SIC - Resolucion RE9579-2026 de 2025

Página 1 de 9

RESOLUCIÓN NÚMERO 9579 DE 2026

(13 de febrero de 2026)

“Por la cual se resuelve un recurso”

Radicación 22-325553

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y,

CONSIDERANDO

PRIMERO: Que, mediante comunicación obrante bajo el radicado 22 -3225530-0 del 19 de agosto de 2022, la señora xxxxxxxxxxxxxxxxxxxxxxxxxx puso en conocimiento de esta Superintendencia, la comisión de unos hechos presuntamente infractores de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de la sociedad OLIMPIA IT S.A.S., identificada con Nit 900.032.7744 en adelante OLIMPIA o LA INVESTIGADA.

De la comunicación recibida se extrajeron los siguientes supuestos fácticos:

1.1 En primer lugar, señaló la denunciante que “ cuando me acerqué al Centro de Enseñanza Automovilística AUTOSTOP (Av. Suba Carrera 60 N° 99-43 Piso 2) para tomar el curso para aprender a manejar me pidieron mi información personal, escanearon mi cédula, me tomaron una foto y la huella, y no me pidieron ninguna autorización para el tratamiento de datos personales. Por lo

para tomar el curso para aprender a manejar me pidieron mi información personal, escanearon mi cédula, me tomaron una foto y la huella, y no me pidieron ninguna autorización para el tratamiento de datos personales. Por lo anterior, le pregunté a la recepcionista ¿por qué no se me solicita la autorización del usuario a través de algún documento de protección de datos personales? La respuesta de la recepcionista del Centro de Enseñanza Automovilística fue que el sistema SISEC -CEA autorizado por la Superintendencia de Transporte, (sic) genera el documento y ya se encuentra firmado con la firma que se obtiene del escaneo de mi cédula”.

1.2 Continuó, expresando que “ante esta respuesta le pregunté que si lo pueden imprimir para que lo firme, pues un escaneo de la cédula no puede tomarse como consentimiento por mi parte. La respuesta fue que el sistema SISEC -CEA no la deja imprimir porque el documento de “Protección de datos Personales ante la RNEC” ya trae incorporada la firma escaneada desde mi cédula. Por lo anterior, solicité que me mostrara el contenido del documento de Protección (sic) de datos personales. La respuesta de la persona e ncargada del registro en el Centro de Enseñanza Automovilística fue que lo podía ver en el computador del Centro de Enseñanza Automovilística solamente”.

1.3 Expuso, asimismo que “Al entrar a mirar en el sistema SISEC -CEA dicho documento se llama “ AUTORIZACIÓN PARA EL TRATAMIENTO Y CONSULTA DE DATOS PERSONALES ANTE LA RNEC”, y no se puede leer de corrido en una sola pantalla, pues toca desplazarse para leer por trozos de 7 -8 líneas y dicho sistema SISEC-CEA no permite imprimir la supuesta Autorización

CONSULTA DE DATOS PERSONALES ANTE LA RNEC”, y no se puede leer de corrido en una sola pantalla, pues toca desplazarse para leer por trozos de 7 -8 líneas y dicho sistema SISEC-CEA no permite imprimir la supuesta Autorización (sic), pues nunca es firmado por el titular de la misma.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 9579 DE 2026

“Por la cual se resuelve un recurso”

Página 2 de 9

Además, noto que aparece mi firma debajo de la autorización en cada fragmento de cada párrafo que se visualiza en la pantalla del Sistema de Control y Vigilancia SISEC y, efectivamente, es tomada de la firma que se encuentra en mi cédula. Verificó (sic) si era la misma firma de la que está en mi cédula, y dice debajo de dicha firma el siguiente mensaje “Firma tomada del documento de identidad”. (…) Me doy cuenta de que hay un aparato que sirve para capturar la firma, en el mostrador junto al computador de la recepción. Le pregunto a la persona que me está atendiendo ¿por qué no me deja leer y posteriormente firmar a través de dicho aparato la “AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES ANTE LA RNEC”? La funcionaria del Centro de Enseñanza Automovilística me informa y me dice que no funciona con el Sistema de Control y Vigilancia SISEC que por eso está desconectado.

Después me pide que me ubique al frente de una cámara y me hace ubicar varias veces hasta que quede en el centro de un círculo en el sistema. Luego la funcionaria me pide que coloque solamente la huella del índice derecho sobre un

Después me pide que me ubique al frente de una cámara y me hace ubicar varias veces hasta que quede en el centro de un círculo en el sistema. Luego la funcionaria me pide que coloque solamente la huella del índice derecho sobre un huellero o lector de huel las, y me dice que la coloque tres veces hasta que el sistema le verifique bien”.

SEGUNDO: Que, la Constitución Política de Colombia artículo 15 exige que en la recolección, tratamiento y circulación de datos personales se respeten la libertad y demás garantías consagradas en nuestro ordenamiento jurídico. El término Tratamiento se refiere a “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”1.

TERCERO: Que, la Ley 1581 de 2012 “ Por la cual se dictan disposiciones generales para la protección de datos personales ” “tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constituc ionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma” 2.

CUARTO: Que, el Decreto Único Reglamentario 1074 de 2015 “ Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”, en su Capítulo 25 “Reglamenta parcialmente la Ley 1581 de 2012”.

QUINTO: Que mediante Resolución 64962 del 29 de agosto de 202 5, la

Turismo”, en su Capítulo 25 “Reglamenta parcialmente la Ley 1581 de 2012”.

QUINTO: Que mediante Resolución 64962 del 29 de agosto de 202 5, la Dirección de Investigaciones de Protección de Datos Personales resolvió:

“ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad OLIMPIA IT S.A.S. , identificada con el nit 900.032.774 -4 DOSCIENTOS (200) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTITRÉS MIL DOSCIENTOS (23.200) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SESENTA Y OCHO MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400)30, por la vulneración de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015”.

SEXTO: Que la Resolución 64962 del 29 de agosto de 2025 se notificó electrónicamente el 29 de agosto de 2025 a SIMBAD CEBALLOS ÁVILA , en representación de la sociedad OLIMPIA IT S.A.S. , según consta en la certificación expedida por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 22-325553-85 del 03 de septiembre de 2025.

certificación expedida por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 22-325553-85 del 03 de septiembre de 2025.

1 Ley 1581 de 2012, artículo 3, literal g). 2 Ley 1581 de 2012, artículo 1.RESOLUCIÓN NÚMERO 9579 DE 2026

“Por la cual se resuelve un recurso”

Página 3 de 9

SÉPTIMO: Que, dentro del término concedido para el efecto, mediante escritos radicados bajo los números 22-325553 consecutivos 86, 87, 88, 89, 90 y 91 , del 12 de septiembre de 2025 , la sociedad OLIMPIA IT S.A.S., por medio de su representante legal, interpuso recurso de reposición y en subsidio apelación contra la Resolución 64962 del 29 de agosto de 2025.

OCTAVO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 de la Ley 1437 de 2011, Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente, este Despacho hará las siguientes consideraciones:

8.1.1 Respecto a la calidad que ostenta la sociedad OLIMPIA IT S.A.S. en el tratamiento de datos personales

En primer lugar, este Despacho advierte que la argumentación del recurso interpuesto por el representante de la sociedad OLIMPIA IT S.A.S. corresponde a la reiteración de lo expresado tanto en su escrito de descargos como en los alegatos de conclusión. Teniendo en cuenta que, en estricto apego a lo previsto por el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso

a la reiteración de lo expresado tanto en su escrito de descargos como en los alegatos de conclusión. Teniendo en cuenta que, en estricto apego a lo previsto por el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el recurso debe sustentarse con expresión concreta de los motivos de inconformidad, es decir, señalar con total precisión los yerros que ameritan la modificación parcial o la revocatoria del acto administrativo recurrido, se hará referencia solamente a aquellos argumentos que cumplan con el referido requisito procesal.

Ahora bien, las pretensiones del recurrente están dirigidas de una parte, a “dejar claridad sobre la doble calidad que ostenta la sociedad como Responsable y Encargado del tratamiento de datos personales” , por lo que se hace necesario recordar que en la resolución recurrida, esta Dirección analizó íntegramente los argumentos expuestos, así como el material probatorio obrante en el expediente, para determinar cuál es el rol que efectivamente desempeña la sociedad investigada. Allí, se precisaron los criterio s tenidos en cuenta para concluir que esta posee la calidad de Responsable del tratamiento de datos personales en el caso de estudio y frente a las conductas reprochadas en la investigación administrativa.

Sentado lo anterior, se observa que el recurrente cita algunos apartes de la Resolución impugnada para señalar, al respecto, que “ Estas afirmaciones de la Dirección no pueden ser compartidas por parte de Olimpia Justamente (sic), en el marco del recurso que se interpone contra la resolución del asunto, resulta esencial para Olimpia dejar plena claridad que, de conformidad con los hechos analizados en la actuación administrativa, esta ostenta una doble calidad en el

el marco del recurso que se interpone contra la resolución del asunto, resulta esencial para Olimpia dejar plena claridad que, de conformidad con los hechos analizados en la actuación administrativa, esta ostenta una doble calidad en el tratamiento de datos personales: la de Responsable y, en determinados escenarios contractuales, también la de Encargado. Este reconocimiento no constituye una maniobra para evadir deberes, como erradamente lo interpreta la Dirección, sino una consecuencia natural de la dinámica operativa de los servicios prestados y de las relaciones jurídicas con terceros, en las que la Sociedad asume roles diferenciados en función de la titularidad y el control efectivo de las bases de datos.

La importancia de este argumento para la Sociedad es de carácter determinante, toda vez que el desconocimiento de la doble calidad que ostenta Olimpia en el marco de los servicios que presta podría conllevar a que la Sociedad quede indebidamente sometida, de manera generalizada, al cumplimiento de los deberes propios del Responsable del Tratamiento aun en aquellos supuestos en los que, por la naturaleza de la relación contractual y la configuración normativa, actúa únicamente en calidad de Encargado.

(…)

Por este motivo, se reitera lo ya señalado en los alegatos de conclusión en relación con el rol que cumple la sociedad en cada uno de los servicios que presta: Operador homologado del Sistema de Control y Vigilancia - SICOVRESOLUCIÓN NÚMERO 9579 DE 2026

“Por la cual se resuelve un recurso”

Página 4 de 9

(Encargado del Tratamiento), siendo el Responsable el CRC o CEA como prestador del servicio que el Operador del SICOV está llamado a controlar y

“Por la cual se resuelve un recurso”

Página 4 de 9

(Encargado del Tratamiento), siendo el Responsable el CRC o CEA como prestador del servicio que el Operador del SICOV está llamado a controlar y vigilar a través de su plataforma tecnológica de conformidad con las Resoluciones de la Superintendencia de Tra nsporte, Operador Biométrico homologado ante la RNEC (Encargado del Tratamiento), siendo el Responsable la entidad pública o particular autorizada por la RNEC para validar la identidad de las personas a través de las bases de datos que produce y administra la RNEC; y Prestador de Servicios Tecnológicos (Responsable y Encargado del Tratamiento).

(…)

8.1.1.1 Tratamiento de datos personales en el rol de operador homologado del Sistema de Control y Vigilancia - SICOV:

(…)

La normativa que regula el SICOV (referenciada en la Tabla No. 1) 2, establece que dicho software, proporcionado por los Operadores del SICOV, en este caso Olimpia, deberá servir para las siguientes actividades (se seleccionan en negrita las relevantes dentro de la actuación administrativa):RESOLUCIÓN NÚMERO 9579 DE 2026

“Por la cual se resuelve un recurso”

Página 5 de 9

Conforme a lo anterior, Olimpia a través de la puesta a disposición del software SISEC hace el Tratamiento de los datos personales de los Titulares, que acuden a realizar su trámite para la expedición de la licencia de conducción ante los CRC y CEA en calidad de Encargado del Tratamiento y únicamente para las finalidades mismas establecidas por los centros CRC y CEA, quienes en virtud

que acuden a realizar su trámite para la expedición de la licencia de conducción ante los CRC y CEA en calidad de Encargado del Tratamiento y únicamente para las finalidades mismas establecidas por los centros CRC y CEA, quienes en virtud de la prestación del servicio tienen la obligación de realizar validaciones de identidad. De conformidad con lo anterior, el encargo entre Olimpia y los CRC y CEA deriva de la regulación aplicable al SICOV, en cuanto a que este es un sistema de vigilancia para los servicios de los CRC y CEA y la recolección de datos que se da desde el SICOV, se dan es en virtud del servicio que el CRC y CEA está prestando al titular del dato”.

8.1.1.2 Tratamiento de datos personales rol de operador biométrico homologado de la RNEC:

Sobre esto, expone el recurrente que “ En el marco del servicio prestado como Operador Biométrico Homologado de la RNEC, Olimpia actúa en calidad de Encargado del Tratamiento de Datos Personales y no como Responsable.

Lo anterior, de acuerdo con la Ley 1753 de 2015 (Artículo 227, Parágrafo 2):

“La Registraduría Nacional del Estado Civil permitirá el acceso a la información alfanumérica, biográfica y biométrica que soliciten los administradores del sistema de seguridad social integral en pensiones, salud y riesgos laborales, para que adelanten las acciones estrictamente relacionadas con el cumplimiento de su objeto misional.

Las entidades públicas o particulares con funciones públicas que quieran verificar la plena identidad de los ciudadanos contra la base de datos biométrica que produce y administra la Registraduría Nacional del Estado Civil, podrán implementar su propia inf raestructura para acceder

Las entidades públicas o particulares con funciones públicas que quieran verificar la plena identidad de los ciudadanos contra la base de datos biométrica que produce y administra la Registraduría Nacional del Estado Civil, podrán implementar su propia inf raestructura para acceder directamente o a través de un aliado tecnológico certificado por la Registraduría para consultar en línea las minucias dactilares (…)”. (Destacado fuera de texto).

Por su parte, la Resolución No. 5633 de 2016 y sus anexos, hoy derogada por la Resolución No. 27145 de 2023, establece quiénes pueden consultar las bases de datos que produce y administra la RNEC, y regula los requisitos para que entidades privadas pudiera n obtener la homologación como operadores biométricos, la reglamentación técnica y las condiciones para la prestación del servicio. Dentro de estas disposiciones, se establecen claramente las condiciones bajo las cuales las entidades interesadas en consultar los datos y la base de datos con información demográfica y biométrica administrada por la RNEC pueden hacerlo, directamente o a través de un aliado tecnológico, como lo es Olimpia en su calidad de Operador Biométrico Homologado por dicha entidad, conforme al marco normativo señalado.

De acuerdo con dicha normativa:

1. Autorización de Clientes por parte de la RNEC: Cada “Cliente”

(entidad interesada en realizar la validación de huellas) debe ser previamente autorizado por la RNEC para acceder al servicio. La RNEC mantiene plena visibilidad y control de las entidades autorizadas, lo cual refuerza que la responsabilidad principal del Tratamiento recae en la RNEC y en los Clientes, mientras que Olimpia ejecuta actividades de

mantiene plena visibilidad y control de las entidades autorizadas, lo cual refuerza que la responsabilidad principal del Tratamiento recae en la RNEC y en los Clientes, mientras que Olimpia ejecuta actividades de soporte tecnológico en calidad de Encargado.

2. Trazabilidad y logs técnicos: La plataforma desarrollada por el Operador Biométrico debe garantizar la generación de registros o “logs” de cada consulta, con trazabilidad suficiente para que la RNEC, el Cliente y Olimpia tengan visibilidad sobre la operación. Estos logs son una obliga ción técnica impuesta por la RNEC, no una facultad discrecional de Olimpia.RESOLUCIÓN NÚMERO 9579 DE 2026

“Por la cual se resuelve un recurso”

Página 6 de 9

3. Compromisos contractuales con la RNEC y los Clientes: La RNEC suscribe compromisos de confidencialidad y no divulgación tanto con Olimpia como con cada Cliente. Esto evidencia que Olimpia es un intermediario tecnológico regulado, que actúa bajo instrucciones específicas y no como Responsable autónomo del Tratamiento.

4. Compromisos contractuales con la RNEC y los Clientes: La RNEC suscribe compromisos de confidencialidad y no divulgación tanto con Olimpia como con cada Cliente. Esto evidencia que Olimpia es un intermediario tecnológico regulado, que actúa bajo instrucciones específicas y no como Responsable autónomo del Tratamiento.

En suma, el proceso se desarrolla bajo estrictos lineamientos de la RNEC, quien fija las condiciones, aprueba los Clientes, valida los textos de autorización y audita el cumplimiento de los requisitos técnicos. Olimpia únicamente presta un

En suma, el proceso se desarrolla bajo estrictos lineamientos de la RNEC, quien fija las condiciones, aprueba los Clientes, valida los textos de autorización y audita el cumplimiento de los requisitos técnicos. Olimpia únicamente presta un servicio tecnológico que viabiliza las validaciones biométricas, motivo por el cual su rol es el de Encargado del Tratamiento, mientras que el rol del Responsable lo tiene la entidad particular o pública que solicita autorización a la RNEC para validar su identidad contra sus bases de datos y quién contrata los servicios del aliado tecnológico (Operador Biométrico)”.

No obstante, lo que a juicio del representante de la sociedad OLIMPIA IT S.A.S. es un encargo por disposición legal o regulatoria no es más que la ratificación de la tesis propuesta por esta Dirección en la decisión de instancia. La aludida figura posee unos componentes distintos a aquellos interpretados por el recurrente, pues en efecto, la Corte Constitucional en la Sentencia que estudió la constitucionalidad del proyecto de Ley estatutaria 1581 de 2012, estableció lo siguiente en relación con el tratamiento de datos personales, en cumplimiento de una función atribuida por la Ley:

“Finalmente, como ejemplifica la Directiva referida –ejemplos que la Sala considera también son aplicables a nuestro caso, el responsable del tratamiento puede surgir: (i) cuando en el cumplimiento de una determinada función, se impone la recolección de datos, por ejemplo, en el caso de la seguridad social; la directiva en comento denomina esta situación competencia legal explícita; (ii) cuando en el ámbito propio de la actividad se produce el tratamiento, se trata del caso de los empleadores frente a sus trabajadores, lo que se denomina competencia

el caso de la seguridad social; la directiva en comento denomina esta situación competencia legal explícita; (ii) cuando en el ámbito propio de la actividad se produce el tratamiento, se trata del caso de los empleadores frente a sus trabajadores, lo que se denomina competencia jurídica implícita; y (iii) cuando sin existir las competencias anteriores, se tiene la capacidad de determinación, hecho que se denomina capacidad de influencia de hecho”. (subraya adicionada)

En concordancia con la previsión arriba citada, se advierte que la sociedad investigada actúa en virtud de una disposición normativa, específicamente de las resoluciones expedidas para el efecto por la Superintendencia de Puertos y Transporte y la Registraduría Nacional del Estado Civil. En consecuencia, ostenta la calidad de responsable del tratamiento de datos personales, al ejercer una competencia legal expresa.

En ese orden de ideas, la actividad consistente en la recolección, administración y cotejo de la información proveniente de los Centros de Enseñanza Automovilística y los Centros de Reconocimiento de Conductores se encuentra en el marco de las atribuciones legalmente conferidas, lo que conlleva la asunción de los deberes establecidos por la Ley 1581 de 2012. Bajo estas consideraciones pierden todo asidero las afirmaciones del recurrente al señalar que le fue atribuida la calidad de Responsable del tratamien to de datos personales “por el solo hecho de proveer equipos, software o mecanismos de almacenamiento de datos biométricos”.

8.1.1.3. Tratamiento de datos personales en el marco de la prestación de servicios tecnológicos que realiza Olimpia de manera independiente y en desarrollo de su objeto social:RESOLUCIÓN NÚMERO 9579 DE 2026

8.1.1.3. Tratamiento de datos personales en el marco de la prestación de servicios tecnológicos que realiza Olimpia de manera independiente y en desarrollo de su objeto social:RESOLUCIÓN NÚMERO 9579 DE 2026

“Por la cual se resuelve un recurso”

Página 7 de 9

Al punto, se sostiene en el recurso que “Olimpia, como compañía experta en la provisión de servicios tecnológicos, ha desarrollado una línea de negocio orientada a la validación de identidad biométrica facial, con el objetivo de optimizar trámites digitales y reducir los riesgos de suplantación.

En el marco de este servicio, cada aliado comercial —ya sea entidad pública o privada— actúa en calidad de Responsable del Tratamiento y solicita directamente al titular la autorización para la recolección y uso de sus datos personales, incluyendo su biome tría facial, toda vez que, el proceso de validación de identidad que se realiza deriva de la necesidad identificada por el aliado comercial en sus propios procesos y/o trámites. Con base en dicha autorización, el aliado realiza la captura de la fotografía del titular y la remite a Olimpia o se integra con el Software de Olimpia, caso en el cual la captura se da directamente desde el Software. Recibido el dato biométrico facial del titular, Olimpia (como encargado del Tratamiento) lo consulta y contrasta con tra sus bases de datos propias (“Identidad Digital”) construidas con base en las autorizaciones que Olimpia solicita en otros procesos de validación de identidad de biometría facial y arroja un resultado numérico que indica el grado de coincidencia del proceso de contraste. No obstante, reiteramos que este proceso

autorizaciones que Olimpia solicita en otros procesos de validación de identidad de biometría facial y arroja un resultado numérico que indica el grado de coincidencia del proceso de contraste. No obstante, reiteramos que este proceso de validación de identidad se realiza para los fines establecidos y requeridos por el aliado comercial, finalidades sobre las cuales Olimpia no tiene ninguna injerencia”.

En relación con lo expuesto, se reitera, de acuerdo con lo apreciado en la visita administrativa a la investigada, que los formatos de autorización recaudados incluyen finalidades que distan ampliamente de las derivadas del otorgamiento de la licencia para conducir. Lo anterior pone de presente cómo la sociedad OLIMPIA IT S.A.S. ajustó dichos documentos para adicionar verbos como revelar, exhibir, sustraer e intercambiar información en la construcción de sus propias bases de datos. Igualmente, añadió finali dades subrepticias relacionadas con su actividad comercial de modo que el titular le concediera el consentimiento para usos ajenos a aquellos ligados al trámite para obtener el permiso de conducción.

Finalmente es claro para esta Dirección que si, solo en gracia de discusión, esta Superintendencia admitiera que la investigada actuaba como encargada respecto a la información recolectada por intermedio de los CEÁs y los CRCs, esa calidad cambió en el momento en que decidió una finalidad distinta a aquella para la cual fue recolectada, al utilizarla con fines comerciales, esto es, circularla con sus clientes para permitirles verificar la identidad de los titulares a través de la comparación de sus huella s dactilares y de sus registros faciales. En palabras de la Corte Constitucional:

con sus clientes para permitirles verificar la identidad de los titulares a través de la comparación de sus huella s dactilares y de sus registros faciales. En palabras de la Corte Constitucional:

“(…) es posible que un encargado del tratamiento resulte convirtiéndose en responsable al definir la finalidad y los elementos esenciales del medio, razón por la que sus deberes no solo serán los que señala el proyecto para su condición inicial sino para la que llegue a ostentar. En ese sentido, se ajusta al texto constitucional el parágrafo del artículo 18 cuando expresamente establece que en el evento en que concurran las calidades de responsable y encargado del tratamiento en la misma persona, le será exigible el cumplimiento de los deberes previstos para cada uno. En el mismo sentido, cuando esa calidad llegue a mudar por el tratamiento que uno de ellos llegue a dar al dato personal”. (énfasis añadido)

Si bien, el procedimiento descrito por la sociedad investigada detalla la forma correcta en que debieron surtirse los pasos para el suministro de la información biométrica con terceros, esa descripción no coincide con los resultados obtenidos al inspeccionar sus procedimientos internos. No lo es por cuanto, se insiste, ninguna de las consultas realizadas a los registros faciales y dactilares de la muestra de 59 titulares contaba con su respectiva autorización a los consultantes.RESOLUCIÓN NÚMERO 9579 DE 2026

“Por la cual se resuelve un recurso”

Página 8 de 9

8.1.2 Del reconocimiento de la conducta infractora

Al respecto, expresó la recurrente que “(…) el reconocimiento por parte de Olimpia de la comisión de la infracción antes de la imposición de la sanción se

8.1.2 Del reconocimiento de la conducta infractora

Al respecto, expresó la recurrente que “(…) el reconocimiento por parte de Olimpia de la comisión de la infracción antes de la imposición de la sanción se dio en los siguientes términos.

En la página 28 de los alegatos de conclusión, se afirma lo siguiente:

“Explicado lo anterior, se encuentra que de los 59 registros incorporados en el pliego de cargos por la SIC (59 respecto de validación de huella dactilar y 11 respecto de validación de registro facial), no fue posible obtener prueba de la autorización de 4 registros, situación ante la cual, Olimpia ha venido implementando un riguroso proceso con el fin de asegurar la trazabilidad de los soportes de las autorizaciones otorgadas por los Titulares para fines comerciales de la Compañía”. (Destacado fuera de texto).

(…)

En efecto, al señalar que “no fue posible obtener prueba de la autorización de 4 registros”, la sociedad reconoció la falta de sustento probatorio sobre dichas autorizaciones, lo cual corresponde, en esencia, a aceptar la ocurrencia de la conducta reprochada.

Aquella manifestación resulta plenamente válida para efectos de la aplicación del literal f), en la medida en que la norma únicamente exige el reconocimiento o aceptación expresa de la comisión de la infracción por parte del investigado, sin establecer un grado específico o un alcance absoluto en dicha aceptación. En este caso, frente al cargo formulado por la ausencia de autorización, la compañía reconoció expresamente no haber podido acreditar dicho requisito respecto de cuatro (4) registros. Tal reconoci miento constituye una aceptación clara del

este caso, frente al cargo formulado por la ausencia de autorización, la compañía reconoció expresamente no haber podido acreditar dicho requisito respecto de cuatro (4) registros. Tal reconoci miento constituye una aceptación clara del incumplimiento del deber legal, suficiente para que se entienda configurado el criterio de atenuación previsto en la norma”.

Contrario al planteamiento del recurrente, el criterio de atenuación previsto en el literal f), artículo 24 de la Ley 1581 de 2012 corresponde a una aceptación expresa de la comisión de los hechos atribuidos al sujeto obligado, y consecuentemente de las sa nciones establecidas en nuestro ordenamiento jurídico. No así, la simple manifestación de no contar con las pruebas requeridas para acreditar el cumplimiento del deber objeto de verificación por parte de la Autoridad. En tal sentido, no es procedente modi ficar el monto de la sanción pecuniaria inicialmente calculado.

NOVENO: Qu