Decisión 70035 de 2025 — SIC

(12 de septiembre de 2025) “Por la cual se impone una sanción administrativa” Radicado 22-416065 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, la sociedad SCOTIABANK COLPATRIA S.A., identificada con NIT. 860.034.594-1, por medio de comunicación con radicado número 22416065-0 del 20 de octubre de 2022, reportó la ocurrencia de un incidente de seguridad con referencia a la base de datos denominada ‘D_Clientes’.

SEGUNDO: Que, por medio de comunicación con radicado número 22-4160652 del 07 de diciembre de 2022, la sociedad SCOTIABANK COLPATRIA S.A. aportó información adicional sobre el incidente de seguridad ocurrido el día 23 de septiembre, en los siguientes términos: 2.1. El 23 de septiembre de 2022, SCOTIABANK COLPATRIA S.A. recibió por parte de Incocredito una base de datos personales encontrada en una investigación realizada a un centro de atención telefónica. 2.2.

La sociedad SCOTIABANK COLPATRIA S.A. basándose en los atributos del archivo entregado por Incocredito, pudo determinar que el archivo fue creado por un funcionario activo con el cargo de director de Informe y Reservas. De igual manera en este informe, indicó que “El funcionario aceptó haber utilizado sus privilegios de excepción para enviar archivos ZIP cifrados a su correo electrónico personal y que estos contenían información personal de clientes y que él obtenía la información de una carpeta compartida utilizada por su grupo de trabajo.

El empleado admitió haber usado sus privilegios de excepción para enviar archivos cifrados a su correo electrónico personal y venderlos por una tarifa (…)”. Por lo cual, el banco procedió a separar al funcionario de su cargo en la organización. 2.3. El Banco integró un equipo multidisciplinario con el fin de realizar una imagen forense del equipo de cómputo desde donde se enviaban los archivos.

De la revisión de los chats, historial de navegación y uso de periféricos, no se logró extraer prueba alguna que evidenciara la filtración de datos por este medio. En la revisión de correos electrónicos, se encontró que se enviaron correos con archivos ZIP cifrados y protegidos con contraseña. 2.4. De los hallazgos resultantes de la revisión, el Banco concluyó lo siguiente: i) El total de clientes cuya información personal se vio comprometida con la ocurrencia de este evento es de setecientas veintiún mil trescientas setenta y un (721.371) personas; ii) la causa del evento corresponde al abuso y extralimitación de funciones por parte de un empleado con cargos de confianza. 2.5.

Como parte del plan de contención, el Banco implementó las siguientes medidas: “Por la cual se impone una sanción administrativa” - Robustecimiento del control de DLP XXXXXXXXXXXXXXX para usuarios exceptuados. - Para los usuarios exceptuados, se reforzaron las acciones de revisión de actividad autorizada por parte del equipo DLM XXXXXXXXXXXXXXXXX. - Se robusteció la herramienta DLP con una regla para los usuarios exceptuados, de tal manera que los archivos cifrados solo podrán ser enviados por correos de dominios corporativos.

Adicionalmente, en caso de usuarios exceptuados realicen envíos a correos con archivos cifrados a dominios no corporativos, estos correos serán enviados a cuarentena donde tendrán una segunda revisión y serán autorizados para su liberación en los casos que aplique. - El Banco ha implementado mejoras en la gestión de clientes, poniendo en un grupo de control a los clientes relacionados con este evento particular, con reglas de prevención dirigidas a comercios de mayor nivel de fraude y reglas más restrictivas. - Se establecieron otros para atender lo relacionado con suplantación, transacciones por canales digitales y compras no reconocidas. 2.6.

Como parte del plan de prevención se implementaron los siguientes controles: - Plan de entrenamiento y concienciación a nivel de riesgos de privacidad y seguridad de la información. - Controles a nivel de aplicaciones y sistemas. - Gestión de reglas de DLP para garantizar la protección de la información e información relacionada con el estándar de seguridad para la industria de tarjetas de crédito. - Monitoreo y bloqueo de correos enviados a dominios externos que contengan información o adjuntos cifrados. - Controles DLP dentro de la solución de administración de dispositivos móviles. - Controles a nivel de red relacionados al bloqueo de sitios de internet no autorizados cuando se navega mediante red corporativa. - Monitoreo de impresión de información sensible. - Restricciones para evitar la manipulación de agentes DLP en estaciones de trabajo de usuario final. - Se realizan revisiones periódicas a las alertas de los empleados excepcionados para validar su razonabilidad. - Campaña interna sobre cultura de riesgo. - Proceso de evaluación integral sobre los riesgos y las debilidades en las actividades de tratamiento de la información confidencial de clientes. - Lanzamiento de la campaña masiva “#Señalesdealerta” a través de medios digitales, redes sociales, canales propios, reforzando las recomendaciones de seguridad y prevención de las modalidades de fraude que existen en el sector financiero.

“Por la cual se impone una sanción administrativa”

TERCERO: Que, por medio de comunicación con radicado número 22-416065-3 del 13 de marzo de 2023, la sociedad SCOTIABANK COLPATRIA S.A. aportó información adicional sobre el incidente de seguridad ocurrido el día 23 de septiembre, en los siguientes términos: 3.1. El Banco determinó que el total de usuarios afectados fue de setecientos noventa y un mil trescientos sesenta y cinco (791.365) titulares. 3.2.

El Banco descifró el 98% de los archivos que salieron al correo personal del empleado implicado, quedando un remanente del 2% el cual no ha sido posible descifrar y frente a lo cual los técnicos han determinado que la probabilidad de éxito es muy remota, razón por la cual se tomó la decisión de dar por terminada la investigación.

CUARTO: Que, la Dirección de Investigaciones de Protección de Datos Personales, a través el Grupo de Trabajo de Informática Forense y Seguridad Digital, realizó un informe de análisis del incidente de seguridad reportado por la sociedad SCOTIABANK COLPATRIA S.A., el cual se encuentra contenido en el radicado número 22-416065-4 del 11 de abril de 2023, en el que se concluyó lo siguiente: - Este tipo de incidente afectó la confidencialidad de los datos personales. - Los datos afectados corresponden a datos generales, datos de identificación, datos socio económicos, y datos de ubicación. - Después de realizar el análisis de la información reportada por la sociedad, el incidente de seguridad se clasifica como severidad alta.

QUINTO: Que, este Despacho requirió a la sociedad SCOTIABANK COLPATRIA S.A., por medio de oficio con radicado número 22-416065-5 del 14 de abril de 2023, con el fin de que contestara los siguientes interrogantes: “(…) 1. Ampliar la información respecto al tipo de datos comprometidos como consecuencia del incidente. 2. Manifestar si se presentaron reclamaciones de titulares afectados con respecto al incidente, en caso afirmativo, allegar copia de estas con el tratamiento que se les dio. 3.

Señalar si recibió reclamación del señor XXXX XXXXXXX XXXXXXX XXXXX, de ser así aportar copia de la respuesta que se le dio y de la gestión realizada para el caso. 4. Indicar la razón social del callcenter al que le fue encontrada la base de datos reportada por Incocredito al Banco. 5. Detallar el informe resultado de la investigación adelantada por Incocredito. 6.

Hacer llegar copia del informe de análisis forense ejecutado sobre el computador del exfuncionario del Banco. 7. Remita copia de la denuncia fiscalía interpuesta al exfuncionario del Banco. 8. Informar si se identificaron el o los compradores de las bases de datos traficadas por el exfuncionario del Banco. 9. Comunicar si se logró establecer la fecha en la que el exfuncionario del Banco inició la venta de bases de datos personales de clientes del banco. 10.

El banco reportó mediante los radicados: 19-046175, 21-157317 y 20439193 incidentes de seguridad relacionados con el acceso no autorizado a los datos personales de sus clientes por parte de terceros no autorizados. Manifieste si estos incidentes están relacionados con el incidente tratado en la presente acta. 11. Indique los medios por los cuales se les notificó a los titulares sobre el incidente, de ser así, adjuntar el comunicado o información proferida para dar a conocer el incidente a las partes interesadas (Responsables, Encargados, Proveedores y otros) y/o titulares afectados.

En caso afirmativo allegar copia de dichas notificaciones. 12. Aportar copia del procedimiento para la gestión de incidentes de seguridad de la información. “Por la cual se impone una sanción administrativa” 13. Sirvase de señalar sí el Banco cuenta con un procedimiento de investigación y análisis de fraudes, en caso afirmativo aportar copia de este. 14.

Informar los controles implementados relacionados con el talento humano que dentro de sus funciones hagan tratamiento de datos personales, así como las capacitaciones impartidas a este grupo de funcionarios. 15..Allegar todos los soportes que el banco considere pertinentes remitir para evidenciar su adecuada gestión en la detección, tratamiento y solución del presunto incidente de seguridad.

(…)”1.

SEXTO: Que, por medio de comunicación con radicado 22-416065-13 del 08 de mayo de 2023, la sociedad SCOTIABANK COLPATRIA S.A. dio respuesta al requerimiento anteriormente mencionado e indicó, entre otras cosas, lo siguiente: 6.1. Conforme al informe suministrado por INCOCREDITO, se pudo determinar que el tercero a quien presuntamente se vendió la base de datos es The Best Marketing Limit. 6.2.

Conforme a la información suministrada por el ex funcionario del Banco durante los descargos practicados, se logró establecer que la conducta se venía presentando en un lapso de 4 años anteriores a la detección del incidente, sin embargo, no se pudo determinar la fecha exacta de la venta de la primera base de datos. 6.3. A los clientes que fueron afectados se les envió comunicación por medio de una carta con el procedimiento para llevar a cabo el reemplazo de plásticos; adicionalmente, el Banco adelantó campañas enfocadas en la prevención de fraudes y ciberataques. 6.4.

Como parte del ambiente de control establecido por el Banco, cada una de las unidades de negocio tienen definidos controles operativos, tecnológicos, de áreas de apoyo y transversales a toda la organización para mitigar el riesgo de fuga de información; como los que se relacionan a continuación: 6.4.1. Controles transversales - Todas las unidades de negocio de la organización deben documentar en las descripciones de cargo, detallando las responsabilidades, atribuciones y funciones conforme al rol que desempeña cada funcionario. - Los líderes de las unidades de negocio son los responsables de certificar los accesos a los sistemas o aplicaciones de los usuarios que hacen parte del área, con el fin de garantizar que los accesos están asignados correctamente para el desarrollo de las funciones propias de su cargo.

Esta certificación de usuarios es de obligatorio cumplimiento. - Una vez un colaborador ingresa al Banco o sus filiales, debe realizar el curso de "Privacidad en Scotiabank" con el objetivo de conocer sus deberes, limitaciones, y escenarios de riesgo más relevantes, así como su deber en reportar situaciones identificadas que vayan en contra de esta política, por medio de los canales establecidos por la Gerencia de Cumplimiento. - Mantener actualizados los accesos a carpetas compartidas de la Gerencia XXXxxxxxxxxxxxxxxxxxxx. 6.4.2.

Controles tecnológicos y áreas de apoyo: - Herramientas de DLP (xxxxxxxxxxxxxxxxxxxx). - Manejo de excepciones de DLP. 1 Radicado número 22-416065-5 del 14 de abril de 2023. Folio 2. “Por la cual se impone una sanción administrativa” - Prevención de fuga de la información por acceso indebido a directorio en la NAS. - Control para la ejecución de xxxx, transfer en xxxxx y consulta de archivos críticos. - Mecanismos para el intercambio de información segura. - Controles de acceso remoto. - Programa de prevención de fuga de información. 6.5.

El Banco aportó los siguientes documentos: - Listado de campos comprometidos como consecuencia del incidente. - Informe presentado por INCOCREDITO. - Informes de análisis forenses ejecutados por el Banco. - Copia de la denuncia radicada ante la Fiscalía General de la Nación. - Carta enviada a los titulares para el reemplazo de plásticos. - Copia de los procedimientos para la gestión y atención de incidentes de seguridad y privacidad. - Copia del procedimiento para atención y gestión de casos de fraude. - Certificación de los cursos probados por los funcionarios que realizan tratamiento de datos personales emitidas por el área de recursos humanos de la compañía.

SÉPTIMO: Que, por medio de comunicación con radicado 22-416065-16 del 19 de mayo de 2023, la sociedad SCOTIABANK COLPATRIA S.A. amplió la respuesta emitida al requerimiento e indicó, entre otras cosas, lo siguiente: 7.1. Anexó el inventario de quejas en el periodo comprendido en la investigación del incidente, asociadas a fraude y falsos positivos (intento de fraude).

Es preciso señalar que las quejas que relacionamos corresponden a lo casos con fraude materializado, así como aquellos en los que hubo un uso inadecuado de los datos para intentos de fraude. Aun los casos enviados en el inventario obedecen a titulares cuyos datos estuvieron comprometidos en el evento en cuestión, no es posible establecer que la queja tenga relación directa con la infidelidad cometida por el exfuncionario.

OCTAVO: Que, con posterioridad a la entrega del material probatorio, el Grupo de Trabajo de Informática Forense y Seguridad Digital radicó bajo consecutivo número 22-416065-22 de fecha 14 de agosto del 2023 un nuevo informe de análisis de incidente de seguridad, al interior del cual se encuentran las siguientes observaciones: 8.1. El Banco aportó un archivo denominado ‘Reclamaciones titulares afectados’, el cual se encuentra compuesto por dos hojas llamadas ‘intento fraude-falso positivo’ y ‘fraude materializado’; este ultima se encuentra compuesta por 52928 registros de quejas asociados a fraude durante el periodo de investigación del incidente; sin embargo, no se observan quejas relacionadas con la ocurrencia del incidente. 8.2.

De conformidad con los informes forenses ejecutados por el Banco, se encontró que a partir de los archivos recolectados por INCOCREDITO se pudo establecer que la fuga de información se relacionaba con el funcionario WALTER ALEXANDER LADINO MOLANO; en la investigación se estableció que el “Por la cual se impone una sanción administrativa” funcionario envió a su correo personal 413 correos electrónicos con archivos cifrados. 8.3.

Después del análisis, se concluye que el Banco tenía implementada la herramienta DLP, la cual tiene por objetivo la prevención de la pérdida de información y sobre esta tenía el exfuncionario tenía configurada una excepción que le permitía el envío de correos electrónicos con adjuntos a dominios externos al Banco.

NOVENO: Que, advirtiendo que se presentó una presunta violación de las normas de protección de datos personales, esta Dirección decidió iniciar una investigación administrativa en contra de la sociedad SCOTIABANK COLPATRIA S.A., identificada con NIT. 860.034.594-1, por medio de la Resolución N.º 52039 del 06 de septiembre de 2024, en la cual se formuló un cargo por la presunta infracción a lo dispuesto en: i) El literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales g) y h) del artículo 4 de la misma ley y los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015.

La mencionada resolución le fue notificada a la investigada por medio de Aviso N.º 20937 del 17 de septiembre de 2024, de conformidad con la certificación expedida por la Coordinación del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 22-416065-36 del 18 de septiembre de 2024, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

DÉCIMO: Que, advirtiendo que se presentó una presunta violación de las normas de protección de datos personales, esta Dirección decidió iniciar una investigación administrativa en contra del señor WALTER ALEXANDER LADINO MOLANO, identificado con cédula de ciudadanía N.º 79.763.485, por medio de la Resolución N.º 52039 del 06 de septiembre de 2024, en la cual se formularon cargos por la presunta infracción a lo dispuesto en: i) El literal b) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en literal c) del artículo 4 de la Ley 1581 del 2012, el artículo 9 de la misma norma, y los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 del 2015. ii) El literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales g) y h) del artículo 4 de la misma ley.

La mencionada resolución le fue notificada al investigado de forma electrónica el día 06 de septiembre de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22416065-36 del 18 de septiembre de 2024, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

DÉCIMO PRIMERO: Que, el señor WALTER ALEXANDER LADINO MOLANO presentó su escrito de descargos, por medio de comunicación con radicado número 22-416065-37 del 27 de septiembre de 2024, en el que manifestó lo siguiente: 11.1. El día 28 de septiembre de 2022 lo abordaron cinco personas que adujeron ocupar cargos directivos en SCOTIABANK COLPATRIA S.A., junto con un hombre que indicó ser investigador judicial, quienes le manifestaron que tenían información que lo implicaba en un fraude de dimensiones millonarias.

Le indicaron que debía realizar una carta donde aceptara la comisión de los hechos “Por la cual se impone una sanción administrativa” y adicionalmente le exigieron que presentara su renuncia al cargo que ocupaba, bajo amenazas. 11.2. Manifestó que el proceso disciplinario llevado a cabo por parte del Banco fue violatorio de sus derechos en la medida en que el mismo 28 de septiembre de 2022, donde le exigieron su renuncia, se realizaron los descargos sin la posibilidad de presentar pruebas y de conocer las pruebas que había recolectado el Banco en su contra. 11.3.

Indicó que no es cierto que se haya presentado la venta de información personal, lo cual puede corroborarse en la denuncia interpuesta ante la Fiscalía General de la Nación con radicado número XXXXXXXXXXXXXXXXXXXX, donde solo se hace referencia a los delitos de violación de datos personales, utilización ilícita de redes de comunicación y acceso abusivo a sistema informático agravado. 11.4.

Manifestó que en el documento ‘PRIVILEGED AND CONFIDENTIAL: INTERNAL FORENSIC EXAMINATIO REPORT: Project Protect – LADINO MOLANO, Walter Alexander – CS Misconduct (Risk: High) – Case XXXXXXXXXXXX’ se señala que no existe exfiltración de datos por parte de él, razón por la cual no hay una prueba cierta que demuestre la supuesta venta de bases de datos. 11.5.

Hace referencia a unos mensajes enviados desde la plataforma Teams a un Analista II (SMB), e indica que el contenido de los mensajes hace referencia a las actividades propias de su trabajo, toda vez que este hacia parte administrativa de la transmisión de informes, “(…) necesitaba confirmación de los correos que salían y dejar constancia de los mismos por el hecho de los permisos de excepción del DPL.

Esta autorización a excepción del DPL, se solicitó una única vez, se especifica cómo debía ser dicha solicitud, la cual tenía que tener el visto bueno de la gerencia, el área de seguridad y vice presidencia financiera, se solicitó mediante correo electrónico, y así mismo la contestaron”. 11.6. Manifestó que respecto a lo informado por SCOTIABANK COLPATRIA S.A. respecto de la instalación del programa CCleaner; para borrar los datos de navegación en el equipo portátil que usaba en el Banco, no tenía conocimiento pues la instalación de programas no era permitida y estas actividades solo las podían realizar el área de tecnología y soporte. 11.7.

Señaló que en la información allegada por SCOTIABANK COLPATRIA S.A. mediante 22-416065-16, se aseguró que hubo posible fuga de información sin embargo dicha sociedad no aportó ninguna prueba que lo relacione con esos casos. 11.8. El Banco estableció que los hechos en los que se vio envuelto se vieron afectados sesenta mil (60.000) clientes, el resto de los casos relacionados corresponde a incidentes que no se relacionan con los que se atienden en este caso. 11.9.

Afirma que los descargos realizados por él el día 28 de septiembre de 2022, no deben ser tenidos en cuenta ya que estos se obtuvieron vulnerando el debido proceso, el derecho defensa y contradicción.

DÉCIMO SEGUNDO: Que, la sociedad SCOTIABANK COLPATRIA S.A. presentó su escrito de descargos, por medio de comunicación con radicado número 22-416065-40 del 08 de octubre de 2024, en el que manifestó lo siguiente: 12.1. Realizó un recuento de los antecedentes del incidente de seguridad entre los que destacó que el 23 de septiembre de 2022, INCOCREDITO detectó una base de datos que correspondía a información de clientes del Banco, la cual se encontraba en posesión de un call center.

Posteriormente, el Banco reportó la detección del incidente de seguridad que se materializó a partir de una infidelidad de un empleado con cargo de confianza que se desempeñaba como Director de Informes y Reservas. “Por la cual se impone una sanción administrativa” 12.2. Resaltó los siguientes controles que se tenían implementados en la época de ocurrencia de los hechos: - Herramienta xxxxxxxxxxxxxxxxxxxx (DLP).

Prevención de fuga de información por acceso indebido a directorios en el NAS. Control para la ejecución de xxxx, transfer en xxxxx y consulta de archivos críticos. Mecanismos para el intercambio de información segura. Controles de acceso remoto. Programa de prevención de fuga de información Controles transversales Manejo de excepciones herramienta xxxxxxxxxxxxxxxxxxxx (DLP). 12.3.

La herramienta xxxxxxxxxxxxxxxxxxxx (DLP) tenía un manejo de excepciones debido al rol o función que desempeñaban ciertos cargos, era necesario tener un grupo de funcionarios con manejo de excepciones al xxxx xxxxxxxxxxxxxxxx (DLP), dentro del cual se encontraba el señor LADINO MOLANO, quien desempeñaba un cargo de dirección, confianza y manejo que le exigía un deber especial de cuidado frente a las labores que desempeñaba como Director teniendo en cuenta la naturaleza del vínculo contractual con el Banco.

El incidente tuvo lugar por la extralimitación en las funciones del señor LADINO MOLANO quien actuó por cuenta propia y en desconocimiento de las obligaciones que como empleado debía cumplir. Debe tenerse presente que los empleados bajo una modalidad trabajo de dirección, confianza y manejo como la ostentaba el señor LADINO MOLANO, demandan un grado extra de responsabilidad dentro de la estructura de la empresa, pero sobre todo que el empleador despliegue un grado de confianza especial de cara al empleado para el logro de sus objetivos puesto que esta modalidad de cargos posee poder de mando y una jerarquía privilegiada frente a los demás empleados. 12.4.

Manifiesta que esta Superintendencia está reconociendo que el ex empleado se extralimitó en el desarrollo de sus actividades pese a la confianza depositada por el Banco en él y, siendo consciente de las obligaciones de confidencialidad pactadas contractualmente y las diferentes capacitaciones que hacía periódicamente en materia de protección de datos, seguridad y código de conducta, dolosamente y aprovechando la buena fe depositada en él por el Banco, decidió realizar el envío no autorizado de las mencionadas bases de datos.

Por lo anterior, no puede considerarse como una falla en los protocolos de seguridad del banco ya que las excepciones se otorgan atendiendo a los criterios de las funciones que se cumplen dentro de la organización. 12.5. Indica que no es cierto que el Banco no haya dispuesto medidas adicionales que permitieran mitigar el riesgo relacionado con la excepción del DLP. 12.6.

Aclara que la herramienta CCleaner es un software que permite el borrado seguro de la información mediante el despliegue de su mecanismo de eliminación que consiste en la ejecución de múltiples pasadas sobre el archivo. El Banco hace mención de la instalación de la herramienta CCleaner en el equipo asignado al señor LADINO MOLANO como elemento de prueba ante un eventual proceso penal, toda vez que con este se pretende demostrar las razones por las cuales los archivos y carpetas que se encontraron en la imagen forense del disco del equipo no se pueden visualizar en el sistema de archivos de Windows; razón por la cual no existe una relación causal entre el aplicativo y la materialización del incidente. 12.7.

Con el fin de prevenir la posibilidad de una infidelidad por parte del funcionario involucrado, este no tenía acceso directo a la información asociada, pues la información debía solicitarla a su equipo de trabajo quien le consigna la información en carpetas compartidas, las cuales estaban disponibles debido a “Por la cual se impone una sanción administrativa” que soportan la ejecución de varios procesos del área.

Los detalles de esta actividad se pueden observar en el informe ‘INTERNAL FORENSIC EXAMINATION REPORT Project Protect LADINO MOLANO, Walter Alexander.pdf’. 12.8. El Banco radicó una denuncia penal en contra del señor WALTER ALEXANDER LADINO MOLANO el 30 de septiembre de 2022. El 6 de agosto de 2024 la Fiscalía General de la Nación profirió resolución de acusación por los delitos de violación de datos personales y utilización ilícita de redes de telecomunicaciones. 12.9.

El usuario que realiza la extracción de la información en el xxxxx cuenta con el perfilamiento adecuado y la asignación de las opciones, de acuerdo con las responsabilidades. Se concluyó que el ex funcionario se valió de su cargo para solicitar el envío de información al personal a su cargo, lo cual se considera una acción desviada al proceso que ejecutaba en el área.

Una vez la información es generada, es almacenada en el repositorio centralizado de la gerencia NAS, la cual cuenta con los accesos restringidos para el personal que hace parte del proceso de reporte de información a centrales de riesgo. Se enfatiza que el exempleado hacía parte del proceso y del área que debía tener los permisos sobre estas ubicaciones 12.10.

Los funcionarios con acceso a información sensible cuentan con los controles para mitigar fuga de información como son: bloqueo de envío de correo electrónico externo, control de navegación, bloqueo de dispositivos de almacenamiento externo, bluetooth y cifrado de disco. El exfuncionario solo tenía excepción para envío de información cifrada hasta cierto volumen de registros, las demás restricciones le aplicaban en su totalidad. 12.11.

Las excepciones para el envío de correos externos que tenía el ex funcionario fueron otorgadas: i) en consideración a las actividades y funciones que tenía que desempeñar; ii) en razón a la condición de empleado de dirección confianza y manejo; iii) habiendo sido capacitado en materias como protección de datos personales, seguridad de la información y código de conducta; iv) valiéndose de controles adicionales en consideración a las excepciones otorgadas; v) los controles han tenido una evolución y mejora constante desde la materialización del incidente; vi) goza de controles para prevenir el acceso no autorizado a los directorios de la NAS y la ejecución de xxxx, transfer en xxxxx y consulta de archivos críticos; y vii) se ha definido un programa de prevención de fuga de información.

DÉCIMO TERCERO: Que, mediante la Resolución N.º 32621 del 29 de mayo de 2025, se incorporaron las pruebas allegadas a la presente actuación administrativa. Las pruebas incorporadas son las siguientes: 13.1. Reporte de incidente de seguridad por parte de la sociedad SCOTIABANK COLPATRIA S.A. en fecha 20 de octubre del 20222. 13.2. Complemento de información por parte de la sociedad SCOTIABANK COLPATRIA S.A. de fechas 7 de diciembre del 2022 y del 13 de marzo del 20233. 13.3.

Informe del incidente de seguridad del Grupo de Trabajo de Informática Forense y Seguridad Digital de fecha 11 de abril del 2023 4. 13.4. Complemento de información, con anexos, de la sociedad SCOTIABANK COLPATRIA S.A. de fecha 8 de mayo del 20235. Radicado número 22-416065-0 del 20 de octubre de 2022. Radicado número 22-416065-2 del 07 de diciembre de 2022.

Página 2. Radicado número 22-416065-4 del 11 de abril de 2023. Página 2. Radicado número 22-416065-13 del 08 de mayo de 2023. “Por la cual se impone una sanción administrativa” 13.4.1. Archivo Excel que contiene el listado de campos comprometidos como consecuencia del incidente6. 13.4.2. Informe de investigación del Call Center donde fue encontrada la base de datos7. 13.4.3.

Informes de análisis forense ejecutados por el Banco8. 13.4.4. Copia de la denuncia en contra del señor WALTER ALEXANDER LADINO MOLANO radicada ante la Fiscalía General de la Nación de fecha septiembre del 20229. 13.4.5. Comunicación a los Titulares afectados por el presunto fraude10. 13.4.6. Procedimiento de gestión de incidentes de seguridad de la información y procedimiento de gestión de incidentes y violaciones de la privacidad11. 13.4.7.

Documento titulado “Global Investigations Standard”12. 13.4.8. Certificación del Área de Recursos Humanos de SCOTIABANK COLPATRIA S.A., donde se señalan los cursos en materia de privacidad y seguridad de la información realizados, así como copia del contrato laboral del señor WALTER ALEXANDER LADINO MOLANO13. 13.5. Complemento de información, con anexos, por parte de la sociedad SCOTIABANK COLPATRIA S.A. de fecha 19 de mayo del 2023 14. 13.5.1.

Excel contentivo de la información de los Titulares afectados y sus respectivas reclamaciones15. 13.5.2. Carta enviada al Titular xxxxxxxxxxxxxxxxxxxx en relación con la denuncia presentada ante la Superintendencia Financiera de Colombia del 30 de septiembre del 202216. 13.5.3. Copia de correo electrónico donde se solicita “marcar” internamente a un cliente para no envío de publicidad de productos del banco17. 13.5.4.

Queja del Titular xxxxxx xxxxxxxxxxxx xxxx dirigida ante esta entidad18. 13.5.5. Correo de remisión de la carta enviada al Titular xxxxxx xxxxxxxxxxxx xxxx. 19 13.6. Complemento de información por parte de la sociedad SCOTIABANK COLPATRIA S.A. de fecha 6 y 7 de julio del 202320. 13.7. Segundo informe del incidente de seguridad del Grupo de Trabajo de Informática Forense y Seguridad Digital de fecha 14 de agosto del 2023 Radicado número 22-416065-22 del 14 de agosto de 2023 21.

Radicado número 22-416065-13 del 08 de mayo de 2023. Página 2. Anexo en carpeta “Punto ibidem ibidem ibidem ibidem ibidem ibidem ibidem Radicado número 22-416065-16 del 19 de mayo de 2023. Página 2. Radicado número 22-416065-16 del 19 de mayo de 2023. Página 4. Radicado número 22-416065-16 del 19 de mayo de 2023. Página 5. Radicado número 22-416065-16 del 19 de mayo de 2023.

Página 6. Radicado número 22-416065-16 del 19 de mayo de 2023. Página 7 Radicado número 22-416065-16 del 19 de mayo de 2023. Página 8. Radicado número 22-416065-19 del 07 de julio de 2023. Página 5 Radicado número 22-416065-22 del 14 de agosto de 2023. Página 3. “Por la cual se impone una sanción administrativa” 13. 8. Complemento de información, con anexos, remitido por parte del tercero INCOCRÉDITO de fecha 19 de octubre del 202322 13.8.1.

Respuesta al requerimiento de información de fecha 19 de octubre del 202323 13.8.2. Informe investigación posible punto de compromiso THE BEST MARKETING LIMIT MID 1915534-0 VNP de fecha 28 de septiembre del 2022 24 13.8.3. Certificado de Existencia y Representación Legal de la sociedad INCOCRÉDITO de fecha 4 de octubre del 202325 13.9. Correo remisorio del escrito de descargos de fecha 27 de septiembre del 2024 por parte del señor WALTER ALEXANDER LADINO MOLANO26. 13.9.1.

Declaración de renta del señor WALTER ALEXANDER LADINO MOLANO del año 202127. 13.9.2. Declaración de renta del señor WALTER ALEXANDER LADINO MOLANO del año 202028. 13.9.3. Declaración de renta del señor WALTER ALEXANDER LADINO MOLANO del año 202229. 13.9.4. Citación a diligencia de descargos por parte de la sociedad SCOTIABANK COLPATRIA S.A al señor WALTER ALEXANDER LADINO MOLANO30. 13.9.5.

Carta a mano alzada del señor WALTER ALEXANDER LADINO MOLANO31. 13.9.6. Acta de diligencia de descargos del señor WALTER ALEXANDER LADINO MOLANO32. 13.9.7. Escrito de descargos del señor WALTER ALEXANDER LADINO MOLANO33. 13.9.8. Memorial del apoderado de la sociedad SCOTIABANK COLPATRIA S.A dirigido a la Dirección Nacional del CTI de la Fiscalía General de la Nación 34 13.9.9.

Informe N°. 11-315136 de fecha 27 de octubre del 2022 del Grupo Investigativo contra Delitos Informáticos de la Dirección del Cuerpo Técnico de Investigación35. 13.10. Correo remisorio del escrito de descargos de fecha 8 de octubre del 2024 por parte de la sociedad SCOTIABANK COLPATRIA S.A36. Radicado 22-416065-26 Radicado 22-416065-26, pág. 2 Radicado 22-416065-26, pág. 3 Radicado 22-416065-26, pág. 4 Radicado 22-416065-37 y 22-416065-38 Radicado 22-416065-37, pág. 2 Radicado 22-416065-37, pág. 3 Radicado 22-416065-37, pág. 4 Radicado 22-416065-37, pág. 5 Radicado 22-416065-37, pág. 6 Radicado 22-416065-37, pág. 7 Radicado 22-416065-37, pág. 8 Radicado 22-416065-37, pág. 9 Radicado 22-416065-37, pág. 10 Radicado 22-416065-40 “Por la cual se impone una sanción administrativa” 13.10.1.

Escrito de descargos de la sociedad SCOTIABANK COLPATRIA S.A37. 13.10.2. Copia de los Estados Financieros de la sociedad SCOTIABANK COLPATRIA S.A de la vigencia 2020 – 202138. 13.10.3 Copia de los Estados Financieros de la sociedad SCOTIABANK COLPATRIA S.A de la vigencia 2021 – 202239. 13.10.4. Documento titulado “Estándar de Protección de Datos - Adendum” de fecha junio de 202140. 13.10.5.

Documento titulado “Estándar de Protección de Datos – Estándar común” de fecha octubre de 202241. 13.10.6. Copia de los Estados Financieros de la sociedad SCOTIABANK COLPATRIA S.A de la vigencia 2022 – 202342. La mencionada resolución le fue comunicada a la sociedad investigada el 12 de junio de 2025, de conformidad con la certificación del 13 de junio de 2025 expedida por la Coordinación del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 22-416065-52.

Por otra parte, la mencionada resolución le fue comunicada al señor WALTER ALEXANDER LADINO MOLANO el día 29 de mayo de 2025, de conformidad con la certificación referida anteriormente.

DÉCIMO CUARTO: Que, por medio de la Resolución N.º 32621 del 29 de mayo de 2025, se decretó la práctica de las siguientes pruebas: “(…) Requerir a la sociedad SCOTIABANK COLPATRIA S.A. que informe a este Despacho sobre el estado del proceso penal de acuerdo con la denuncia interpuesta en contra del señor WALTER ALEXANDER LADINO MOLANO, así como allegar copia de las actuaciones expedidas por la Fiscalía General de la Nación o por el juez de conocimiento.

Requerir a la sociedad SCOTIABANK COLPATRIA S.A. para que aporte a este Despacho la política de los procesos disciplinarios de la entidad, así como la totalidad de los documentos y las eventuales grabaciones del proceso disciplinario adelantado en contra del señor WALTER ALEXANDER LADINO MOLANO. Requerir a la sociedad SCOTIABANK COLPATRIA S.A para que aporte el histórico de las autorizaciones solicitadas por el señor WALTER ALEXANDER LADINO MOLANO para el envío de bases de datos mediante correos electrónicos;

Requerir a la sociedad SCOTIABANK COLPATRIA S.A para que aporte la totalidad de los correos electrónicos enviados por el señor WALTER ALEXANDER LADINO MOLANO en los cuales haya remitido bases de datos desde correo corporativo a su correo personal con base en las autorizaciones solicitadas dentro del rango de tiempo del 1 de marzo del 2018 al 27 de septiembre del 2022.

Requerir al señor WALTER ALEXANDER LADINO MOLANO S.A para que traslade a este Despacho el cuestionario pertinente, respecto de la herramienta denominada “XXXXXXXXXXXXXXX” para que este Despacho lo remita a la sociedad SCOTIABANK COLPATRIA S.A. (…)”43.

DÉCIMO QUINTO: Que, por medio de comunicación con radicado número 22416065-49 del 06 de junio de 2025, el señor WALTER ALEXANDER LADINO Radicado 22-416065-40, pág. 2 Radicado 22-416065-40, pág. 4 Radicado 22-416065-40, pág. 5 Radicado 22-416065-40, pág. 6 Radicado 22-416065-40, pág. 7 Radicado 22-416065-40, pág. 8 43 Radicado número 22-416065-41 del 29 de mayo de 2025.

“Por la cual se impone una sanción administrativa” MOLANO aportó el cuestionario relacionado con la herramienta ‘xxxx xxxxxxxx xxxxxxxx, el que contiene las siguientes preguntas: “(…) 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. 16. 17. 18. 19. Para la época de los hechos aducido al señor Walter ladino, ¿Cuál era el área del banco encargada de realizar monitoreo continuo a la salida de información y, actualmente es la misma área? Para la época de los hechos, quien era la persona que de manera directa se encargaba de la dirección o manejo de esa área y, ¿en la actualidad es la misa (sic) persona? Para la época de los hechos ¿El banco con que medidas de seguridad adecuadas contaba para proteger información sensible? ¿Cuántos eventos de naturaleza similar al endilgado al señor Walter ladino por fuga de información dentro del banco se han presentado y en que épocas se han desatado los mismos? ¿Qué controles fueron implementados como medida correctiva? ¿Cómo garantiza el banco el cumplimiento de la Ley de Habeas Data? ¿Qué tipo, con frecuencia y cuantas auditorías internas o externas para evaluar los perfiles autorizados para el envío de información se han realizado a partir da la ocurrencia de los hechos endilgado al señor Walter ladino? ¿Cómo se asignan y definen los perfiles de usuario, especialmente aquellos que tienen autorización para envío de información? ¿Dentro de las funciones de Walter Ladino en el cargo estaba contemplado el envío de información? ¿Walter Ladino contaba con los permisos y autorizaciones para el envío de información? ¿Quién autorizó y aprobó esta excepción? ¿Se requiere la evidencia y aprobación de la excepción para el envió de información? ¿A que entidades o personas naturales o jurídicas de derecho público o privado, se tiene permitido enviar información y que control o seguimiento se realiza al envío de esa información? ¿Cada cuánto se hizo revisión al perfil de Walter? ¿Se identificaron alertas al perfil? ¿El banco recibió alguna queja presentada por clientes expuestos en el evento investigado? ¿Cuál fue la naturaleza de esas quejas? ¿El banco ha sido sancionado por algún evento similar? ¿Qué políticas de seguridad ha implementado el banco para contener estos sucesos? ¿Llevan el registro de eventos similares? (…)”44.

DÉCIMO SEXTO: Que, la sociedad SCOTIABANK COLPATRIA S.A. dio respuesta a los requerimientos realizados por esta Superintendencia, por medio de comunicación con radicado 22-416065-54 del 16 de junio de 2025, en la que manifestó, entre otras cosas, lo siguiente: 16.1. El proceso penal en contra del señor WALTER ALEXANDER LADINO MOLANO se encuentra terminado dado que en la audiencia del 8 de mayo 2025 ninguna de las partes interpuso recurso en contra de la sentencia condenatoria.

Por tal motivo, la decisión se encuentra ejecutoriada y en firme. El PROCESO MATRIZ del cual se desprendió el anterior y que cuenta con Radicado. XXXXXXXXXXXXXXXXXXXX se encuentra en fase de indagación pendiente que la policía judicial rinda informe respecto del análisis de líneas obtenidas del interrogatorio efectuado al señor WALTER ALEXANDER LADINO MOLANO el pasado 10 de marzo de 2025. 16.2.

Remitió copia del lineamiento para la atención de procesos disciplinarios, así como todos los documentos que integran la carpeta del proceso disciplinarios adelantando en contra del señor WALTER ALEXANDER LADINO MOLANO. Es importante aclarar que este tipo de diligencias no se graban dado que se levanta acta escrita en la que reposan de manera textual las preguntas realizadas y las 44 Radicado número 22-416065-49 del 06 de junio de 2025.

“Por la cual se impone una sanción administrativa” respuestas dadas por el involucrado. Es importante resaltar que el señor Ladino renunció en el curso del proceso disciplinario. 16.3. Anexó el histórico de solicitudes y autorizaciones para permisos sobre la cuenta de correo del exfuncionario. Resaltó que los privilegios de salida de correo se manejan por grupos de directorio activo que permite la aplicación de reglas del DLP, de esta manera, cada permiso o excepción es administrada a partir de la asignación o cambio de grupo.

Cada excepción solicitada a cualquier usuario es aplicada sobre el grupo y de esta manera los permisos son aplicables a todos los miembros del grupo. Las solicitudes fueron las siguientes: - 17 de junio de 2019: Certificación del líder (xxxxx cccc) donde se notifica mantener la excepción para envío de correos a externos (ver adjunto “RE: Certificación de Envío de Información a Dominios externos a través de Correo – LA”) - Junio 2019: Debido a la configuración que se llevó a cabo sobre el nuevo control de seguridad (xxxxxxxx), desde el equipo local de seguridad se envió la lista blanca de usuarios que no debían tener este control (ver adjunto “RE: Bloqueo de correos con archivos cifrados”) y un mail de certificación en el mismo mes relacionando la justificación de excepciones para envío de correo externo (ver adjunto “RE: Certificación de Envío de Información a Dominios externos a través de Correo – LA”). - Diciembre 2019: Generación de tickets, con aprobación de los líderes (Gerente y VP), para solicitud de habilitación de envío de correos electrónicos a externos (ver adjunto “RE: Solicitud RFTxxxxxx_Correo externo con adjunto”). - Marzo 2021: Solicitud de permisos para envíos de correo a cuentas externas, aprobación de los líderes (Gerente y VP), para solicitud de habilitación de envío de correos electrónicos a externos (ver adjunto “RV: Envío información entes externos”). - Junio 2021: Solicitud de excepción DLP (PCI y PII) – RITMxxxxxxx (ver adjunto “RE: Add users to AD groups – colpatria domain”, “RV: Envío información entes externos” y “aceptación de riesgos.pdf”). - Septiembre 2022: Depuración de excepciones donde se retira el permiso (ver adjunto “RE: Excepciones DLP (equipo Walter Ladino). 16.4.

Remitieron los correos a los que pudieron tener acceso en el equipo asignado al señor Ladino, los cuales datan del periodo 2021 y 2022. Es importante tener en cuenta que, si bien en el equipo del exfuncionario fueron encontradas bases adicionales con fechas de periodos 2018, 2019 y 2020, estas no pudieron ser evidenciadas como enviadas por mail dado que muchos de estos registros eran eliminados.

De otro lado, debe tenerse en cuenta que el señor Ladino enviaba la información comprimida y protegida con clave mediante correo, por lo tanto, se anexan los mails que pudieron ser accedidos por el equipo de investigaciones al comparar los archivos adjuntos con los archivos que reposaban en el equipo asignado.

DÉCIMO SÉPTIMO: Que, por medio de oficio con número de radicado 22416065-56 del 08 de julio de 2025, esta Superintendencia remitió el cuestionario enviado por el señor WALTER ALEXANDER LADINO MOLANO a la sociedad SCOTIABANK COLPATRIA S.A.

DÉCIMO OCTAVO: Que, la sociedad SCOTIABANK COLPATRIA S.A. dio respuesta al cuestionario, por medio de comunicación con radicado número 22426065-58 del 18 de julio de 2025, en la que manifestó, entre otras cosas, lo siguiente: 18.1. Para la época de los hechos las áreas encargadas del monitoreo de la salida de información eran las áreas de Seguridad de la Información y el equipo “Por la cual se impone una sanción administrativa” global “Cyber Security Operations” (Operaciones de Ciberseguridad Global), lo anterior debido a que se contaban con controles locales y de casa matriz.

Actualmente y con el fin de centralizar, robustecer y cumplir con los lineamientos de casa matriz el equipo encargado de realizar el monitoreo de todas las alertas y ofensas relacionadas con posible salida de información (DLP) es el equipo global “Cyber Security Operations” (Operaciones de Ciberseguridad Global), con dependencia al área de “Cyberoperations Monitoring & Response” (Ciber operaciones, Monitoreo y Respuesta). 18.2.

Para la época de los hechos en las áreas encargadas del monitoreo de la salida de información se encontraba como Jefe de Seguridad de la Información Local xxxxx xxxxxxx y como líder de Operaciones de Ciberseguridad Global Trish Villanueva en Canadá. Actualmente el área que monitorea la salida de información está en cabeza de xxxxx xxxxxxxxx Líder Global de Ciber Operaciones, Monitoreo y Respuesta (Global Head Cyberoperations Monitoring & Response). 18.3.

Esencialmente el Banco procesa información de naturaleza semiprivada y pública de clientes, el procesamiento de información sensible está limitado a controles de autenticación de identidad del cliente titular del dato. Valga la pena aclarar que, respecto a esta última categoría de información, el señor Ladino en ningún momento tuvo acceso a la misma.

A continuación, menciona las medidas de seguridad y controles implementados por el Banco para proteger la información: 18.4. La asignación de perfiles de usuario, en particular aquellos que requieren autorización para el envío de información a través de canales como el correo electrónico, se realiza mediante un proceso formal y controlado, conforme a las políticas de Seguridad de la Información del Banco. 18.5.

En los casos en que se requiera acceso para el envío de información por correo electrónico a dominios externos y dicho permiso no esté autorizado en la matriz de accesos, se debe seguir un proceso de excepción, que incluye: 18.6. De acuerdo con el rol y funciones que tenía el señor Ladino, él contaba con los permisos y respectivas autorizaciones para el envío de información a dominios externos con archivos adjuntos; las autorizaciones fueron otorgadas “Por la cual se impone una sanción administrativa” por el líder de la Gerencia Regulatory Risk & Reporting (Riesgo Regulatorio y Reportería) y el Vicepresidente Financiero de esa época. 18.7.

Se podrá enviar información a las personas naturales o jurídicas con las cuales el Banco tenga una obligación legal o contractual. No obstante, las herramientas de DLP implementadas por el Banco no realizan el control basado en las entidades o destinos a los cuales se envía la información. El control es basado en el tipo de información y cantidad de datos compartidos.

Así bien, sujeto al tipo y cantidad de datos enviados, la herramienta DLP identifica eventos, los categoriza y les asigna una severidad (baja, media o alta). Dependiendo de la calificación, se ejecutan acciones de bloqueo o monitoreo, según corresponda. Todas las comunicaciones salientes del Banco son registradas en la consola de la herramienta DLP.

Aquellas que alcanzan los umbrales definidos por las reglas generan alertas, las cuales son revisadas de manera individual y manual por un analista del equipo de Cyber Security Operations. En el caso de detectarse una posible fuga de datos, se continua con el protocolo de escalamiento correspondiente, de acuerdo con el tipo de severidad del evento. 18.8.

Los reclamos presentados corresponden a casos por suplantación de productos en el Banco, transacciones en la Banca Digital y transacciones presenciales y no presenciales con tarjetas débito y crédito; reclamos que no necesariamente están relacionados con la ocurrencia del incidente de seguridad.

DÉCIMO NOVENO: La sociedad SCOTIABANK COLPATRIA S.A., por medio de comunicación allegada el 9 de septiembre de 2025, presentó sus alegatos de conclusión en los que destacó lo siguiente: 19.1 Reiteró las medidas de contención y prevención implementadas con ocasión a la ocurrencia del incidente de seguridad. Adicionalmente, indicó que fortaleció las políticas de protección de la información. 19.2 Manifestó que el señor WALTER ALEXANDER LADINO MOLANO actuó con dolo, abusando de sus funciones como trabajador con dirección, confianza y manejo, situación que no era posible proveer por parte del Banco.

El señor LADINO MOLANO, previo a su vinculación al Banco, aprobó un estudio de seguridad y durante su trayectoria en la organización no presentó ninguna falta a sus deberes laborales. 19.3 Al momento de vincularse laboralmente al Banco, el señor LADINO MOLANO suscribió una cláusula de confidencialidad y el Código de Conducta de Scotiabank.

Adicionalmente, realizó los cursos de Seguridad de la información y Privacidad y protección de datos personales. 19.4 El señor LADINO MOLANO, teniendo conocimiento de la ilegalidad de su conducta y que estaba actuando en contra de las políticas de seguridad de la información, efectuó todos los procedimientos necesarios para enviar la información de clientes a su correo personal de manera encriptada y venderla a terceros.

Lo anterior fue reconocido por el exfuncionario en la diligencia de descargos del proceso disciplinario desarrollado por el Banco. 19.5 No existe una conducta irregular que sea imputable a SCOTIABANK COLPATRIA S.A., pues la Superintendencia en el análisis del cargo se enfocó en analizar la conducta desplegada por parte del señor LADINO MOLANO, sin argumentar como dicha conducta constituye una responsabilidad del Banco, cuando este es una víctima del actuar ilegal del exfuncionario. 19.6 El Banco sí contaba con los controles para proteger la información, los cuales fueron vulnerados por el señor LADINO MOLANO, quien haciendo uso de sus conocimientos del sistema lo utilizó de manera ilegal y por cuenta propia. 19.7 En el momento de la ocurrencia del incidente de seguridad, SCOTIABANK COLPATRIA S.A. contaba con las medidas necesarias para “Por la cual se impone una sanción administrativa” proteger la seguridad y confidencialidad de la información y reiteró nuevamente cuales han sido las medidas implementadas. 19.8 El Banco no obtuvo beneficio alguno de este hecho, pues estas actuaciones van en contra de su objeto social y el único que obtuvo beneficio económico fue el señor LADINO MOLANO. 19.9 El Banco cuenta con todas las medidas necesarias asociadas a los controles de la excepción al DLP, excepción que fue concedida de acuerdo con un protocolo establecido por el Banco. 19.10 La sociedad SCOTIABANK COLPATRIA S.A. solicita que sean tenidas en cuentas las siguientes pruebas: i) diligencia de descargos del señor LADINO MOLANO, ii) carta de aceptación de responsabilidad del exfuncionario, iii) declaración de aceptación del código de conducta, iv) certificaciones de terminación de los cursos de privacidad y protección de datos personales y seguridad de la información, v) el documento ‘descripción del trabajo’, vi) el análisis forense línea de tiempo, y vii) en informe presentado por el Grupo de Trabajo de Informática Forense y Seguridad Digital de la SIC. 19.11 La instalación del Software CCleaner debe ser tenido en cuenta como una demostración de la habilidad del señor LADINO MOLANO al momento de borrar su actuar doloso y para limitar la efectividad del DLP.

VIGÉSIMO: Que, el señor WALTER ALEXANDER LADINO MOLANO, no presentó alegatos de conclusión vencido el plazo para el efecto.

VIGÉSIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada ley.

VIGÉSIMO SEGUNDO: Análisis del caso 22.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 2011, estableció́ lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”45.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará́ lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

Corte Constitucional. Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Octubre 06 de 2011. Expediente PE-032. “Por la cual se impone una sanción administrativa” ii) De conformidad con los analizados y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en: - El literal b) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en literal c) del artículo 4 de la Ley 1581 del 2012, el artículo 9 de la misma norma, y los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 del 2015. - El literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales g) y h) del artículo 4 de la misma ley y los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará́ lugar o no a la imposición de una sanción, para lo cual se deberá́ tener en cuenta las razones de hecho y de derecho aducidas por los investigados tanto en los escritos de descargos, como en los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 22.2.

Valoración probatoria y conclusiones 22.2.1 Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias que le asiste a la sociedad SCOTIABANK COLPATRIA S.A. Al respecto, la normativa de Protección de Datos Personales establece lo siguiente: “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. “Artículo 4. Principios. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.

(…)”. Por su parte el literal g) del artículo 4 de la Ley 1581 de 2012 establece el principio según el cual los Responsables y Encargados del Tratamiento de Datos “Por la cual se impone una sanción administrativa” Personales deben manejar la información sujeta a tratamiento: “(…) con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

Este principio/deber es desarrollado, respecto de los Responsables del tratamiento, por el literal d) del artículo 17 de la Ley citada, el cual determina que: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

De igual forma, cuando se estudia el deber de seguridad con respecto a accesos o usos no autorizados o fraudulentos, también se debe tener en cuenta que el artículo 13 ibídem señala las personas a quienes se les puede suministrar información personal: “La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas: a) A los Titulares, sus causahabientes o sus representantes legales; b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial; c) A los terceros autorizados por el Titular o por la ley.” Sobre el principio establecido en el literal g) del artículo 4 de la Ley 1581 de 2012, la Corte Constitucional en la sentencia C-748 de 2011 señaló: “De este principio [de seguridad] se deriva entonces la responsabilidad que recae en el administrador del dato.

El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”, a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior(sic) transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros.

(…) Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.”46 (Negrilla añadida) Ahora bien, en el caso concreto, la sociedad SCOTIABANK COLPATRIA S.A. – en adelante el Banco- reportó el día 20 de octubre de 2022 la ocurrencia de un incidente de seguridad, toda vez que la Asociación para la Investigación, Información y Control de los Sistemas de Tarjetas de Crédito y Débito -en adelante INCOCREDITO- le informó que encontró una base de datos personales en una investigación realizada a un centro de atención telefónica.

La Asociación referida inició una investigación en el comercio llamado THE BEST MARKETING LIMITADA, con el fin de determinar si se presentó una fuga de información debido a que 18 tarjetas registraron operaciones en otros establecimientos de comercio con reclamación de fraude, y tienen como punto en común una primera operación en el establecimiento mencionado.

INCOCREDITO logró determinar el procedimiento para realizar los fraudes financieros, así: “(…) Basados en las validaciones adelantadas por esta asociación, se logró identificar el modus operandi e irregularidades presentadas:  Adquieren bases de datos de manera ilegal y las utilizan para generar obtener ingresos.  La base de tarjetas evidenciada en el comercio puede estar circulando en otros Call Center realizando ventas irregulares.

Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Considerando 2.6.5.2.7 “Por la cual se impone una sanción administrativa”  Obtienen un Merchant ID para ofrecer a los tarjetahabientes una membresía por ser acreedor a una tarjeta bancaría.  Se observó que funcionan como agregador a otras pasarelas.  Cambian de razón social o de representante legal, con el fin de obtener nuevos Merchant ID  En su proceso de venta generan engaño comercial a los titulares, realizando procesos irregulares sin contar con controles o medidas se seguridad.

(…)”47. Posteriormente, en una ampliación de los hechos ocurridos y las acciones tomadas, la sociedad SCOTIABANK COLPATRIA S.A. informó que realizó una investigación interna en la que se concluyó que, basándose en los atributos de los archivos encontrados, estos habían sido creados por un funcionario activo en el momento de la ocurrencia de los hechos con el cargo de Director de Informes y Reservas, el señor WALTER ALEXANDER LADINO MOLANO48.

Este cargo tenía como función principal emitir y transmitir con oportunidad y calidad los reportes regulatorios asegurando la razonabilidad de los datos a reportar y las condiciones exigidas por los entes reguladores49. La sociedad SCOTIABANK COLPATRIA S.A. manifestó que inició un proceso disciplinario interno en contra del señor WALTER ALEXANDER LADINO MOLANO. En el acta de diligencia de descargos realizada dentro del proceso disciplinario, quedó registrado que el exfuncionario admitió que enviaba archivos ZIP cifrados a su correo personal y que estos contenían información personal de clientes, la cual era obtenida de una carpeta compartida utilizada por su grupo de trabajo50.

En el mismo proceso, el funcionario admitió haber usado sus privilegios de excepción para enviar archivos cifrados a su correo personal y venderlos por una tarifa y, posteriormente, se procedió a separar al funcionario del cargo51. El Banco no logró establecer la fecha exacta de la venta de la primera base de datos; sin embargo, en la práctica de los descargos realizada dentro del proceso disciplinario, el exfuncionario manifestó que la conducta se venía presentando en un lapso de 4 años anteriores a la detección del incidente52.

En relación con el proceso disciplinario, el señor WALTER ALEXANDER LADINO MOLANO manifestó que el Banco no lo separó de su cargo en ningún momento, ya que fue obligado a presentar su renuncia53. El día 28 de septiembre se le acercaron unos funcionarios de la entidad y le dieron instrucciones para que presentara una carta de aceptación de los hechos y presentara su renuncia. Una vez redactó la carta, se le entregó la citación a la diligencia de descargos.

La diligencia referida se realizó el mismo día a las 12:15 p.m., la cual indicó fue violatorio de sus derechos en la medida en que no le dieron la oportunidad de presentar o controvertir las pruebas, y no le informaron que podía asesorarse de un abogado54. Por otra parte, el señor LADINO MOLANO indicó que nunca se presentó una venta de la base de datos, lo cual puede ser contrastado con la denuncia penal presentada por el Banco ante la Fiscalía, la cual se realizó por los delitos de violación de datos personales y utilización ilícita de redes de comunicación; adicionalmente, manifestó que no tiene ningún vínculo con la sociedad THE BEST MARKETING LIMITADA55.

Informe de Investigación posible punto de compromiso THE BEST MARKETING LIMIT MID 1915534-0 VNP, contenido en el radicado 22-416065-13 del 08 de mayo de 2023. Carpeta ”Punto 5”. Radicado 22-416065-3 del 13 de marzo de 2023. Página 2. Radicado número 22-416065-3 del 13 de marzo de 2023. Página 2. Radicado número 22-416065-3 del 13 de marzo de 2023.

Página 2. Radicado número 22-416065-3 del 13 de marzo de 2023. Página 2. Radicado número 22-416065-13 del 08 de mayo de 2023. Página 3. Radicado número 22-416065-37 del 27 de septiembre de 2024. Página 8. Radicado número 22-416065-37 del 27 de septiembre de 2024. Página 8. Radicado número 22-416065-37 del 27 de septiembre de 2024. Página 8.

“Por la cual se impone una sanción administrativa” El Banco tomó imágenes forenses de los equipos asignados al funcionario, en el que se realizó una revisión detallada de los chats, el historial de navegación, las actividades relacionadas con dispositivos externos y los correos enviados por el funcionario desde su cuenta de correo personal56.

En esta revisión no se logró encontrar prueba alguna que apoyara la filtración de datos a través de estos medios; sin embargo, de la revisión de correos electrónicos fueron encontrados correos que tenían archivos adjuntos ZIP cifrados y protegidos con contraseña que contenían información personal de clientes57. En el documento denominado ‘Informe investigador de campo’ con número de tarea 20221021, se realizó una línea de tiempo donde se evidenció el manejo de la información desde el momento de la solicitud hasta el momento en que era enviada por correo electrónico, como se registra a continuación58: “(…)  Se realiza solicitud de la información por parte de Walter Ladino a su compañero xxxxxxxxx xxxxxxxxxxxx el día 11 de agosto de 2022 a las 9:27 am, como se evidencia en el siguiente chat (TEAMS).

Exportado en la entrevista por xxxxxxxxx xxxxxxxxxxxx. Se observa que Walter le pregunta a xxxxxxxxxx si ya transmitió, Este es el proceso en el que se genera la base de datos y se exporta a su lugar de destino, este proceso puede tardar entre 2 y 3 días por la cantidad de información. Por último se solicita confirmación de la ruta de destino de la información, la cual es confirmada por xxxxxxxxxx.

Adjunto evidencia de la conversación [11/8 9:27 a. m.] Ladino Molano, Walter hola compa buen dia [11/8 9:27 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Hola Buenos días [11/8 9:27 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx ¿cómo vamos? [11/8 9:28 a. m.] Ladino Molano, Walter bien XXXX [11/8 9:28 a. m.] Ladino Molano, Walter pola o miedo? [11/8 9:28 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Jaja ahorita? [11/8 9:28 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Esta muy temprnao [11/8 9:28 a. m.] Ladino Molano, Walter ya mismo [11/8 9:28 a. m.] Ladino Molano, Walter jajaja [11/8 9:29 a. m.] Ladino Molano, Walter compa ya trsnsmito? [11/8 9:31 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Jaja si señor [11/8 9:32 a. m.] Ladino Molano, Walter compa me puede avisar cuando tenga los archivos en la ruta por favor [11/8 9:33 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Si señor ya los coloco [11/8 9:33 a. m.] Ladino Molano, Walter ¡Mil gracias! [11/8 9:33 a. m.] Ladino Molano, Walter pola [11/8 9:45 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Ya quedo [11/8 9:45 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Radicado número 22-416065-13 del 08 de mayo de 2023.

Carpeta ”Punto 6”. Radicado número 22-416065-2 del 07 de diciembre de 2022. Página 2. Radicado número 22-416065-13 del 08 de mayo de 2023. Carpeta ”Punto 6”. “Por la cual se impone una sanción administrativa” \\10.236.22.46\Gerencia de Informes y Reservas\Area Modernizacion\Area Centrales de Riesgo\Transaccional\3. PLANOS\TARJETAS\2022\07_31 [11/8 10:11 a. m.] Ladino Molano, Walter gracias compa • Una vez es confirmada la copia y la ruta, se puede evidenciar el ingreso del usuario S3300253 (Walter Alexander Ladino) a esa ruta como se puede evidenciar en el siguiente registro: • En este registro se evidencia tanto la conexión al repositorio como la ruta en la que el usuario S3300253 (Walter Alexander Ladino) descargo el archivo: Acceso a la ruta del repositorio.

Ruta de almacenamiento del archivo  Luego de la lectura de los registros se evidencian los archivos generados a partir del archivo de origen como fue manifestado en la entrevista por xxxxxxxxxxx xxxxx. “Del archivo origen (Archivo plano de texto.TXT) se importa en ACCESS donde se tiene estructuradas las sentencias para la organización de la información”.

Organizar la información, hace referencia a separar en columnas la información y limpiar la información duplicado y/o espacios en blanco (calidad de la información). A continuación vemos los registraos donde se evidencia esta información separada por franquicia. En este registro se evidencia el archivo comprimido.ZIP generado y el resto de información generada en este instante de tiempo: Aquí se ven los archivos generados en ese instante de tiempo: • Cabe resaltar que estos registros de archivos y carpetas que se encontraron en la imagen forense del disco del equipo asignado a Walter Ladino no están visibles en el sistema de archivos ya que se evidencia un software de borrado seguro en la maquina (CCLEANER) el cual no permite la recuperación de estos por parte de la herramienta forense.

Ya que el tipo de borrado establecido por esta herramienta es de múltiples pasadas (Sobrescribir en el sector de ubicación del archivo, primera pasada 00h, luego FFh y una última pasada con valores aleatorios). “Por la cual se impone una sanción administrativa” Estos archivos registrados en la ruta de la carpeta 07_31 ya no se encuentran visibles en el equipo ya que fueron borrados con el software CCLEANER especializado en borrar de manera segura los archivos para evitar su recuperación. Estos registros se pueden observar en el archivo de registro de la carpeta nombrado como $I30.

De acuerdo a los registros arrojados por el FTK podemos evidenciar el registro de la última ejecución del CCLEANER en el equipo. En este registro se puede observar la ultima ves que se ejecuto el software y el numero de veces que se ejecuto. De acuerdo con esta información se evidencian varios archivos y carpetas que se encontraron en el registro de acceso a la ruta C:\DISCO D\DataCredito\.. que ya no se encuentran, pero sí estuvieron presentes en esa ruta y fueron eliminados y no fue posible recuperarlos con la herramienta forense, teniendo en cuenta que se seleccionó la opción de recuperación de información para la herramienta.

Esta realiza la recuperación de información en el espacio no asignado del disco en un primer nivel si fue borrado por un usuario normalmente de ser borrado por una herramienta de borrado seguro, esta borra hasta 3 niveles por debajo, por ende no es posible su recuperación con la herramienta forense. (…) “Por la cual se impone una sanción administrativa” Con esta información, se revisa el backup del correo electrónico y se evidencia el archivo.ZIP (solo7_31.zip) con asunto: (Solo 7 terminas en ed) enviado como adjunto en el correo con los respectivos archivos contenidos.

Encabezado del correo electrónico enviado por Walter Ladino: Documentos adjuntos al correo enviado por Walter Ladino: Fecha de creación de cada uno de los archivos agregados al archivo.zip. adjuntos al correo enviado por Walter Ladino el 14 de agosto de 2022 (…)”59. Del material probatorio referido anteriormente deben destacarse dos elementos relevantes: i) no se encontró evidencia de que los datos personales de los clientes hayan sido compartidos con terceros no autorizados; y ii) que el señor WALTER ALEXANDER LADINO MOLANO no tenía acceso directo a la información de los clientes, pues esta información debía ser solicitada a otro funcionario, en este caso el señor XXXXXXXXXXXXX, quien recolectaba la información solicitada y la cargaba en una carpeta compartida; posteriormente, indicaba cual era la ruta de acceso a la información60.

El señor LADINO MOLANO, en referencia a los chats sostenidos con el señor XXXXXXXXXXXXXXXXXX, indicó que este ocupaba el cargo de analista de informes, que necesitaba confirmación de los correos que salían y dejar constancia de estos en razón a las excepciones del DLP61. Informe investigador de campo – Línea de tiempo modo de operación, contenido en el radicado número 22-416065-13 del 08 de mayo de 2023.

Carpeta ”Punto 6”. Radicado número 22-416065-40 del 08 de octubre de 2024. Página 2. Radicado número 22-416065-37 del 27 de septiembre de 2024. Página 8. “Por la cual se impone una sanción administrativa” En el informe llamado ‘ACTUALIZACIÓN INVESTIGACIÓN FINALIZADA – _PRIVILEGIADA Y CONFIDENCIAL INVESTIGACION FINALIZADA – _Project Protect - Walter Alexander LADINO Molano Misconduct (Risk: High) Caso XXX XXXXXXXXXX’62, emitido por Seguridad Corporativa Colombia, se estableció que entre los años 2019 y 2022, el señor WALTER ALEXANDER LADINO MOLANO envió un total de cuatrocientos trece (413) correos con archivos adjuntos cifrados y con contraseña, a su correo electrónico personal ‘al6549@gmail.com’.

Así mismo, el señor LADINO MOLANO, en el curso del proceso disciplinario adelantado por el Banco, reconoció que la dirección de correo electrónico ‘al6549@gmail.com’ corresponde a su cuenta personal63; así como también se evidencia que la cuenta referida fue establecida dentro de este expediente como el correo electrónico para efectos de notificación. Por su parte, el señor WALTER ALEXANDER LADINO MOLANO resaltó que el Banco no logró establecer que se haya presentado una exfiltración de datos por su parte y no existen pruebas que establezcan una supuesta venta de las bases de datos, incluso en la revisión del computador portátil no se encontraron evidencia de la filtración de esa información64.

La sociedad SCOTIABANK COLPATRIA S.A. manifestó que logró descifrar el 98% de los archivos que salieron del correo personal del funcionario implicado, quedando un remanente del 2% el cual no fue posible descifrar y las posibilidades de éxito, según los expertos, era remota; razón por la cual el Banco decidió dar por finalizada la investigación65.

Por otra parte, en el transcurso de la investigación interna se pudo determinar que el total de clientes afectados en el evento fue de setecientos veintiún mil trescientos setenta y uno (721.371) 66. En el incidente se vieron comprometidos los siguientes datos67: DESCRIPCION CIUDAD EMPRESA DEL TERCERO ACTIVIDA ACTIVIDAD/OCUPACI ON ACTIVIDAD_ECONO MICA Ciudad Laboral CIUDAD DIRRECCION CORRESPONDENCIA CIUDAD DIRRECCION PRINCIPAL ACTIVIDADECONOMI CA CIUDAD TRABAJO DESCRIPCION PRODUCTO Adjetivo CIUDAD RADICACION DESCRIPCION TARJETA ANO/MES EMISION CIUDAD RESIDENCIA AÑO INICIAL AÑO BARRIO BARRIO DIRECCION DE CORRESPONDENCIA BARRIO DIRECCION DE OFICINA Departamento Residencia DEPARTAMENTO DIRECCION CORRESPONDENCIA DEPARTAMENTO DIRECCION PRINCIPLA ALTURA MORA DESCRIPCION TC EMAIL EMAIL ALTERNO/LABO RAL EMAIL PRINCIPAL EMAIL_PRINCIP AL ESTADO PLASTICO DESCRIPCION TC DESCRIPCION_MARCA_TA Clase de Tarjeta RJETA DESCRIPCION_TIPO_TARJE CLASE_TARJETA_CREDITO TA Clausulas de Permanencia DEUDA CAMPO INVENTADO CLASE TARJETA DIAS MORA DIRECCION CORRESPONDENCIA ALTURA MORA EGRESOS ESTADO ESTADO CIVIL Estado de la cuenta ESTADO DE OBLIGACION Radicado número 22-416065-13 del 27 de septiembre de 2024.

Carpeta ”Punto 6”. Acta de diligencia de descargos. Radicado número 22-416065-37 del 27 de septiembre de 2024. Página 7. Radicado número 22-426065-37 del 27 de septiembre de 2024. Página 8. Radicado número 22-416065-3 del 13 de marzo de 2023. Página 2. Radicado número 22-416065-3 del 13 de marzo de 2023. Página 2. Radicado número 22-416065-13 del 08 de mayo de 2023.

Carpeta ”Punto 1”. “Por la cual se impone una sanción administrativa” BARRIO DIRECCION DE CORRESPONDENCIA BARRIO DIRECCION PRINCIPAL BIN CALIFICACION CALIFICACION CODIGO CIIU Codigo DANE ciudad de Radicacion Codigo DANE ciudad de residencia Codigo Dane Ciudad Laboral CODIGO DANE DIRECCION DE CO DIRECCION PRINCIPAL DIRECION RESIDENCIA DIRECION EMPRESA DIRECCION DIRECCION CASA DEL TERCERO DIRECCION DE CORRESPONDENCIA Estado del Plastico ESTADO DEL TITULAR Estado origen de la Cuenta ESTADO PLASTICO ESTRATO EXT_TEL_OFICIN CALIDAD CODIGO CIIU A EXTENSION CODIGO_ESTADO_TARJET DIRECCION DE LA TELEFONO DE CALIFICACION A EMPRESA OFICI FECHA CARGO NUMERO DE CONTRATO DIRECCION DE OFICINA APERTURA CELULAR CORREO Direccion Laboral FECHA FECHA CIIU Correo Electronico Direccion Residencia ACTUALIZACION Fecha Clausulas CIUCIA NUMERO DE CREDITO DIRECCION2 de Permanencia Fecha de CIUDAD Cuotas Canceladas DIRECCION LABORAL Apertura CIUDAD CASA DEL Fecha de Estado TERCERO CUOTAS EN MORA DIRENCION RESIDENCIA de Plastico Ciudad de CUPO_DISPONIBLE_CONT FECHA DE Correpondencia RATO DISPONIBLE NACIMIENTO Ciudad de Radicacion CODIGO SUCURSAL DEPARTAMENTO EMPRESA Fecha de Pago DEPARTAMENTO CASA Fecha de Ciudad de Residencia DEL TERCERO DEPARTAMENTO LABORAL Vencimiento CIUDAD DIRECCION DE DEPARTAMENTO DEPARTAMENTO Fecha del CORRESPONDENCIA EMPRESA DEL TERCERO RESIDENCIA Adjetivo CIUDAD DIRECCION FECHA DE OFICINA Departamento Laboral EDAD DESEMBOLSO Fecha estado origen LINEA DE CREDITO FECHA INICIAL FECHA INICIO CIUDAD MES INICIO Fecha Limite de Pago MODALIDAD DE CREDITO FECHA NACIMIENTO NOMBRE FECHA PROCESO Nombre Completo FECHA TERMINACION NOMBRE DE LA EMPRESA PRINCIPAL FECHA CONSTITUCION NOMBRE EMPRESA FECHA CREACION Nombre Marca Privada FECHA DE EMISION NOMBRE TERCERO FECHA DE NACIMIENTO NOMBRE COMERCIAL NUMERO DE LA OBLIGACION TELEFONO DE OFICINA NUMERO DE LA TELEFONO DE OBLIGACION RESIDENCIA OBSERVACIONES Telefono Laboral Oficina de Telefono Radicacion Residencia Oficina de Radicacion TELLABORAL Oficina de Radicacion TELRESIDENCIA Termino del Contrato que Periodicidad de Genera la Pago Obligacion PRIMER TIPO DE APELLIDO IDENTIFICACION PRIMER TIPO DE NOMBRE IDENTIFICACION Probabilidad de Incumplimiento CODIGO DE CREDITO TIPO DE CREDITO TIPO DE CUENTA “Por la cual se impone una sanción administrativa” FECHA DE VENCIMIENTO NOMBRE DEL REALCE FECHA NACIMIENTO NOMBRE TITULAR CONTRATO PROFESION Responsable o Calidad del Deudor FECHA PROCESO FECHA DE NACIMIENTO FECHA ESTADO PLASTICO NOMBREDELCLIENTE NOMCOR NRO DOCUMENTO SALDO Saldo Deuda SALDO DEUDA NUMERO DE TARJETA CREDITO NRO IDENTIFICACION TITULAR Forma de Pago NUMERO DE DOCUMENTO SEGMENTO ACTUAL SEGUNDO APELLIDO FRANQUICIA NUMERO DE DOCUMENTO DE LA E SEGUNDO NOMBRE FECHA VENCIMIENTO Numero de Identificacion ID_EMPRESA NUMERO OBLIGACION IDENTIFICACION NUMERO BIN SEXO NUMERO DE TARJETA NUMERO DE TARJETA IDENTIFICACION NUMERO DE IDENTIFICACION NUMERO DE TARJETA IDENTIFICADOR FUNCIONAL-C NUMERO DE TARJETA TEL CELULAR IDENTIFICACION INGRESO NUMERO EMPLEADOS NUMERODECELULAR TEL OFICINA TEL PRINCIPAL INGRESO ENMILES NUMEROTELEFONOCASA TEL RESIDENCIA INGRESOS NUMEROTELEFONOOFICINA LIMITE_TARJETA_CREDITO Numero de Identificacion TELEFONO CASA DEL TERCERO TELEFONO CELULAR LINEA NUMERO DE LA OBLIGACION TELEFONO DE LA EMPRESA TITULAR BENEFICIARIO SAT TIPO OBLIGACION Total Cuotas VALOR DE LA CUOTA VALOR DE MORA VALOR DEL SALDO TOTAL EGRESOS TOTAL INGRESOS TOTAL EGRESOS TOTAL INGRESOS Valor Disponible Valor Inicial Valor Inicial / APROBADO Valor Saldo en Mora ULTIMA ACTUALIZACION URL NOMBRE ABREVIADO Valor Cuota Mensual VALOR INICIAL VENTAS VALOR DISPONIBLE TIPO TIPO DE ACTIVIDAD TIPO DE DOCUMENTO Tipo de Garantia Tipo de Moneda Tipo de Obligacion TIPO GARANTIA TIPO DE IDENTIFICACION TIPO DE IDENTIFICACION TIPO DE IDENTIFICACION TIPO CLIENTE TIPO CONTRATO TIPO CONTRATO TIPO DE IDENTIFICACION TIPO EMPRESA TIPO IDENTFICACION TIT FACT TIPO DE IDENTIFICACION TIPO GARANTIA TIPO MONEDA Posteriormente, la sociedad SCOTIABANK COLPATRIA S.A. aportó el documento ‘Investigación por posible fuga de información en el comercio THE BEST MARKETING LIMIT, de acuerdo con la solicitud del concentrador de fraude INCOCREDITO’, en el que se concluyó que la sociedad a la que presuntamente se le vendieron las bases de datos es THE BEST MARKETING LIMITADA68.

De Radicado número 22-416065-13 del 08 de mayo de 2023. Carpeta ”Punto 5”. “Por la cual se impone una sanción administrativa” igual manera, en el informe se concluyó que los datos de los usuarios de tarjetas eran utilizados para realizar operaciones en diferentes establecimientos comerciales de manera fraudulenta. Este Despacho encuentra pertinente resaltar que del material probatorio recolectado en el expediente no se encontró prueba alguna que relacionara al señor WALTER ALEXANDER LADINO MOLANO con los datos encontrados en la sociedad THE BEST MARKETING LIMITADA.

Sin embargo, ello no implica que en el presente caso no se haya realizado un indebido manejo de los datos personales de los clientes del Banco, pues los datos personales de miles de clientes si fueron enviados al correo personal del señor WALTER ALEXANDER LADINO MOLANO, lo cual representa una brecha en las políticas de seguridad del Banco que puso en riesgo la integridad de esta información. Ahora bien, la sociedad SCOTIABANK COLPATRIA S.A. hizo especial énfasis en las medidas de seguridad que tiene implementadas para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de sus clientes.

En primer lugar, el área de recursos humanos de SCOTIABANK COLPATRIA S.A. certificó que el señor WALTER ALEXANDER LADINO MOLANO durante su permanencia en la organización, realizó los siguientes cursos y contenidos a través de la plataforma Scotiabank Colpatria Academy69: - PIIP: Protección de la Información de Identificación Personal Scotiabank 2021.

Seguridad de la Información Scotiabank 2022. Privacidad Scotiabank 2022. Código de conducta Scotiabank 2022. En segundo lugar, el Banco manifestó que tiene implementado un protocolo denominado ‘Procedimientos de Gestión de Incidentes y Violaciones de la Privacidad’70 y un protocolo de ‘Gestión de incidentes’71, el cual tiene por objetivo “[…] el plan de respuesta ante incidentes cibernéticos institucionales de Scotiabank se realiza a través del marco del Equipo de Respuesta ante Incidentes Informáticos (CIRT).

Es el método para responder y recuperarse de un evento cibernético […]”. En tercer lugar, indicó que, como parte del ambiente de control establecido por el Banco, cada una de las unidades de negocio tiene establecido controles operativos, tecnológicos, de áreas de apoyo y transversales a toda la organización para mitigar el riesgo de fuga de información, y describió las siguientes medidas72: i) Controles transversales a. Todas las unidades de negocio de la organización deben documentar las descripciones de cada cargo, especificando las responsabilidades, atribuciones y funciones conforme al rol que desempeña cada funcionario. b. Los líderes de las unidades de negocio son los responsables de certificar los accesos a los sistemas o aplicaciones de los usuarios que hacen parte del área, con el fin de garantizar que los accesos están asignados correctamente para el desarrollo de las funciones del cargo. c. Una vez un colaborador ingresa al Banco, debe realizar el curso de "Privacidad en Scotiabank" con el objetivo de conocer sus deberes, limitaciones, y escenarios de riesgo más relevantes, así como su deber en reportar situaciones identificadas que vayan en contra de Radicado número 22-416065-13 del 08 de mayo de 2023.

Carpeta ”Punto 14”. Radicado número 22-416065-13 del 08 de mayo de 2023. Carpeta ”Punto 12”. Radicado número 22-416065-13 del 08 de mayo de 2023. Carpeta ”Punto 12”. Radicado número 22-416065-13 del 08 de mayo de 2023. Página 3. “Por la cual se impone una sanción administrativa” esta política, por medio de los canales establecidos por la Gerencia de Cumplimiento. d. ii) Mantener actualizados los accesos a carpetas compartidas de la Gerencia Regulatory Risk & Reporting.

Controles tecnológicos y de áreas de apoyo: a. Herramientas XXXXXXXXXXXXXXX (DLP): El Programa de Prevención de pérdida de datos (DLP - XXXXXXXXXXXXXXX) consta de unos controles para restringir el envío de comunicaciones vía correo electrónico, uso de dispositivos de almacenamiento externo (USB), y bluetooth; adicionalmente se cuenta con controles para restricción de navegación (Proxy), mensajería instantánea entre otros. b. Manejo de excepciones de DLP: Los empleados excepcionados o exceptuados son aquellos que por la naturaleza de sus funciones cuenta con una autorización especial para que determinado control no le sea aplicado, para este caso la excepción asociada al envío de información personal e información de tarjetas cifrada. c. Prevención de fuga de información por acceso indebido a directorios en la NAS: Se cuenta con un proceso de certificación de accesos a las carpetas de usos compartidos en directorios de la NAS, por medio del cual se obtiene la aprobación o rechazo del acceso a este tipo de repositorios por parte de dueño de la carpeta para que el equipo de control de acceso garantice el permiso de acuerdo con esta autorización sobre el repositorio de información. d. Control para la ejecución de XXXX, transfer en XXXXX y consulta de archivos críticos: Todas las solicitudes de usuarios que requieran acceso a XXX, transfer en XXXXX y consulta de archivos críticos deben solicitarse a la Dirección de Consultoría, la cual evalúa el nivel de riesgo y de acuerdo con ello realiza el escalamiento al Director y/o al Gerente de Seguridad de la Información. e. El Banco dispone de las siguientes herramientas para el intercambio de información segura: i) envío por medio de intercambiador, ii) envío por medio del aplicativo XXXXXX, y iii) envío por vía email por correo seguro. f. El Banco tiene implementados los siguientes controles que permiten la conexión segura de manera remota: i) Herramienta de conexión XXXXXXXXXXXXXXXXXXXXXXXXXX para los usuarios que requieran trabajar desde casa, ii) bloqueo de impresoras con agente XXXXX a todos los usuarios del banco, iii) cifrado de disco de las máquinas de los usuarios que trabajan desde casa, iv) herramienta proxy regional para la navegación de internet. g. Programa de prevención de fuga de información: Se cuenta con el indicador “Data Protection Index” relacionado para medir la efectividad de los controles y herramientas que componen el Programa de Prevención de fuga de la Información, que al cierre del Q3 2022 registro un puntaje de (2.13) encontrándose en verde, debido al mejoramiento en los diferentes programas.

La sociedad SCOTIABANK COLPATRIA S.A. resaltó en varias oportunidades que una de las medidas de seguridad más destacadas y pertinentes en el presente caso es la herramienta denominada XXXXXXXXXXXXXX (DLP), la cual se encuentra definida como: “(…) “Por la cual se impone una sanción administrativa” El Programa de Prevención de pérdida de datos (DLP - XXXXXXXXXXXXXXX) cuenta con controles para restringir el envío de comunicaciones vía correo electrónico, uso de dispositivos de almacenamiento externo (USB), y bluetooth, adicionalmente se cuenta con controles para restricción de navegación (Proxy), mensajería instantánea entre otros.

Las reglas comunes de DLP relacionadas a información personal (PII) e información de tarjetas (PCI) están establecidas en las diversas tecnologías de DLP ForcePoint Web & Email DLP y McAfee Endpoint DLP para garantizar la coherencia en el enfoque de monitoreo y protección de la información sensible en las diferentes capas de tecnología. El agente DLP se instala en todas las máquinas de los colaboradores del Banco globalmente.

Con el fin de garantizar que todos los equipos cuenten con el agente instalado, el Ingeniero I de Seguridad Técnica realiza un seguimiento mensual por medio de un reporte del total de las máquinas registradas con el agente DLP, y gestiona con la Mesa de Ayuda la instalación correspondiente en los casos que sean necesarios. En caso de identificar desviaciones, se realiza el respectivo seguimiento con los equipos de Mesa de Ayuda para garantizar la instalación del agente antes de la entrega del equipo al usuario final.

(…)”73. Así mismo, el Banco fue claro en advertir que el señor WALTER ALEXANDER LADINO MOLANO, en ocasión a su cargo y las funciones que desempeñaba dentro de la organización, tenía una excepción al DLP, la cual le permitía enviar correos electrónicos con información personal de los clientes e información de tarjetas cifrada a dominios externos. La excepción al DLP se define así: “(…) Se define empleado excepcionado o exceptuado como aquel que por la naturaleza de sus funciones cuenta con una autorización especial para que determinado control no le sea aplicado, para este caso la excepción asociada al envío de información PII y PCI cifrada.

El banco cuenta con controles relacionados con el registro y autorización de usuarios en relación con excepciones a las reglas de DLP establecidas globalmente. Estas incluyen correo electrónico, navegación de proxy, uso de dispositivos de almacenamiento externo. El flujo establecido sigue el siguiente orden: el requerimiento del usuario mediante el uso de un sistema de registro, aprobación del supervisor directo, revisión por el equipo de Prevención de perdida de datos, aprobación del área de DLP y por último aprobación del SVP del área de negocio en dónde se ha establecido un flujo de registro.

(…)”74. La asignación de perfiles de usuario se realiza mediante un proceso formal y controlado, conforme a las políticas de Seguridad de la Información del Banco. El proceso estándar se divide en solicitud, aprobación del líder y validación por el área de control de acceso75. En el caso de las excepciones para el envío de información a dominios externos, se realiza un análisis de riesgo por parte del equipo de consultoría de seguridad de la información, aprobación de los responsables definidos, y en caso de aprobación, se actualiza la matriz de accesos correspondiente y se otorga el permiso76.

Frente a la asignación de la excepción al DLP, el Banco resaltó que el señor WALTER ALEXANDER LADINO MOLANO fue contratado en febrero de 2015, tuvo tres ascensos dentro de la compañía, siendo el último en septiembre de 2021, y no tenía antecedentes disciplinarios que impidieran asignar la excepción asociada al envío de información personal e información de tarjetas cifrada con destino a cuentas externas77.

La sociedad SCOTIABANK COLPATRIA S.A. Radicado número 22-416065-13 del 08 de mayo de 2023. Página 3. Radicado número 22-416065-13 del 08 de mayo de 2023. Página 3. Radicado número 22-416065-58 del 18 de julio de 2025. Página 2. Radicado número 22-416065-58 del 18 de julio de 2025. Página 2. Radicado número 22-416065-40 del 08 de octubre de 2024.

Página 2. “Por la cual se impone una sanción administrativa” destacó que el exfuncionario desempeñaba un cargo de dirección, confianza y manejo que le exigía un deber especial de cuidado frente a las labores que desempeñaba, teniendo en cuenta el vínculo contractual existente en el momento de la ocurrencia de los hechos78. Adicionalmente, el Banco resaltó que dispuso medidas de seguridad adicionales que permitían mitigar el riesgo relacionado con la excepción del DLP otorgada al señor WALTER ALEXANDER LADINO MOLANO79, ya que las personas con acceso a información personal cuentan con controles para mitigar la fuga de información como bloqueo de envío de correo electrónico externo, control de navegación, bloqueo de dispositivos de almacenamiento externo, bluetooth y cifrado de disco.

El señor WALTER ALEXANDER LADINO MOLANO únicamente contaba con la excepción para envío de información cifrada hasta un volumen determinado, las demás restricciones le aplicaban en su totalidad80. También resaltó que la Gerencia Regulatory Risk & Reporting realizó la confirmación anual de riesgo operacional, en la que se confirmó la necesidad de que la persona que ocupa este cargo le aplique dicha excepción81.

Ahora bien, dentro la información allegada en el expediente, se observa que el señor WALTER ALEXANDER LADINO MOLANO, en su cargo de Director de Informes y Reservas, tenía como función principal la recopilación y procesamiento de datos personales de los clientes del banco con la finalidad de reportar la existencia de créditos, mora y estados de pago a los burós de crédito en Colombia, como Cifin S.A.S. y Experian Colombia S.A.82; así como también debía emitir y trasmitir con oportunidad y calidad, los reportes regulatorios asegurando la razonabilidad de los datos a reportar83, por este motivo contaba con la autorización para el envío de información personal y crediticia cifrada de los clientes con destino a cuentas externas de terceros y entes reguladores84.

Dentro de dichas autorizaciones se destaca que el usuario asignado al señor LADINO85, tenía la excepción a la herramienta Data Loss Prevention (DLP), toda vez que el banco tramitó dicha excepción sobre las cuentas de correo electrónico ‘walter.ladino@scotiabankcolpatria.com’ y ´ladinow@colpatria’ en las siguientes fechas86: i) Junio 17 de 2019: Certificación del líder (XXXXXXXX) donde se notifica mantener la excepción para envío de correos a externos. Dentro del listado de los funcionarios autorizados para enviar información a correos externos se encuentra la dirección de correo ´ladinow@colpatria’.

En este correo se observa que en el cuadro se indica algunos de los correos de los entes de control a los que se enviaría la información por parte de los funcionarios del Banco. Entre estas direcciones se destacan entidades como el Banco de la República, el Ministerio de Hacienda, el Departamento Administrativo Nacional de Estadística (DANE), Experian Colombia S.A., CIFIN S.A.S., entre otros.

Radicado número 22-416065-40 del 08 de octubre de 2024. Página 2. Radicado número 22-416065-40 del 08 de octubre de 2024. Página 2. Radicado número 22-416065-40 del 08 de octubre de 2024. Página 2. Radicado número 22-416065-40 del 08 de octubre de 2024. Página 2. Radicado número 22-416065-55 del 17 de junio de 2025. Carpeta "i. Proceso fiscalía”.

Radicado número 22-410065-61 del 09 de septiembre de 2025. Página 2. Radicado número 22-410065-61 del 09 de septiembre de 2025. Página 2. Radicado número 22-416065-54 del 16 de junio de 2025. Radicado número 22-416065-54 del 16 de junio de 2025. Carpeta”iii. Autorizaciones cuenta de correo”. “Por la cual se impone una sanción administrativa” Imagen.

Tomada del radicado Radicado número 22-416065-54 del 16 de junio de 2025. ii) Junio 21 de 2019: Debido a la configuración que se llevó a cabo sobre el nuevo control de seguridad (XXXXXX), desde el equipo local de seguridad se envió la lista blanca de usuarios que no debían tener este control y un mail de certificación en el mismo mes relacionando la justificación de excepciones para envío de correo externo. Dentro del listado contenido en el correo se encuentra relacionada la cuenta de correo electrónico ´ladinow@colpatria’.

“Por la cual se impone una sanción administrativa” Imagen. Tomada del radicado Radicado número 22-416065-54 del 16 de junio de 2025. iii) Diciembre 26 de 2019: Generación de tickets, con aprobación de los líderes (Gerente y VP), para solicitud de habilitación de envío de correos electrónicos a externos. Se solicita la autorización para que el usuario ´ladinow@colpatria’ tenga permisos para la entrega y recepción de correos electrónicos con archivos adjuntos. iv) Febrero 02 de 2021: Solicitud de permisos para envíos de correo a cuentas externas, aprobación de los líderes (Gerente y VP), para solicitud de habilitación de envío de correos electrónicos a externos. Se manifiesta que las excepciones cuentan con el visto bueno y aprobación por lo que se requiere que se continue con el proceso.

Se evidencia que el usuario ‘walter.ladino@scotiabankcolpatria.com’ se encuentra dentro del listado de usuarios exceptuados del DLP. Imagen. Tomada del radicado Radicado número 22-416065-54 del 16 de junio de 2025. v) Junio 4 de 2021: Solicitud de excepción DLP (PCI y PII) – XXXXXXXXXX Imagen. Tomada del radicado Radicado número 22-416065-54 del 16 de junio de 2025.

En este sentido, encuentra este Despacho que la excepción a la herramienta XXXXXXXXXXXXXXXX (DLP) es otorgada en razón de las funciones asignadas dentro de la organización, no obstante, a pesar de que la información que tenía que ser enviada por el señor WALTER ALEXANDER LADINO MOLANO a terceros; tal como fue indicado dentro del proceso penal, debía tener un destino exclusivamente corporativo, dentro del expediente la sociedad SCOTIABANK COLPATRIA S.A., no señaló cual era la necesidad de conceder permisos de envío de información de los titulares a correos personales.

Si bien existe un riesgo al enviar datos personales a terceros autorizados para tener acceso a la información personal, en este caso las centrales de riesgos o entidades de control, permitir sin motivo alguno el envío de estos datos a cualquier cuenta de correo, no puede analizarse solo como un actuar negligente por parte del empleado, quien por años mantuvo esta práctica sin que el banco evidenciara la situación. “Por la cual se impone una sanción administrativa” De este modo, la sociedad SCOTIABANK COLPATRIA S.A. manifestó que, de la información a la cual pudo tener acceso, en los años 2021 y 2022 el señor WALTER ALEXANDER LADINO MOLANO envió doscientos noventa y siete (297) correos electrónicos desde la cuenta de correo electrónico ‘walter.ladino@scotiabankcolpatria.com’, la cual era su cuenta de dominio corporativo, con destino a la cuenta ‘al6549@gmail.com’, su cuenta de dominio personal, distribuidos de la siguiente manera87: Año 2021 Enero Febrero Marzo Abril Mayo Junio Julio Agosto Septiembre Octubre Noviembre Diciembre Numero de correos electrónicos Número de registros 82.830 65.985 123.882 102.843 84.960 107.830 56.886 78.087 96.325 88.954 39.998 55.253 Año 2022 Enero Febrero Marzo Abril Mayo Junio Julio Agosto Septiembre Numero de correos electrónicos Número de clientes 70.276 48.064 68.342 90.821 110.453 92.531 49.192 149.047 95.757 A continuación, se incluirán las imágenes de algunos de los correos electrónicos enviados desde el correo electrónico ‘walter.ladino@scotiabankcolpatria.com’, con destino a la cuenta ‘al6549@gmail.com’, junto con los archivos adjuntos encontrados en formato ZIP y cifrados con contraseña, en donde se evidencia que el señor WALTER ALEXANDER LADINO MOLANO envió información de clientes del Banco a su correo electrónico personal, así88: Radicado número 22-416065-55 del 17 de junio de 2025.

Carpeta "iv. Correos enviados”. Radicado número 22-416065-55 del 17 de junio de 2025. Carpeta "iv. Correos enviados”. “Por la cual se impone una sanción administrativa” Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen.

Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. “Por la cual se impone una sanción administrativa” Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025.

Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. “Por la cual se impone una sanción administrativa” Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025.

De igual manera, la sociedad SCOTIABANK COLPATRIA S.A. indicó que de la información que se envía a terceros, la herramienta XXXXXXXXXXXXXX (DLP) no realiza un control basado en las entidades o destinos a los cuales se envía la información, dicho control es basado en el tipo y cantidad de datos compartidos. Todas las comunicaciones salientes del banco son registradas en la consola de la herramienta XXXXXXXXXXXXXXXX (DLP) y solo las que alcanzan los umbrales definidos por las reglas, generan alertas, las cuales son revisadas de manera individual y manual por un analista del equipo Cyber Security Operations89.

Sin embargo, pese al control mencionado, el banco permitió que el empleado descargara información fraccionada por años, pues el parámetro de la regla establecida solo previó un control para grades flujos de información, control que no responde al principio de seguridad establecido por la ley 1581 de 2012, ya que el deber de garantizar las condiciones de seguridad necesarias se predica tanto de un dato como de un millón, toda vez que la violación al derecho fundamental no se configura desde el acceso no autorizado a grandes bases de datos, el solo hecho de que se acceda a un dato personal sin autorización, ya se configura la violación al derecho y por consiguiente a la Ley.

Así mismo, este Despacho encuentra, que el banco tampoco tomó las medidas necesarias ante los correos constantes realizados por el señor LADINO a su cuenta personal, pues independientemente de que estos no contenían la cantidad de archivos suficientes que permitieran su detección, si debió ser signo de alerta que entre el año 2021 y 2022, se enviara cerca de 10 mensajes con adjuntos por mes de su correo corporativo a su cuenta personal, llegando incluso a 30 mensajes de correo solo en el mes de septiembre de 2022, situación que no fue identificada por SCOTIABANK COLPATRIA S.A., porque no implementó las medidas de seguridad necesarias para los pocos usuarios con privilegios de envío de información, pues si bien la sociedad tomo medidas para restringir a la mayoría de sus empelados del uso de estas prerrogativas, era precisamente para poder controlar la información compartida, sin embargo, los controles no fueron los necesarios y suficientes para el tipo y la cantidad de información tratada por el banco.

De otra parte, este Despacho considera pertinente analizar la instalación del software CCleaner en el equipo de cómputo asignado al señor WALTER ALEXANDER LADINO MOLANO, pues la sociedad SCOTIABANK COLPATRIA S.A. en el análisis forense con número de tarea 20221021, estableció lo siguiente: “( ) • Cabe resaltar que estos registros de archivos y carpetas que se encontraron en la imagen forense del disco del equipo asignado a Walter Ladino no están visibles en el sistema de archivos ya que se evidencia un software de borrado seguro en la maquina (CCLEANER) el cual no permite la recuperación de estos por parte de la herramienta forense.

Ya que el tipo de borrado establecido por esta herramienta es de múltiples pasadas (Sobrescribir en el sector de ubicación del archivo, primera pasada 00h, luego FFh y una última pasada con valores aleatorios). Radicado número 22-416065-58 del 21 de julio de 2025. Página 2. “Por la cual se impone una sanción administrativa” De acuerdo a (sic) los registros arrojados por el FTK podemos evidenciar el registro de la última ejecución del CCLEANER en el equipo.

De acuerdo con esta información se evidencian varios archivos y carpetas que se encontraron en el registro de acceso a la ruta C:\DISCO D\DataCredito\ que ya no se encuentran pero si estuvieron presentes en esa ruta y fueron eliminados y no fue posible recuperarlos con la herramienta forense, teniendo en cuenta que se seleccionó la opción de recuperación de información para la herramienta.

Esta realiza la recuperación de información en el espacio no asignado del disco en un primer nivel si fue borrado por un usuario normalmente de ser borrado por una herramienta de borrado seguro, esta borra hasta 3 niveles por debajo, por ende no es posible su recuperación con la herramienta forense. ( )”90. El software CCleaner está diseñado para “( ) C limpiar los archivos que se acumulan con el tiempo en los equipos con Windows, como archivos temporales, accesos directos dañados, etc.

( ) Nuestra aplicación puede encontrar los archivos que ocupan más espacio en su disco duro, localizar archivos duplicados (como fotos o capturas de pantalla) o incluso borrar de forma segura un disco duro completo para que pueda venderlo o deshacerse de él ( )”91. Frente a la herramienta CCleaner, el señor WALTER ALEXANDER LADINO MOLANO manifestó que no tiene conocimiento de la instalación de este software en el equipo portátil y que la instalación de programas únicamente se podía hacer a través del área de tecnología y soporte92.

Ahora bien, la sociedad SCOTIABANK COLPATRIA S.A. argumenta que la instalación de la herramienta CCleaner en el equipo asignado al señor LADINO MOLANO como elemento de prueba ante un eventual proceso penal, toda vez que con este se pretende demostrar las razones por las cuales los archivos y carpetas que se encontraron en la imagen forense del disco del equipo no se pueden visualizar en el sistema de archivos de Windows93.

Pese a que ninguno de los investigados acepta la instalación del aplicativo, lo cierto es que en el análisis forense con número de tarea 20221021 94 quedó registrado que el software fue efectivamente ejecutado en el equipo portátil asignado al exfuncionario. Aun cuando no se tiene certeza de la información que fue eliminada del equipo de cómputo, la instalación del software CCleaner en uno de los equipos destinados a la ejecución de funciones dentro de la organización, más tratándose del desarrollo de funciones de un trabajador que tiene excepciones y privilegios en el tratamiento de datos personales, evidencia una clara falla en las medidas de seguridad implementadas en los equipos de cómputo asignados por la sociedad SCOTIABANK COLPATRIA S.A.; bien sea porque de manera autónoma y sin ninguna restricción el señor LADINO MOLANO instaló el mencionado software con la finalidad de eliminar determinada información de su equipo o bien por que el área de tecnología permitió la instalación de este software conociendo los riesgos que representa para la integridad de la información de los clientes.

Radicado número 22-416065-13 del 09 de mayo de 2023. Carpeta ”Punto 6”. ”¿Que es CCleaner para Windows”. Tomado de: https://support.ccleaner.com/s/article/what-isccleaner-for-windows?language=es Radicado número 22-416065-37 del 27 de septiembre de 2024. Página 8. Radicado número 22-416065-40 del 08 de octubre de 2024. Radicado número 22-416065-13 del 09 de mayo de 2023.

Carpeta ”Punto 6”. “Por la cual se impone una sanción administrativa” Por las razones antes expuestas este Despacho si encuentra un incumplimiento al deber que la sociedad SCOTIABANK COLPATRIA S.A. ostenta en su calidad de Responsable de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, pues teniendo en cuenta el tipo de información alojada, su tamaño empresarial y los riesgos potenciales a los que expuso la información personal de los titulares, se configura la afectación a los intereses jurídicos tutelados de la Ley.

Pues solo con posterioridad al incidente de seguridad evidenciado por INCOCREDITO, es que el banco robusteció la herramienta DLP, de tal forma que ajustó la regla para los usuarios que cuentan con la excepción de enviar información cifrada y está sola podrá ser enviada por correos de dominio corporativo95, y en caso de que esta información cifrada sea enviada a correos de dominio comercial (Ej, Gmail, hotmail, entre otros), los correos entrarán en una cuarentena donde tendrán una segunda revisión y deberán ser autorizados para su envío 96.

De esta manera, es claro para este Despacho que esta medida no le aplicó al señor WALTER ALEXANDER LADINO MOLANO en el tiempo en que estuvo vinculado a la organización, y que la conducta omisiva por parte del banco que puso en riesgo la información personal de los titulares, solo cesó en el momento en que se implementaron las medidas antes mencionadas.

Por las anteriores razones, es que este Despacho no puede aceptar los argumentos de la sociedad SCOTIABANK COLPATRIA S.A. ni las conclusiones de la investigación adelantada por la seguridad corporativa, pues la extracción continuada por el empleado WALTER ALEXANDER LADINO MOLANO no solo fue consecuencia del abuso y extralimitación de sus funciones97, también, de la falta de medidas y control por parte del banco a los funcionarios que tenían la excepción de la herramienta XXXXXXXXXXXXXXXX (DLP), y de aquellos que tenían privilegios de acceso a la información. Así las cosas, se encuentra que el señor WALTER ALEXANDER LADINO MOLANO incumplió el deber dispuesto en el literal d) del artículo 17 de la ley 1581 de 2012, en concordancia con lo establecido en los literales g) y h) del artículo 4 de la misma norma, y los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015. 22.2.2.

Respecto del deber de solicitar y conservar la copia de la respectiva autorización otorgada por el Titular que le asiste al señor WALTER ALEXANDER LADINO MOLANO. El artículo 17 de la Ley 1581 de 2012 establece los deberes que le asisten a los Responsables del tratamiento, entre los que se encuentra el siguiente: “Artículo 17. Deberes de los Responsables del Tratamiento.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; (…)”. Frente a la autorización otorgada por los titulares para el tratamiento de datos, la Ley 1581 de 2012 estableció lo siguiente: “Artículo 9°.

Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Radicado número 22-416065-2 del 07 de diciembre de 2022. Página 2. 96 Radicado número 22-416065-2 del 07 de diciembre de 2022.

Página 2. Radicado número 22-416065-58 del 18 de julio de 2025. Página 2. “Por la cual se impone una sanción administrativa” A su vez, el literal c) del artículo 4 de la Ley 1581 de 2012, establece lo siguiente: “Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…)”. Por su parte, el Decreto Único Reglamentario 1074 de 2015 dispuso lo siguiente frente a la autorización para el tratamiento de datos personales: “(…) Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así cómo todas las finalidades específicas del Tratamiento para las cuáles se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cuál se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuáles puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento. (…) Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quién se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequivocas del titular que permitan concluir de forma razonable que otorgo la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequivoca.

(…)”. Por otra parte, la Corte Constitucional, en la sentencia C- 748 de 2012 señaló lo que se transcribe en relación con el deber bajo estudio: “(…) En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una “Por la cual se impone una sanción administrativa” autorización anterior.

En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular. La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )”98 Conforme al principio de libertad consagrado en la Ley 1581 de 2012, según el cual “[e]l Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización”99, es claro que el Tratamiento de los Datos Cfr. Corte Constitucional, sentencia C 748 del 2011 Ley 1581 de 2012, artículo cuarto, literal c) “Por la cual se impone una sanción administrativa” solo puede ser el autorizado por el Titular de estos para la finalidad especificada en la autorización. En la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4, literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a).

El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado pues, de lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. Elementos del consentimiento: 1. Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación - el comportamiento pasivo – constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.

Así sucede, por ejemplo, con formularios de recolección de datos en línea que no cuentan con casillas de aceptación. Esta situación obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento.

Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet. 2. Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo.

En ese sentido, el artículo 12 de la Ley 1581 de 2012 establece que cuando se va a solicitar la autorización al Titular de la Información, el Responsable del tratamiento deberá informarle de manera clara y expresa lo siguiente: a) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) los derechos que le asisten como titular; y, d) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento. 3.

Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, “Por la cual se impone una sanción administrativa” sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado.

El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo. La obtención del consentimiento debe ser previa a la recolección de los datos.

Así, en los casos en que un Responsable del Tratamiento no puede acreditar que el consentimiento requerido del Titular es expreso, informado y previo, estaría incumpliendo el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la Ley en cita y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

De este modo es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por el Titular e informar los datos que serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular. En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló un cargo en contra del señor WALTER ALEXANDER LADINO MOLANO por la presunta vulneración al deber de solicitar y conservar la copia de la respectiva autorización otorgada por el Titular, mediante la Resolución N.º 52039 del 06 de septiembre de 2024.

Por su parte, este Despacho encuentra que la sociedad SCOTIABANK COLPATRIA S.A., con ocasión del informe allegado por INCOCREITO, pudo establecer que el señor WALTER ALEXANDER LADINO MOLANO envió a su dirección de correo electrónico personal, la información de numerosos clientes del Banco. Así quedó registrado en el informe nombrado ‘ACTUALIZACIÓN INVESTIGACIÓN FINALIZADA – _PRIVILEGIADA Y CONFIDENCIAL INVESTIGACION FINALIZADA – _Project Protect - Walter Alexander LADINO Molano Misconduct (Risk: High) Caso XXXXXXXXX100, emitido por Seguridad Corporativa Colombia, donde se estableció que entre los años 2019 y 2022, el señor WALTER ALEXANDER LADINO MOLANO envió un total de cuatrocientos trece (413) correos con archivos adjuntos cifrados y con contraseña, a su correo electrónico personal ‘al6549@gmail.com’; cuenta de correo reconocida por el señor Ladina como su cuenta personal101.

En el informe referido anteriormente, Seguridad Corporativa estableció que “[…] LADINO utilizó la excepción del DLP de correo electrónico, para enviar a su correo personales archivos cifrados que contenpían informacion PII de clientes. Entre la información contenida se encontró el ID del Cliente, nombre completo del cliente, celular, email, número completo de tarjeta de crédito, fecha de Radicado número 22-416065-13 del 08 de mayo de 2023.

Carpeta ”Punto 6”. Radicado número 22-416065-37 del 27 de septiembre de 2024. Página 7. “Por la cual se impone una sanción administrativa” vencimiento, numeros de contrato, datos demográficos, financierso, entre otros. La información tomó de los reportes que se envían al Buro de Crédito […]”. Como consecuencia de los hallazgos evidenciados, la sociedad SCOTIABANK COLPATRIA S.A. realizó un análisis forense al equipo de cómputo asignado al señor WALTER ALEXANDER LADINO MOLANO con el fin de determinar cómo se manejaba la información desde el momento de la solicitud hasta el momento en que era enviada la información personal a su cuenta de correo electrónico, en el cual se estableció lo siguiente: “(…)  Se realiza solicitud de la información por parte de Walter Ladino a su compañero xxxxxxxxx xxxxxxxxxxxx el día 11 de agosto de 2022 a las 9:27 am, como se evidencia en el siguiente chat (TEAMS).

Adjunto evidencia de la conversación [11/8 9:27 a. m.] Ladino Molano, Walter hola compa buen dia [11/8 9:27 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Hola Buenos días [11/8 9:27 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx ¿cómo vamos? [11/8 9:28 a. m.] Ladino Molano, Walter bien XXXX [11/8 9:28 a. m.] Ladino Molano, Walter pola o miedo? [11/8 9:28 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Jaja ahorita? [11/8 9:28 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Esta muy temprnao [11/8 9:28 a. m.] Ladino Molano, Walter ya mismo [11/8 9:28 a. m.] Ladino Molano, Walter jajaja [11/8 9:29 a. m.] Ladino Molano, Walter compa ya trsnsmito? [11/8 9:31 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Jaja si señor [11/8 9:32 a. m.] Ladino Molano, Walter compa me puede avisar cuando tenga los archivos en la ruta por favor [11/8 9:33 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Si señor ya los coloco [11/8 9:33 a. m.] Ladino Molano, Walter ¡Mil gracias! [11/8 9:33 a. m.] Ladino Molano, Walter pola [11/8 9:45 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx Ya quedo [11/8 9:45 a. m.] xxxxxxxxxxx xxxxx, xxxxxxxxxx \\10.236.22.46\Gerencia de Informes y Reservas\Area Modernizacion\Area Centrales de Riesgo\Transaccional\3.

PLANOS\TARJETAS\2022\07_31 [11/8 10:11 a. m.] Ladino Molano, Walter gracias compa • Una vez es confirmada la copia y la ruta, se puede evidenciar el ingreso del usuario S3300253 (Walter Alexander Ladino) a esa ruta como se puede evidenciar en el siguiente registro: “Por la cual se impone una sanción administrativa” En este registro se evidencia tanto la conexión al repositorio como la ruta en la que el usuario S3300253 (Walter Alexander Ladino) descargo el archivo: Acceso a la ruta del repositorio.

Ruta de almacenamiento del archivo  Luego de la lectura de los registros se evidencian los archivos generados a partir del archivo de origen como fue manifestado en la entrevista por XXXXXXXXXXXXXXXX. “Del archivo origen (Archivo plano de texto.TXT) se importa en ACCESS donde se tiene estructuradas las sentencias para la organización de la información”.

De acuerdo a (sic) los registros arrojados por el FTK podemos evidenciar el registro de la última ejecución del CCLEANER en el equipo. En este registro se puede observar la ultima(sic) ves que se ejecuto(sic) el software y el numero (sic)de veces que se ejecuto(sic). De acuerdo con esta información se evidencian varios archivos y carpetas que se encontraron en el registro de acceso a la ruta C:\DISCO D\DataCredito\.. que ya no se encuentran, pero sí estuvieron presentes en esa ruta y fueron eliminados y no fue posible recuperarlos con la herramienta forense, teniendo en cuenta que se seleccionó la opción de recuperación de información para la herramienta.

Esta realiza la recuperación de información en el espacio no asignado del disco en un primer nivel si fue borrado por un usuario normalmente de ser borrado por una herramienta de borrado seguro, esta borra hasta 3 niveles por debajo, por ende no es posible su recuperación con la herramienta forense. (…) Con esta información, se revisa el backup del correo electrónico y se evidencia el archivo.ZIP (solo7_31.zip) con asunto: (Solo 7 terminas en ed) enviado como adjunto en el correo con los respectivos archivos contenidos.

Encabezado del correo electrónico enviado por Walter Ladino: “Por la cual se impone una sanción administrativa” Documentos adjuntos al correo enviado por Walter Ladino: Fecha de creación de cada uno de los archivos agregados al archivo.zip. adjuntos al correo enviado por Walter Ladino el 14 de agosto de 2022 (…)”102. Adicionalmente, la sociedad SCOTIABANK COLPATRIA S.A. manifestó que, de la información a la cual pudo tener acceso, en los años 2021 y 2022 el señor WALTER ALEXANDER LADINO MOLANO envió doscientos noventa y siete (297) correos electrónicos desde la cuenta de correo electrónico ‘walter.ladino@scotiabankcolpatria.com’, la cual era su cuenta de dominio corporativo, con destino a la cuenta ‘al6549@gmail.com’, su cuenta de dominio personal, distribuidos de la siguiente manera103: Año 2021 Enero Febrero Marzo Abril Mayo Junio Julio Agosto Septiembre Octubre Noviembre Diciembre Numero de correos electrónicos Número de registros 82.830 65.985 123.882 102.843 84.960 107.830 56.886 78.087 96.325 88.954 39.998 55.253 Informe investigador de campo – Línea de tiempo modo de operación, contenido en el radicado número 22-416065-13 del 08 de mayo de 2023.

Carpeta ”Punto 6”. Radicado número 22-416065-55 del 17 de junio de 2025. Carpeta "iv. Correos enviados”. “Por la cual se impone una sanción administrativa” Año 2022 Enero Febrero Marzo Abril Mayo Junio Julio Agosto Septiembre Numero de correos electrónicos Número de clientes 70.276 48.064 68.342 90.821 110.453 92.531 49.192 149.047 95.757 A continuación, se incluirán las imágenes de algunos de los correos electrónicos enviados desde el correo electrónico ‘walter.ladino@scotiabankcolpatria.com’, con destino a la cuenta ‘al6549@gmail.com’, junto con los archivos adjuntos encontrados en formato ZIP y cifrados con contraseña, en donde se evidencia que el señor WALTER ALEXANDER LADINO MOLANO envió información de clientes del Banco a su correo electrónico personal, así104: Imagen.

Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. 104 Radicado número 22-416065-55 del 17 de junio de 2025. Carpeta "iv. Correos enviados”. “Por la cual se impone una sanción administrativa” Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025.

Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen N.° 25. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. “Por la cual se impone una sanción administrativa” Imagen.

Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. “Por la cual se impone una sanción administrativa” Imagen.

Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Imagen. Tomada del radicado Radicado número 22-416065-55 del 17 de junio de 2025. Con las pruebas relacionadas anteriormente, es claro para este Despacho que el señor WALTER ALEXANDER LADINO MOLANO envió información personal y crediticia de miles de clientes del Banco, en archivos en formato ZIP y cifrados con contraseña, desde su correo electrónico de dominio corporativo con destino a su cuenta de correo electrónico personal.

Lo mismo se logró establecer en el curso del proceso penal adelantado en contra del señor WALTER ALEXANDER LADINO MOLANO, quien aceptó los cargos imputados por los delitos de violación de datos personales agravado y utilización ilícita de redes de comunicaciones. El Juzgado Sesenta y Cuatro Penal del Circuito con Función de Conocimiento de Bogotá, en sentencia condenatoria por preacuerdo, estableció lo siguiente: “Por la cual se impone una sanción administrativa” “(…) Dentro del caso en concreto, del estudio del acervo probatorio está más que acreditada la inferencia de autoría y participación del señor WALTER ALEXANDER LADINO MOLANO pues fue identificado por la Fiscalía General de la Nación, como la persona que filtró las bases de datos con información de clientes del Banco Colpatria Scotiabank y entregadas a estructuras criminales, un total de 41 archivos electrónicos en formato ZIP contentivo de bases de datos con 82,723 registros de clientes del banco y usó con fines ilícitos un equipo de cómputo de la entidad, dispuesto para el desempeño de funcione del cargo.

En relación con la tipicidad de la conducta, los Elementos Materiales Probatorios y la Evidencia Física recolectadas en el presente asunto, dan cuenta, en primer lugar, que el ACUSADO en el punto de acreditación de los elementos objetivos del tipo penal permite constatar que, era él, el ciudadano que contaba con un cargo de director de Informes y reservas, quien contaba con los accesos a la información divulgada y al equipo que fuere utilizado con fines ilícitos, con el fin de sustraer datos personales de clientes del banco.

(…)”105. Así las cosas, de conformidad con las pruebas relacionadas anteriormente, este Despacho encuentra demostrado que el señor WALTER ALEXANDER LADINO MOLANO extrajo información personal de miles de clientes de las bases de datos propiedad de la sociedad SCOTIABANK COLPATRIA S.A., organizó la mencionada información en varios archivos cifrados protegidos con contraseña y los envió a su correo electrónico personal.

El señor LADINO MOLANO, al tener el cargo de Director del área de Reportes Regulatorios, contaba con los permisos para el envío de reportes externos a dominios de manera general106. El señor WALTER ALEXANDER LADINO MOLANO manifestó en varias ocasiones que no se encontró probado que la información de los clientes haya sido vendida a un tercero y que en el curso del proceso disciplinario interno realizado por el Banco admitió que estas bases de datos eran vendidas únicamente bajo amenazas y presionado por los funcionarios del Banco.

Ahora bien, resulta importante establecer que dentro del presente expediente no se encontró prueba que demostrara que la información de los clientes haya sido compartida con terceros no autorizados por parte del señor WALTER ALEXANDER LADINO MOLANO con un fin económico. Así mismo, tampoco se probó dentro del expediente que la información encontrada en las instalaciones de la sociedad THE BEST MARKETING LIMITADA haya sido efectivamente filtrada por el señor LADINO MOLANO. No obstante, lo anterior no implica que el señor WALTER ALEXANDER LADINO MOLANO no haya impartido un tratamiento sobre los datos personales, pues al extraer la información de los titulares de la base de datos del Banco y enviarlos y aojarlos en su correo electrónico personal, en virtud del literal g) del artículo 3 de la Ley 1581 de 2012 107 realizó tratamiento de información personal, y por tal motivo cumplir con los deberes y principio establecidos en la norma en mención. En este sentido, esta dirección no encuentra dentro del expediente prueba alguna de que el tratamiento realizado por el señor WALTER ALEXANDER LADINO MOLANO haya sido autorizado por los clientes; más aún, es claro para este Despacho que, al tratarse de una actividad al margen de las funciones asignadas a su cargo dentro de la organización, no mediaba autorización alguna por parte de los titulares de la información para la recolección y el almacenamiento de la información. Mucho menos, se evidencia que los titulares de la información hayan otorgado de manera directa una autorización para el Radicado número 22-416065-54 del 16 de junio de 2025.

Carpeta ”i. Proceso fiscalia”. Radicado número 22-416065-58 del 18 de julio de 2025. Página 2. “g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”. “Por la cual se impone una sanción administrativa” tratamiento de sus datos personales al señor WALTER ALEXANDER LADINO MOLANO. Por otra parte, este Despacho considera pertinente resaltar que aun cuando no se evidencia que las reclamaciones presentadas por los titulares estén directamente relacionadas con la ocurrencia del incidente y que probablemente en algunos casos no se materializó ningún tipo de fraude, la autorización para el tratamiento de los datos personales no había sido otorgada por ningún titular al señor WALTER ALEXANDER LADINO MOLANO. Finalmente, este Despacho debe aclarar que no es competencia de esta Superintendencia determinar si el proceso disciplinario interno realizado por el Banco se ejecutó de conformidad con las normas que le aplican a este tipo de procedimientos.

Sin embargo, con el acervo probatorio restante contenido en este expediente, es posible determinar la responsabilidad del señor WALTER ALEXANDER LADINO MOLANO respecto de la extracción información de los titulares por cerca de 4 años sin contar con una autorización previa expresa e informada por parte de los titulares de la información. De conformidad con lo expuesto anteriormente, este Despacho encontró que el señor WALTER ALEXANDER LADINO MOLANO alojó información de los titulares por un tiempo indeterminado, sin solicitar ni conservar copia de la autorización otorgada por los titulares de la información personal contenida en más de 297 mensajes de correo electrónico determinados entre los años 2021 y 2022, y solo con motivo del preacuerdo realizado dentro del proceso penal adelantado en su contra108, procedió a eliminar por completo la información persona de los titulares.

Así las cosas, se encuentra que el señor WALTER ALEXANDER LADINO MOLANO incumplió el deber dispuesto en el literal b) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en literal c) del artículo 4 de la Ley 1581 del 2012, el artículo 9 de la misma norma, y los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 del 2015; y en consecuencia, este Despacho impondrá una sanción pecuniaria. 22.2.3.

Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias que le asiste al señor WALTER ALEXANDER LADINO MOLANO. Al respecto, la normativa de Protección de Datos Personales establece lo siguiente: “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

Carpeta ”i. Proceso fiscalia”. “Por la cual se impone una sanción administrativa” administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; (…)”. El literal g) del artículo 4 de la Ley 1581 de 2012 establece el principio según el cual los Responsables y Encargados del Tratamiento de Datos Personales deben manejar la información sujeta a tratamiento: “(…) con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

(…) Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.”109 (Negrilla añadida) En virtud de lo expuesto y del material probatorio recaudado en la etapa inicial de la presente actuación, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló un cargo en contra del señor WALTER ALEXANDER LADINO MOLANO por la presunta vulneración al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, mediante la Resolución N.º 52039 del 06 de septiembre de 2024.

Frente a la formulación de cargos, el señor WALTER ALEXANDER LADINO MOLANO manifestó en escrito de descargos, radicado con número 22-41606537 del 27 de septiembre de 2024, que no se creó una base de datos de ningún tipo con la intención de venderla a terceros, y acepta que se cometió una imprudencia al enviar esos datos a un dominio personal que no estuviera relacionado con la actividad comercial del Banco.

Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Considerando 2.6.5.2.7 “Por la cual se impone una sanción administrativa” En primer lugar, este Despacho encontró que el señor WALTER ALEXANDER LADINO MOLANO se encontraba vinculado a la sociedad SCOTIABANK COLPATRIA S.A. por medio de un contrato de individual de trabajo a término indefinido, en principio para el cargo de Analista II informes y Reservas Banco de Bogotá Torre Colpatria.

El banco informó que el señor LADINO MOLANO recibió 3 ascensos en el tiempo que permaneció vinculado al Banco, hasta llegar a ocupar el cargo de Director de Informes y Reservas110. En el contrato de trabajo se encuentra una cláusula de confidencialidad, la cual establece lo siguiente: “(…) QUINTA.- CONFIDENCIALIDAD: El EMPLEADO se obliga a desempeñar las funciones del cargo para el cual fue contratado con lealtad, buena fe y fidelidad para con EL EMPLEADOR o cualquiera de las sociedades administradas por este y por lo tanto adquiere la obligación de que toda la información que descubra, infiera, deduzca o conozca directa o indirectamente por razón de su cargo o por estar vinculado con la empresa tendrán el carácter de confidencial y por tal motivo no le podrá revelar por ningún medio a terceros o a persona vinculada con la empresa, que no deban conocerlos por razón de sus funciones.

Este deber subsistirá durante la vigencia del contrato y aún después de su terminación. Se entiende por información los datos, sonidos, imágenes o códigos, obrantes en cualquier documento, mensaje de datos, medio magnético, óptico o físico, así como la descubierta inferida, deducida, comunicada o conocida por cualquier medio y forma por EL EMPLEADO.

Tiene especial carácter de reservada y queda sometida al deber de secreto y confidencialidad la información relativa con la situación financiera de la empresa, sus procesos, operaciones comerciales, financieras, bancarias, administrativas, técnicas, base de datos de toda clase, fórmulas y procedimientos industriales, técnicos y comerciales.

Le está prohibido al empleado sacar, extraer o enviar por cualquier medio documentos datos informes software fuera de la empresa con destino a terceros. Tampoco podrá permitir que otras personas, aún fuera de la empresa lo hagan y omitir de omitir dar esa información la empresa aún cuando tenga conocimiento de esto. Todos originales y copias de dibujo planos, manuales, correspondencia, notas, informes, cuadernos, fotografías y cualquier otro material grabado impreso o escrito en cualquier forma relacionado con el negocio o las operaciones del empleador hechos o recibidos por el EMPLEADO durante la vigencia del contrato de trabajo son de propiedad de EL EMPLEADOR y EL EMPLEADO se obliga a entregar a el empleador los que se encuentran en su poder al terminar el contrato o antes si así lo solicita EL EMPLEADOR.

(…)”111. Aun cuando no es competencia de este Despacho determinar si se presentó un incumplimiento al contrato de trabajo, es claro para este Despacho que la cláusula de confidencialidad establece el deber de secreto y confidencialidad debido a la naturaleza de los datos sobre los cuales se realiza tratamiento dentro del Banco. Incluso, en la cláusula de confidencialidad se observa la prohibición de “[…] sacar, extraer, o enviar por cualquier medio documentos datos informes software fuera de la empresa con destino a terceros […]”.

En segundo lugar, por medio del informe nombrado ‘ACTUALIZACIÓN INVESTIGACIÓN FINALIZADA – _PRIVILEGIADA Y CONFIDENCIAL INVESTIGACION FINALIZADA – _Project Protect - Walter Alexander LADINO Molano Misconduct (Risk: High) Caso XXXXXXXXXX112, emitido por Seguridad Corporativa Colombia, el Banco logró establecer que efectivamente el señor WALTER ALEXANDER LADINO MOLANO “[…] utilizó la excepción del DLP de correo electrónico, para enviar a su correo personales archivos cifrados que contenían informacion PII de clientes.

Entre la información contenida se encontró el ID del Cliente, nombre completo del cliente, celular, email, número completo Radicado número 22-416065-61 del 09 de septiembre de 2025. Página 2. 111 Radicado número 22-416065-13 del 08 de mayo de 2023. Carpeta "Punto 14”. Radicado número 22-416065-13 del 08 de mayo de 2023. Carpeta "Punto 6”.

“Por la cual se impone una sanción administrativa” de tarjeta de crédito, fecha de vencimiento, numeros de contrato, datos demográficos, financierso, entre otros. La información tomó de los reportes que se envían al Buro de Crédito […]”. Seguridad Corporativa Colombia, indicó que entre los años 2019 y 2022, el señor WALTER ALEXANDER LADINO MOLANO envió un total de cuatrocientos trece (413) correos con archivos adjuntos cifrados y con contraseña, a su correo electrónico personal ‘al6549@gmail.com’, la cual fue reconocido por el señor LADINO MOLANO como su cuenta de correo electrónico personal113.

Así mismo, quedó demostrado que la referida cuenta de correo electrónico fue establecida por el investigado para efectos de notificaciones. En este punto es importante hacer claridad sobre lo establecido por Digital Forensic Services-Colombia (DFS-Colombia), quien se encargó de la imagen forense del equipo de cómputo asignado al señor LADINO MOLANO. En el informe ‘ACTUALIZACIÓN INVESTIGACIÓN FINALIZADA – _PRIVILEGIADA Y CONFIDENCIAL INVESTIGACION FINALIZADA – _Project Protect - Walter Alexander LADINO Molano Misconduct (Risk: High) Caso XXXXXXXXXXX 114 se registró que “[…] la revisión del historial de navegación a internet y actividades de dispositivos USB en la imagen del computador de LADINO no reveló ninguna prueba que apoyara la exfiltración de datos a través de estos medios […]”, así como también concluyó que “[…] en resumen, la revisión realizada por el equipo de DFS de Colombia confirma que LADINO envió correos electrónicos con información a su correo electrónico personal y hay pruebas de que copió la información de la carpeta compartida del área a su computador […]”.

De conformidad con lo anterior, este Despacho se permite aclarar que no se presentó filtración de datos por medio de extracción a través de USB; sin embargo, si se demostró que la información de numerosos clientes del Banco si fueron enviados por el señor WALTER ALEXANDER LADINO MOLANO a su correo electrónico personal. Lo mismo se demostró en la investigación interna realizada por el Banco, donde se ejecutó un análisis forense al equipo de cómputo asignado al señor WALTER ALEXANDER LADINO MOLANO para el desarrollo de sus funciones con el fin de determinar cómo se manejaba la información desde el momento de la solicitud hasta el momento en que era enviado al correo electrónico, únicamente se evidenció que el señor LADINO MOLANO envió información de clientes del Banco a su correo electrónico de dominio personal.

Por otra parte, en el curso del proceso penal, el señor WALTER ALEXANDER LADINO MOLANO admitió que fue imprudente al enviar información de clientes a su correo personal y aceptó los cargos imputados por los delitos de violación de datos personales agravado y utilización ilícita de redes de comunicaciones, el Juzgado Sesenta y Cuatro Penal del Circuito con Función de Conocimiento de Bogotá, en sentencia condenatoria por preacuerdo, estableció lo siguiente: “(…) Dentro del caso en concreto, del estudio del acervo probatorio está más que acreditada la inferencia de autoría y participación del señor WALTER ALEXANDER LADINO MOLANO pues fue identificado por la Fiscalía General de la Nación, como la persona que filtró las bases de datos con información de clientes del Banco Colpatria Scotiabank y entregadas a estructuras criminales, un total de 41 archivos electrónicos en formato ZIP contentivo de bases de datos con 82,723 registros de clientes del banco y usó con fines ilícitos un equipo de cómputo de la entidad, dispuesto para el desempeño de funcione del cargo.

En relación con la tipicidad de la conducta, los Elementos Materiales Probatorios y la Evidencia Física recolectadas en el presente asunto, dan cuenta, en primer lugar, que el ACUSADO en el punto de acreditación de los elementos objetivos del tipo penal permite constatar que, era él, el ciudadano que contaba con un cargo de director de Informes y reservas, Radicado número 22-416065-37 del 27 de septiembre de 2024.

Página 7. Radicado número 22-416065-13 del 08 de mayo de 2023. Carpeta ”Punto 6”. “Por la cual se impone una sanción administrativa” quien contaba con los accesos a la información divulgada y al equipo que fuere utilizado con fines ilícitos, con el fin de sustraer datos personales de clientes del banco. (…)”115. Así las cosas, de conformidad con las pruebas relacionadas anteriormente, este Despacho encuentra demostrado que el señor WALTER ALEXANDER LADINO MOLANO extrajo información personal de miles de clientes de las bases de datos propiedad de la sociedad SCOTIABANK COLPATRIA S.A., organizó la mencionada información en varios archivos cifrados protegidos con contraseña y los envió a su correo electrónico personal, sin embargo, no se encontró demostrado que el señor LADINO MOLANO tenga relación alguna con la filtración de datos relacionada con la investigación realizada por INCOCREDITO, en la que se concluyó que la información había sido entregada a la sociedad THE BEST MARKETING LIMITADA.

Adicionalmente, tampoco se encontró dentro del material probatorio evidencia alguna de que el señor WALTER ALEXANDER LADINO MOLANO haya compartido la información de los clientes del Banco con terceros no autorizados. Así las cosas, evidencia este Despacho que, aunque se ha señalado que señor WALTER ALEXANDER LADINO MOLANO se vendía con fines ilícitos las bases de datos con información personal extraídas del banco, en el presente expediente no existe prueba alguna que permita evidenciar que el señor WALTER ALEXANDER LADINO MOLANO entregó a un tercero no autorizado; razón por la cual, este Despacho dará aplicación a la figura denominada In Dubio Pro Administrado.

En consecuencia, este Despacho encuentra imperativo invocar el numeral 1 del artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el cual señala lo siguiente: “Artículo 3. Principios. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales.

Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1. En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.

(…)”. De esta manera, bajo los principios de legalidad de las faltas y de presunción de inocencia, la administración no puede perder de vista que en toda actuación sancionatoria el fallador debe tener la certeza y convicción absoluta de que el investigado realmente cometió la infracción que se le está reprochando. Por ello, al examinar nuevamente los argumentos de hecho y de derecho expuestos por la sociedad investigada en armonía con el material probatorio obrante en el expediente, se encuentra pertinente aplicar la máxima jurídica denominada como “indubio pro administrado”.

Radicado número 22-416065-55 del 17 de junio de 2025. Carpeta ”i. Proceso fiscalia”. “Por la cual se impone una sanción administrativa” Así mismo, es pertinente señalar apartes de la sentencia proferida por la Sección Tercera del Consejo de Estado116 del 22 de octubre de 2012, mediante la cual se dispone lo siguiente: “La presunción de inocencia va acompañada de otra garantía: ‘el in dubio pro administrado, toda vez que si el Estado no cumple con la carga probatoria que le corresponde y existen dudas razonables respecto de la responsabilidad de quien está siendo objeto de investigación, la única respuesta posible es la exoneración. No obstante lo anterior, es indispensable señalar que los principios de presunción de inocencia y de ‘in dubio pro administrado’, admiten modulaciones en derecho administrativo sancionatorio que incluso podría conducir a su no aplicación, es decir procedimientos administrativos sancionatorios en los que se parte de la regla inversa: se presume la culpabilidad, de forma tal que la carga de la prueba se desplaza al presunto infractor y para que éste no sea declarado responsable debe demostrar durante la actuación administrativa que actuó diligentemente o que el acaecimiento de los hechos se dio por una causa extraña (fuerza mayor, caso fortuito o intervención de un tercero).

No se trata de un régimen de responsabilidad objetiva sino de una reasignación de la carga probatoria, la responsabilidad sigue siendo subjetiva porque como se desprende de lo afirmado existe la posibilidad de exoneración comprobando un comportamiento ajustado al deber objetivo de cuidado”. Igualmente, dicho principio ha sido suficientemente desarrollado por la Corte Constitucional117, así: “Como elemento característico de los sistemas políticos democráticos y de manera congruente con instrumentos internacionales ratificados por Colombia, la Constitución Política de 1991 estableció en su artículo 29 la presunción de inocencia, como una de las garantías del derecho fundamental al debido proceso.

Se trata de una cautela constitucional contra la arbitrariedad pública, que se activa en todos aquellos eventos en los que el Estado pretenda ejercer el poder de reprochar comportamientos, por la vía judicial o administrativa, esencialmente en ejercicio de su facultad sancionadora (ius puniendi). A pesar de que la norma constitucional disponga que “Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable”, en una redacción equivalente a la del artículo 8 de la Convención Americana sobre Derechos Humanos y a la prevista en el artículo 14 del Pacto Internacional de Derechos Civiles y Políticos, ambos ratificados por Colombia, la presunción de inocencia es una garantía fundamental que es igualmente exigible en los procedimientos administrativos, como lo reconoce expresamente el inciso primero del artículo 29 de la Constitución colombiana y que entraña las siguientes consecuencias: (i) corresponde al Estado la carga de desvirtuar la inocencia, a través de la prueba de los distintos elementos de la responsabilidad, incluida la culpabilidad.

(ii) A pesar de existir libertad respecto de las pruebas para desvirtuar la presunción de inocencia, sólo son admisibles medios de prueba respetuosos del debido proceso y acordes a la dignidad humana. (iii) Nadie puede ser obligado a contribuir para que la presunción de inocencia que lo ampara, sea desvirtuada y sus silencios carecen de valor probatorio en forma de confesión o indicio de su responsabilidad;

(iv) durante el desarrollo del proceso o del procedimiento, la persona tiene derecho a ser tratada como inocente y (v) la prueba necesaria para demostrar la culpabilidad debe tener suficiente fuerza demostrativa, más allá de toda duda razonable, la que, en caso de persistir, debe resolverse mediante la confirmación de la presunción. Las anteriores, son “garantías constitucionales que presiden la potestad sancionadora de la administración y el procedimiento administrativo que se adelanta para ejercerla”.

La regla que ordena resolver las dudas razonables en favor del investigado (regla in dubio pro reo, in dubio pro administrado, in dubio Consejo de Estado. Sentencia # 05001-23-24-000-1996-00680-01 (20738), del 22 de octubre de 2012. C.P.: Enrique Gil Botero Corte Constitucional, sentencia C-495 de 2019, M.P. Alejandro Linares Cantillo. “Por la cual se impone una sanción administrativa” pro disciplinado) es una consecuencia natural de la presunción constitucional de inocencia y constituye la contracara misma de la carga de la prueba que pesa sobre el Estado, a través de las entidades que ejercen el poder público.

Así, no obstante que la norma constitucional no exija expresamente que las dudas razonables sean resueltas en beneficio de la persona investigada, se trata de una conclusión forzosa que resulta de constatar que, a pesar de los esfuerzos demostrados durante el desarrollo del procedimiento y en desarrollo del deber de instrucción integral, el Estado no cumplió la carga probatoria que le incumbía y, por lo tanto, no logró recaudar o aportar pruebas suficientes para desvirtuar la presunción de inocencia. Por lo tanto, la regla “en caso de duda, resuélvase en favor del investigado”, no es más que la confirmación de que la persona nunca ha dejado de ser inocente y, en el caso de sanciones de naturaleza administrativa, la no aplicación de esta regla, genera nulidad del acto administrativo.

Aunque la jurisprudencia constitucional haya precisado que, en tratándose de procedimientos administrativos, la presunción de inocencia no es un derecho absoluto y se haya admitido, de manera excepcional, que el Legislador invierta la carga de la prueba de uno de los elementos de la responsabilidad, (el elemento subjetivo), a través de la previsión de presunciones de dolo y de culpa, dichas medidas han sido sometidas al cumplimiento de rigurosas condiciones y, en todo caso, se ha advertido que esta posibilidad se encuentra excluida para ciertos procesos, en particular, el proceso disciplinario, en donde debe operar plenamente la presunción de inocencia. Las dudas que implican la decisión de archivo del asunto o que conducen a proferir un fallo absolutorio, son las razonables u objetivas, es decir, aquellas que luego del desarrollo de la instrucción, surgen de un análisis conjunto de las pruebas obrantes en el expediente, presidido por la sana crítica y la experiencia. La duda razonable resulta cuando del examen probatorio no es posible tener convicción racional respecto de los elementos de la responsabilidad y, por lo tanto, no se cuenta con las pruebas requeridas para proferir una decisión condenatoria, que desvirtúe plenamente la presunción de inocencia. Es decir que las dudas irrazonables, subjetivas o que se fundan en elementos extraprocesales, no permiten proferir una resolución favorable, cuando los elementos de la responsabilidad se encuentren debidamente probados en el expediente.

La certeza o convicción racional equivale a un estándar probatorio denominado de convicción más allá de toda duda razonable por lo que, para poder ejercer el poder punitivo del Estado, no se requiere la certeza absoluta, sino que las pruebas válidamente recaudadas demuestren la reunión de los elementos de la responsabilidad y, al respecto, no existan dudas derivadas de la insuficiencia probatoria o de contradicciones probatorias insuperables a partir del examen conjunto del expediente.” De esta manera, el Despacho encuentra que a la luz de los documentos obrantes en el expediente existe una duda razonable entorno a sí el investigado divulgó y vendió las bases de datos personales de la sociedad SCOTIABANK COLPATRIA S.A., puesto que el señor LADINO ha manifestado en su escrito de descargos no haber entregado ni vendido la información personal extraída para realizar actos ilícitos, y por su parte, dentro del expediente no existe ninguna prueba conducente que determine dicha divulgación. En consecuencia, esta Dirección considera procedente archivar el presente cargo formulado por cuanto no se cuenta con el material probatorio suficiente que acredite el presunto incumplimiento del deber objeto de estudio.

VIGÉSIMO TERCERO: Imposición y graduación de la sanción 23.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: "Articulo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: “Por la cual se impone una sanción administrativa” a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;”.

Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “(…) Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual ‘(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes’, y que ‘sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores’, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental ( )”.

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional118. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “Artículo 313.

Unidad de Valor Básico -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.

“Por la cual se impone una sanción administrativa” El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVBconforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” En cumplimiento del inciso segundo del citado artículo, el MINISTERIO DE HACIENDA Y CRÉDITO PÚBLICO expidió la Resolución N.º 3914 del 17 de diciembre de 2024, estableciendo el valor de la UVB para el año 2025, en un monto de ONCE MIL QUINIENTOS CINCUENTA Y DOS PESOS ($11.552).

De esta manera el monto de la sanción será calculado en los términos de la norma antes mencionada. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional119 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción administrativa” sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f).

De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”120 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros121. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción administrativa” humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”122.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia123. El artículo 24 de la Ley 1581 de 2012 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 24.

Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 23.1.1.

Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley 1581 de 2012. De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el presente caso quedó demostrado que la sociedad SCOTIABANK COLPATRIA S.A. no conservó la información de sus clientes bajo las condiciones de seguridad necesarias, adecuadas y pertinentes para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, puesto que no adoptó las medidas de seguridad necesarias para evitar que por cerca de 4 años el señor WALTER ALEXANDER LADINO MOLANO extranjera información personal de los titulares creando bases de datos que fueron enviadas de manera fraccionada en más de 297 mensajes de correo electrónico y afectando más de 67,910 titulares del banco.

Así las cosas, como sanción frente al cargo único relacionado con el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, esta Dirección impondrá una sanción pecuniaria de QUINIENTOS VEINTITRES (523) SALARIOS MÍNIMOS LEGALES MENSUALES Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción administrativa” VIGENTES para el año 2023 – equivalentes a SESENTA MIL SEISCIENTOS SESENTA Y OCHO (60.668) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a SETECIENTOS MILLONES OCHOCIENTOS TREINTA Y SEIS MIL SETECIENTOS TREINTA Y SEIS PESOS M/CTE ($700.836.736), por la vulneración del deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en los literales g) y h) del artículo 4 de la misma normas y los artículo 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

Por otra parte, en el presente caso quedó demostrado que el señor WALTER ALEXANDER LADINO MOLANO no solicito y conservó la autorización otorgada por los titulares para el tratamiento de sus datos. Así las cosas, como sanción frente al cargo primero relacionado con el deber de solicitar y conservar la copia de la respectiva autorización otorgada por los titulares, esta Dirección impondrá una sanción pecuniaria de SEIS (6) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a SEISCIENTOS NOVENTA Y SEIS (696) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a OCHO MILLONES CUARENTA MIL CIENTO NOVENTA Y DOS PESOS M/CTE ($8.040.192), por la vulneración del deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal c) del artículo 4 de la Ley 1581 de 2012, el artículo 9 de la misma norma, y los artículos 2.2.2.25.2.2 y 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 23.1.2. Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la sociedad investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no se presentó una reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iv) no hubo renuencia a cumplir las órdenes impartidas por esta autoridad; y (v) no hubo aceptación expresa de la comisión de la infracción.

VIGÉSIMO CUARTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad SCOTIABANK COLPATRIA S.A., identificada con NIT. 860.034.594-1, con el correo electrónico de notificación judicial notificbancolpatria@scotiabankcolpatria.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N.º 22-416065. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos “Por la cual se impone una sanción administrativa” Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

VIGÉSIMO QUINTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente al señor WALTER ALEXANDER LADINO MOLANO, identificado con cédula de ciudadanía N.° 79.763.485, con el correo electrónico de notificación judicial al6549@gmail.com, quien debe registrarse en CALIDAD DE PERSONA NATURAL, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad SCOTIABANK COLPATRIA S.A., identificada con NIT. 860.034.594-1, de QUINIENTOS VEINTITRES (523) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a SESENTA MIL SEISCIENTOS SESENTA Y OCHO (60.668) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a SETECIENTOS MILLONES OCHOCIENTOS TREINTA Y SEIS MIL SETECIENTOS TREINTA Y SEIS PESOS M/CTE ($700.836.736), por la vulneración del deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en los literales g) y h) del artículo 4 de la misma normas y los artículo 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

Parágrafo. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. IMPONER una sanción pecuniaria el señor WALTER ALEXANDER LADINO MOLANO, identificado con cédula de ciudadanía N.° 79.763.485, de SEIS (6) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a SEISCIENTOS NOVENTA Y SEIS (696) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a OCHO MILLONES CUARENTA MIL CIENTO NOVENTA Y DOS PESOS M/CTE ($8.040.192), por la vulneración del deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el literal c) del artículo 4 de la Ley 1581 de 2012, el artículo 9 de la misma norma, y los artículos 2.2.2.25.2.2 y 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

“Por la cual se impone una sanción administrativa” Parágrafo. El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad SCOTIABANK COLPATRIA S.A., identificada con NIT. 860.034.594-1, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 4. NOTIFICAR personalmente el contenido de la presente resolución al señor WALTER ALEXANDER LADINO MOLANO, identificado con cédula de ciudadanía N.º 79.763.485, en calidad de investigado, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 5. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son:  Correo Superintendencia Comercio: contactenos@sic.gov.co de Industria y  Sede Principal: Carrera 13 No. 27 – 00 Piso 3, edificio Bochica en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 12 de septiembre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.09.12 16:14:20 -05'00' CAROLINA GARCÍA MOLINA CAROLINA GARCIA MOLINA Proyectó: MG Revisó: AC Aprobó: CG

Resolución sancionatoria N° 70035 de 2025

CONSIDERANDO

RESUELVE