regular potenciales operaciones de circulación de datos personales con terceros (a nivel nacional o internacional) para el 13 de julio de 2022” 6, lo cierto es que, al tratarse de criterios agravantes que no concurrieron en el caso concreto, estos no fueron considerados en la decisión.

En relación a esto en la Resolución N.° 51489 del 30 de julio de 2025, este

Despacho:

(i) Informó de forma clara y precisa que era aplicable el literal a), toda vez la conducta desplegada por la sociedad SPRAY SOLUTIONS INT S.A.S. puso en peligro real y concreto los intereses jurídicos tutelados por la Ley 1581 de 2012, en tanto que incumplió las órdenes impartidas mediante la Resolución N°. 34526 del 3 de junio de 2022 dentro del término de DOS (2) meses concedidos para su cumplimiento. Tal omisión vulneró de manera directa los

2012, en tanto que incumplió las órdenes impartidas mediante la Resolución N°. 34526 del 3 de junio de 2022 dentro del término de DOS (2) meses concedidos para su cumplimiento. Tal omisión vulneró de manera directa los deberes previstos en el literal o) del artículo 17 y en el literal f) del artículo 21 de la Ley 1581 de 2012, afectando el adecuado ejercicio del régimen de protección de datos personales.

(ii) Se señaló que se aplicó el criterio de atenuación previsto en el literal f) del artículo 24 de la Ley 1581 de 2012, toda vez que la sociedad reconoció en el escrito de descargos, y aceptó de manera expresa la comisión de la infracción antes de la imposición de la sanción. Dicha manifestación constituye un reconocimiento expreso que permite reducir la sanción, toda vez que refleja un grado de colaboración con la autoridad de control y una aceptación de responsabilidad que coadyuva al cumplimiento de los fines p