SIC - Resolucion RE9887-2026 de 2025

Página 1 de 10

RESOLUCIÓN NÚMERO 9887 DE 2026

(16 de febrero de 2026)

“Por la cual se resuelve un recurso”

Radicado 21-380202

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución No. 77220 del 30 de septiembre de 2025, esta Dirección de Investigaciones de Protección de Datos Personales resolvió:

“ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad CLINICA PORVENIR S.A.S., identificada con NIT. 802.019.573 -1, de OCHENTA (80) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL DOSCIENTOS OCHENTA (9.280) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO SIETE MILLONES DOSCIENTOS DOS MIL QUINIENTOS SESENTA PESOS M/CTE ($107.202.560) por la transgresión al deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal h) del artículo 21 y el artículo 25 de la norma en mención y el Decreto 090 de 2018.

(…)

de 2012, en concordancia con lo establecido en el literal h) del artículo 21 y el artículo 25 de la norma en mención y el Decreto 090 de 2018.

(…)

ARTÍCULO 2. ORDENAR a la sociedad CLINICA PORVENIR S.A.S. , identificada con NIT. 802.019.573 -1, cumplir con las siguientes instrucciones:

• La sociedad CLINICA PORVENIR S.A.S. deberá allegar lo siguiente:

• Formato o mecanismo de autorización implementado por la sociedad para el tratamiento de datos personales,

• Aviso de privacidad,

• Política de Tratamiento de Datos Personales,

• Política(s) interna(s) de seguridad en relación con la conservación de la información y datos personales; y

• Soportes de la inscripción en el Registro Nacional de Bases de Datos –

RNBD.

Parágrafo. La sociedad CLINICA PORVENIR S.A.S. , identificada con NIT. 802.019.573-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro del término de los TREINTA (30) días siguientes a la ejecutoria del presente acto administrativo.

El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad CLINICA PORVENIR S.A.S., identificada con NIT. 802.019.573-1, acreedora de las sanciones previstas en la ley.”

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 9887 DE 2026

“Por la cual se resuelve un recurso”

Página 2 de 10

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 9887 DE 2026

“Por la cual se resuelve un recurso”

Página 2 de 10

SEGUNDO: Que, la Resolución No. 77220 del 30 de septiembre de 2025 se notificó mediante aviso No. 33435 del 21 de octubre de 2025, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el consecutivo 21-380202-29 del 21 de octubre de 2025.

TERCERO: Que, mediante consecutivos 21-380202-30 y 21-380202-31 del 31 de octubre de 2025 , la sociedad investigada interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución No. 77220 del 30 de septiembre de 2025 , con fundamento en los siguientes motivos de

inconformidad:

En primer lugar, la sociedad recurrente considera que no hubo un incumplimiento en materia se software ni de seguridad, dado que implementó los controles requeridos tras la visita administrativa realizada por parte de esta Superintendencia en el año 2021.

A continuación, afirma que dio cumplimiento sustancial y de buena fe a las instrucciones sobre en RNBD, pese a los obstáculos técnicos y la transformación de la sociedad se responsabilidad limitada a Sociedad por Acciones Simplificada.

Posteriormente, indica que allega, junto con el escrito de recurso, unos soportes probatorios para su valoración por parte del Despacho y, que “de ser necesario, se practique verificación técnica en sitio o remota para constatar la existencia y suficiencia de políticas y controles, conforme a los principios del art. 3 CPACA y al

probatorios para su valoración por parte del Despacho y, que “de ser necesario, se practique verificación técnica en sitio o remota para constatar la existencia y suficiencia de políticas y controles, conforme a los principios del art. 3 CPACA y al estándar de motivación reforzada en materia sancionatoria”.

Aunado a lo anterior, solicita la aplicación de los criterios de graduación de la sanción previstos en el artículo 24 de la Ley 1581 de 2012.

Finaliza su escrito con un acápite denominado “Solicitudes concretas”, cuyo contenido se transcribe a continuación:

“Revocar la Resolución 77220 de 2025 y absolver a CLÍNICA PORVENIR S.A.S. de la infracción al literal o) del art. 17 de la Ley 1581 de 2012, en atención al cumplimiento material demostrado (seguridad y software) y al cumplimiento sustancial de la instrucción sobre RNBD.

Subsidiariamente, modificar el acto para:

Graduar la multa a un monto mínimo y razonable atendiendo los criterios del art. 24 Ley 1581 (sin daño, sin provecho, sin reincidencia, colaboración);

Otorgar un término adicional razonable para acreditar: (i) política de tratamiento integral y accesible; (ii) aviso de privacidad; (iii) mecanismos y registros de autorización (incluyendo modalidad verbal con evidencia); (iv) políticas internas de seguridad; y (v) finalización del trámite RNBD y subida de políticas en el directorio; todo ello conforme al DUR 1074/2015 y la Circular Única – Título V.

Tener por aportadas y valorar las pruebas anexas y, si se estima

subida de políticas en el directorio; todo ello conforme al DUR 1074/2015 y la Circular Única – Título V.

Tener por aportadas y valorar las pruebas anexas y, si se estima necesario, ordenar verificación técnica (visita/inspección) para constatar lo alegado.

Conceder en subsidio el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales.

(…) Petición final

Por lo expuesto, solicito se revoque la Resolución 77220 de 2025; subsidiariamente, se modifique graduando la sanción a un mínimo razonable y priorizando órdenes con término proporcional para su acreditación, teniendo por demostrados el cumplimiento materi al en materia de software y seguridad, y la actuación diligente y de buena fe de CLÍNICA PORVENIR S.A.S. en la implementación inmediata de las disposiciones advertidas.”RESOLUCIÓN NÚMERO 9887 DE 2026

“Por la cual se resuelve un recurso”

Página 3 de 10

CUARTO: Competencia de la Superintendencia de Industria y Comercio

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso

y sus decretos reglamentarios.

QUINTO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la sociedad recurrente, este Despacho procede a realizar las siguientes consideraciones, teniendo en cuenta que los motivos de inconformidad expuestos por la sociedad se enmarcan en los

siguientes puntos:

1. Frente al incumplimiento de la sociedad investigada en materia de datos personales,

1. Frente al Registro Nacional de Bases de Datos – RNBD,

1. Frente a las pruebas,

1. Frente a los criterios para la graduación de las sanciones y el monto de la sanción pecuniaria impuesta,

1. Frente a las órdenes administrativas impartidas; y

1. Frente a las pretensiones.

5.1. Frente al incumplimiento de la sociedad investigada en materia de datos personales

La sociedad recurrente sostiene que no hubo un incumplimiento en materia se software ni de seguridad, dado que implementó los controles requeridos tras la visita administrativa realizada por parte de esta Superintendencia en el año

2021. Sin embargo, de ninguna manera puede perderse de vista que : i) la sociedad recurrente se limita a realizar una descripción narrativa extremadamente sucinta respecto del presunto cumplimiento en materia de seguridad de la información y ii) la afirmación realizada por la sociedad no está respaldada por evidencias.

Sumado a lo anterior, es necesario señalar que esta Dirección no le impuso una sanción pecuniaria a la sociedad recurrente por el incumplimiento al deber de seguridad de la información.

respaldada por evidencias.

Sumado a lo anterior, es necesario señalar que esta Dirección no le impuso una sanción pecuniaria a la sociedad recurrente por el incumplimiento al deber de seguridad de la información.

En mérito de lo expuesto, este Despacho no efectuará pronunciamiento adicional alguno respecto del argumento planteado, ni acogerá el motivo de inconformidad formulado por la recurrente, por cuanto este no desvirtúa los fundamentos fácticos ni jurídicos que sustentan el acto administrativo recurrido.

5.2. Frente al Registro Nacional de Bases de Datos – RNBD

La sociedad recurrente afirma que dio cumplimiento sustancial y de buena fe a las instrucciones sobre en RNBD, pese a los obstáculos técnicos y la transformación de la sociedad se responsabilidad limitada a Sociedad por Acciones Simplificada.

Afirmaciones frente a las cuales es menester precisar lo siguiente:

El Despacho considera sencillamente inadmisible que, transcurridos casi cinco (05) años desde la visita administrativa realizada por parte de esta Superintendencia a las instalaciones de la clínica, la sociedad no haya efectuado la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos,RESOLUCIÓN NÚMERO 9887 DE 2026

“Por la cual se resuelve un recurso”

Página 4 de 10

de conformidad con las disposiciones vigentes. El prolongado incumplimiento de dicho deber formal no puede ser justificado ni relativizado mediante explicaciones ex post, máxime cuando se trata de una carga claramente establecida y conocida por los sujetos obligados.

En este sentido, los argumentos esgrimidos por la sociedad recurrente,

dicho deber formal no puede ser justificado ni relativizado mediante explicaciones ex post, máxime cuando se trata de una carga claramente establecida y conocida por los sujetos obligados.

En este sentido, los argumentos esgrimidos por la sociedad recurrente, relacionados con su presunta actuación de buena fe y con el tránsito societario de una sociedad de responsabilidad limitada a una sociedad por acciones simplificada (SAS), no tiene acogida alguna por parte de este Despacho, La buena fe, como principio gene ral del derecho, no exonera del cumplimiento de obligaciones legales expresas, ni puede invocarse para subsanar omisiones prolongadas en el tiempo que resultan objetivamente verificables.

De igual forma, el cambio en la forma societaria no suspende, extingue ni difiere el cumplimiento de los deberes legales a cargo de la persona jurídica, ni puede ser utilizado como fundamento para justificar la inobservancia de una obligación que subsiste con independencia de la estructura societaria adoptada. En consecuencia, el Despacho rechaza de plano dichas justificaciones, por cuanto no desvirtúan el incumplimiento acreditado no resultan jurídicamente atendibles dentro del marco de la presente investigación.

5.3. Frente a las pruebas

La sociedad recurrente indica que allega, junto con el escrito de recurso, unos soportes probatorios para su valoración por parte del Despacho y, que “de ser necesario, se practique verificación técnica en sitio o remota para constatar la existencia y suficiencia de políticas y controles, conforme a los principios del art. 3 CPACA y al estándar de motivación reforzada en materia sancionatoria”.

Esta Dirección observa que, si bien la sociedad afirma en su escrito de recurso

y suficiencia de políticas y controles, conforme a los principios del art. 3 CPACA y al estándar de motivación reforzada en materia sancionatoria”.

Esta Dirección observa que, si bien la sociedad afirma en su escrito de recurso que allega determinados elementos probatorios para su examen, del análisis del expediente se constata que tales pruebas no fueron efectivamente aportadas junto con la actuación correspondiente. En consecuencia, no obra en el proceso soporte alguno que permita verificar o contrastar las afirmaciones realizadas por la recurrente.

Por tal razón, no existe fundamento para efectuar una valoración probatoria distinta a la ya realizada en la decisión adoptada por el Despacho, la cual se soportó en el acervo probatorio debidamente incorporado al expediente y valorado conforme a las reglas de la sana crítica. En ausencia de nuevos elementos probatorios legal y oportunamente allegados, las conclusiones alcanzadas en el acto administrativo recurrido de mantienen incólumes.

En relación a la prueba técnica solicitada consistente en “Inspección/verificación técnica (remota o en sitio) para constatar medidas de seguridad y finalización del RNBD; y/o requerimiento a la administración del RNBD sobre los registros de actividad (logs) asociados al NIT de la Clínica ”, esta instancia encuentra que para la fecha de expedición del presente acto administrativo no se ha presentado una variación en el Registro Nacional de Bases de Datos -RNBD, que acredite el cumplimiento por parte de la sociedad. Para efectos de velar por la trazabilidad de la información, se presenta a continuación la imagen que contiene el resultado arrojado al realizar la correspondiente consulta1:

por parte de la sociedad. Para efectos de velar por la trazabilidad de la información, se presenta a continuación la imagen que contiene el resultado arrojado al realizar la correspondiente consulta1:

1 Disponible en: https://rnbd.sic.gov.co/sisi/consultaTitulares/baseDatos/idSujetoObligado/RESOLUCIÓN NÚMERO 9887 DE 2026

“Por la cual se resuelve un recurso”

Página 5 de 10

5.4. Frente a los criterios para la graduación de las sanciones y el monto de la sanción pecuniaria impuesta

La sociedad recurrente solicita la aplicación de los criterios de graduación de la sanción previstos en el artículo 24 de la Ley 1581 de 2012 y; en consecuencia, de ello, la modificación de la sanción pecuniaria impuesta.

Frente a los motivos de inconformidad presentados por la sociedad investigada, y en lo relacionado al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irracionalmente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Asimismo, implica qu e tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así:

“(…)

la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así:

“(…)

15.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley

De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado:

“En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública. Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la

norma, esto es, a la realización de los principios que gobiernan la función pública. Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así co mo el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la con ducta de la investigada durante el trámite de la investigación administrativa.RESOLUCIÓN NÚMERO 9887 DE 2026

“Por la cual se resuelve un recurso”

Página 6 de 10

En el presente caso, se encuentra suficientemente acreditado el incumplimiento por parte de la investigada del deber de cumplir con las instrucciones impartidas por esta Superintendencia en referencia a la inscripción de sus bases de datos en el Registro N acional de Bases de Datos; conducta con la que transgredió el deber contemplado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo

inscripción de sus bases de datos en el Registro N acional de Bases de Datos; conducta con la que transgredió el deber contemplado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal h) del artículo 21 y el artículo 25 de la norma en mención y el Decret o 090 de 2018. Por esta razón, se impondrá una sanción pecuniaria de OCHENTA (80) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL DOSCIENTAS OCHENTA (9.280) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO SIETE MILLONES

DOSCIENTOS DOS MIL QUINIENTOS SESENTA PESOS M/CTE

($107.202.560).

15.2 Otros criterios de graduación

Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuen cia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 no se aplicará toda vez que la investigada no reconoció de

Despacho.

El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 no se aplicará toda vez que la investigada no reconoció de manera expresa la comisión de las infracciones investigadas por esta Superintendencia.”

Así pues, tal como fue transcrito, a lo largo de la presente investigación se acreditó de manera inequívoca la comisión de la infracción a lo dispuesto en:

El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal h) del artículo 21 y el artículo 25 de la norma en mención y el Decreto 090 de 2018 , al encontrarse suficientemente acreditado el incumplimiento por parte de la investigada del deber de cumplir con las instrucciones impartidas por esta Superintendencia en referencia a la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos.

Por lo expuesto, se tiene que la ley establece que los criterios relacionados en este artículo 24 de la Ley 1581 de 2012 se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado incurra en ellos, aclarando que los criterios dispuestos en los literales a), b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción.

Respecto a los criterios de graduación de la sanción establecidos en el artículo 24 de la Ley 1581 de 2012, la Corte Constitucional precisó lo siguiente:

“(…)

Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades,

24 de la Ley 1581 de 2012, la Corte Constitucional precisó lo siguiente:

“(…)

Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del inves tigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.

(…)”.

Por lo expuesto, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que no resultaban aplicables al momento de imposición de la sanción; en tanto: (i) dentro de la investigación realizada no seRESOLUCIÓN NÚMERO 9887 DE 2026

“Por la cual se resuelve un recurso”

Página 7 de 10

encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción; (ii) no se encontró una reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superint endencia; y (iv) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad.

En relación con el único criterio de atenuación de la sanción señalado en el literal f) del artículo citado, este tampoco fue tenido en cuenta debido a que no se encontró en la actuación el reconocimiento o aceptación expresa de la comisión

En relación con el único criterio de atenuación de la sanción señalado en el literal f) del artículo citado, este tampoco fue tenido en cuenta debido a que no se encontró en la actuación el reconocimiento o aceptación expresa de la comisión de la infracción por parte de la sociedad investigada.

Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta de dos mil (2.000) salarios impuso la suma de OCHENTA (80) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL DOSCIENTOS OCHENTA (9.280) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO SIETE MILLONES DOSCIENTOS DOS MIL QUINIENTOS SESENTA PESOS M/CTE ($107.202.560) por la transgresión al deber previsto en el literal o) del artículo 17 de la Ley 1 581 de 2012, en concordancia con lo establecido en el literal h) del artículo 21 y el artículo 25 de la norma en mención y el Decreto 090 de 2018.

De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado:

la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado:

“En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública. Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad.”2

Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta. Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en genera l, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-01 del 18 de agosto de 2005:

Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-01 del 18 de agosto de 2005:

“(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sir van de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”.3

2 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 3 Consejo de Estado, Sala Contenciosa Administrativa – Sección Primera, Sentencia Nº. 25000-23-24-0002005-01325-01 del 26 de noviembre de 2015, Magistrado Ponente Roberto Augusto Serrato Valdés.RESOLUCIÓN NÚMERO 9887 DE 2026

“Por la cual se resuelve un recurso”

Página 8 de 10

Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad

proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en la Ley 1581 de 2012 y sus disposiciones reglamentarias, como quedó establecido anteriormente.

En virtud de lo expuesto, este Despacho no encuentra que los motivos de inconformidad presentados por la sociedad recurrente, en este acápite del escrito de recurso, estén llamados a prosperar y mantendrá los criterios de graduación de la sanción, según lo expuesto en el acto administrativo proferido el 30 de septiembre de 2025.

5.5. Frente a las órdenes administrativas impartidas

La sociedad recurrente solicita un término adicional razonable para acreditar el cumplimiento de las órdenes administrativas impartidas por mandato del acto administrativo No. 77220 del 30 de septiembre de 2025.

El Despacho considera que no hay lugar alguno a la ampliación del plazo solicitado para acreditar el cumplimiento de las órdenes administrativas impartidas.

La relevancia constitucional del derecho al habeas data y el deber reforzado de diligencia que recae sobre quienes tratan datos, imponen un estándar estricto de cumplimiento inmediato y efectivo, incompatible con prórrogas injustificadas. El consecuencia, esta Dirección rechaza de manera categórica la solicitud de ampliación del plazo, al no encontrarse razones jurídicas ni fácticas que la sustenten y al resultar contraria a la finalidad de las órdenes impartidas.

El consecuencia, esta Dirección rechaza de manera categórica la solicitud de ampliación del plazo, al no encontrarse razones jurídicas ni fácticas que la sustenten y al resultar contraria a la finalidad de las órdenes impartidas.

5.6. Frente a las pretensiones

En su escrito de recurso, la sociedad realiza las siguientes solicitudes:

“Revocar la Resolución 77220 de 2025 y absolver a CLÍNICA PORVENIR S.A.S. de la infracción al literal o) del art. 17 de la Ley 1581 de 2012, en atención al cumplimiento material demostrado (seguridad y software) y al cumplimiento sustancial de la instrucción sobre RNBD.

Subsidiariamen