(10 de octubre de 2025) “Por la cual se impone una sanción administrativa” Radicado 22-452097 RESERVADA LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, los numerales 4 y 5 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO. Que mediante traslado de la denuncia por parte de la SUPERINTENDENCIA FINANCIERA DE COLOMBIA radicado con número 22-4520971 y 22-452097-12 del 16 de noviembre de 2022, 22-452097-23 y 22452097-34 del 24 de noviembre de 2022, en donde el titular XXXXXX XXXXXX XXXX XXXXXX con cédula de ciudadanía N.º XXXXXXXXXX, informó a este Despacho que, presuntamente el día 27 de octubre del 2022, la sociedad SECURITY CONSULTING OF AMERICAS LTDA con NIT. 900.023.360-0, había consultado su historia de crédito ante el Operador de Información CIFIN S.A.S., sin contar con una finalidad legítima o la autorización previa, expresa del Titular de la información.
SEGUNDO. Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 20 de marzo del 2025 se inició la presente investigación administrativa mediante la expedición de la Resolución N.° 13910, por medio de la cual se formuló un cargo a la sociedad SECURITY CONSULTING OF AMERICAS LTDA, con el NIT. 900.023.360-0 por el presunto incumplimiento de las disposiciones contenidas en el numeral 1 del artículo 9° de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma.
TERCERO. Que la Resolución N.º 13910 del 20 de marzo del 2025 le fue notificada a la investigada mediante aviso N.º 7655 del 1 de abril del 2025, conforme a la certificación expedida por la Secretaria General de esta Superintendencia AD-HOC con número de radicado 22-452097-26 del 4 de abril de 20255. En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.
Así mismo la referida actuación le fue comunicada al denunciante. 1 Expediente Digital 22-452097, consecutivo número 0, Página 1 a 7. 2 Expediente Digital 22-452097, consecutivo número 1, Página 1 a 7. 3 Expediente Digital 22-452097, consecutivo número 2, Página 1 a 7. 4 Expediente Digital 22-452097, consecutivo número 3, Página 1 a 7. 5 Expediente Digital 22-452097.
Consecutivo número 28. Página 1. “Por la cual se impone una sanción administrativa”
CUARTO. Que vencido el término establecido en Resolución N.º 13910 del 20 de marzo del 2025, se evidencia que la sociedad investigada guardó silencio y no presentó ante este Despacho los respectivos descargos.
QUINTO. Que a través de la Resolución N.º 38146 del 19 de junio del 2025, esta Dirección incorporó las pruebas obrantes en el expediente radicado bajo el número 22-452097, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
Las pruebas incorporadas se relacionan a continuación: 5.1. Escrito de petición de información presentada por el titulara la sociedad investigada.6 5.2. Respuesta a requerimiento realizado por Experian Colombia S.A. radicación 22-452097- -00009-001.7 5.3. Respuesta a requerimiento realizado por SECURITY CONSULTING OF AMERICAS LTDA, radicación: 22-452097-00008-001-2023-05-24 11:28:28” de fecha 02 de junio de 2023.8 5.4.
Cadena de correos entre el titular. y la sociedad investigada.9 5.5. Respuesta a requerimiento realizado por SECURITY CONSULTING OF AMERICAS LTDA de fecha Radicación “22-452097-00008-001-2023-05 24 11:28:28”, de fecha 2 de junio de 2023.10 5.6. Respuesta de TransUnion allegado el 9 de junio de 2024 con “Asunto: 22 452097- -00010-001”.11 5.7.
Resultado consulta información comercial TransUnion.12 5.8. Mensaje de correo electrónico de la investigada con el asunto “Respuesta requerimiento Radicación 2245209-1717-1 – (…)” de fecha 03 de enero de 2024”.13 5.9. Contrato individual de trabajo a término indefinido fechado el 01 de mayo de 2014.14 5.10. Contrato individual de trabajo a término indefinido del 01 de mayo de 2014. 5.11.
Certificado de existencia y representación Legal de SECURITY CONSULTING OF AMERICAS LTDA de fecha 2 enero de 2024.16 5.12. Respuesta a requerimiento de SECURITY CONSULTING OF AMERICAS LTDA a “Radicación: 2245209-1717-1” de fecha 29 de diciembre de 2023.17 5.13. Registro de asistencia capacitación Security Consulting.18 5.14. Manual de funciones controller SECOFA, VIGENCIA 10 de diciembre de 2023.19 5.15.
Certificado Curso Auditor de Cumplimiento Lavado de Activos y Financiación del Terrorismo.20 5.16. Certificado Curso Auditor Interno Norma Internacional BASC Versión 5:2017.21 5.17. SECOFA Autorización y Declaración de Tratamiento, y Protección de datos personales del 11 de septiembre de 2020.22 6 Expediente Digital 22-452097. Consecutivo número 0.
Página 6. Folios 1 al 3. 7 Expediente Digital 22-452097. Consecutivo número 11. Página 3. Folios 1 y 2. 8 Expediente Digital 22-452097. Consecutivo número 12. Página 2. Folios 1 al 4. 9 Expediente Digital 22-452097. Consecutivo número 13. Página 7. Folios 1 al 27. 10 Expediente Digital 22-452097. Consecutivo número 13. Página 8. Folios 1 al 4. 11 Expediente Digital 22-452097.
Consecutivo número 14. Página 3. Folios 1 al 2. 12 Expediente Digital 22-452097. Consecutivo número 14. Página 4. Folios 1 al 5. 13 Expediente Digital 22-452097. Consecutivo número 18. Página 1. 14 Expediente Digital 22-452097. Consecutivo número 18. Página 3. Folios 1 al 8. 15 Expediente Digital 22-452097. Consecutivo número 18. Página 4.
Folios 1 al 8. 16 Expediente Digital 22-452097. Consecutivo número 18. Página 5. Folios 1 al 11. 17 Expediente Digital 22-452097. Consecutivo número 18. Página 6. Folios 1 al 6. 18 Expediente Digital 22-452097. Consecutivo número 18. Página 7. Folios 1 al 3. 19 Expediente Digital 22-452097. Consecutivo número 18. Página 8. Folios 1 al 15. 20 Expediente Digital 22-452097.
Consecutivo número 18. Página 9. 21 Expediente Digital 22-452097. Consecutivo número 18. Página 10. 22 Expediente Digital 22-452097. Consecutivo número 18. Página 11. Folios 1 y 2. “Por la cual se impone una sanción administrativa” 5.18. Acuerdo de confidencialidad vigencia 23 de junio de 2009.23 5.19. Excel EFICACIA CAPACITACIÓN – CONSPIRACIONES INTERNAS.24 5.20.
Otrosí al contrato individual de trabajo celebrado entre Security Consulting of Americas Ltda y C A M M.25 5.21. SECOFA - POLÍTICA DE PRIVACIDAD Y USO DE DATOS PERSONALES, vigencia 17 de febrero de 2022.26 5.22. SECOFA – SECURITY “CONSPIRACIONES INTERNAS Y ACTIVIDADES SOSPECHOSAS.27 5.23. Presentación de INFORMACIÓN SENSIBLE - SECOFA – SECURITY CONSULTING.28 5.24.
SECOFA Control solicitud Cifin, del 13 de enero DE 2023.29 5.25. SECOFA “MANEJO PLATAFORMA CIFIN”, vigencia 13 de enero de 2023.30 5.26. SECOFA “Procedimiento debida diligencia asociados de negocio”, vigencia 05 de diciembre de 2022.31 5.27. Acuerdo de confidencialidad entre SECURITY CONSULTING OF AMERICAS LTDA y J H P Á, vigencia 23 de junio de 2009.32 SEXTO. Que la Resolución N.º 38146 del 19 de junio del 2025 le fue comunicada a la sociedad SECURITY CONSULTING OF AMERICAS LTDA conforme a la certificación expedida por la Secretaria General de esta Superintendencia ADHOC con número de radicado 22-452097- -30 del 254 de junio de 2025.33 SÉPTIMO. Que vencido el término establecido en Resolución N.º 38146 del 19 de junio del 2025, se evidencia que la sociedad investigada guardó silencio y no presentó ante este Despacho los respectivos alegatos.
OCTAVO. Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio sobre los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.
NOVENO. Análisis del caso 9.1. Adecuación típica La Corte Constitucional en Sentencia C-1011 de 2008 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “(…) [l]a jurisprudencia ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;
(ii)Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción; Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa, no tienen por 23 Expediente Digital 22-452097. Consecutivo número 18. Página 12. Folios 1 y 2. 24 Expediente Digital 22-452097.
Consecutivo número 18. Página 13. 25 Expediente Digital 22-452097. Consecutivo número 18. Página 14. 26 Expediente Digital 22-452097. Consecutivo número 18. Página 15. Folios 1 al 11. 27 Expediente Digital 22-452097. Consecutivo número 18. Página 16. Folios 1 al 10. 28 Expediente Digital 22-452097. Consecutivo número 18. Página 17. Folios 1 al 17. 29 Expediente Digital 22-452097.
Consecutivo número 18. Página 18. Folios 1 al 41. 30 Expediente Digital 22-452097. Consecutivo número 18. Página 19. Folios 1 al 6. 31 Expediente Digital 22-452097. Consecutivo número 18. Página 20. Folios 1 al 7. 32 Expediente Digital 22-452097. Consecutivo número 18. Página 21. Folios 1 al 2. 33 Expediente Digital 22-452097. Consecutivo número 30.
Página 1. “Por la cual se impone una sanción administrativa” qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo así una mayor flexibilidad en la adecuación típica. En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.
(…)”.34 Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los Usuarios de información respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008.
(ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de el numeral 1 del artículo 9° de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma norma. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente. 9.2.
Valoración probatoria y conclusiones 9.2.1. Respecto al deber de contar con la autorización del Titular para consultar información crediticia Sea lo primero señalar que el artículo 9 de la Ley 1266 de 2008, establece los deberes de los usuarios de la información en los siguientes términos: “Artículo 9º. Deberes de los usuarios. Sin perjuicio del cumplimiento de las disposiciones contenidas en la presente ley y demás que rijan su actividad, los usuarios de la información deberán: 1.
Guardar reserva sobre la información que les sea suministrada por los operadores de los bancos de datos, por las fuentes o los titulares de la información y utilizar la información únicamente para los fines para los que le fue entregada, en los términos de la presente ley. 2. Informar a los titulares, a su solicitud, sobre la utilización que le está dando a la información. 3.
Conservar con las debidas seguridades la información recibida para impedir su deterioro, pérdida, alteración, uso no autorizado o fraudulento. 4. Cumplir con las instrucciones que imparta la autoridad de control, en relación con el cumplimiento de la presente ley. 5. Los demás que se deriven de la Constitución o de la presente ley.” (Cursiva, negrilla y subrayo fuera de texto) Por su parte, el artículo 15 de la misma ley enmarca el acceso a la información contenida en bancos de datos de información financiera, crediticia, comercial de 34 Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. “Por la cual se impone una sanción administrativa” servicios y provenientes de terceros países por parte de los usuarios, en los siguientes términos: “Artículo 15.
Acceso a la información por parte de los usuarios. La información contenida en bancos de datos de información financiera, crediticia, comercial, de servidos y la proveniente de terceros países podrá ser accedida por los usuarios únicamente con las siguientes finalidades: Como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.
Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.” (Cursiva, negrilla y subrayo fuera de texto) A su vez, la misma ley establece los principios que deben regir la aplicación de las disposiciones relacionadas con el tratamiento de datos personales.
En el caso que nos ocupa, resulta especialmente relevante el Principio de Finalidad, el cual dispone lo siguiente: “ARTÍCULO 4°. Principios de la administración de datos. En el desarrollo, interpretación y aplicación de la presente ley, se tendrán en cuenta, de manera armónica e integral, los principios que a continuación se establecen: (…) b) Principio de finalidad.
La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto;
(…)” En virtud de lo anterior, se establece que los usuarios que pretendan acceder o consultar la información financiera, crediticia y/o comercial de un Titular deberán contar con una de las finalidades establecidas en la ley o mediando autorización por parte del Titular para su consulta. Al respecto, la Corte Constitucional en sentencia C 1011 del 2008 ha precisado, en relación con el principio mencionado que: “(…) De acuerdo con el principio de finalidad, las actividades de acopio, procesamiento y divulgación de la información personal deben obedecer a un fin constitucionalmente legítimo y que, a su vez, debe ser definido de forma clara, suficiente y previa.
Esto implica que quede prohibida (i) la recopilación de información personal sin que se establezca el objetivo de su incorporación a la base de datos; y (ii) la recolección, procesamiento y divulgación de información personal para un propósito diferente al inicialmente previsto y autorizado por el titular del dato. (…) El principio de circulación restringida implica que las actividades de recolección, procesamiento y divulgación de información personal estén sometidas a los límites específicos determinados por el objeto de la base de datos, por la autorización del titular y por el principio de finalidad.
Por lo tanto, queda prohibida la divulgación indiscriminada de datos personales.” “Por la cual se impone una sanción administrativa” En este sentido, la misma Corporación, mediante Sentencia C-282 de 2021, se pronunció sobre el acceso a la información contenida en bases de datos de naturaleza financiera y crediticia, reiterando que dicho acceso requiere, de manera obligatoria, el consentimiento previo, expreso e informado del titular.
Asimismo, enfatizó que el tratamiento de esta información debe realizarse exclusivamente para la finalidad específica para la cual fue otorgada dicha autorización, en cumplimiento de los principios de finalidad y legalidad establecidos en la normativa sobre protección de datos personales. Se destaca el siguiente fragmento de la providencia: “339.
El restringir el objeto con el que se puede utilizar la información contenida en bases de datos de naturaleza financiera, crediticia, no desconoce la autodeterminación informativa -libertad y finalidad del dato. De conformidad con el principio de libertad, el tratamiento del dato personal solo puede ejercerse ante el consentimiento cualificado de su titular, el cual debe ser previo, expreso e informado, salvo las excepciones ya referidas.
De tal manera, el titular del dato debe ser consciente de la finalidad con la que ha autorizado el manejo de su información y de los mecanismos que tiene a su disposición para su conocimiento, actualización y rectificación. Esta prerrogativa, deviene en una expresión de un concepto más amplio reconocido en la jurisprudencia constitucional como: la autodeterminación informativa.
En virtud de ella, cada titular debe ser informado sobre el tratamiento que se está dando a su información, en el marco de la autorización personal o legal respectiva. Así las cosas, este derecho conlleva la facultad de “decidir por sí mismo dentro de qué limites se puede revelar situaciones de la vida propia”. 340. Asimismo, de conformidad con el principio de finalidad, el dato del titular debe utilizarse, exclusivamente, para los fines por él consentidos, o para aquellos que fueron autorizados por el ordenamiento legal vigente.
De tal manera que “debe existir identidad entre los objetivos materia de autorización o mandato legal para el tratamiento y los fines que efectivamente cumpla la gestión del dato personal. Así, en caso de que la finalidad exceda la autorización o la previsión legal supletoria, se está ante un abuso del poder informático”. 35 (Cursiva y negrilla fuera de texto) Ahora bien, frente al caso objeto de estudio y el análisis del acervo probatorio, el Titular aduce que la sociedad SECURITY CONSULTING OF AMERICAS LTDA el día 27 de octubre de 2022, sin contar con la respectiva autorización, consultó su información ante los Operadores de Información y allega como evidencia de su denuncia la siguiente imagen: 35 Corte Constitucional, Sentencia C-282 de 2021, M.P: Alejandro Linares Cantillo.
“Por la cual se impone una sanción administrativa” Captura de imagen No. 1. Tomada del anexo presentado por el Titular – Derecho de petición de información dirigido a la empresa SECURITY CONSULTING OF AMERICAS LTDA (Expediente Digital 22-452097. Consecutivo número 1. Página 6. Folio 2.) En consecuencia, la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas requirió información a la sociedad investigada, en el marco de la indagación preliminar, mediante oficio radicado bajo el número 22-45209700008-001 del 24 de mayo de 2023.
En dicho requerimiento se solicitó, entre otros aspectos, la autorización del titular de la información para consultar su historial crediticio, así como para reportar información ante los operadores de datos. La sociedad SECURITY CONSULTING OF AMERICAS LTDA respondió el mencionado requerimiento indicando expresamente que, tal como fue informado al titular, no contaba con autorización emitida por parte del señor Héctor Germán Lamo Torres para realizar la consulta de su historial crediticio, ni para efectuar reportes ante los operadores de información. En consecuencia, la sociedad informó que inició una auditoría interna con el fin de esclarecer las razones por las cuales se llevó a cabo dicha consulta sin la debida autorización. Como resultado de dicha auditoría, se concluyó lo siguiente: “Como resultado de dicha gestión, se logró advertir que el señor Johan Patarroyo, quien para la fecha de los hechos se desempeñaba como coordinador de poligrafías y estaba autorizado para realizar consultas a través de la plataforma que contrató la empresa para este fin, cometió un error de digitación al momento de realizar una consulta, la cual arrojó la huella que fue advertida por el ciudadano al momento de revisar el manejo de su información personal.” Posteriormente, la sociedad informó que realizó un análisis del procedimiento de búsqueda ante el Operador de Información CIFIN S.A.S., con el objetivo de implementar un plan de mejoramiento que permitiera prevenir la ocurrencia de hechos similares en el desarrollo de sus actividades.
Adicionalmente, con el propósito de recaudar elementos probatorios suficientes, la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas, mediante oficios radicados bajo los números 22-452097-00009-001 y 22452097-00010-001, requirió a los operadores EXPERIAN COLOMBIA S.A. y CIFIN S.A.S, con el fin de confirmar si la sociedad SECURITY CONSULTING OF AMERICAS LTDA había realizado consultas y/o reportes en la historia de crédito del titular durante el mes de octubre de 2022.
En respuesta al requerimiento, EXPERIAN COLOMBIA S.A. mediante comunicación radicada el 2 de junio del 2023 bajo el número 22-452097- 00011-0001, indicó: “Sobre el particular, nos permitimos informar que, la mencionada sociedad NO consulto el historial crediticio del titular.”. Por su parte, CIFIN S.A.S mediante oficio del 9 de junio de 2023, radicado bajo el número 22-452097-00014-0001, manifestó: “Le indicamos que desde el (octubre de 2022), la entidad SECURITY CONSULTING OF AMERICAS LTDA, identificada con Nit. 900.023.360, consultó la historia de crédito del titular en mención, el día 27 de octubre de 2022, ante TransUnion®.” En este sentido, en el marco del principio de finalidad, la sociedad investigada no argumenta haber realizado la consulta de información ante el Operador de Información en cumplimiento de alguna de las finalidades previstas en el artículo 15 de la Ley 1266 de 2008.
Por el contrario, se limita a señalar que la situación obedeció a un error de digitación cometido por uno de sus empleados, quien dejó de laborar en la empresa el mismo día, en que se advirtió la irregularidad. “Por la cual se impone una sanción administrativa” Adicionalmente, este Despacho no encuentra evidencia de que existiera, al interior de los procesos o procedimientos internos de la sociedad, un protocolo formal que debiera ser seguido por los colaboradores encargados de realizar consultas de información crediticia. Así se desprende de la respuesta al requerimiento de información formulado por este Despacho, en la cual la sociedad investigada manifestó: “Habida cuenta la terminación de la relación laboral con el señor Patarroyo, SECURITY CONSULTING OF AMERICAS emprendió el análisis del procedimiento de búsqueda en central CIFIN, con el fin de iniciar un plan de mejoramiento que permitiera prevenir la ocurrencia futura de situaciones similares.” De conformidad con el análisis de las pruebas que obran en el expediente, y ante la manifestación expresa de la sociedad investigada respecto al hecho cierto de haber efectuado la consulta crediticia del señor XXXXXX XXXXXX XXXX XXXXXX sin contar con su autorización previa, expresa e informada, este Despacho concluye que la sociedad SECURITY CONSULTING OF AMERICAS LTDA. incurrió en una transgresión al deber consagrado en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo dispuesto en el artículo 15 de la misma norma.
Así las cosas, se configura un incumplimiento por parte de la sociedad investigada del deber legal de contar con la debida autorización del titular de la información, así como de emplear dicha información exclusivamente para los fines previamente informados y autorizados, razón por la cual, se impondrá la sanción administrativa correspondiente.
DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 18 36. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 237, 438 y 639 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo40.
Artículo 18. Sanciones. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia, de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos.
Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas.
(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.
(negrita añadida) Al respecto ver las sentencias: Corte Constitucional, C-564 de 2000 “Por la cual se impone una sanción administrativa” La Corte Constitucional señaló sobre este asunto: “La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”41 (negrita propia) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…).” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional42.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción.” En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al ConsumidorIPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. - Corte Constitucional, T-010 de 2017, Corte Constitucional, C-034 de 2014 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).
Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa” El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.
De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional43 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción administrativa” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 44 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1266 de 2008.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros45. La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción administrativa” Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”46.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia47. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 1848 de la misma.
Asimismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 19: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Para el presente caso, le es aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008.
Vale la pena resaltar lo que consideró la Corte Constitucional respecto de las sanciones consistentes en multas: “3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19) Los artículos 18 y 19 del proyecto concurren a establecer un sistema de sanciones con el siguiente contenido: Destinatarios. Son los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que incurran en responsabilidad administrativa derivada del incumplimiento de la ley de hábeas data o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo (Arts. 17 num. 6 y 18).
Órganos de investigación y sanción. La Superintendencia de Industria y Comercio, y la Superintendencia Financiera, cuando se trate de una entidad sometida a su vigilancia. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa” Sanciones: se contempla una serie de sanciones con diverso nivel de intensidad, aplicables a supuestos de hecho distintos, así: Multas: pueden ser de carácter personal o institucional, con un tope máximo de mil quinientos salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Se aplican por “violación de la presente ley, de las normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas” por la respectiva Superintendencia. Estas multas pueden ser sucesivas, mientras subsista el incumplimiento que las generó. Suspensión de actividades: se establece un límite máximo de seis (6) meses, y se aplica en los siguientes eventos: a) Cuando la administración de la información se estuviere ejecutando con violación grave de las condiciones y requisitos previstos en la presente ley; b) Cuando se establezca la inobservancia de las órdenes e instrucciones impartidas por la Superintendencia para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos: se aplica cuando, transcurrido el término de suspensión, la entidad vigilada no hubiese adecuado su operación técnica y logística, sus normas, y sus procedimientos a los requisitos de ley, de conformidad con la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos: se aplica a los supuestos de administración de datos prohibidos.
Criterios de graduación de las sanciones (Art. 19). En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción;
(iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la Superintendencia de Industria y Comercio”; (v) la renuencia o desacato a cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”. Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar.
(…)”49 De manera que, atendiendo dichos criterios, este Despacho determinará cuáles tendrá en cuenta en el caso en concreto el literal a) del artículo 19 de la Ley 1266 de 2008 en los siguientes términos: 10.1.1. La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley Del análisis normativo expuesto en el presente acto administrativo, es claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, resulta suficiente que la conducta desplegada por el investigado haya puesto en peligro, o en efecto, resulten vulnerados los intereses jurídicos tutelados por la Ley 1266 de 2008.
En el caso sub examine, esta Dirección evidencia que el cargo comprobado en contra de La Investigada afectó de forma real y concreta los intereses jurídicos consagrados en la Ley 1266 de 2008 y sus normas complementarias. Quedó suficientemente demostrado que: la sociedad SECURITY CONSULTING OF AMERICAS LTDA consultó el día 27 de octubre de 2022 la información crediticia del señor XXXXXX XXXXXX XXXX XXXXXX antes los Operadores de Información, sin contar con una finalidad legítima o en su defecto contando con la respectiva autorización del Titular, conducta con la que transgredió el deber Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. FJ: 3.6.2.
Sanciones y criterios para su graduación (Artículos 18 y 19). “Por la cual se impone una sanción administrativa” dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con lo dispuesto en el artículo 15 de la misma norma. Por consiguiente, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 19 de la Ley 1266 de 2008, una multa de VEINTISIETE (27) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a TRES MIL CIENTO TREINTA Y DOS (3.132) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a TREINTA Y SEIS MILLONES CIENTO OCHENTA MIL OCHOCIENTOS SESENTA Y CUATRO PESOS M/CTE ($36.180.864)50.
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023 10.1.2. Otros criterios de graduación Por último se aclara que de los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 19 de la Ley 1266 de 2008 se tendrá en cuenta el literal f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
DÉCIMO PRIMERO. CONCLUSIONES 11.1. Que la sociedad SECURITY CONSULTING OF AMERICAS LTDA. no acreditó haber efectuado la consulta de información ante el Operador de Información CIFIN S.A.S., en cumplimiento de alguna de las finalidades establecidas en el artículo 15 de la Ley 1266 de 2008. Por el contrario, se limitó a señalar que dicha situación fue consecuencia de un error de digitación cometido por uno de sus empleados, sin ofrecer justificación adicional ni evidenciar la existencia de un proceso o procedimiento interno destinado a gestionar este tipo de eventos. 11.2.
Que la sociedad SECURITY CONSULTING OF AMERICAS LTDA. consultó, el día 27 de octubre de 2022, ante el operador CIFIN S.A.S., la información crediticia del señor XXXXXX XXXXXX XXXX XXXXXX, sin contar con su autorización previa, expresa e informada, en contravención de lo establecido en la normativa vigente sobre protección de datos personales. 11.3.
Que la sociedad SECURITY CONSULTING OF AMERICAS LTDA. vulneró las disposiciones contenidas en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma ley, al realizar el tratamiento de datos personales sin contar con la debida autorización del titular. 11.4. Que la sociedad SECURITY CONSULTING OF AMERICAS LTDA. reconoció, desde su respuesta al primer requerimiento formulado por esta Superintendencia, que la consulta de la información crediticia del señor XXXXXX XXXXXX XXXX XXXXXX se realizó de forma involuntaria, como consecuencia de un error de digitación cometido por un empleado autorizado para realizar dichas consultas, quien ingresó de forma incorrecta el número de cédula del titular, sin embargo no acredito ninguna prueba del procedimiento interno adoptado, para las consultas que efectúan los funcionarios ante los Operadores de Información y tampoco del procedimiento interno adelantado para el caso en particular. 50 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa”
DÉCIMO SEGUNDO: Que, Con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad SECURITY CONSULTING OF AMERICAS LTDA., identificada con NIT. 900.023.360-0, con el correo electrónico de notificación judicial alejandro.perdomo@secofa.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 22-452097. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. IMPONER a la sociedad SECURITY CONSULTING OF AMERICAS LTDA., con NIT. 900.023.360-0, una sanción de VEINTISIETE (27) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a TRES MIL CIENTO TREINTA Y DOS (3.132) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a TREINTA Y SEIS MILLONES CIENTO OCHENTA MIL OCHOCIENTOS SESENTA Y CUATRO PESOS M/CTE ($36.180.864), por la vulneración a lo dispuesto en el numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley.
Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad SECURITY CONSULTING OF AMERICAS LTDA., con NIT. 900.023.360-0, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.
ARTÍCULO 3. COMUNICAR al señor XXXXXX XXXXXX XXXX XXXXXX, identificado con cédula de ciudadanía N.º XXXXXXXXXX el contenido de la presente decisión. “Por la cual se impone una sanción administrativa”
ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Calle 24 # 7 – 43 Local 108 en la ciudad de Bogotá D.C., de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 10 de octubre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES Firmado digitalmente por Carolina Carolina Garcia Molina 2025.10.10 Garcia Molina Fecha: 12:55:12 -05'00' CAROLINA GARCÍA MOLINA Proyectó: AC Revisó: YA Aprobó: CG