RESOLUCIÓN NÚMERO 1912 ( 09 de enero de 2026 2026 ) “Por la cual se resuelve un recurso” VERSIÓN ÚNICA Radicación 24-386569 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y,
CONSIDERANDO
PRIMERO: Que mediante escritos radicados bajo los números 24-387304-0 y 24-386569-0, ambos del 10 de septiembre de 2024, se puso en conocimiento de esta Superintendencia, de manera anónima, la ocurrencia de unos hechos presuntamente transgresores de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de la sociedad GLOBALWORK COLOMBIA S.A.S, identificada con Nit 901.128.388-1, en adelante GLOBALWORK o LA INVESTIGADA.
De la comunicación recibida se extrajeron los siguientes supuestos fácticos: 1.1 “Un descubrimiento alarmante ha puesto en evidencia una violación masiva a la seguridad y privacidad de inspaniduos (sic) y empresas en Colombia. Empresas reconocidas como SURA, Compensar (Universidad), Corbeta, Banco Unión, PepsiCo, Colanta, Cerámica Italia, Algar Tecnologia SAS, entidades como el Acueducto Metropolitano de Bucaramanga y AXXA Asistencia se han visto salpicados por la filtración de más de 170,000 documentos sensibles debido a una falla de seguridad de su proveedor.
La vulnerabilidad se encuentra en la estructura de las URL utilizadas por el proveedor para acceder a los informes inspaniduales (sic) solo se requiere la URL: ( ). En esta, el número final (en este caso, 156852) corresponde a un informe específico. 1.2 Al cambiar este número, se puede acceder a otros informes. Con más de 170,000 informes disponibles, esta simple alteración de la URL permite a cualquier persona acceder a una cantidad alarmante de información sensible, personalmente se han podido verificar que la falla existe con cientos de documentos accesibles al publico (sic).
Esta información filtrada contiene detalles extremadamente delicados, incluyendo conducta social, exámenes de polígrafo, estudios de seguridad y visitas domiciliarias. Esta situación representa una violación flagrante a las leyes de protección de datos personales en Colombia, poniendo en riesgo la privacidad de los inspaniduos (sic) y exponiendo la reputación de las empresas y entidades involucradas.
Además, es importante destacar que esta brecha de seguridad ha permanecido abierta y no ha sido reportada al SIC ni subsanada. Esto significa que estos documentos sensibles podrían haber estado circulando en el internet oscuro durante un tiempo indeterminado, aumentando aún más el riesgo y el impacto de esta violación a la privacidad. “Por la cual se resuelve un recurso” 1.3 Es crucial entender que esta situación no corresponde a un ataque informático, sino a una simple acumulación de malas prácticas.
La falta de controles de seguridad adecuados y la negligencia en la protección de datos han llevado a esta exposición masiva de información sensible y su circulación libre al publico (sic). Este incidente resalta un problema común y preocupante: las empresas y entidades, cuando contratan, suelen no evaluar la seguridad de la información de sus proveedores o considerarla como un factor de decisión, la prioridad se inclina hacia menor costo, sin considerar las posibles amenazas a la seguridad de la información. 1.4 Este descuido puede llevar a brechas de seguridad como la actual, que exponen los datos de las empresas, entidades y de sus clientes.
Es imperativo que las empresas y entidades tomen medidas inmediatas para remediar esta situación y garantizar que no se repita en el futuro. Esto incluye la consideración de la seguridad de la información al seleccionar y trabajar con proveedores, y no solo centrarse en la opción más económica. 1.5 La seguridad de los datos no debe ser comprometida por el coste del servicio.
Se ha podido verificar que es posible acceder a documentos que incorporan datos desde los años 2019 al 2024 de las empresas mencionadas y otras. Esta filtración masiva de datos es una señal de alerta para todas las empresas y entidades, subrayando la importancia de una rigurosa evaluación de la seguridad de la información. 1.6 A continuación, se proporcionan ejemplos de los documentos encontrados”.
Junto con la denuncia se aportaron 9 documentos en formato PDF.
SEGUNDO: Que, la Constitución Política de Colombia artículo 15 exige que en la recolección, tratamiento y circulación de datos personales se respeten la libertad y demás garantías consagradas en nuestro ordenamiento jurídico. El término Tratamiento se refiere a “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”1.
TERCERO: Que, la Ley 1581 de 2012 “Por la cual se dictan disposiciones generales para la protección de datos personales” “tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma” 2.
CUARTO: Que, el Decreto Único Reglamentario 1074 de 2015 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”, en su Capítulo 25 “Reglamenta parcialmente la Ley 1581 de 2012”.
QUINTO: Que mediante Resolución 79163 del 06 de octubre de 2025, la Dirección de Investigaciones de Protección de Datos Personales resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad GLOBALWORK COLOMBIA S.A.S., identificada con el nit 901.128.3881 de CIENTO CINCUENTA (150) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 equivalentes DIECISIETE MIL CUATROCIENTOS (17.400) Unidades de Valor Básico, -UVB vigentes para el 2025- equivalentes a DOSCIENTOS UN MILLONES CUATRO MIL OCHOCIENTOS PESOS M/CTE (201.004.800), por la vulneración de lo dispuesto en el literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales g) y h) del artículo 4 y el artículo 5 de la misma ley, así como los artículos Ley 1581 de 2012, artículo 3, literal g).
Ley 1581 de 2012, artículo 1. “Por la cual se resuelve un recurso” 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015”. (…)
ARTÍCULO 2: ORDENAR a la sociedad GLOBALWORK COLOMBIA S.A.S., identificada con el nit 901.128.388-1 desarrollar e implementar un mecanismo para obtener la autorización previa, expresa e informada de los titulares cuya información es recolectada por medio de su sitio web, conforme a las previsiones hechas en la parte motiva del presente acto administrativo”.
SEXTO: Que la Resolución 79163 del 06 de octubre de 2025 se notificó electrónicamente el 06 de octubre de 2025 a SILVIA LILIANA ESPINOSA ORREGO, en representación de la sociedad GLOBALWORK COLOMBIA S.A.S., según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 24-386569-25 del 08 de octubre de 2025.
SÉPTIMO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 24-386569-26 del 20 de octubre de 2025, la sociedad GLOBALWORK COLOMBIA S.A.S., por medio de su representante legal, interpuso recurso de reposición y en subsidio apelación contra la Resolución 79163 del 06 de octubre de 2025.
OCTAVO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 de la Ley 1437 de 2011, Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente, este Despacho hará las siguientes consideraciones: 8.1.1 De la aplicación de los criterios establecidos en el artículo 24 de la Ley 1581 de 2012 Al respecto, sostuvo la recurrente que “En el presente asunto, no se realizó un análisis suficiente y detallado de las acciones desplegadas por la compañía encaminadas a reforzar los sistemas de control y seguridad en relación con los datos personales que son recolectados, es decir, el daño causado o peligro a los intereses jurídicos protegidos, esto en concordancia con lo establecido en literal A del artículo 23 de la citada norma, así: a. Las acciones correctivas y mejoras en el sistema de seguridad implementadas por la sociedad Globalwork en su calidad de responsable del tratamiento de datos, efectuándose de forma inmediata las correcciones y modificaciones de seguridad necesarias con el propósito de evitar vulneración alguna del derecho al habeas data de los ciudadanos, es decir, se implementó un sistema mejorado de autenticación y autorización mediante la implementación de tokens únicos. b. Se realizó una auditoría interna con el fin de establecer puntos de vulnerabilidad y/o implementación de mejoras que permitan brindar una protección reforzada de los datos sensibles administrados por las plataformas, acciones que permiten realizar un seguimiento detallado mejorado de cada interacción del usuario con archivos que contengan información crítica. c. Se implementaron políticas de seguridad de red que restringen las conexiones salientes desde nuestros servicios hacia destinos considerados de riesgo, deshabilitando rutas de acceso a servidores de bases de datos que no forman parte de nuestra infraestructura controlada, previniendo exfiltraciones o integraciones no auditadas. d. Se estableció una nueva ruta de acceso a los informes mediante cifrado y autenticación por cliente, previniendo así que los mismos solo sean accesibles por sus destinatarios”.
“Por la cual se resuelve un recurso” Frente a este argumento, es necesario destacar lo siguiente: Las medidas informadas por la representante de la sociedad recurrente corresponden a aquellas desplegadas con ocasión de la apertura de la presente investigación administrativa de carácter sancionatorio, es decir, a las acciones correctivas adoptadas luego de que esta Dirección le pusiera en conocimiento la filtración de los datos personales a su cargo en la red. No puede, entonces, pretender la recurrente que dichas medidas hubiesen sido tenidas en cuenta a efectos de dosificar el monto de la sanción pecuniaria, pues es claro que estas carecían de vocación para impedir la exposición de información personal en tanto que, se encontraban dirigidas a fortalecer sus sistemas para prevenir futuros incidentes.
De manera que, para esta Dirección esos ajustes no reflejan en modo alguno diligencia y cautela en el proceder de la sociedad investigada, sino apenas la consecuencia lógica, posterior al inicio de una investigación por la vulneración del deber de conservar la información bajo medidas de seguridad las cuales, como deber autónomo a cargo de los Responsables y Encargados del tratamiento de datos personales exigen un nivel de compromiso mucho mayor a aquel acreditado por GLOBALWORK S.A.S. De otra parte, es necesario recordar que los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012 deben aplicarse de conformidad con lo también señalado por la Corte Constitucional en el estudio del, entonces proyecto de ley estatutaria, mediante Sentencia C-748 de 2011, como se cita a continuación: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(énfasis añadido) Así las cosas, en la presente causa se encontró procedente aplicar solamente el criterio contemplado en el literal a) del artículo 24 “La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley”, por cuanto, con base en el material probatorio recolectado se pudo establecer la vulneración de los deberes contemplados en nuestro ordenamiento jurídico, misma que se tradujo en el desconocimiento de los derechos que le asisten al titular de la información. En ese sentido, los criterios contemplados en los literales b) al f) no resultan aplicables para atenuar el monto inicialmente calculado. 8.1.2 De la proporcionalidad de la sanción impuesta Al respecto, expresó la recurrente que “(…) en el caso en concreto, se debió atender a los siguientes criterios con el fin de graduar la sanción a imponer, sin dejar de lado los factores beneficiosos para el investigado, ello por cuanto comprende el estudio de circunstancias particulares que permite establecer interpretación menos gravosas en relación con el actuar desplegado por el investigado, que, para el evento que nos ocupa significa la tasación de una sanción mucho menor ateniendo a los criterios establecidos en la ley 1581 de 2012, así: Adecuación: En el presente asunto, debemos indicar que la sanción es apropiada según lo establecido en la normatividad que regula la materia, lo anterior si se tiene en cuenta el bajo grado de afectación derivado de la situación que generó la vulnerabilidad externa del sistema informático empleado por la investigada, esto “Por la cual se resuelve un recurso” anudado a las correcciones e implementación de medidas de seguridad inmediatas que se adoptaron por parte de la sociedad con el fin de generar una protección reforzada a los datos almacenados por ella.
Necesidad: Si bien es cierto, en el caso en concreto se adoptó por parte de la Dirección de Investigaciones de Protección de Datos Personales una de las medidas menos restrictivas consagradas en el artículo 23, no es menos cierto que la tasación de la misma tiene un potencial lesivo para el normal desarrollo de la actividad económica y societaria de la investigada, lo anterior, si se tiene en cuenta que en atención a ese carácter de necesariedad, la misma puede ser reajustada y seguiría cumpliendo en fin deseado, es decir, se generaría un reproche adecuado y proporcional en relación con los cargos atribuidos sin que la consecuencia jurídica represente una afectación incluso mayor a la sociedad Globalwork, se trata pues de ese equilibrio que debe existir entre la determinación de la sanción pecuniaria, su finalidad, la capacidad de quien es investigado y el beneficio que reporta para la entidad, en ese orden de ideas, estos mismos fines podrían ser satisfechos con una sanción en términos económicos reducida que permita no solo generar ese reproche sino que se dé cumplimiento a la misma”.
Previo a estudiar lo esbozado, es importante recordar que la investigación de carácter sancionatorio adelantada por esta Dirección se rige por lo estipulado en los artículos 47 y siguientes del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, Ley 1437 de 2011; por tanto, se encuentra sujeta al cumplimiento de los principios rectores de la función administrativa, expresamente contemplados en el artículo 3° de ese cuerpo normativo, a saber: Debido proceso, presunción de inocencia, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad.
De acuerdo con lo anterior, es deber de la Administración sujetarse a los principios que rigen la materia, y en particular aquellos que orientan la facultad sancionatoria del Estado. Como se aprecia, el legislador no previó los principio s reseñados por la sociedad investigada en su recurso; sin embargo, para el Despacho, esa situación no impide analizar las cuestiones esenciales planteadas por la recurrente.
El primer argumento se relaciona con lo que, a juicio de la sociedad investigada, supone una mínima “afectación derivado (sic) de la situación”, posición que ratifica el desconocimiento que esta tiene frente a la dimensión de los hechos que se le atribuyen. Es pertinente recordarle que sus sistemas de información permitieron la filtración de todo tipo de datos de alrededor de 200.000 titulares, y que el hecho de que dicha información, por lo menos en lo que se ha puesto en conocimiento de esta Superintendencia, no haya sido en una indebidamente utilizada no disminuye la grave afectación del derecho fundamental cuya información se vio comprometida por la exposición en internet.
De otra parte, refiere la recurrente que una sanción pecuniaria inferior a la fijada por esta Dirección satisfaría igualmente el propósito de generar un reproche y castigar la conducta realizada, de manera que se lograra un equilibrio entre esta última y la capacidad económica del investigado. No obstante, es importante destacar que, tal como fuera precisado en el acto administrativo recurrido, a efectos de determinar el monto de la multa a imponerse, se tuvo en cuenta la situación financiera de la sociedad GLOBALWORK COLOMBIA S.A.S., informada en el Registro Único Empresarial y Social (RUES) administrado por CONFECÁMARAS, de modo que no se generara un perjuicio grave a sus intereses, pues se insiste, el fin de la sanción administrativa es disuasorio y, en ningún caso confiscatorio.
“Por la cual se resuelve un recurso” A partir de lo descrito, también es claro para el Despacho que con el recurso interpuesto no se aportaron elementos de prueba que permitan evidenciar la forma en que la multa impuesta efectivamente genera un impacto negativo -estructural- en las finanzas de la sociedad investigada, y por tanto resulta desproporcionada en relación con los hechos objeto de reproche; razón suficiente para mantenerla incólume conforme a las consideraciones sentadas en el acto administrativo impugnado.
NOVENO: Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución en cita por lo que procederá a confirmarla íntegramente.
DÉCIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad GLOBALWORK COLOMBIA S.A.S., identificada con Nit.901.128.3881, con el correo electrónico de notificación judicial contabilidad@globalwork.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 24-386569. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o se requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución 79163 del 06 de octubre de 2025, conforme a lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO 2: CONCEDER el recurso de apelación, interpuesto subsidiariamente y en consecuencia trasladar copia del presente expediente al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad GLOBALWORK COLOMBIA S.A.S. identificada con Nit 901.128.388-1 a través de su representante legal y/o su apoderado, en calidad de recurrente.
ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para efecto de que los investigados respondan los requerimientos, y en general, ejerzan sus derechos, son los siguientes: “Por la cual se resuelve un recurso” - Formulario de peticiones, quejas, reclamos y solicitudes dispuesto en la página web de la superintendencia mediante le link: https://servicioslinea.sic.gov.co/servilinea/pqrsf/ -Dirección, Sede Principal: Calle 24 Nº 7-43 Local 108 en la ciudad de Bogotá D.C, de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 09 de enero de 2026 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por Carolina Garcia Carolina Molina Garcia Molina Fecha: 2026.01.09 14:14:53 -05'00' CAROLINA GARCÍA MOLINA Proyectó: LR Revisó: C G Aprobó: C G