SIC - Resolucion RE91493-2025 de 2025

Página 1 de 17

RESOLUCIÓN NÚMERO ________91493_________ DE 2025

(7 de noviembre 2025)

Por la cual se resuelve un recurso de apelación

Radicación 24-395529

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16, del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO:

PRIMERO. Que, mediante Oficio No. 23-144597-00 del 28 de marzo de 20231, la señora xxxxx xxxxxxxxx xxxx xxxxxxx interpuso una queja en contra del Banco Davivienda S.A., (en adelante Davivienda o el Banco) por la presunta vulneración a su derecho fundamental de habeas data, en la medida que la entidad expuso a terceros su correo electrónico personal sin que mediara su autorización, cuando después de verificar una alarma de riesgo LA/FT, el 27 de marzo de 2023, envió una comunicación a la sociedad CREDIYES S.A.S. de la cual la quejosa figuraba como Representante Legal.

SEGUNDO. Que, mediante Resolución No. 79343 del 15 de diciembre de 2023, la Dirección de Habeas Data archivó la actuación por hecho superado y remitió la actuación a la Dirección de Investigaciones de Protección de Datos Personales, para que , si existía mérito para ello, iniciara una actuación de carácter sancionatorio.

TERCERO. Que la Dirección de Investigaciones de Protección de Datos

la actuación a la Dirección de Investigaciones de Protección de Datos Personales, para que , si existía mérito para ello, iniciara una actuación de carácter sancionatorio.

TERCERO. Que la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante Resolución No. 56950 del 27 de septiembre de 2024, decidió abrir una investigación administrativa y formular cargos contra Davivienda, por la presunta vulneración de lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

Para llegar a la citada decisión, la Dirección, luego de realizar un análisis de las pruebas allegadas, concl uyó que Davivienda “habría divulgado y circulado información personal de contacto de la titular con terceros no autorizados, por cuanto utilizó el correo electrónico personal suministrado por la Titular en su calidad de cliente persona natural, para remitir información dirigida a la empresa CREDIYES SAS sin que mediara autorización de la Titular para compartir su información de contacto con terceros.”

CUARTO. Que mediante Oficio No. 24-395529-09 del 30 de octubre de 2024, Davivienda presentó el escrito de Descargos , de los cuales se extrae lo siguiente:

(i) El día 27 de marzo de 2023 , motivada por una alerta que se originó en la actividad financiera ordinaria de la Sociedad Cr ediYes S.A.S., Davivienda procedió a remitir información sobre dicha alerta, al correo personal de la señora xxxxx xxxxxxxxx xxxx xxxxxxx xxxxxxxxxxx@xxxxx.xxx, quien en

1 Actuación administrativa adelantada por la Dirección de Habeas Data.

procedió a remitir información sobre dicha alerta, al correo personal de la señora xxxxx xxxxxxxxx xxxx xxxxxxx xxxxxxxxxxx@xxxxx.xxx, quien en

1 Actuación administrativa adelantada por la Dirección de Habeas Data.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO ________91493_________ DE 2025

“Por la cual se resuelve un recurso de apelación” Página 2 de 17

ese momento fungía en los registros del Banco como Representante Legal de dicha sociedad . Tal información, s e remitió igualmente a los correos electrónicos: acano.inv@gmail.com; gerencia@webkapital.co; gerencia@teavalo.com; gerencia@prestaenlinea.co, direcciones que también se encontraban relacionadas tanto con la quejosa , como con la empresa que representa.

(ii) El envío de esa solicitud de actualización a los citados correos electrónicos obedeció al ejercicio de un deber legal relacionado con la prevención del riesgo relacionado con los delitos de lavado de activos y de la financiación del terrorismo, conforme lo indica el Capítulo IV, del Título IV, de la Parte I “Instrucciones relativas a la administración deal riesgo de lavado de activos y de la financiación del terrorismo” de la Circular Básica Jurídica de la Superintendencia Financiera de Colombia

QUINTO. Que la Dirección determinó, que Davivienda divulgó y circuló información personal de contacto de la titular con terceros no autorizados, por cuanto utilizó el correo electrónico personal suministrado por la titular, en su calidad de cliente-persona natural del banco, para remitir información dirigida a la empresa CREDIYES SAS, de quien la titular fungía como representante legal, sin que mediara autorización de la titular para compartir dicha información con

calidad de cliente-persona natural del banco, para remitir información dirigida a la empresa CREDIYES SAS, de quien la titular fungía como representante legal, sin que mediara autorización de la titular para compartir dicha información con terceros.

La Dirección consideró que la sociedad incurrió en una divulgación indebida de datos personales, vulnerando de manera directa los principios y deberes legales que rigen el tratamiento de la información personal en el ordenamiento jurídico colombiano. Por lo que, mediante Resolución No. 47342 del 18 de julio de 2025, resolvió:

“ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad BANCO DAVIVIENDA S.A., con NIT. 860.034.313 -7, de TRESCIENTOS (300) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a TREINTA Y CUATRO MIL OCHOCIENTOS (34.800) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CUATROCIENTOS DOS MILLONES NUEVE MIL SEISCIENTOS PESOS M/CTE ($402.009.600), por la vulneración a lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012”.

SEXTO. Que Davivienda a través de su representante (en adelante, también, la recurrente), mediante el Oficio No. 24-395529-26 del 12 de agosto de 2025, interpuso recurso apelación2 contra la Resolución No. 47342 del 18 de julio de 2025, cuyos argumentos son los siguientes:

(i) Inexistencia de un tercero no autorizado que haya accedi do a la

interpuso recurso apelación2 contra la Resolución No. 47342 del 18 de julio de 2025, cuyos argumentos son los siguientes:

(i) Inexistencia de un tercero no autorizado que haya accedi do a la información. Indica la recurrente que la Dirección a lo largo de la actuación administrativa en ningún momento indagó, ni determinó, quién habría sido el sujeto que presuntamente accedió o tuvo conocimiento de la información personal de la titular sin su autorización . Lo anterior porque, se indica, los correos electrónicos reseñados en la queja inicial se encuentran vinculados con la empresa Crediyes S.A.S. y su representante legal, quien es la quejosa.

(ii) Legitimidad del tratamiento de datos por parte de Davivienda con fundamento en un deber legal. Del tratamiento de datos personales con fines de prevención de lavado de activos y financiamiento del terrorismo. No comparte la recurrente la afirmación hecha por la Dirección en el acto administrativo que se revisa, según el cual los datos personales de la titular no formarían parte de una base de datos cuya finalidad principal sea la prevención, detección, monitoreo y control de lavado de activos.

El tratamiento no solo respondió a fines lícitos y específicos, particularmente al cumplimiento de un deber legal relacionado con la prevención del lavado de

2 La Resolución No. 47342 del 18 de julio de 2025 fue notificada por aviso al Banco Davivienda el 29 de julio de 2025.RESOLUCIÓN NÚMERO ________91493_________ DE 2025

“Por la cual se resuelve un recurso de apelación” Página 3 de 17

activos y la financiación del terrorismo (LA/FT), sino que además la información

“Por la cual se resuelve un recurso de apelación” Página 3 de 17

activos y la financiación del terrorismo (LA/FT), sino que además la información fue conocida por un tercero que estaba plenamente autorizado para acceder a ella: la sociedad CREDIYES S.A.S., en la cual la titular ostenta la calidad de representante legal y socia. En consecuencia, no puede afirmarse que existió una vulneración del deber de confidencialidad , ni una comunicación no autorizada de los datos, dado que el tercero receptor de la información tenía un vínculo jurídico y funcional directo con la titular que legitimaba el acceso a dicha información.

(iii) Límites a la potestad sancionatoria de la Delegatura para la Protección de Datos Personales frente al tratamiento de datos personales en bases de datos exceptuadas del ámbito de aplicación de la Ley 1581 de 2012 . Toda vez que el tratamiento objeto de análisis en la presente actuación administrativa no se encuentra amparado en el ámbito de aplicación de la Ley Estatutaria 1581 de 2012, la Dirección de Investigaciones de Protección de Datos Personales no tiene la competencia para adelantar una investigación administrativa de carácter sancionatorio.

Según el principio de tipicidad administrativa solo es posible imponer sanciones cuando existe una infracción claramente delimitada en la ley que sustente dicha potestad sancionatoria. La Corte Constitucional, en la Sentencia C-748 de 2011, fue clara en señalar que la infracción administrativa en materia de protección de datos se configura por el incumplimiento de los deberes establecidos , específicamente, en los artículos 17 y 18 de la Ley 1581 de 2012, los cuales

fue clara en señalar que la infracción administrativa en materia de protección de datos se configura por el incumplimiento de los deberes establecidos , específicamente, en los artículos 17 y 18 de la Ley 1581 de 2012, los cuales únicamente son exigibles frente a los responsables y encargados que se encuentren dentro del ámbito de aplicación de dicha ley.

Si bien los principios rectores deben ser observados también en los tratamientos realizados a partir de bases de datos exceptuadas —como aquellas destinadas a la prevención del lavado de activos y la financiación del terrorismo—, la eventual inobservancia de tales principios no habilita, por sí sola, la imposición de una sanción administrativa por parte de la Dirección de Investigaciones de Protección de Datos Personales. En esos casos, la autoridad podría adoptar otro tipo de medidas administrativas —como órdenes administrativas— en ejercicio de sus competencias generales de inspección, vigilancia y control, pero le está vedada la potestad sancionatoria.

(iv) Existencia de medidas de responsabilidad demostrada por parte de Davivienda. Considera la recurrente que la Dirección exige un sistema infalible para la procedencia del citado principio. El hecho que se adelante una actuación administrativa sancionatoria no desvirtúa la existencia de un programa de cumplimiento serio, estructurado y funcional . La Dirección no puede exigir resultados perfectos e inmunes a cualquier incidente.

Para la recurrente, la Dirección debió tener en cuenta el criterio de disminución de la sanción establecido en el artículo 26 del Decreto 1377 de 2013 incorporado en el Decreto 1074 de 2015.

(v) Reconocimiento de oportuni dades de mejora y solicitud de trato

de la sanción establecido en el artículo 26 del Decreto 1377 de 2013 incorporado en el Decreto 1074 de 2015.

(v) Reconocimiento de oportuni dades de mejora y solicitud de trato institucional respetuoso hacia los administrados. Indica la recurrente que gracias a la presente actuación administrativa el Banco Davivienda identificó una oportunidad de mejora, para la cual allega soportes de una reunión que se llevó a cabo con el fin de “reforzar conocimientos, asegurar la implementación de los cambios efectuados y resolver inquietudes respecto del nuevo proceso de envío de comunicaciones, manejo de la información y procedimiento de cancelación.”

Considera la recurrente que el acto administrativo que impone la sanción desconoce el contexto técnico y jurídico en el que se desarrolla la operación de Davivienda, pues en él se realizan juicios de valor que no se corresponden con la evidencia documentada a lo largo del expediente, ni con el estándar objetivo que debe caracterizar la motivación de los actos administrativos sancionatorios.RESOLUCIÓN NÚMERO ________91493_________ DE 2025

“Por la cual se resuelve un recurso de apelación” Página 4 de 17

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, d e conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 092 de 2022).

7.1. Respecto del incumplimiento del deber de seguridad.

El literal d) del artículo 17 de la Ley 1581 de 2012 impone a los responsables

Decreto 092 de 2022).

7.1. Respecto del incumplimiento del deber de seguridad.

El literal d) del artículo 17 de la Ley 1581 de 2012 impone a los responsables del tratamiento de datos personales el deber de “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

Este deber se encuentra estrechamente vinculado con el literal f) del artículo 4 de la misma Ley, que consagra el principio de seguridad , según el cual la información sujeta a tratamiento por parte de los responsables y encargados debe manejarse “con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

La norma establece, por tanto, un estándar mínimo de diligencia en cabeza de los responsables del tratamiento, quienes no solo deben abstenerse de divulgar la información de manera indebida, sino también implementar de forma proactiva y permanente medidas de seguridad idóneas que garanticen la integridad, disponibilidad y confidencialidad de los datos personales bajo su custodia. Estas medidas pueden variar en función de la naturaleza de los datos tratados, el tipo de tratamiento, el tamaño de la organizaci ón y los riesgos particulares asociados, pero en todo caso deben ser suficientes para reducir al mínimo la posibilidad de accesos no autorizados o de incidentes de seguridad.

Este deber no se limita a la sola existencia de políticas generales de protección de datos, sino que exige la adopción efectiva de controles de seguridad concretos, tales como procedimientos internos, restricciones de acceso, protocolos técnicos y capacitación del personal, de modo que se pueda

de datos, sino que exige la adopción efectiva de controles de seguridad concretos, tales como procedimientos internos, restricciones de acceso, protocolos técnicos y capacitación del personal, de modo que se pueda demostrar en todo momento que se actuó con la diligencia debida en la protección de la información.

En conclusión, el mandato contenido en el literal d) del artículo 17, en armonía con el principio de seguridad del artículo 4 literal f), busca prevenir riesgos y mitigar vulneraciones a los derechos de los titulares. El incumplimiento de este deber no solo puede engendrar una infracción administrativa sancionable, sino que además constituye una vulneración directa al derecho fundamental al habeas data, en tanto expone la información personal a posibles usos indebidos o accesos no autorizados.

Ahora bien, contrario a lo indicado por la recurrente, para efectos de establecer si hubo o no una vulneración al deber de seguridad, no es requisito determinar quién o quiénes pudieron o no acceder , o efectivamente accedieron o no, sin autorización, a la información personal que haya sido expuesta.

Conviene en este punto hacer referencia a los correos electrónicos a los cuales se envió la solicitud de actualización y que según lo indicado en el recurso están relacionados con la empresa CREDIYES SAS y la señora xxxx xxxxxxx:

• Correo electrónico acano.inv@gmail.com: Este se e ncontraba relacionado como dirección de contacto en el formulario de vinculación, registrado el 7 de septiembre de 2020 de la empresa CREDIYES SAS , no se relaciona como Representante Legal a la quejosa.RESOLUCIÓN NÚMERO ________91493_________ DE 2025

“Por la cual se resuelve un recurso de apelación” Página 5 de 17

Representante Legal a la quejosa.RESOLUCIÓN NÚMERO ________91493_________ DE 2025

“Por la cual se resuelve un recurso de apelación” Página 5 de 17

• Correo electrónico gerencia@webkapital.co Según lo indicado por el Banco Davivienda este fue registrado por la quejosa en su calidad de Representante

Legal de CREDIYES SAS.

• Correo electrónico: gerencia@teavalo.co Indica Davivienda que éste fue ingresado al portal empresarial el día 20 de mayo de 2020 por la titular. Así mismo, se encuentra registrado dentro de la consulta CIFIN de la titular:

ESPACIO EN BLANCO

3RESOLUCIÓN NÚMERO ________91493_________ DE 2025

“Por la cual se resuelve un recurso de apelación” Página 6 de 17

• Frente al correo gerencia@prestaenlinea.co no se allega una prueba con la que se pueda determinar que, como lo indica el recurrente, está relacionado con la quejosa.

De lo anterior , concluye el Despacho que únicamente el correo acano.inv@gmail.com puede relacionarse directamente con la empresa CREDIYES SAS, pues fue el relacionado cuando se vinculó como cliente persona jurídica en el Banco.

Respecto de los demás correos, las pruebas no indican que éstos pertenecieran a la empresa CREDIYES SAS, por lo que Davivienda, al haber incluido el correo personal de la señora xxxx Xxxxxxx en el listado de destinatarios y haber enviado así el correo, como efectivamente sucedió, incurrió en la conducta típica de no “conservar la información bajo las condiciones de seguridad necesarias

personal de la señora xxxx Xxxxxxx en el listado de destinatarios y haber enviado así el correo, como efectivamente sucedió, incurrió en la conducta típica de no “conservar la información bajo las condiciones de seguridad necesarias para impedir (...) el acceso no autorizado”.

En efecto, la infracción investigada en la presente actuación administrativa se ajusta al principio de tipicidad, en la medida que concurren los 3 elementos que lo componen: (i) Que la conducta sancionable esté descrita de manera específica en la norma o pueda ser determinada a partir de disposiciones jurídicas aplicables; (ii) Que la sanción correspondiente esté definida en la ley; y (iii) Que exista una correlación entre la conducta infractora y la sanción impuesta.

La Corte Constitucional, mediante sentencia C -748 de 2011, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio aplicable en este caso:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

En este sentido, el listado de deberes de responsables y encargados del tratamiento, precisados en la Ley 1581 de 2012, otorga un marco normativo suficientemente definido para la identificación de infracciones.

En el caso analizado, tanto la formulación de cargos como la decisión

tratamiento, precisados en la Ley 1581 de 2012, otorga un marco normativo suficientemente definido para la identificación de infracciones.

En el caso analizado, tanto la formulación de cargos como la decisión sancionatoria recurrida satisfacen las exigencias del principio de tipicidad. En la formulación de cargos se señaló de manera clara y precisa la conducta presuntamente infractora, se ide ntificó el deber normativo que se estimóRESOLUCIÓN NÚMERO ________91493_________ DE 2025

“Por la cual se resuelve un recurso de apelación” Página 7 de 17

incumplido y se fundamentó la imputación en disposiciones legales específicas. A su vez, en la decisión recurrida se verificó el incumplimiento del deber y se impuso la sanción correspondiente, en estricta correlación con el cargo previamente formulado.

Para el cargo imputado, quedó plenamente acreditada la conducta vulneratoria de Davivienda: haber permitido el acceso al correo electrónico personal de la titular a terceros no autorizados. Bajo este entendido el nexo de causalidad fue debidamente establecido y explicado por la Dirección. Esta Delegatura no encuentra entonces mérito para desestimar la validez de la Resolución ahora impugnada a partir de una alegada inexistencia o atipicidad de la conducta violatoria del deber de seguridad-conservación de la información -acceso no autorizado, tantas veces mencionado.

7.2. Legitimidad del tratamiento de datos por parte de Davivienda con fundamento en deber legal. Del tratamiento de datos personales con fines de prevención de lavado de activos y financiamiento del terrorismo.

autorizado, tantas veces mencionado.

7.2. Legitimidad del tratamiento de datos por parte de Davivienda con fundamento en deber legal. Del tratamiento de datos personales con fines de prevención de lavado de activos y financiamiento del terrorismo.

De acuerdo con lo establecido en el artículo 102 3 del Estatuto Orgánico Financiero, las instituciones sometidas al control y vigilancia de la Superintendencia Financiera de Colombia (SFC) están:

“obligadas a adoptar medidas de control apropiadas y suficientes orientadas a evitar que en la realización de sus operaciones puedan ser utilizadas como instrumento para el ocultamiento, manejo, inversión o aprovechamiento en cualquier forma de dinero u otros bienes provenientes de actividades delictivas o destinados a su financiación, o para dar apariencia de legalidad a las actividades delictivas o a las transacciones y fondos vinculados con las mismas.”

Para efectos de lo anterior, las instituciones están obligadas a conocer, entre otros, la actividad económica que desarrollan sus clientes, su magnitud y las características básicas de las transacciones en que se involucran corrientemente.

En este contexto, la Circular Básica Jurídica de la Superintendencia Financiera de Colombia, en la Parte I , Título IV, Capítulo IV, reglamenta el Sistema de Administración del Riesgo de Lavado de Activos (LA) y Financiación del Terrorismo (FT) -SARLAFT-, el cual tiene como objeto, entre otros, detectar y reportar las operaciones que se pretendan realizar o se hayan realizado, para intentar dar apariencia de legalidad a operaciones vinculadas al LA/FT.

Para concretar dichos deberes es necesario, entre otras cosas, conocer al cliente

reportar las operaciones que se pretendan realizar o se hayan realizado, para intentar dar apariencia de legalidad a operaciones vinculadas al LA/FT.

Para concretar dichos deberes es necesario, entre otras cosas, conocer al cliente actual o potencial, como se indica a continuación en la mentada Circular:

4.2.2.2.1. Conocimiento del cliente

El SARLAFT debe contar con procedimientos para obtener un conocimiento efectivo, eficiente y oportuno de todos los clientes actuales y potenciales, así como para verificar la información y los soportes de la misma.

Los procedimientos de conocimiento del cliente aplicados por otras entidades vigiladas con relación al mismo cliente potencial, no eximen de responsabilidad a la entidad de conocerlo, aún cuando pertenezcan a un mismo grupo.

Las entidades vigiladas pueden obtener la información necesaria para realizar los procedimientos de conocimiento del cliente utilizando datos e información de fuentes confiables e independientes. En este sentido, las entidades vigiladas pueden utilizar bases de datos públicos, de prestadores de servicios ciudadanos digitales, de bases de datos propias y/o de bases de datos externas, siempre que: (i) individualicen al potencial cliente a través de la verificación de sus datos de identificación; y (ii) den cumplimiento a las reglas establecidas en la Ley 1581 de 2012 sobre tratamiento de datos personales y demás normas que las modifiquen, complementen, sustituyan o adicionen. Adicionalmente, en el evento en que utilicen bases de datos externos, las entidades vigiladas deben realizar un análisis de

3 Decreto Ley 663 de 1993, modificado por el artículo 1 de la Ley 1121 de 2006RESOLUCIÓN NÚMERO ________91493_________ DE 2025

utilicen bases de datos externos, las entidades vigiladas deben realizar un análisis de

3 Decreto Ley 663 de 1993, modificado por el artículo 1 de la Ley 1121 de 2006RESOLUCIÓN NÚMERO ________91493_________ DE 2025

“Por la cual se resuelve un recurso de apelación” Página 8 de 17

riesgo asociado a dicha fuente, en el cual se evalúe la calidad de los datos, su confiabilidad y la pertinencia de la misma en la gestión del riesgo de LA/FT. Las entidades vigiladas deben tener a disposición de esta Superintendencia los medios verificables a través de los cuales se demuestre la realización de dicho análisis de riesgo. Por último, las entidades vigiladas deben realizar una revisión semestral de dicho análisis de riesgo, el cual también debe estar a disposición de esta Superintendencia en los términos anteriormente mencionados.

De la norma citada, destaca el Despacho que la consulta que realice la entidad financiera a las diferentes bases de datos, inclusive las propias, para la búsqueda de información para el conocimiento del cliente, en todo caso , debe cumplir con las reglas establecidas en la Ley 1581 de 2012, en relación con el tratamiento de datos personales . Es decir, las entidades financieras si bien tienen un deber legal en relación con la prevención del riesgo LA/FT, cuando realicen tratamiento de datos personales deben ajustarse a los principios, deberes y derechos establecidos en la Ley 1581 de 2012.

Adicionalmente, el numeral 4.2.2.2.1.6 de la ya mencionada Circular Básica Jurídica, establece las reglas que deben seguirse frente la actualización de los datos:

Adicionalmente, el numeral 4.2.2.2.1.6 de la ya mencionada Circular Básica Jurídica, establece las reglas que deben seguirse frente la actualización de los datos:

4.2.2.2.1.6. Actualización de la información del cliente

Las entidades vigiladas deben contar con políticas y procedimientos para actualizar los datos de sus clientes conforme a las siguientes reglas:

4.2.2.2.1.6.1. Permitir la realización de todas las diligencias necesarias para verificar y actualizar los datos recolectados de los clientes que por su naturaleza puedan variar (dirección, teléfono, actividad económica, origen de los recursos, composición accionaria etc.). En este sentido, a partir del perfil del riesgo de LA/FT que se haya estimado para cada cliente como resultado de la aplicación de los procedimientos del SARLAFT, las entidades vigiladas pueden definir la periodicidad con la cual se debe realizar la actualización de estos datos que, en todo caso, no puede ser superior a tres años. No obstante, para aquellos clientes que se determine que pueden exponer a la entidad en un mayor grado al riesgo de LA/FT, la actualización de estos datos debe realizarse, como mínimo, anualmente. En el evento en que un cliente pase a ser catalogado de alto riesgo por la entidad y no se haya actualizado sus datos en más de un año, las entidades deben realizar todas las diligencias necesarias para actualizar los datos del mismo dentro del mes siguiente al cambio de categorización.

4.2.2.2.1.6.2. Las entidades vigiladas deben realizar la actualización de estos datos, siempre que se presenten situaciones que requieran recaudar información adicional para permitirle a la entidad comparar las características de las transacciones del cliente con su acti vidad económica y/o características del monto de sus ingresos o

siempre que se presenten situaciones que requieran recaudar información adicional para permitirle a la entidad comparar las características de las transacciones del cliente con su acti vidad económica y/o características del monto de sus ingresos o egresos. Para lo anterior, las entidades deben realizar todas las diligencias necesarias para actualizar los datos dentro del mes siguiente a la fecha del conocimiento de dicha situación.

De acuerdo con l a información que consta en el expediente, Davivienda motivada por una alerta que se originó en la actividad financiera ordinaria de la sociedad CREDIYES S.A.S., consideró necesario solicitar la actualización de sus datos. Para esta Delegatura no hay duda de que, en este caso, Davivienda actuó motivada, exclusivamente, por el cumplimiento de un deber legal. Este argumento es persuasivo y prima facie podría estimarse exoneratorio . Sin embargo, bien vist a la configuración del deber, las condiciones fácticas y las alternativas para su cumplimiento en este caso singular y concreto , la Delegatura lo desestima como argumento exculpatorio de responsabilidad. Y lo desestima por las siguientes razones.

Primero. Para el cumplimiento del deber de notificación para actualización de la información personal de los cli entes, en el contexto de las actividades de conocimiento del cliente y el monitoreo de actividades LA/FT, según la Circular Básica Jurídica de la SFC, los sujetos obligados: primero, “pueden utilizar bases de datos públicos, de prestadores de servicios ciudadanos digitales, de bases de datos propias y/o de bases de datos externas ”, y segundo, “ siempre que : (i) individualicen al potencial cliente a través de la verificación de sus datos de identificación; y (ii) den cumplimiento a las reglas establecidas en la Ley 1581

datos propias y/o de bases de datos externas ”, y segundo, “ siempre que : (i) individualicen al potencial cliente a través de la verificación de sus datos de identificación; y (ii) den cumplimiento a las reglas establecidas en la Ley 1581 de 2012”RESOLUCIÓN NÚMERO ________91493____