SIC - Resolucion RE99824-2025 de 2025

Página 1 de 20

RESOLUCIÓN NÚMERO 99824 DE 2025

(28 de noviembre de 2025)

“Por la cual se impone una sanción administrativa”

Radicación 25-228843

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Dirección mediante Resolución N .° 77654 del 3 de noviembre del 2022, expedida dentro del expediente con radicación 20 -57773, impuso a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA con NIT 830.059.921 -4, la siguiente orden

administrativa:

“(…) ARTÍCULO SEGUNDO: ORDENAR a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. , identificada con el Nit. 830.059.921-4, cumplir con las siguientes instrucciones:

• La sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. deberá ajustar y cargar la versión actualizada de su Política de Tratamiento de información en el Registro Nacional de Bases de Datos, conforme a lo preceptuado en la Ley 1581 de 2012 y su Decreto Único Reglamentario 1074 de 2015.

Política de Tratamiento de información en el Registro Nacional de Bases de Datos, conforme a lo preceptuado en la Ley 1581 de 2012 y su Decreto Único Reglamentario 1074 de 2015.

• La sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. deberá documentar su manual de seguridad de la información, para dar cumplimiento a lo señalado en La Ley Estatutaria 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO PRIMERO: La sociedad comercial COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. , identificada con el Nit. 830.059.921-4 deberá́ cumplir con lo ordenado en esta resolución dentro de los noventa (90) días hábiles siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO: Para demostrar el cumplimiento, se deberá remitir a esta Dirección una certificación suscrita por el representante legal de la sociedad, mediante la cual acredite que se han implementado las medidas ordenadas, sin perjuicio de que las misma puedan ser ver ificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS

TECNICOS EN LIMPIEZA CISTEL LTDA. , identificada con el Nit. 830.059.9214, acreedora de las sanciones previstas en la ley. (…)”1

1 Expediente digital 25-228843. Consecutivo número 0. Página 2. Folio 23.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 99824 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 20

SEGUNDO: Que, la Resolución N° . 77654 del 3 de noviembre del 2022 fue notificada a la representante legal de la sociedad COMPAÑIA INTE GRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA mediante notificación electrónica el 10 de noviembre del 2022 y a su apoderado especial mediante notificación electrónica el 3 de noviembre del 2022, de conformidad con la certificación con radicado 20 -57773-50 de fecha 16 de noviembre del 2022 expedida por la Secretaria General de esta Superintendencia.

TERCERO: Que la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA, guardó silencio y NO interpuso recursos contra la Resolución en cuestión.

CUARTO: Que, de conformidad con el termino señalado en el parágrafo primero del artículo segundo, la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA debía acreditar el cumplimiento de las órdenes administrativas contenidas en la Resolución N°. 77654 del 03 de noviembre del 2022 dentro de los noventa (90) días hábiles posteriores a la

TECNICOS EN LIMPIEZA CISTEL LIMITADA debía acreditar el cumplimiento de las órdenes administrativas contenidas en la Resolución N°. 77654 del 03 de noviembre del 2022 dentro de los noventa (90) días hábiles posteriores a la ejecutoria de dicho acto administrativo.

En este sentido, la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA debía acreditar el cumplimiento de lo ordenado a más tardar el 12 de abril de 2023 , situación que NO fue demostrada en el expediente.

QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 11 de junio de 2025, se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 35539 por medio de la cual, se formuló cargos en contra de la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA con NIT 830.059.921-4, por la presunta infracción de lo dispuesto en:

• El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma; y

• El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 inciso 3 de la misma Ley y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

SEXTO: Que, la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS

2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

SEXTO: Que, la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA fue notificada de la Resolución N°. 35539 del 11 de junio de 2025, de manera electrónica el día 11 de junio de 2025 a su representante legal, de conf ormidad con la certificación bajo radicado 25228843- -4 de fecha 13 de junio de 2025 expedida por la Secretaria General de esta Superintendencia.

SÉPTIMO: Que encontrándose dentro del término establecido para el efecto, la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA allegó el 4 de julio de 2025 escrito de descargos bajo consecutivo N.° 25-228843- -5 argumentando, entre otras cosas, lo siguiente:

Primero, la sociedad reconoció plenamente los siguientes incumplimientos:

“1. No registro ni actualización de la Política de Tratamiento en el RNBD antes del 10 de abril de 2023.

2. Ausencia de certificación suscrita por el Representante Legal que acreditara el cumplimiento de dicha política.

3. No formalización, socialización ni verificació n del Manual de Seguridad de la

Información.

4. Falta de mecanismos específicos para el ejercicio de derechos de los titulares

(Peticiones, Quejas, Reclamos y Solicitudes – PQRS).” 2

2 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2.RESOLUCIÓN NÚMERO 99824 DE 2025

(Peticiones, Quejas, Reclamos y Solicitudes – PQRS).” 2

2 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2.RESOLUCIÓN NÚMERO 99824 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 20

Además, la sociedad señaló algunas circunstancias las cuales consideró como atenuantes:

“1. Naturaleza MIPYME: limitados recursos económicos y humanos, con dependencia de asesoría externa para cumplimiento normativo.

2. Demoras en procesos internos de aprobación, sujetos a doble validación en órganos de dirección.

3. Voluntad inequívoca de subsanar: desde abril de 2023 se elaboraron borradores de políticas y manual, listos para su registro inmediato.

4. Colaboración proactiva con esta Superintendencia: respuestas oportunas a requerimientos y disposición a auditorías. ” 3

Por último, la sociedad presentó un Plan Integral de Cumplimiento4.

Para sustentar lo anterior, la sociedad allegó, entre otros, los siguientes documentos:

• Política de tratamiento de datos personales.5 - Manual de seguridad de la información.6 - Certificado de existencia y representación legal.7

OCTAVO: Que mediante Resolución N.° 73594 de 19 septiembre de 2025, ésta Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 25-228843, con el valor legal correspondiente:

8.1. Resolución N.º 77654 del 3 de noviembre del 2022.8

8.2. Memorando interno de la Directora de Investigaciones de Protección de

número 25-228843, con el valor legal correspondiente:

8.1. Resolución N.º 77654 del 3 de noviembre del 2022.8

8.2. Memorando interno de la Directora de Investigaciones de Protección de Datos Personales dirigido a la Coordinadora Grupo de Trabajo de Investigaciones Administrativas mediante la cual se da inicio de oficio una investigación administrativa.9

8.3. Citación notificación del 3 de noviembre del 2022 bajo el radicado 2057773- -43.10

8.4. Notificación personal por medio electrónico de la Resolución N.º 77654 del 3 de noviembre del 2022.11

8.5. Certificado de comunicación electrónica.12

8.6. Certificado de comunicación electrónica.13

8.7. Certificación de notificación expedida por la Secretaria General AD-HOC de esta Superintendencia el 16 de noviembre de 2022 bajo el Radicado N.º 20-57773- -50.14

8.8. Escrito de descargos presentado por la investigada el 4 de julio del 2025 bajo el radicado 25-228843- -00005-0000 del 7 de julio del 2025. 15Al documento de descargos adjuntó los siguientes documentos:

8.8.1. Poder otorgado al abogado ALBERTO ACOSTA GUERRERO con cédula de ciudadanía 80.057.103 y tarjeta profesional N.º 283.176

3 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2. 4 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 2 a 3.

3 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2. 4 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 2 a 3. 5 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 4 al 9. 6 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 10 al 15. 7 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 16 al 22. 8 Expediente Digital 25-228843. Consecutivo número 0. Página 2. Folios 1 al 24. 9 Expediente Digital 25-228843. Consecutivo número 0. Página 1. 10 Expediente Digital 25-228843. Consecutivo número 0. Página 2. Folio 25 11 Expediente Digital 25-228843. Consecutivo número 0. Página 2. Folios 26 al 27. 12 Expediente Digital 25-228843. Consecutivo número 0. Página 2. Folios 28 al 31. 13 Expediente Digital 25-228843. Consecutivo número 0. Página 2. Folios 33 al 34. 14 Expediente Digital 25-228843. Consecutivo número 0. Página 4. Folios 19 al 20. 15 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 1 al 3.RESOLUCIÓN NÚMERO 99824 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 20

del C.S.J.16 8.8.2. Política de tratamiento de datos personales.17 8.8.3. Manual de seguridad de la información.18

“Por la cual se impone una sanción administrativa”

Página 4 de 20

del C.S.J.16 8.8.2. Política de tratamiento de datos personales.17 8.8.3. Manual de seguridad de la información.18 8.8.4. Certificado de existencia y representación legal.19 8.8.5. Estado de resultados 2022 – 2021.20 8.8.6. Estado de situación financiera 2022 -2021.21 8.8.7. Estado flujo de efectivo 2022 – 2021.22 8.8.8. Estado de cambios en el patrimonio 2022 – 2021.23 8.8.9. Revelaciones a los estados financieros 2022 – 2021.24 8.8.10. Estado de resultados integral comparativo 2024 – 2023.25 8.8.11. Notas a los estados financieros a 31 de diciembre de 2024.26

NOVENO: Que, la Resolución N.° 73594 de 19 septiembre de 2025 le fue comunicada a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA el 19 de septiembre de 2025 a su representante legal, de conformidad con la certificación expedida por la Secretaria General de esta Superintendenc ia bajo radicado 25-228843- -9 de fecha de 23 de septiembre de 2025.

DÉCIMO: Que la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA , guardó silencio y no presentó escrito alegatos de conclusión.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y

Comercio

EN LIMPIEZA CISTEL LIMITADA , guardó silencio y no presentó escrito alegatos de conclusión.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y

Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso

12.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 27, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar

16 Expediente Digital 25-228843. Consecutivo número 5. Página 3. Folios 1

a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar

16 Expediente Digital 25-228843. Consecutivo número 5. Página 3. Folios 1 17 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 4 al 9. 18 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 10 al 15. 19 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 16 al 22. 20 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folio 23 21 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 24 al 25. 22 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folio 26 23 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folio 27 24 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 28 al 39 25 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 40 al 42 26 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 43 al 47 27 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 99824 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 20

“Por la cual se impone una sanción administrativa”

Página 5 de 20

a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado

• El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma; y

• El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 inciso 3 de la misma Ley y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el escrito de descargos presentados por la sociedad y el conjunto de pruebas obrantes en el expediente.

12.2 Valoración probatoria

12.2.1. Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio

Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente:

“Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

lo siguiente:

“Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.”

Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente:

“Artículo 21. Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones:

(…)

f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.”

En esta medida, es claro que los Responsables deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

En el presente caso, la Dirección de Investigación de Datos Personales, mediante Resolución N°. 77654 del 3 de noviembre del 2022, le ordenó a la sociedad

COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL

LTDA. con N.I.T. 830.059.921-4, lo siguiente:

“(…)

ARTÍCULO SEGUNDO: ORDENAR a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. , identificada con el Nit. 830.059.921-4, cumplir con las siguientes instrucciones:

• La sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN

SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. , identificada con el Nit. 830.059.921-4, cumplir con las siguientes instrucciones:

• La sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. deberá ajustar y cargar la versión actualizadaRESOLUCIÓN NÚMERO 99824 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 20

de su Política de Tratamiento de información en el Registro Nacional de Bases de Datos, conforme a lo preceptuado en la Ley 1581 de 2012 y su Decreto Único Reglamentario 1074 de 2015.

• La sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. deberá documentar su manual de seguridad de la información, para dar cumplimiento a lo señalado en La Ley Estatutaria 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO PRIMERO: La sociedad comercial COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. , identificada con el Nit. 830.059.921-4 deberá́ cumplir con lo ordenado en esta resolución dentro de los noventa (90) días hábiles siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO: Para demostrar el cumplimiento, se deberá remitir a esta Dirección una certificación suscrita por el representante legal de la sociedad, mediante la cual acredite que se han implementado las medidas ordenadas, sin perjuicio de que las misma puedan ser ver ificadas con posterioridad por parte de

esta Dirección una certificación suscrita por el representante legal de la sociedad, mediante la cual acredite que se han implementado las medidas ordenadas, sin perjuicio de que las misma puedan ser ver ificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. , identificada con el Nit. 830.059.9214, acreedora de las sanciones previstas en la ley. (…)”

La Resolución N°. 77654 del 3 de noviembre del 2022 fue notificada al apoderado de la investigada mediante notificación electrónica el 3 de noviembre de 2022, y a la representante legal mediante notificación electrónica el 10 de noviembre de 2022, según consta en la certificación expedida por Secretaría General ADHOC de esta Superintendencia bajo radicado N.° 20-57773- -5028.

Con base en lo anterior, se tiene que el término que tenía la investigada para interponer los recursos de ley vencía el 29 de noviembre de 2022, de modo que la Resolución en cuestión quedó en firme a partir del 30 de noviembre de 2022.

En consecuencia, dado que dicho acto administrativo otorgaba un plazo de noventa (90) días hábiles contados a partir de su ejecutoria para dar cumplimiento a las órdenes impartidas, se concluye que la sociedad tenía plazo hasta el 12 de abril de 2023.

Sin embargo, la investigada guardó silencio y no acreditó dentro del término legal el cumplimiento de las órdenes administrativas impartidas en la Resolución

hasta el 12 de abril de 2023.

Sin embargo, la investigada guardó silencio y no acreditó dentro del término legal el cumplimiento de las órdenes administrativas impartidas en la Resolución N°. 77654 del 3 de noviembre del 2022.

Por lo anterior, la Dirección de Investigación de Protección de Datos Personales de esta Superintendencia, mediante Resolución N°. 35539 de 11 de junio de 2025, decidió formular pliego de cargos en contra de la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. , por la presunta infracción de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma , toda vez que la sociedad “ no cumplió con las órdenes impartidas por este Despacho a través de la Resolución N°. 57172 del 3 de septiembre del 2021”29

Al respecto, la sociedad allegó el 4 de julio de 2025 escrito de descargos bajo consecutivo N.° 25-228843- -5, reconociendo plenamente los siguientes incumplimientos:

“1. No registro ni actualización de la Política de Tratamiento en el RNBD antes del 10 de abril de 2023.

2. Ausencia de certificación suscrita por el Representante Legal que acreditara el cumplimiento de dicha política.

28 Expediente Digital 25-228843. Consecutivo número 0. Página 4. Folio 19. 29 Resolución N°. 35539 de 11 de junio de 2025. Folio 4.RESOLUCIÓN NÚMERO 99824 DE 2025

“Por la cual se impone una sanción administrativa”

29 Resolución N°. 35539 de 11 de junio de 2025. Folio 4.RESOLUCIÓN NÚMERO 99824 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 20

3. No formalización, socialización ni verificació n del Manual de Seguridad de la

Información.

4. Falta de mecanismos específicos para el ejercicio de derechos de los titulares

(Peticiones, Quejas, Reclamos y Solicitudes – PQRS).” 30

Además, la sociedad señaló algunas circunstancias las cuales consideró como atenuantes:

“1. Naturaleza MIPYME: limitados recursos económicos y humanos, con dependencia de asesoría externa para cumplimiento normativo.

2. Demoras en procesos internos de aprobación, sujetos a doble validación en órganos de dirección.

3. Voluntad inequívoca de subsanar: desde abril de 2023 se elaboraron borradores de políticas y manual, listos para su registro inmediato.

4. Colaboración proactiva con esta Superintendencia: respuestas oportunas a requerimientos y disposición a auditorías. ” 31

Por último, la sociedad presentó un Plan Integral de Cumplimiento 32. Para sustentar lo anterior, la sociedad allegó, entre otros, los siguientes documentos:

• Política de tratamiento de datos personales.33 - Manual de seguridad de la información.34 - Certificado de existencia y representación legal.35

Ahora bien, de acuerdo con lo anterior, en el caso bajo estudio se debe tener en cuenta que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo dispone lo siguiente:

“Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y

cuenta que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo dispone lo siguiente:

“Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión, que será motivada”.

Por otra parte, el artículo 176 del Código General del Proceso señala que:

“Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana critica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos (...)”.

Atendiendo las reglas citadas, encontramos que, para el caso que nos ocupa:

1. La sociedad no allegó la certificación suscrita por el representante legal de la sociedad, donde se acreditara que se han implementado las medidas ordenadas, de acuerdo a lo ordenado en el parágrafo segundo del artículo segundo de la Resolución N°. 77654 del 3 de noviembre del 2022.

2. La sociedad reconoció que:

“1. No registro ni actualización de la Política de Tratamiento en el RNBD antes del 10 de abril de 2023.

2. Ausencia de certificación suscrita por el Representante Legal que acreditara el cumplimiento de dicha política.

3. No formalización, socialización ni verificación del Manual de Seguridad de la Información.

4. Falta de mecanismos específicos para el ejercicio de derechos de los titulares

(Peticiones, Quejas, Reclamos y Solicitudes – PQRS).” 36 (subrayado y negrilla fuera del texto original)

30 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2.

(Peticiones, Quejas, Reclamos y Solicitudes – PQRS).” 36 (subrayado y negrilla fuera del texto original)

30 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2. 31 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2. 32 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 2 a 3. 33 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 4 al 9. 34 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 10 al 15. 35 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 16 al 22. 36 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2.RESOLUCIÓN NÚMERO 99824 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 20

3. El documento denominado “ POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES”37, aportado por la sociedad en los descargos establece como fecha de vigencia de las bases de datos el 30 de junio de 2025,

como se observa a continuación:

4. El documento denominado “ MANUAL DE SEGURIDAD DE LA INFORMACIÓN”38, aportado por la sociedad en los descargos establece como fecha de emisión el 1 de julio de 2025, siendo esta su versión 1.0,

como se evidencia a continuación:

Por lo anterior, este Despacho concluye que la sociedad: (i) no allegó la

como fecha de emisión el 1 de julio de 2025, siendo esta su versión 1.0, como se evidencia a continuación:

Por lo anterior, este Despacho concluye que la sociedad: (i) no allegó la certificación de cumplimiento requerida; (ii) únicamente con ocasión de la presente actuación administrativa procedió a actualizar la política de tratamiento de datos e implementar un manual de seguridad de la información.

Así, este Despacho destaca que e s fundamental que los sujetos obligados den cumplimiento oportuno y efectivo a las órdenes impartidas por la Superintendencia de Industria y Comercio, en su calidad de autoridad de control en materia de protección de datos personal es, toda vez que esta entidad es la encargada de velar por la observancia y aplicación del régimen previsto en la Ley 1581 de 2012. El acatamiento de sus instrucciones no solo garantiza el respeto de los derechos de los titulares de la información, sino que también constituye una manifestación del deber de colaboración con las autoridades y del compromiso institucional con la legalidad, la transparencia y la responsabilidad en el tratamiento de datos personales.

Ahora bien, la sociedad en su escrito de descargos presentó un plan integral de cumplimiento39, el cual consistía en:

“V. PLAN INTEGRAL DE CUMPLIMIENTO

Objetivo: restablecer la plena conformidad normativa mediante acciones inmediatas, fortalezas organizacionales y verificación independiente.

37 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 4 a 9. 38 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 10 a 12.

37 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 4 a 9. 38 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 10 a 12. 39 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 2 a 3.RESOLUCIÓN NÚMERO 99824 DE 2025

“Por la cual se impone una sanción administrativa”

Página 9 de 20

Fase I – Corrección Inmediata (1–30 días)

• Registro y publicación de la Política de Tratamiento en el RNBD (Día

20/07/2025).

• Formalización y socialización interna del Manual de Seguridad (Día

30/07/2025).

• Expedición de certificación suscrita por Representante Legal y Revisor Fiscal

(Día 31/07/2025).

Fase II – Fortalecimiento Estructural (31–90 días)

• Nominación y registro del Oficial de Protección de Datos (DPO) ante la SIC

(15/09/2025).

• Implementación de canal PQRS y protocolos detallados de atención

(30/09/2025).

• Jornadas de capacitación obligatoria para todo el personal (15/10/2025).

Fase III – Verificación y Certificación (91–180 días)

• Auditoría interna de cumplimiento y cierre de brechas (15/12/2025).

• Plan de acciones correctivas con plazos y responsables (31/12/2025).

• Contratación de auditor externo y obte nción de informe de conformidad

(31/01/2026).

VI. SOLICITUDES

• Plan de acciones correctivas con plazos y responsables (31/12/2025).

• Contratación de auditor externo y obte nción de informe de conformidad

(31/01/2026).

VI. SOLICITUDES

1. Aplicación de criterios de atenuación y no imposición de sanción pecuniaria, o en su defecto, fijación de multa mínima legal.

2. Concesión de seis (6) meses adicionales para ejecución total del Plan Integral.

3. Otorgamiento de facilidades de pago en cuotas, en caso de sanción pecuniaria.

4. Reconocimiento de certificados y audit orías como prueba suficiente de cumplimiento” 40

Al respecto, este Despacho advierte que el documento allegado por la sociedad presenta fechas posteriores al término legal establecido en la Resolució