(7 de noviembre 2025) Radicación 24-395529 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16, del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Que, mediante Oficio No. 23-144597-00 del 28 de marzo de 20231, la señora xxxxx xxxxxxxxx xxxx xxxxxxx interpuso una queja en contra del Banco Davivienda S.A., (en adelante Davivienda o el Banco) por la presunta vulneración a su derecho fundamental de habeas data, en la medida que la entidad expuso a terceros su correo electrónico personal sin que mediara su autorización, cuando después de verificar una alarma de riesgo LA/FT, el 27 de marzo de 2023, envió una comunicación a la sociedad CREDIYES S.A.S. de la cual la quejosa figuraba como Representante Legal.
SEGUNDO. Que, mediante Resolución No. 79343 del 15 de diciembre de 2023, la Dirección de Habeas Data archivó la actuación por hecho superado y remitió la actuación a la Dirección de Investigaciones de Protección de Datos Personales, para que, si existía mérito para ello, iniciara una actuación de carácter sancionatorio.
TERCERO. Que la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante Resolución No. 56950 del 27 de septiembre de 2024, decidió abrir una investigación administrativa y formular cargos contra Davivienda, por la presunta vulneración de lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.
Para llegar a la citada decisión, la Dirección, luego de realizar un análisis de las pruebas allegadas, concluyó que Davivienda “habría divulgado y circulado información personal de contacto de la titular con terceros no autorizados, por cuanto utilizó el correo electrónico personal suministrado por la Titular en su calidad de cliente persona natural, para remitir información dirigida a la empresa CREDIYES SAS sin que mediara autorización de la Titular para compartir su información de contacto con terceros.”
CUARTO. Que mediante Oficio No. 24-395529-09 del 30 de octubre de 2024, Davivienda presentó el escrito de Descargos, de los cuales se extrae lo siguiente: (i) El día 27 de marzo de 2023, motivada por una alerta que se originó en la actividad financiera ordinaria de la Sociedad CrediYes S.A.S., Davivienda procedió a remitir información sobre dicha alerta, al correo personal de la señora xxxxx xxxxxxxxx xxxx xxxxxxx xxxxxxxxxxx@xxxxx.xxx, quien en Actuación administrativa adelantada por la Dirección de Habeas Data.
“Por la cual se resuelve un recurso de apelación” ese momento fungía en los registros del Banco como Representante Legal de dicha sociedad. Tal información, se remitió igualmente a los correos electrónicos: acano.inv@gmail.com; gerencia@webkapital.co; gerencia@teavalo.com; gerencia@prestaenlinea.co, direcciones que también se encontraban relacionadas tanto con la quejosa, como con la empresa que representa.
(ii) El envío de esa solicitud de actualización a los citados correos electrónicos obedeció al ejercicio de un deber legal relacionado con la prevención del riesgo relacionado con los delitos de lavado de activos y de la financiación del terrorismo, conforme lo indica el Capítulo IV, del Título IV, de la Parte I “Instrucciones relativas a la administración deal riesgo de lavado de activos y de la financiación del terrorismo” de la Circular Básica Jurídica de la Superintendencia Financiera de Colombia QUINTO. Que la Dirección determinó, que Davivienda divulgó y circuló información personal de contacto de la titular con terceros no autorizados, por cuanto utilizó el correo electrónico personal suministrado por la titular, en su calidad de cliente-persona natural del banco, para remitir información dirigida a la empresa CREDIYES SAS, de quien la titular fungía como representante legal, sin que mediara autorización de la titular para compartir dicha información con terceros.
La Dirección consideró que la sociedad incurrió en una divulgación indebida de datos personales, vulnerando de manera directa los principios y deberes legales que rigen el tratamiento de la información personal en el ordenamiento jurídico colombiano. Por lo que, mediante Resolución No. 47342 del 18 de julio de 2025, resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad BANCO DAVIVIENDA S.A., con NIT. 860.034.313-7, de TRESCIENTOS (300) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a TREINTA Y CUATRO MIL OCHOCIENTOS (34.800) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CUATROCIENTOS DOS MILLONES NUEVE MIL SEISCIENTOS PESOS M/CTE ($402.009.600), por la vulneración a lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012”.
SEXTO. Que Davivienda a través de su representante (en adelante, también, la recurrente), mediante el Oficio No. 24-395529-26 del 12 de agosto de 2025, interpuso recurso apelación2 contra la Resolución No. 47342 del 18 de julio de 2025, cuyos argumentos son los siguientes: (i) Inexistencia de un tercero no autorizado que haya accedido a la información. Indica la recurrente que la Dirección a lo largo de la actuación administrativa en ningún momento indagó, ni determinó, quién habría sido el sujeto que presuntamente accedió o tuvo conocimiento de la información personal de la titular sin su autorización. Lo anterior porque, se indica, los correos electrónicos reseñados en la queja inicial se encuentran vinculados con la empresa Crediyes S.A.S. y su representante legal, quien es la quejosa.
(ii) Legitimidad del tratamiento de datos por parte de Davivienda con fundamento en un deber legal. Del tratamiento de datos personales con fines de prevención de lavado de activos y financiamiento del terrorismo. No comparte la recurrente la afirmación hecha por la Dirección en el acto administrativo que se revisa, según el cual los datos personales de la titular no formarían parte de una base de datos cuya finalidad principal sea la prevención, detección, monitoreo y control de lavado de activos.
El tratamiento no solo respondió a fines lícitos y específicos, particularmente al cumplimiento de un deber legal relacionado con la prevención del lavado de La Resolución No. 47342 del 18 de julio de 2025 fue notificada por aviso al Banco Davivienda el 29 de julio de 2025. “Por la cual se resuelve un recurso de apelación” activos y la financiación del terrorismo (LA/FT), sino que además la información fue conocida por un tercero que estaba plenamente autorizado para acceder a ella: la sociedad CREDIYES S.A.S., en la cual la titular ostenta la calidad de representante legal y socia. En consecuencia, no puede afirmarse que existió una vulneración del deber de confidencialidad, ni una comunicación no autorizada de los datos, dado que el tercero receptor de la información tenía un vínculo jurídico y funcional directo con la titular que legitimaba el acceso a dicha información. (iii) Límites a la potestad sancionatoria de la Delegatura para la Protección de Datos Personales frente al tratamiento de datos personales en bases de datos exceptuadas del ámbito de aplicación de la Ley 1581 de 2012.
Toda vez que el tratamiento objeto de análisis en la presente actuación administrativa no se encuentra amparado en el ámbito de aplicación de la Ley Estatutaria 1581 de 2012, la Dirección de Investigaciones de Protección de Datos Personales no tiene la competencia para adelantar una investigación administrativa de carácter sancionatorio. Según el principio de tipicidad administrativa solo es posible imponer sanciones cuando existe una infracción claramente delimitada en la ley que sustente dicha potestad sancionatoria.
La Corte Constitucional, en la Sentencia C-748 de 2011, fue clara en señalar que la infracción administrativa en materia de protección de datos se configura por el incumplimiento de los deberes establecidos, específicamente, en los artículos 17 y 18 de la Ley 1581 de 2012, los cuales únicamente son exigibles frente a los responsables y encargados que se encuentren dentro del ámbito de aplicación de dicha ley.
Si bien los principios rectores deben ser observados también en los tratamientos realizados a partir de bases de datos exceptuadas —como aquellas destinadas a la prevención del lavado de activos y la financiación del terrorismo—, la eventual inobservancia de tales principios no habilita, por sí sola, la imposición de una sanción administrativa por parte de la Dirección de Investigaciones de Protección de Datos Personales.
En esos casos, la autoridad podría adoptar otro tipo de medidas administrativas —como órdenes administrativas— en ejercicio de sus competencias generales de inspección, vigilancia y control, pero le está vedada la potestad sancionatoria. (iv) Existencia de medidas de responsabilidad demostrada por parte de Davivienda. Considera la recurrente que la Dirección exige un sistema infalible para la procedencia del citado principio.
El hecho que se adelante una actuación administrativa sancionatoria no desvirtúa la existencia de un programa de cumplimiento serio, estructurado y funcional. La Dirección no puede exigir resultados perfectos e inmunes a cualquier incidente. Para la recurrente, la Dirección debió tener en cuenta el criterio de disminución de la sanción establecido en el artículo 26 del Decreto 1377 de 2013 incorporado en el Decreto 1074 de 2015.
(v) Reconocimiento de oportunidades de mejora y solicitud de trato institucional respetuoso hacia los administrados. Indica la recurrente que gracias a la presente actuación administrativa el Banco Davivienda identificó una oportunidad de mejora, para la cual allega soportes de una reunión que se llevó a cabo con el fin de “reforzar conocimientos, asegurar la implementación de los cambios efectuados y resolver inquietudes respecto del nuevo proceso de envío de comunicaciones, manejo de la información y procedimiento de cancelación.” Considera la recurrente que el acto administrativo que impone la sanción desconoce el contexto técnico y jurídico en el que se desarrolla la operación de Davivienda, pues en él se realizan juicios de valor que no se corresponden con la evidencia documentada a lo largo del expediente, ni con el estándar objetivo que debe caracterizar la motivación de los actos administrativos sancionatorios.
“Por la cual se resuelve un recurso de apelación”
SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 092 de 2022). 7.1. Respecto del incumplimiento del deber de seguridad.
El literal d) del artículo 17 de la Ley 1581 de 2012 impone a los responsables del tratamiento de datos personales el deber de “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”. Este deber se encuentra estrechamente vinculado con el literal f) del artículo 4 de la misma Ley, que consagra el principio de seguridad, según el cual la información sujeta a tratamiento por parte de los responsables y encargados debe manejarse “con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.
La norma establece, por tanto, un estándar mínimo de diligencia en cabeza de los responsables del tratamiento, quienes no solo deben abstenerse de divulgar la información de manera indebida, sino también implementar de forma proactiva y permanente medidas de seguridad idóneas que garanticen la integridad, disponibilidad y confidencialidad de los datos personales bajo su custodia.
Estas medidas pueden variar en función de la naturaleza de los datos tratados, el tipo de tratamiento, el tamaño de la organización y los riesgos particulares asociados, pero en todo caso deben ser suficientes para reducir al mínimo la posibilidad de accesos no autorizados o de incidentes de seguridad. Este deber no se limita a la sola existencia de políticas generales de protección de datos, sino que exige la adopción efectiva de controles de seguridad concretos, tales como procedimientos internos, restricciones de acceso, protocolos técnicos y capacitación del personal, de modo que se pueda demostrar en todo momento que se actuó con la diligencia debida en la protección de la información. En conclusión, el mandato contenido en el literal d) del artículo 17, en armonía con el principio de seguridad del artículo 4 literal f), busca prevenir riesgos y mitigar vulneraciones a los derechos de los titulares.
El incumplimiento de este deber no solo puede engendrar una infracción administrativa sancionable, sino que además constituye una vulneración directa al derecho fundamental al habeas data, en tanto expone la información personal a posibles usos indebidos o accesos no autorizados. Ahora bien, contrario a lo indicado por la recurrente, para efectos de establecer si hubo o no una vulneración al deber de seguridad, no es requisito determinar quién o quiénes pudieron o no acceder, o efectivamente accedieron o no, sin autorización, a la información personal que haya sido expuesta.
Conviene en este punto hacer referencia a los correos electrónicos a los cuales se envió la solicitud de actualización y que según lo indicado en el recurso están relacionados con la empresa CREDIYES SAS y la señora xxxx xxxxxxx: • Correo electrónico acano.inv@gmail.com: Este se encontraba relacionado como dirección de contacto en el formulario de vinculación, registrado el 7 de septiembre de 2020 de la empresa CREDIYES SAS, no se relaciona como Representante Legal a la quejosa.
“Por la cual se resuelve un recurso de apelación” • Correo electrónico gerencia@webkapital.co Según lo indicado por el Banco Davivienda este fue registrado por la quejosa en su calidad de Representante Legal de CREDIYES SAS. • Correo electrónico: gerencia@teavalo.co Indica Davivienda que éste fue ingresado al portal empresarial el día 20 de mayo de 2020 por la titular.
Así mismo, se encuentra registrado dentro de la consulta CIFIN de la titular: ESPACIO EN BLANCO “Por la cual se resuelve un recurso de apelación” • Frente al correo gerencia@prestaenlinea.co no se allega una prueba con la que se pueda determinar que, como lo indica el recurrente, está relacionado con la quejosa. De lo anterior, concluye el Despacho que únicamente el correo acano.inv@gmail.com puede relacionarse directamente con la empresa CREDIYES SAS, pues fue el relacionado cuando se vinculó como cliente persona jurídica en el Banco.
Respecto de los demás correos, las pruebas no indican que éstos pertenecieran a la empresa CREDIYES SAS, por lo que Davivienda, al haber incluido el correo personal de la señora xxxx Xxxxxxx en el listado de destinatarios y haber enviado así el correo, como efectivamente sucedió, incurrió en la conducta típica de no “conservar la información bajo las condiciones de seguridad necesarias para impedir ( ) el acceso no autorizado”.
En efecto, la infracción investigada en la presente actuación administrativa se ajusta al principio de tipicidad, en la medida que concurren los 3 elementos que lo componen: (i) Que la conducta sancionable esté descrita de manera específica en la norma o pueda ser determinada a partir de disposiciones jurídicas aplicables; (ii) Que la sanción correspondiente esté definida en la ley; y (iii) Que exista una correlación entre la conducta infractora y la sanción impuesta.
La Corte Constitucional, mediante sentencia C-748 de 2011, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio aplicable en este caso: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
(…) En este sentido, el listado de deberes de responsables y encargados del tratamiento, precisados en la Ley 1581 de 2012, otorga un marco normativo suficientemente definido para la identificación de infracciones. En el caso analizado, tanto la formulación de cargos como la decisión sancionatoria recurrida satisfacen las exigencias del principio de tipicidad.
En la formulación de cargos se señaló de manera clara y precisa la conducta presuntamente infractora, se identificó el deber normativo que se estimó “Por la cual se resuelve un recurso de apelación” incumplido y se fundamentó la imputación en disposiciones legales específicas. A su vez, en la decisión recurrida se verificó el incumplimiento del deber y se impuso la sanción correspondiente, en estricta correlación con el cargo previamente formulado.
Para el cargo imputado, quedó plenamente acreditada la conducta vulneratoria de Davivienda: haber permitido el acceso al correo electrónico personal de la titular a terceros no autorizados. Bajo este entendido el nexo de causalidad fue debidamente establecido y explicado por la Dirección. Esta Delegatura no encuentra entonces mérito para desestimar la validez de la Resolución ahora impugnada a partir de una alegada inexistencia o atipicidad de la conducta violatoria del deber de seguridad-conservación de la información-acceso no autorizado, tantas veces mencionado. 7.2.
Legitimidad del tratamiento de datos por parte de Davivienda con fundamento en deber legal. Del tratamiento de datos personales con fines de prevención de lavado de activos y financiamiento del terrorismo. De acuerdo con lo establecido en el artículo 1023 del Estatuto Orgánico Financiero, las instituciones sometidas al control y vigilancia de la Superintendencia Financiera de Colombia (SFC) están: “obligadas a adoptar medidas de control apropiadas y suficientes orientadas a evitar que en la realización de sus operaciones puedan ser utilizadas como instrumento para el ocultamiento, manejo, inversión o aprovechamiento en cualquier forma de dinero u otros bienes provenientes de actividades delictivas o destinados a su financiación, o para dar apariencia de legalidad a las actividades delictivas o a las transacciones y fondos vinculados con las mismas.” Para efectos de lo anterior, las instituciones están obligadas a conocer, entre otros, la actividad económica que desarrollan sus clientes, su magnitud y las características básicas de las transacciones en que se involucran corrientemente.
En este contexto, la Circular Básica Jurídica de la Superintendencia Financiera de Colombia, en la Parte I, Título IV, Capítulo IV, reglamenta el Sistema de Administración del Riesgo de Lavado de Activos (LA) y Financiación del Terrorismo (FT) -SARLAFT-, el cual tiene como objeto, entre otros, detectar y reportar las operaciones que se pretendan realizar o se hayan realizado, para intentar dar apariencia de legalidad a operaciones vinculadas al LA/FT.
Para concretar dichos deberes es necesario, entre otras cosas, conocer al cliente actual o potencial, como se indica a continuación en la mentada Circular: 4.2.2.2.1. Conocimiento del cliente El SARLAFT debe contar con procedimientos para obtener un conocimiento efectivo, eficiente y oportuno de todos los clientes actuales y potenciales, así como para verificar la información y los soportes de la misma.
Los procedimientos de conocimiento del cliente aplicados por otras entidades vigiladas con relación al mismo cliente potencial, no eximen de responsabilidad a la entidad de conocerlo, aún cuando pertenezcan a un mismo grupo. Las entidades vigiladas pueden obtener la información necesaria para realizar los procedimientos de conocimiento del cliente utilizando datos e información de fuentes confiables e independientes.
En este sentido, las entidades vigiladas pueden utilizar bases de datos públicos, de prestadores de servicios ciudadanos digitales, de bases de datos propias y/o de bases de datos externas, siempre que: (i) individualicen al potencial cliente a través de la verificación de sus datos de identificación; y (ii) den cumplimiento a las reglas establecidas en la Ley 1581 de 2012 sobre tratamiento de datos personales y demás normas que las modifiquen, complementen, sustituyan o adicionen.
Adicionalmente, en el evento en que utilicen bases de datos externos, las entidades vigiladas deben realizar un análisis de Decreto Ley 663 de 1993, modificado por el artículo 1 de la Ley 1121 de 2006 “Por la cual se resuelve un recurso de apelación” riesgo asociado a dicha fuente, en el cual se evalúe la calidad de los datos, su confiabilidad y la pertinencia de la misma en la gestión del riesgo de LA/FT.
Las entidades vigiladas deben tener a disposición de esta Superintendencia los medios verificables a través de los cuales se demuestre la realización de dicho análisis de riesgo. Por último, las entidades vigiladas deben realizar una revisión semestral de dicho análisis de riesgo, el cual también debe estar a disposición de esta Superintendencia en los términos anteriormente mencionados.
De la norma citada, destaca el Despacho que la consulta que realice la entidad financiera a las diferentes bases de datos, inclusive las propias, para la búsqueda de información para el conocimiento del cliente, en todo caso, debe cumplir con las reglas establecidas en la Ley 1581 de 2012, en relación con el tratamiento de datos personales.
Es decir, las entidades financieras si bien tienen un deber legal en relación con la prevención del riesgo LA/FT, cuando realicen tratamiento de datos personales deben ajustarse a los principios, deberes y derechos establecidos en la Ley 1581 de 2012. Adicionalmente, el numeral 4.2.2.2.1.6 de la ya mencionada Circular Básica Jurídica, establece las reglas que deben seguirse frente la actualización de los datos: 4.2.2.2.1.6.
Actualización de la información del cliente Las entidades vigiladas deben contar con políticas y procedimientos para actualizar los datos de sus clientes conforme a las siguientes reglas: 4.2.2.2.1.6.1. Permitir la realización de todas las diligencias necesarias para verificar y actualizar los datos recolectados de los clientes que por su naturaleza puedan variar (dirección, teléfono, actividad económica, origen de los recursos, composición accionaria etc.).
En este sentido, a partir del perfil del riesgo de LA/FT que se haya estimado para cada cliente como resultado de la aplicación de los procedimientos del SARLAFT, las entidades vigiladas pueden definir la periodicidad con la cual se debe realizar la actualización de estos datos que, en todo caso, no puede ser superior a tres años. No obstante, para aquellos clientes que se determine que pueden exponer a la entidad en un mayor grado al riesgo de LA/FT, la actualización de estos datos debe realizarse, como mínimo, anualmente.
En el evento en que un cliente pase a ser catalogado de alto riesgo por la entidad y no se haya actualizado sus datos en más de un año, las entidades deben realizar todas las diligencias necesarias para actualizar los datos del mismo dentro del mes siguiente al cambio de categorización. 4.2.2.2.1.6.2. Las entidades vigiladas deben realizar la actualización de estos datos, siempre que se presenten situaciones que requieran recaudar información adicional para permitirle a la entidad comparar las características de las transacciones del cliente con su actividad económica y/o características del monto de sus ingresos o egresos.
Para lo anterior, las entidades deben realizar todas las diligencias necesarias para actualizar los datos dentro del mes siguiente a la fecha del conocimiento de dicha situación. De acuerdo con la información que consta en el expediente, Davivienda motivada por una alerta que se originó en la actividad financiera ordinaria de la sociedad CREDIYES S.A.S., consideró necesario solicitar la actualización de sus datos.
Para esta Delegatura no hay duda de que, en este caso, Davivienda actuó motivada, exclusivamente, por el cumplimiento de un deber legal. Este argumento es persuasivo y prima facie podría estimarse exoneratorio. Sin embargo, bien vista la configuración del deber, las condiciones fácticas y las alternativas para su cumplimiento en este caso singular y concreto, la Delegatura lo desestima como argumento exculpatorio de responsabilidad.
Y lo desestima por las siguientes razones. Primero. Para el cumplimiento del deber de notificación para actualización de la información personal de los clientes, en el contexto de las actividades de conocimiento del cliente y el monitoreo de actividades LA/FT, según la Circular Básica Jurídica de la SFC, los sujetos obligados: primero, “pueden utilizar bases de datos públicos, de prestadores de servicios ciudadanos digitales, de bases de datos propias y/o de bases de datos externas”, y segundo, “siempre que: (i) individualicen al potencial cliente a través de la verificación de sus datos de identificación; y (ii) den cumplimiento a las reglas establecidas en la Ley 1581 de 2012” “Por la cual se resuelve un recurso de apelación” En el presente caso, Davivienda tenía, por norma de permisión expresa, la posibilidad de consultar bases de datos públicas y privadas, propias y externas para obtener la información de contacto de la empresa CREDIYES SAS y de su representante legal.
Tenía la opción y estaba en condiciones de consultar aquellas bases de datos externas que pudieran ofrecer información de contacto actualizada, concretamente de la representación legal de la empresa CREDIYES, como por ejemplo el Registro Único Empresarial y Social RUES. Si esto era posible y relativamente fácil, Davivienda no estaba en la hipótesis de una situación tal, en la que la única forma de cumplir el deber legal, fuera la de recurrir a sus bases de datos propias, y hacer el cruce de información entre tales bases de datos, y la información previa disponible de CREDIYES SAS.
Segundo. Las bases de datos consultadas en este caso no coinciden con las listas internacionales vinculantes para Colombia en relación con la prevención del lavado de activos y financiamiento del terrorismo, definidas en el numeral 1.184 Parte I Título IV Capítulo IV, de la Circular Básica Jurídica de la SFC. En efecto, la consulta realizada por el Banco Davivienda no estaba relacionada con determinar si la sociedad CREDIYES S.A.S. o en su defecto su representante legal podía estar vinculada en alguna de las citadas listas.
El tratamiento de datos personales que la Dirección reprobó fue el de usar el correo personal de la representante legal de CREDIYES para notificar una solicitud de actualización de información de dicha empresa, y haber remitido dicho correo sin copia oculta a otras direcciones de correo electrónico, permitiendo su conocimiento por parte de terceros no autorizados.
Tercero. Tal como lo indica el aparte pertinente del Capítulo SARLAFT de la Circular Básica Jurídica de la SFC, ya mencionado, independientemente del tipo de bases de datos que sean consultadas por parte de las entidades vigiladas, respecto de los titulares de la información, “se deberán respetar las normas que sobre protección de datos establece la Ley 1581 de 2012”.
En otras palabras: el cumplimiento de los deberes de prevención LA/FT debe hacerse con pleno respeto de las normas sobre protección de datos personales establecidas en la Ley 1581 de 2012. Esto no sucedió en el presente caso. Davivienda realizó tratamiento del dato personal (correo electrónico personal de la ciudadana Xxxx Xxxxxxx) a partir de bases de datos propias (Datos de sus clientes-personas naturales) para una finalidad diferente a la inicialmente autorizada por la señora Xxxx Xxxxxxx, y expuso dicho dato personal ante otras personas, con independencia de que estuvieran o no relacionados, con ella, o con la sociedad CREDIYES SAS.
En efecto, Davivienda al consultar las bases de datos propias advirtió que xxxxx xxxxxxxx xxxx xxxxxxx, representante legal de CREDIYES, tenía registrados productos financieros en su calidad de persona natural. Listas Internacionales vinculantes para Colombia: Son aquellas listas de personas y entidades asociadas con organizaciones terroristas que son vinculantes para Colombia conforme al Derecho Internacional, incluyendo pero sin limitarse a las Resoluciones 1267 de 1999, 1988 de 2011, 1373 de 2001, 1718 y 1737 de 2006 y 2178 de 2014 del Consejo de Seguridad de las Naciones Unidas, a todas aquellas que le sucedan, relacionen y complementen, y cualquiera otra lista que se adopte en el país. “Por la cual se resuelve un recurso de apelación” Como lo indicó la Dirección en el acto administrativo que se revisa, el tratamiento de tales datos había sido previamente autorizado por xxxx xxxxxxx, pero para ciertas y precisas finalidades que, según el formato obrante en el expediente, eran las siguientes: Así las cosas, y aunque la utilización del correo electrónico personal de la quejosa para el envío de la solicitud de actualización de la información de la sociedad CREDIYES S.A.S. estuvo motivada por el cumplimiento de un deber, lo cierto es que el Banco Davivienda en este caso desconoció las finalidades respecto de las cuales había sido autorizado el tratamiento de los datos personales concernidos, y con ello, desconoció algunas de las normas sobre protección de datos personales contenidas en la Ley 1581 de 2012, en especial, las relacionadas con los principios de finalidad y de libertad, establecidos en el artículo 4, literales b y c. Cuarto. Finalmente, al revisar los dominios de los demás correos a los cuales fue enviada la comunicación objeto de escrutinio se verificó, conforme las pruebas allegadas, que sólo uno de tales correos estaba efectivamente relacionado con la sociedad CREDIYES SAS.
En concreto, el correo acano.inv@gmail.com, por lo que, si por otras razones, que no se advierten con claridad en el expediente, Davivienda decidió incluir otros destinatarios, era su deber hacerlo, en todo caso, empleando la funcionalidad de la copia oculta (CCO), precisamente, para evitar el acceso no autorizado a dicho dato personal por parte de terceros.
Así las cosas, el argumento presentado por la recurrente no está llamado a prosperar. 7.3. Respecto al límite de la potestad sancionatoria de la Delegatura para la Protección de Datos Personales en relación con bases de datos exceptuadas del ámbito de aplicación de la Ley 1581 de 2012. Sobre el ámbito de aplicación de la Ley 1581 de 2012, y de contera, sobre la competencia ratione materiae de la Superintendencia de Industria y Comercio, en su calidad de autoridad de protección de datos personales, el artículo 2 de la Ley 1581 de 2012, establece lo siguiente: ARTÍCULO 2o.
ÁMBITO DE APLICACIÓN. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en “Por la cual se resuelve un recurso de apelación” cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.
El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: (…) b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo; La Corte Constitucional, al realizar control previo de constitucionalidad del texto de este artículo, en su Sentencia C-748 de 2011, consideró que de lo allí dispuesto no debía interpretarse la creación de un régimen de exclusión de la protección del derecho fundamental al habeas data, sino apenas de unos en que las reglas específicas de la Ley 1581 de 2012 estarían exceptuadas, en tanto que, por su temática, requerían regulaciones especiales.
Sobre el punto, consideró la Corte: 2.4.5.1 ( ) En consecuencia, una interpretación del inciso tercero del artículo 2 consonante con la Constitución y el contenido y finalidad del proyecto de ley es que aquél no prevé regímenes excluidos de la aplicación de la ley sino exceptuados de algunas de sus disposiciones en virtud de los intereses que se hallan en tensión. Esos casos exceptuados deben ser regulados por leyes estatutarias especiales y complementarias, las cuales deberán sujetarse a las exigencias del principio de proporcionalidad.
En este orden de ideas, las leyes especiales que se ocupen de los ámbitos exceptuados deberán (i) perseguir una finalidad constitucional, (ii) prever medios idóneos para lograr tal objetivo, y (iii) establecer una regulación que en aras de la finalidad perseguida, no sacrifique de manera irrazonable otros derechos constitucionales, particularmente el derecho al habeas data.
Además, de conformidad con los principios que se examinarán más adelante, el cumplimiento de las garantías y la limitación del habeas data dentro de los límites de la proporcionalidad debe ser vigilada y controlada por un órgano independiente, bien sea común o sectorial. (negritas fuera de texto) Siguiendo entonces esta jurisprudencia, y siempre poniendo de presente que la función primordial de esta Delegatura es la garantía del derecho fundamental a la protección de datos personales, no queda otra opción sino la de aceptar que las excepciones al ámbito de aplicación de la ley, en relación con las garantías del derecho fundamental a la protección de datos personales, deben ser entendidas e interpretadas de manera restrictiva.
En efecto, una de las implicaciones prácticas de considerar el derecho a la protección de datos personales como derecho fundamental es que las limitaciones introducidas por el legislador, tanto a su contenido material, como a sus garantías, deben ser interpretadas de manera restrictiva. Esto se desprende de la naturaleza del derecho fundamental e incluso así lo reconoció de forma explícita la Corte Constitucional, al estudiar la constitucionalidad del artículo 2 de la Ley 1581 de 2012, como puede advertirse en la consideración 2.4.5.2., que transcribimos: 2.4.5.2.
Las excepciones efectivamente son previstas por la ley, como lo exige la Constitución, y deben ser interpretadas de manera restrictiva ( ) De esta afirmación se sigue, como ha también indicado esta Corporación, que, en principio, las excepciones a la aplicación de las garantías de los derechos fundamentales, en este caso del derecho al habeas data, deben estar previstas en la ley, como efectivamente lo hace el proyecto bajo examen.
Ciertamente, a juicio de esta Corporación, en tanto tales excepciones son una fuerte limitación de los “Por la cual se resuelve un recurso de apelación” derechos, es un asunto que corresponde regular al legislador estatutario. [162]5 Además, las excepciones que se introduzcan, aunque estén contenidas en una ley, deben sujetarse a las exigencias del principio de proporcionalidad.[163]6 Como lo indica la Corte Constitucional, los casos exceptuados por el artículo 2 de la Ley 1581 de 2012, por su naturaleza, deben ser objeto de una regulación legal estatutaria especial y complementaria.
A partir de este contexto normativo y jurisprudencial, esta Delegatura estima necesario hacer explícitas unas precisiones indispensables sobre las normas que regulan el SARLAFT. Esto, para preservar el espíritu del legislador estatutario, el mandato de interpretación restrictiva de las excepciones y exclusiones, y la garantía del derecho fundamental a la protección de datos personales, a saber: La habilitación de la Circular Básica Jurídica de la SFC, para que los sujetos obligados consulten sistemas de información, archivos o bases de datos personales con el fin de cumplir sus deberes de prevención del lavado de activos y financiamiento del terrorismo, no puede ser interpretada en el sentido de convertir cualquier base de datos consultada, en una base de datos que tenga “por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo”.
Esta interpretación no puede llevar a la conclusión de que cualquier base de datos personales consultada para el cumplimiento de tales deberes, estaría excluida del ámbito de aplicación de la Ley 1581 de 2012, en los términos de su artículo 2. El uso incidental con fines de prevención de LA/FT que pueda dársele a los datos personales contenidos en cualquier archivo, sistema de información o base de datos, pública o privada, propia o ajena, no tiene el poder taumatúrgico de convertir a tales archivos, sistemas de información o bases de datos, en unas cuya finalidad sea “la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo.” Ese poder mutante, mágico, proteico es, a la luz de esta Delegatura, inverosímil.
Pero sobre todo tiene unos efectos jurídicos inaceptables. El efecto neto de este accidentado argumento es la creación de una inmunidad, en la que los sujetos vigilados resultarían allende los poderes de inspección, vigilancia y control que deben ejercer las superintendencias en un Estado Social de Derecho, y en la que los derechos al habeas data y a la protección de datos personales quedarían privados de su garantía administrativa.
En efecto, este tipo de razonamiento no puede sino conducir a algunos absurdos. Como, por ejemplo, el de considerar que por que Davivienda consulta sus bases de datos propias, i.e., la de los clientes de sus productos financieros, con el fin de cumplir un deber para la prevención de LA/FT, tales bases de datos deben ser consideradas como bases de datos cuya finalidad es la prevención de LA/FT y, por tanto, tal base de datos quedaría excluida del ámbito de aplicación de la Ley 1581 de 2012.
O el de aceptar que no habría forma de proteger los derechos de las personas que le confiaron a Davivienda su información personal bajo unas reglas y para unas finalidades precisas, porque Davivienda ha decidido emplear dicha información para la finalidad de cumplir sus obligaciones legales de prevención de LA/FT. Ambas son situaciones inaceptables.
Y lo son, porque niegan de plano cualquier posibilidad de activar, para este u otros casos similares, la garantía administrativa del derecho fundamental a la protección de datos personales, asignada por la Ley 1581 de 2012 a esta Superintendencia de Industria y Comercio. [162] Por ejemplo, en la sentencia T-396 de 1998, M.P. Antonio Barrera Carbonell, la Corte sostuvo que entes que cumplen funciones administrativas no pueden establecer excepciones a las reglas de una ley estatutaria, pues ese es un asunto de competencia exclusiva del legislador estatutario. [163] El Comité explicó lo siguiente al respecto en la Observación General 16: “Con la introducción del concepto de arbitrariedad se pretende garantizar que incluso cualquier injerencia prevista en la ley esté en consonancia con las disposiciones, los propósitos y los objetivos del Pacto y sea, en todo caso, razonable en las circunstancias particulares del caso.” “Por la cual se resuelve un recurso de apelación” En conclusión, con fundamento en los anteriores argumentos, esta Delegatura desestimará el argumento de la supuesta falta de competencia de esta Superintendencia, con fundamento en una supuesta no aplicación del literal b, del inciso tercero, del artículo 2 de la Ley 1581 de 2012, que en todo caso esta Delegatura no advierte en las coordenadas específicas de este caso concreto. 7.4.
Respecto de la existencia de medidas de responsabilidad demostrada por parte del Banco Davivienda y la solicitud de la reducción de la sanción. El artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, dispone que “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto…”.
Sobre este particular, la Corte Constitucional mediante la sentencia C-32 de 2021 reconoció la existencia-validez del principio de responsabilidad demostrada en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic).
El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas. Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial;
(ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal. Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos.
A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable; (ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales.
El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”7 (negritas fuera de texto) Asimismo, el artículo 2.2.25.6.2, del Decreto 1074 de 2015, invocado por la Recurrente, dispone: “ARTÍCULO 2.2.2.25.6.2.
Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2. 25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.
La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021.
M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm “Por la cual se resuelve un recurso de apelación” 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.
La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.
Según el recurrente, “Esta disposición refleja una directriz fundamental del modelo regulatorio colombiano: la existencia de un programa integral de gestión de datos personales puede y debe incidir en la determinación de la sanción, en especial cuando el Responsable ha implementado medidas específicas orientadas al cumplimiento normativo y a la mitigación de riesgos.” Las disposiciones del Decreto 1074 de 2015, inicialmente contenidas en el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2012, deben interpretarse en concordancia, precisamente, con las normas que buscaron reglamentar.
Esto es, con las normas pertinentes de la Ley 1581 de 2012. En la Ley 1581 de 2012, no hay mención alguna al principio de responsabilidad demostrada. Y una expresión semejante no fue reconocida explícitamente en su articulado. Aunque el mismo pueda inferirse como un principio implícito, a partir de las disposiciones relacionadas con el principio de seguridad, reconocido en el literal g), del artículo 4, y con los deberes, precisamente, de conservar la información bajo condiciones de seguridad, de que trata el literal d), o de “contar con manuales internos de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley”, contenido en el literal k), ambos, del artículo 17.
Todo ello, claro está, sin perjuicio de reconocer que el principio de responsabilidad demostrada ha sido reconocido también, por la Jurisprudencia de la Corte Constitucional, en los casos de las Sentencias C-032 de 2021, como ya se mencionó, y T-360 de 2022 y, explícitamente, en el artículo 12 de la Ley 2157 de 2021 que modificó la Ley Estatutaria 1266 de 2008.
No obstante, en la Ley 1581 de 2012, a diferencia de lo que sucede con el principio de responsabilidad demostrada, sí hay mención explícita a los criterios para, parafraseando lo dicho por la recurrente, “incidir en la determinación de la sanción”. Estos criterios, fueron fijados por el legislador en el artículo 24, precisamente con el cabezote “criterios para graduar las sanciones”, así: Artículo 24.
Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Ahora, siguiendo el principio de estricta tipicidad, la Superintendencia de Industria y Comercio no tiene competencia para incluir criterios adicionales, para graduar las sanciones, en ninguno de los dos sentidos, ni para agravarlas, ni para atenuarlas. “Por la cual se resuelve un recurso de apelación” Si esto es así, entonces ¿cómo interpretar el inciso final del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, que dispone que “la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones”, y que la recurrente invoca en su escrito de impugnación? La alternativa interpretativa que advierte esta Delegatura como más plausible es que dicha verificación debe ser “tenida en cuenta” por esta Superintendencia para decidir si se impone o no una sanción, y si se decide imponer una sanción, para evaluar qué tipo de sanción se impone dentro de las que prevé el artículo 23 de la Ley 1581 de 2012 (multa, suspensión de actividades, cierre temporal o cierre inmediato y definitivo).
Esta no es una norma que habilite a la Dirección de Investigaciones o a esta Delegatura para graduar las sanciones pecuniarias, ya a la baja, ya a la alta. Pues esos criterios, como ya lo precisamos, fueron decididos por el Legislador y a ello debe atenerse la Superintendencia en relación con el ejercicio de sus facultades sancionatorias.
En este contexto, esta Delegatura no puede acoger el argumento de la Recurrente que cuestiona la decisión de instancia por haber supuestamente descartado la aplicación del principio de responsabilidad demostrada para “reducir la sanción impuesta con base en una lógica que exige una eficacia absoluta de las medidas adoptadas”. No es esa la lógica la que guió la imposición de la sanción, ni con la cual se puede, con apego al derecho, caracterizar el análisis efectuado respecto de los criterios para su graduación en la Resolución ahora bajo examen.
Y no lo es, y no lo podría ser, porque una valoración semejante no es posible dentro del marco jurídico actual, en el que, como ya se explicó, no figura la responsabilidad demostrada dentro de los criterios de graduación de las sanciones, y en el que, por el principio de estricta tipicidad, no podía, ni puede esta Superintendencia así valorarlo.
Dicho esto, esta Delegatura quiere hacer claridad en que, de lo que se advierte en el texto de la Resolución ahora impugnada y en general en el expediente administrativo íntegro, la imposición de la sanción en la presente actuación administrativa no desconoce ni el compromiso ético de Davivienda con el respeto y la protección de los datos personales de sus clientes, ni mucho menos las medidas para la gestión de la información personal que el Banco Davivienda tiene adoptadas en términos generales.
La imposición de la sanción responde eso sí, y de forma exclusiva, al incumplimiento puntual de un deber legal, como ya se determinó con detalle en la consideración 7.1 de esta Resolución. Finalmente, no quiere esta Delegatura dejar de resaltar que la sanción impuesta se enmarca en los límites establecidos en la Ley. La misma se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales vigentes, establecido en el artículo 23 de la Ley 1581 de 2012 y equivale al 15% del umbral máximo permitido.
Tampoco quiere esta Delegatura dejar de resaltar que, en su imposición, la Dirección valoró las causales de agravación y de atenuación establecidas en el artículo 24 de la Ley 1581 de 2012, ya mencionado, y también valoró el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, y demás aspectos jurídicos y fácticos relevantes.
De tal forma que la misma se enmarca en el ejercicio de la discrecionalidad limitada por parámetros legales propia de la administración pública, no tiene carácter confiscatorio, es proporcional y está acorde con la capacidad económica del Banco Davivienda. 7.5. Reconocimiento de oportunidades de mejora y solicitud de trato institucional respetuoso hacia los administrados.
Frente a las acciones tomadas por Davivienda, con el fin de fortalecer las medidas técnicas de seguridad para que casos como el que nos ocupa no vuelvan ocurrir, esta Delegatura las reconoce y las valora de forma muy positiva. Las “Por la cual se resuelve un recurso de apelación” tiene a futuro como una muestra de su compromiso con el cumplimiento de la Ley y con el tratamiento responsable de los datos personales de sus clientes.
En efecto, esta Delegatura destaca la conducta proactiva de Davivienda para reconocer las oportunidades de mejora, y estima su buena disposición para tomar medidas técnicas y humanas que optimicen su sistema integral de gestión de información y eviten que la conducta infractora se repita. Finalmente, en relación con las consideraciones de la Dirección invocadas en el recurso de apelación, como “juicios de valor que no se corresponden con la evidencia documentada a lo largo del expediente ni con el estándar objetivo que debe caracterizar la motivación de los actos administrativos sancionatorios”, esta Delegatura no comparte tal apreciación. Estima en cambio que las consideraciones de la Dirección hacen parte de ejercicios argumentativos propios de la verificación del incumplimiento de un deber legal, en el contexto complejo de los procedimientos administrativos sancionatorios.
Los argumentos de la Dirección, de los que se duele la recurrente, son propios del tipo de los debates fácticos y jurídicos que suelen presentarse en el curso de procedimientos administrativos sancionatorios, de corte dialógico y de oposición de criterios, articulados sobre el ejercicio libre del derecho de defensa de los sujetos investigados y del deber de justificar con suficiencia las decisiones de la administración. No advierte esta Delegatura, en este contexto, trato irrespetuoso alguno, ni un ejercicio de subjetividad que desborde los términos razonables en los que se suelen presentar los argumentos sobre puntos de hecho y de derecho, en los que, precisamente por la naturaleza del proceso administrativo de corte sancionatorio, se deben precisar las conductas (indebidas) y las normas (incumplidas) y se debe concretar la existencia o no de responsabilidad administrativa.
Conclusiones. • En este caso está demostrado que el Banco Davivienda vulneró el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su acceso no autorizado, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012. Y esto fue así porque empleó, indebidamente, el correo electrónico personal de la titular, para remitir una solicitud de actualización de información de la sociedad CREDIYES S.A.S., en el contexto del cumplimiento de deberes sobre la normativa SARLAFT y al hacerlo lo expuso a terceros. • El Estatuto Orgánico del Sistema Financiero y la Circular Básica Jurídica de la Superintendencia Financiera ordenan a las entidades vigiladas tomar las medidas necesarias para prevenir los riesgos propios del Lavado de activos y de Financiación de Terrorismo.
En concreto, las obliga a tener conocimiento del cliente potencial o actual, y a mantener actualizada su información de contacto, y para ello las habilita para realizar consulta de diferentes bases de datos públicas, privadas, propias o externas. El cumplimiento de este deber no puede interpretarse como una licencia para desconocer las normas en materia de protección de datos personales.
En todo caso, las entidades vigiladas deben observar las normas establecidas en la Ley 1581 de 2012. • El tratamiento de datos personales y la consulta realizada por parte de Davivienda a una base de datos propia (la de personas naturales clientes de sus productos financieros) con el fin de realizar el envío de comunicación para la actualización de datos de la empresa CREDIYES S.A.S., en el contexto del cumplimiento de un deber propio del SARLAFT no está excluido ni exceptuado del ámbito de aplicación de la Ley 1581 de 2012, en los términos de su artículo 2, literal b. En efecto, la base de datos de clientes de productos financieros del banco Davivienda no tiene como “finalidad la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo”.
El uso incidental de bases de datos, propias o ajenas, públicas o privadas, no tiene el “Por la cual se resuelve un recurso de apelación” poder de convertirlas en bases de datos excluidas del ámbito de aplicación de la Ley 1581 de 2012. • La sanción impuesta a Davivienda que esta Delegatura confirmará se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales vigentes, establecido en el artículo 23 de la Ley 1581 de 2012 y equivale al 15% del umbral máximo permitido.
Para su imposición, la Dirección valoró las causales de agravación y de atenuación establecidas en el artículo 24 de la Ley 1581 de 2012, y valoró la realidad económica de la empresa y otros aspectos jurídicos y fácticos relevantes. Esta sanción se adecúa a los mandatos del principio de legalidad, no tiene carácter confiscatorio, es proporcional y está acorde con la capacidad económica del Banco Davivienda.
Por tanto, en mérito de lo expuesto, este Despacho RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 47342 del 18 de julio de 2025, de conformidad con lo establecido en la parte motiva de la presente Resolución.
ARTÍCULO 2. NOTIFICAR la presente Resolución a la sociedad BANCO DAVIVIENDA S.A., identificada con Nit. 860.034.313-7, a través de su representante legal, entregándole copia de la misma e informándole que contra ella no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente Resolución a xxxxx xxxxxxxxx xxxx xxxxxxx, identificada con la cédula de ciudadanía No. X.XXX.XXX.XXX.
ARTÍCULO 4. INFORMAR el contenido de la presente Resolución a la Dirección de Investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 7 de noviembre 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES, JUAN CARLOS UPEGUI MEJIA Firmado digitalmente por JUAN CARLOS UPEGUI MEJIA Fecha: 2025.11.07 12:35:58 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: NTL Revisó y aprobó: JCUM