SIC - Resolucion RE9656-2026 de 2025

Página 1 de 7

RESOLUCIÓN NÚMERO 9656 DE 2026

(16 de febrero de 2026)

“Por la cual se resuelve un recurso”

Radicado 24-249960

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución No. 101746 del 3 de diciembre de 2025, esta Dirección de Investigaciones de Protección de Datos Personales resolvió:

“ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S ., identificada con NIT. 900.127.403 -6, de QUINCE (15) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a MIL SETECIENTOS CUARENTA (1.740) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a VEINTE MILLONES CIEN MIL CUATROCIENTOS OCHENTA PESOS M/CTE ($20.100.480) por la transgresión a los deberes previstos en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 ejúsdem; y el litera l n) del artículo 17 de la Ley 1581 de

literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 ejúsdem; y el litera l n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma ley.”

SEGUNDO: Que, la Resolución No. 101746 del 3 de diciembre de 2025 se notificó mediante aviso No. 41539 del 15 de diciembre de 2025, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el consecutivo 24-249960-21 del 16 de diciembre de 2025.

TERCERO: Que, mediante consecutivo 24-249960-22 del 26 de diciembre de 2025, la sociedad investigada interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución No. 101746 del 3 de diciembre de 2025, con fundamento en los siguientes motivos de inconformidad:

El primer lugar, realiza una síntesis de los antecedentes que dieron origen a la investigación administrativa de la referencia.

A continuación, señala que la compañía no atendió los requerimientos realizados por esta Autoridad, debido a una contingencia operativa interna puntual.

Posteriormente, desarrolla una línea argumental en torno al segundo cargo formulado. En esta línea, explica las razones por las cuales, a su juicio, no se configuró un incumplimiento al deber previsto en el literal n del artículo 17 de la Ley 1581 de 2012; “en la medida que se materializó exclusivamente una indisponibilidad temporal de servicios internos, sin exposición a los titulares, sin accesos no autorizados y sin evidencia alguna de exfiltración, fuga, alteración o divulgación de

Ley 1581 de 2012; “en la medida que se materializó exclusivamente una indisponibilidad temporal de servicios internos, sin exposición a los titulares, sin accesos no autorizados y sin evidencia alguna de exfiltración, fuga, alteración o divulgación de datos personales”.

Finaliza su escrito con un acápite de peticiones, en el que solicita lo siguiente:

“Con fundamento en los hechos acreditados, la evidencia técnica y documental aportada y las consideraciones jurídicas expuestas en el presente escrito, respetuosamente solicito a la Dirección de Investigaciones de

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 9656 DE 2026

“Por la cual se resuelve un recurso”

Página 2 de 7

Protección de Datos Personales de la Superintendencia de Industria y

Comercio:

1. Que se revoque en su integridad la Resolución y, en consecuencia, se absuelva a GMA de los cargos formulados al no haberse configurado los supuestos fácticos ni normativos que fundamentan las infracciones imputadas, particularmente en lo que respecta al deber de informar previsto en el literal n) del artículo 17 de la Ley 1581 de 2012, y al tratarse, en el cargo primero, de un incumplimiento meramente formal debidamente explicado y subsanado.

2. Subsidiariamente, para el evento en que la Dirección considere mantener algún grado de reproche, que se modifique la decisión sancionatoria y se proceda a reducir de manera sustancial la sanción impuesta, aplicando de forma estricta los criterios de graduación previstos en el artículo 24 de la Ley

1581 de 2012, atendiendo especialmente a:

proceda a reducir de manera sustancial la sanción impuesta, aplicando de forma estricta los criterios de graduación previstos en el artículo 24 de la Ley 1581 de 2012, atendiendo especialmente a:

• La inexistencia de daño o riesgo materializado para los titulares de la información. • La ausencia de beneficio económico. • La inexistencia de reincidencia. • La ausencia de resistencia, renuencia u obstrucción a la labor investigativa. • La conducta posterior diligente, colaborativa y correctiva y desplegada por la Compañía.

3. En el evento en que la reposición no prospere, que se conceda el recurso de apelación interpuesto en subsidio, para que sea resuelto por el superior jerárquico competente.”

CUARTO: Competencia de la Superintendencia de Industria y Comercio

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la sociedad recurrente, este Despacho procede a realizar las siguientes consideraciones, teniendo en cuenta que los motivos de inconformidad expuestos por la sociedad se enmarcan en los

siguientes puntos:

1. Frente a los motivos de inconformidad planteados en relación al cargo primero,

que los motivos de inconformidad expuestos por la sociedad se enmarcan en los siguientes puntos:

1. Frente a los motivos de inconformidad planteados en relación al cargo primero,

1. Frente a los motivos de inconformidad planteados en relación al cargo segundo; y

1. Frente a las pretensiones.

5.1. Frente a los motivos de inconformidad planteados en relación al cargo primero

La sociedad recurrente señala que la compañía no atendió los requerimientos realizados por esta Autoridad, debido a una contingencia operativa interna atribuible a la persona encargada del manejo del canal institucional, para la época de ocurrencia de los hechos. Situación que afirma ya fue superada y subsanada.

Adicionalmente, la sociedad recurrente aporta las respuestas a los interrogantes formulados por esta Dirección, mediante oficios radicados bajo los consecutivos 24-249960-1 del 25 de junio de 2024 y 24-249960-3 del 18 de octubre de 2024.

En relación a lo expuesto, es menester realizar las siguientes precisiones:RESOLUCIÓN NÚMERO 9656 DE 2026

“Por la cual se resuelve un recurso”

Página 3 de 7

El Despacho considera necesario dejar expresa constancia de que la denominada “contingencia operativa interna” asociada al canal institucional de recepción de correspondencia, la cual la sociedad atribuye a la persona encargada de su administración, no constituye en modo alguno una justificación válida para omitir la atención oportuna de los requerimientos formulados por esta Autoridad.

La omisión en la gestión de dicho canal, cualquiera que sea la causa interna que

administración, no constituye en modo alguno una justificación válida para omitir la atención oportuna de los requerimientos formulados por esta Autoridad.

La omisión en la gestión de dicho canal, cualquiera que sea la causa interna que la haya generado, no exonera a la sociedad de responsabilidad ni desvirtúa el incumplimiento acreditado, toda vez que la organización debe asumir los riesgos derivados de su propia estructura operativa.

La obligación de respuesta a los requerimientos efectuados en ejercicio de las funciones de esta Superintendencia es un deber legal, directo y exigible a la persona jurídica, que debe contar con mecanismos internos idóneos, suficientes y permanentes para garantizar su cumplimiento. Las eventuales falencias organizacionales, errores humanos o deficiencias en la asigna ción de responsabilidades internas no pueden trasladarse a la Autoridad no erigirse como excusa para el incumplimiento de obligaciones formales expresamente previstas en el ordenamiento jurídico.

Ahora bien, frente a las respuestas otorgadas por parte de la sociedad investigada a los requerimientos formulados por esta Instancia en los meses de junio y octubre de 2024, el Despacho advierte que fueron presentadas por fuera del término establecido par a el efecto; razón por la cual, deben considerarse extemporáneas. En consecuencia, tales manifestaciones no pueden ser valoradas como oportunamente aportadas dentro del trámite de la referencia.

Así las cosas, esta Dirección rechaza de manera categórica la justificación presentada por la sociedad recurrente , al considerar que la contingencia operativa alegada no tiene la entidad suficiente para excusar la falta de respuesta a los requerimientos formulados, ni para desvirtuar el incumplimiento acreditado en el marco de la presente investigación administrativa.

operativa alegada no tiene la entidad suficiente para excusar la falta de respuesta a los requerimientos formulados, ni para desvirtuar el incumplimiento acreditado en el marco de la presente investigación administrativa.

5.2. Frente a los motivos de inconformidad planteados en relación al cargo segundo

La sociedad recurrente desarrolla una línea argumental en torno al segundo cargo formulado. En esta línea, explica las razones por las cuales, a su juicio, no se configuró un incumplimiento al deber previsto en el literal n del artículo 17 de la Ley 1581 d e 2012; “en la medida que se materializó exclusivamente una indisponibilidad temporal de servicios internos, sin exposición a los titulares, sin accesos no autorizados y sin evidencia alguna de exfiltración, fuga, alteración o divulgación de datos personales”.

Aunado a lo anterior, señala que “en la conclusión del cargo la Resolución (sic) también hace referencia a la “fecha de ocurrencia” del evento y fija un vencimiento del término (03 de noviembre de 2023) ”; cuestión que , a su criterio, debe ser desarrollada por el Despacho.

En virtud de lo expuesto por la sociedad recurrente, este Despacho procederá con el análisis del incumplimiento al deber previsto en el literal n del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma ley, así:

El literal n) del artículo 17 de la Ley 1581 de 2012 dispone lo siguiente:

“ARTÍCULO 17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin

El literal n) del artículo 17 de la Ley 1581 de 2012 dispone lo siguiente:

“ARTÍCULO 17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.”RESOLUCIÓN NÚMERO 9656 DE 2026

“Por la cual se resuelve un recurso”

Página 4 de 7

A su turno, los literales f) y g) del artículo 4 del cuerpo normativo en cita señalan que:

“ARTÍCULO 4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán de manera armónica e integral, los siguientes principios:

(…)

f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;

información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;

g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los reg istros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;”

Sobre el particular, es importante señalar que, el Título V de la Circular Única de la Superintendencia de Industria y Comercio señala que “Los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD y los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el micrositio de la Delegatura para la Protección de Datos Personales o mediante cualquiera de los canales habilitados por la entidad para recibir comunicaciones dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos”.

En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargo en contra de la sociedad investigada, mediante Resolución No. 50017 del 2 8 de julio de 2025 , al considerar que:

de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargo en contra de la sociedad investigada, mediante Resolución No. 50017 del 2 8 de julio de 2025 , al considerar que:

“Encuentra este Despacho de manera preliminar que (i) la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S. identificada con NIT. 900.127.4036, tuvo conocimiento del incidente ocurrido 12 de septiembre de 2023, al proveedor de servicios de telecomunicaciones IFX NETWORKS y (ii) que la investigada no le informó a la autoridad de protección de datos lo ocurrido a través de los canales dispuestos para ello.

(…)

De conformidad con lo anterior, este Despacho concluye preliminarmente que la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S. identificada con NIT. 900.127.403-6 incumplió lo dispuesto en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.”

En relación con el acervo probatorio, este Despacho encuentra que:

El día 12 de septiembre de 2023, el proveedor de servicios de telecomunicaciones IFX NETWORKS COLOMBIA S.A.S., identificado con NIT. 830.058.677-7, sufrió un ataque de ciberseguridad externo tipo ransomware que presuntamente comprometió los servicios de tecnologías de la información y las comunicaciones que presta como proveedor de telecomunicaciones.

Con ocasión al ataque descrito en líneas precedentes , esta Autoridad de Protección de Datos Personales encuentra que la sociedad GUTIÉRREZ

y las comunicaciones que presta como proveedor de telecomunicaciones.

Con ocasión al ataque descrito en líneas precedentes , esta Autoridad de Protección de Datos Personales encuentra que la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S., identificada con NIT. 900.127.403-6, pudo verseRESOLUCIÓN NÚMERO 9656 DE 2026

“Por la cual se resuelve un recurso”

Página 5 de 7

afectada. Razón por la cual, adelantó averiguaciones preliminares y requirió a la sociedad para que se pronunciara frente a los hechos materia de investigación y absolviera una serie de interrogantes formulados por este Despacho. Requerimientos que no fueron contestados por parte de la sociedad investigada.1

No obstante lo anterior, la sociedad investigada, junto con su escrito de recurso, allega unos soportes documentales referentes al incidente objeto de reproche. Sin embargo, dichos soportes, en su mayoría, tienen una fecha posterior a los hechos que dieron origen a la presente investigación.

Ahora bien, aun cuando tales documentos puedan evidenciar la adopción de medidas correctivas o acciones posteriores, ello no enerva el deber legal que le asistía a la sociedad de informar oportunamente a esta Superintendencia sobre la ocurrencia de violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los Titulares. Por lo tanto, la documentación allegada no desvirtúa el incumplimiento del deber de reporte en el momento en que este era exigible.

Continuando con el análisis de los motivos de inconformidad planteados por la sociedad recurrente, el Despacho considera que el deber legal de informar a la

el momento en que este era exigible.

Continuando con el análisis de los motivos de inconformidad planteados por la sociedad recurrente, el Despacho considera que el deber legal de informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y exist an riesgos en la administración de la información de los Titulares, no se encuentra condicionado a la verificación de un daño efectivo sobre los datos personales, ni a la acreditación de una afectación material a la integridad, confidencialidad o disponibilidad de la información. Por el contrario, el marco normativo en materia de protección de datos personales impone la obligación de reportar cuando se presenten violaciones o existan riesgos en la administración de la información, precisamente en atención al carácter preventivo que cimienta el régimen que regula la materia.

La sociedad recurrente sostiene que únicamente se materializó una indisponibilidad temporal de servicios internos, sin afección directa a los datos personales. Sin embargo, dicha afirmación no desvirtúa el incumplimiento del deber de reporte, en la medida que la indisponibilidad de sistemas constituye, en sí misma, una afectación a la dimensión de disponibilidad de la información, la cual forma parte integral del principio de seguridad de la información. La disponibilidad no es un aspecto accesorio del trat amiento de datos personales, sino un componente esencial de su adecuado tratamiento.

El régimen de protección de datos no exige la consumación de un perjuicio para que surja la obligación del reporte; basta la existencia de una situación que pueda comprometer la seguridad o el tratamiento adecuado de la información.

Admitir la tesis de la sociedad recurrente implicaría reducir el deber contemplado

que surja la obligación del reporte; basta la existencia de una situación que pueda comprometer la seguridad o el tratamiento adecuado de la información.

Admitir la tesis de la sociedad recurrente implicaría reducir el deber contemplado en el literal n del artículo 17 de la Ley 1581 de 2012 únicamente a eventos consumados con afectación probada, lo cual iría en contravía directa del espíritu del régimen de protección de datos personales.

Frente a la fecha de vencimiento del plazo para realizar el reporte del incidente de seguridad ante esta Superintendencia, la sociedad recurrente tiene razón en el error que resalta; dado que, por un error durante el proceso de digitación del acto administrativo, se consignó el 3 de noviembre de 2023, c uando la fecha que corresponde es el 3 de octubre de 2023. Imprecisión que no afecta la validez del análisis efectuado ni la conclusión alcanzada, en tanto los hechos objeto de estudio y el marco normativo ap licado permanecen inalterados. En consecuencia, se trata de un yerro formal que no tiene entidad suficiente para modificar el alcance ni los efectos de la decisión proferida por esta Dirección.

5.3. Frente a las pretensiones

1 Radicados 24-249960-1 del 25 de junio de 2024 y 24-249960-3 del 18 de octubre de 2024RESOLUCIÓN NÚMERO 9656 DE 2026

“Por la cual se resuelve un recurso”

Página 6 de 7

La sociedad recurrente finaliza su escrito con un acápite de peticiones, en el que solicita lo siguiente:

“Con fundamento en los hechos acreditados, la evidencia técnica y

Página 6 de 7

La sociedad recurrente finaliza su escrito con un acápite de peticiones, en el que solicita lo siguiente:

“Con fundamento en los hechos acreditados, la evidencia técnica y documental aportada y las consideraciones jurídicas expuestas en el presente escrito, respetuosamente solicito a la Dirección de Investigaciones de Protección de Datos Personales de la Superi ntendencia de Industria y

Comercio:

1. Que se revoque en su integridad la Resolución y, en consecuencia, se absuelva a GMA de los cargos formulados al no haberse configurado los supuestos fácticos ni normativos que fundamentan las infracciones imputadas, particularmente en lo que respecta al deber de informar previsto en el literal n) del artículo 17 de la Ley 1581 de 2012, y al tratarse, en el cargo primero, de un incumplimiento meramente formal debidamente explicado y subsanado.

2. Subsidiariamente, para el evento en que la Dirección considere mantener algún grado de reproche, que se modifique la decisión sancionatoria y se proceda a reducir de manera sustancial la sanción impuesta, aplicando de forma estricta los criterios de graduación previstos en el artículo 24 de la Ley

1581 de 2012, atendiendo especialmente a:

• La inexistencia de daño o riesgo materializado para los titulares de la información. • La ausencia de beneficio económico. • La inexistencia de reincidencia. • La ausencia de resistencia, renuencia u obstrucción a la labor investigativa. • La conducta posterior diligente, colaborativa y correctiva y desplegada por la Compañía.

• La ausencia de beneficio económico. • La inexistencia de reincidencia. • La ausencia de resistencia, renuencia u obstrucción a la labor investigativa. • La conducta posterior diligente, colaborativa y correctiva y desplegada por la Compañía.

3. En el evento en que la reposición no prospere, que se conceda el recurso de apelación interpuesto en subsidio, para que sea resuelto por el superior jerárquico competente.”

Teniendo en cuenta lo expuesto en el presente acto administrativo, esta Dirección no encuentra procedente conceder lo solicitado y mantendrá el sentido material de la decisión adoptada mediante la Resolución No. 101746 del 3 de diciembre de 2025.

En este punto , conviene aclarar que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que no resultaban aplicables al momento de imposición de la sanción; en tanto: (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción; (ii) no se encontró una reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; y (iv) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad.

En relación con el único criterio de atenuación de la sanción señalado en el literal f) del artículo citado, este tampoco fue tenido en cuenta debido a que no se encontró en la actuación el reconocimiento o aceptación expresa de la comisión de la infracción por parte de la sociedad investigada.

f) del artículo citado, este tampoco fue tenido en cuenta debido a que no se encontró en la actuación el reconocimiento o aceptación expresa de la comisión de la infracción por parte de la sociedad investigada.

En consecuencia, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

SEXTO: Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Dirección confirmará la decisión material adoptada me diante la Resolución No . 101746 del 3 de diciembre de 2025.

SÉPTIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S., identificada con NIT.RESOLUCIÓN NÚMERO 9656 DE 2026

“Por la cual se resuelve un recurso”

Página 7 de 7

900.127.403-6, con el correo electrónico de notificación judicia l asesores@gutierrezmarquez.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ consultar mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 24-249960.

donde deberá ingresar al vínculo denominado “ consultar mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 24-249960.

La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 101746 del 3 de diciembre de 2025, de conformidad con la parte motiva del presente acto administrativo.

ARTÍCULO 2. CONCEDER el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO 3. NOTIFICAR a la sociedad GUTIÉRREZ MÁRQUEZ ASESORES S.A.S., identificada con NIT. 900.127.403-6, a través de su representante legal, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso.

ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den

administrativo no procede recurso.

ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son:

• Formulario de peticiones, quejas, reclamos y solicitudes dispuesto en la página web de la superintendencia mediante el link:

https://servicioslinea.sic.gov.co/servilinea/pqrsf/.

• Sede Principal: Calle 24 # 7 -43 local 108 en la ciudad de Bogotá D.C., de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE

Dada en Bogotá D. C., 16 de febrero de 2026

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES,

CAROLINA GARCÍA MOLINA

Proyectó: MF

Revisó: CG

Aprobó: CG