Resolución sancionatoria N° 000165 de 2023

(20 de junio de 2025) “Por la cual se impone una sanción y se imparten ordenes administrativas” Radicación: 21-273914 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad VANTI S.A. ESP, (en adelante “la investigada”), identificada con Nit. 800.007.813-5, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por el señor XXXXXXXXXXXXXXXXXXXX en su queja radicada el 10 de julio de 2021 con radicado 21-273914- -00000-000 a través de su apoderado: 1.1 1.2 1.3 1.4 1.5 1.6 Informa que el 12 de mayo de 2021 el titular revisó la emisión de datos en los tableros de la DIAN, donde se evidencia que VANTI S.A. ESP estaba emitiendo facturación del servicio “(…) a nombre de varias personas quienes se identifican en los Tableros con mi Numero de Cedula.”1 Que dicha irregularidad se estuvo presentando desde noviembre de 2020 sin que la investigada hubiera solucionado o rectificado la situación.2 Que de acuerdo con la base de datos de tableros de la DIAN las señoras “XXXXXXXXXXX, XXXXXXXXXXXXX, XXXXXXXXXXXX y XXXXXXX han utilizado mi identidad para realizar operaciones económicas ante VANTI S.A.”3 Manifiesta que en 2020 la investigada generó facturación a favor de estas personas quienes suplantaron su identidad “(…) por un valor de CUATROCIENTOS NOVENTA Y DOS MIL SEISCIENTOS OCHENTA Y SEIS PESOS ($ 492’686).”4.

Manifiesta que en 2021 la investigada generó facturación a favor de estas personas quienes suplantaron su identidad “(…) por un valor de NOVECIENTOS SETENTA Y TRES MIL NOVECIENTOS PESOS ($ 973’900).”5 Que el 24 de mayo de 2021 el titular puso en conocimiento de esta Superintendencia dicha irregularidad con radicado 21-201593- 1, y en 1 Expediente digital, consecutivo 0, página 4, folio 2 2 Expediente digital, consecutivo 0, página 4, folio 2 3 Expediente digital, consecutivo 0, página 4, folio 2 4 Expediente digital, consecutivo 0, página 4, folio 3 5 Expediente digital, consecutivo 0, página 4, folio 3 “Por la cual se impone una sanción y se imparten ordenes administrativas” respuesta a su queja se le indicó que debía radicar un reclamo previo ante VANTI S.A. ESP.6 1.7 Por lo cual, el 24 de mayo de 2021 radicó un derecho de petición ante VANTI S.A. ESP. 1.8 Que, VANTI S.A. ESP no respondió de fondo a lo solicitado y “(…) así mismo esta ordeno a mi poderdante documentación que no tiene relación con lo solicitado, sin este ser cliente de dicha empresa.”7 1.9 Que, aún después de recibir la petición del titular, VANTI S.A. ESP siguió facturando con el número de cédula del titular “(…) incurriendo en la misma conducta de una forma omisiva y negligente”8 1.10 Por lo anterior, solicita que se investigue y se imponga una sanción a la investigada por indebida utilización de los datos del titular.9 1.11 También solicita que se inste a la investigada a no continuar emitiendo facturación con su número de cédula.10 1.12 Que se indemnice al titular por los daños y perjuicios causados por VANTI S.A. ESP.11 SEGUNDO: Que este Despacho mediante oficio del 27 de septiembre de 2021 con radicado 21-273914- -6, requirió al titular para que aclarara ciertos puntos de su queja para dar trámite a la actuación administrativa.

TERCERO: Que mediante comunicación del 14 de octubre de 2021 con radicado 21-273914- -00007 el titular solicitó prórroga para contestar el requerimiento de este Despacho.

CUARTO: Que este Despacho mediante oficio del 1 de noviembre de 2021 con radicado 21-273914- -8 concedió una prórroga de cinco (5) días al titular para suministrar respuesta al requerimiento.

QUINTO: Que mediante comunicación del 5 de noviembre de 2021 con radicado 21-273914- -00009 el titular por medio de su abogado respondió el requerimiento de este Despacho.

SEXTO: Que este Despacho mediante oficio del 28 de febrero de 2022 con radicado 21-273914- -10 hizo una solicitud de explicaciones a la investigada.

SÉPTIMO: Que, mediante oficio del 28 de febrero de 2022 con radicado 21273914- -11 se le informó al titular que este Despacho inició una averiguación preliminar.

OCTAVO: Que, mediante comunicación del 11 de marzo de 2022 con radicado 21-273914- -00012 VANTI S.A. ESP respondió la solicitud de explicaciones de este Despacho.

NOVENO: Que mediante oficio del 28 de abril de 2022 con radicado 21-273914-13 este Despacho solicitó aclarar ciertos puntos a VANTI S.A. ESP con base en su respuesta al requerimiento anterior.

DÉCIMO: Que, mediante comunicación del 16 de mayo de 2022 con radicado 21-273914- -00014 VANTI S.A. ESP respondió la solicitud de explicaciones de este Despacho.

DÉCIMO PRIMERO: Que, los ingenieros forenses de esta Delegatura realizaron un análisis técnico el 29 de junio de 2022 con radicado 21-273914- -00015 respecto de las pruebas allegadas al expediente hasta ese momento. 6 Expediente digital, consecutivo 0, página 4, folio 3 7 Expediente digital, consecutivo 0, página 4, folio 3 8 Expediente digital, consecutivo 0, página 4, folio 4 9 Expediente digital, consecutivo 0, página 4, folio 4 10 Expediente digital, consecutivo 0, página 4, folio 4 11 Expediente digital, consecutivo 0, página 4, folio 4 “Por la cual se impone una sanción y se imparten ordenes administrativas”

DÉCIMO SEGUNDO: Que mediante oficio del 1 de noviembre de 2022 con radicado 21-273914- -16 este Despacho solicitó explicaciones a VANTI S.A. ESP con relación a las conclusiones y hallazgos del análisis técnico del 29 de junio de 2022 con radicado 21-273914- -00015.

DÉCIMO TERCERO: Que mediante comunicación del 22 de noviembre de 2022 con radicado 21-273914- -00018 la sociedad VANTI S.A. ESP solicitó una prórroga para contestar la solicitud de explicaciones del 1 de noviembre de 2022 con radicado 21-273914- -16.

DÉCIMO CUARTO: Que mediante comunicación del 14 de diciembre de 2022 con radicado 21-273914- -00019 VANTI S.A. ESP respondió la solicitud de explicaciones del 1 de noviembre de 2022 con radicado 21-273914- -16.

DÉCIMO QUINTO: Que, los ingenieros forenses de esta Delegatura realizaron un análisis técnico el 17 mayo de 2023 con radicado 21-273914- -00020 respecto de las pruebas allegadas al expediente hasta ese momento.

DÉCIMO SEXTO: Que mediante oficio del 22 de junio de 2023 con radicado 21273914- -21 este Despacho solicitó explicaciones a VANTI S.A. ESP con relación a las conclusiones y hallazgos del análisis técnico del 18 de mayo de 2023 con radicado 21-273914- -00020.

DÉCIMO SÉPTIMO: Que mediante comunicación del 12 de julio de 2023 con radicado 21-273914- -00023 la sociedad VANTI S.A. ESP solicitó una prórroga para contestar la solicitud de explicaciones del 22 de junio de 2022 con radicado 21-273914- -21.

DÉCIMO OCTAVO: Que mediante comunicación del 21 de julio de 2023 con radicado 21-273914- -00024 VANTI S.A. ESP respondió la solicitud de explicaciones del 22 de junio de 2023 con radicado 21-273914- -21.

DÉCIMO NOVENO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, de conformidad con lo establecido en la parte motiva de la presente resolución, el 18 de agosto de 2023, se inició la presente investigación administrativa mediante la expedición de la Resolución N.º 49332 por medio de la cual se formularon dos (2) cargos a la sociedad VANTI S.A. ESP, identificada con Nit. 800.007.813-5.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

VIGÉSIMO: Que la Resolución N.º 49332 del 18 de agosto de 2023 se notificó personalmente a la sociedad VANTI S.A. ESP mediante su apoderada el 31 de agosto de 2023, de conformidad con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia con radicación 21-273914- -34 del 20 de septiembre de 2023.

VIGÉSIMO PRIMERO: Que mediante escrito radicado el día 12 de septiembre de 2023 mediante radicado 21-273914- -00033 el apoderado de la sociedad VANTI S.A. ESP, dio respuesta a la formulación de cargos informando lo siguiente: “Por la cual se impone una sanción y se imparten ordenes administrativas” 21.1 Indicó que, para dar cumplimiento a las obligaciones en materia de facturación electrónica, le solicitó al proveedor de software AYESA DE COLOMBIA ADVANCED TECHNOLOGIES S.A.S (en adelante “AYESA”) una solución “(…) que permitiera que el dígito de verificación del NIT no fuese incluido en el archivo de facturación electrónica (…)” 12 21.2 La situación que dio origen a la investigación fue que el sistema también tomó como dígito de verificación en el archivo de facturación electrónica el último número de la identificación de algunos clientes que son personas naturales, lo cual fue un error que “(…) no obedeció a la conducta de VANTI, sino al funcionamiento de sistemas de terceros.”13 21.3 Asegura que VANTI S.A. ESP actuó bajo la confianza legítima de que su proveedor de servicios tecnológicos “(…)había desarrollado correctamente la solución, para eliminar únicamente el digito de verificación de los NIT.”14, por lo tanto, “(…) quien cometió el error que permitió que se presentara la situación aquí investigada fue AYESA y no VANTI.

( …)”15 21.4 Aclara que el dígito de verificación no fue eliminado de las bases de datos de la investigada “(…) en el sistema SAP IS-U ERP; únicamente quedó suprimido, por funcionamiento del sistema, al generar el archivo de facturación electrónica.”16 21.5 Informa que solo los proveedores tecnológicos habilitados por la DIAN pueden “generar, entregar y/o transmitir la información a la DIAN.”17 21.6 Señala que en este caso el proveedor habilitado por la DIAN es TRANSFIRIENDO S.A. (en adelante “TRANSFIRIENDO”), por tanto, “(…) tenía la obligación legal expresa de garantizar la confidencialidad, integridad y reserva de la información que manejara, y de verificar que la información remitida a la DIAN cumpliera con las reglas de la entidad y se tratara de forma segura.)18” 21.7 Afirma que VANTI S.A. ESP cuenta con medidas de seguridad de la información y en todo caso la responsabilidad de la transmisión segura de la información a la DIAN recae en TRANSFIRIENDO “(…) por lo que a pesar del error presentado ninguna responsabilidad se le puede imputar a VANTI en relación con el envío de información a la DIAN.”19 21.8 Señala que el sistema de la DIAN está configurado para vincular los archivos al número de documento reportado “(…) sin hacer ningún cruce de información que prevenga esta situación.” 20 21.9 Informa que el titular no es usuario de VANTI S.A. ESP ni esta registrado en sus bases de datos. 21 21.10 Afirma “(…) que el hecho de que el sistema de la DIAN haya vinculado reportes de facturación electrónica al denunciante no implica que VANTI haya tratado datos personales del denunciante.” 22 12 Expediente digital, consecutivo 33, página 3, folio 7 13 Expediente digital, consecutivo 33, página 3, folio 8 14 Expediente digital, consecutivo 33, página 3, folio 8 15 Expediente digital, consecutivo 33, página 3, folio 8 16 Expediente digital, consecutivo 33, página 3, folio 8 17 Expediente digital, consecutivo 33, página 3, folio 9 18 Expediente digital, consecutivo 33, página 3, folio 10 19 Expediente digital, consecutivo 33, página 3, folio 10 20 Expediente digital, consecutivo 33, página 3, folio 11 21 Expediente digital, consecutivo 33, página 3, folio 11 22 Expediente digital, consecutivo 33, página 3, folio 11 “Por la cual se impone una sanción y se imparten ordenes administrativas” 21.11 Que los números generados en virtud del error corresponderían a datos públicos, por ser números de identificación y, por tanto, el impacto para la privacidad y protección de los datos personales es insignificante.23 21.12 Señala que no se afectaron los datos personales de los titulares cuya información es tratada por VANTI S.A. ESP y que su sistema de facturación operó con normalidad.24 21.13 Asegura que es una falencia de la DIAN y de TRANSFIRIENDO el vincular los archivos generados por error del sistema de VANTI S.A. ESP, porque el sistema de la DIAN no cuenta con medidas de seguridad para evitar “(…) que ante un error en el número de identificación se asocien los documentos con dicha persona así no correspondan con otros datos.”25 21.14 Señala que cualquier riesgo en la seguridad de la información “(…) es imputable a la DIAN, y/o al proveedor tecnológico, y/o al proveedor de servicios tecnológicos (AYESA) y no a VANTI.”26 21.15 Asegura que ningún sistema está preparado para la situación que se presentó y ninguna medida de prevención puede impedir tal situación, pese a que VANTI S.A. ESP tiene medidas de seguridad robustas. 27 21.16 También informa que el error de facturación ya fue solucionado.28 21.17 Señala que lo ocurrido fue un caso fortuito o hecho de un tercero por cuanto fue un error de digitación. 29 21.18 Respecto al primer cargo señala que el deber de seguridad son de naturaleza preventiva y no de resultado, por lo tanto, “Esta interpretación implica que la sola existencia de un error en la digitación de un número no es una infracción a la ley; la infracción se configura cuando el responsable o encargado del tratamiento no tomó las medidas adecuadas para evitarlo.”30 21.19 Asegura que el reporte que hizo VANTI S.A. ESP respecto al titular “(…) no es vinculante ni tiene consecuencias negativas.” 31 21.20 Aduce que no se presentó ante VANTI S.A. ESP ninguna otra queja con relación a este suceso. 32 21.21 Informa que VANTI S.A. ESP cuenta con medidas y barreras para impedir que los datos personales sean trasmitidos a terceros por error, y con controles para detectar la errada divulgación de información.33 21.22 Declara que VANTI S.A. ESP no hizo una transmisión de información a terceros por error. 34 23 Expediente digital, consecutivo 33, página 3, folio 11 24 Expediente digital, consecutivo 33, página 3, folio 13 25 Expediente digital, consecutivo 33, página 3, folio 15 26 Expediente digital, consecutivo 33, página 3, folio 15 27 Expediente digital, consecutivo 33, página 3, folio 16 28 Expediente digital, consecutivo 33, página 3, folio 16 29 Expediente digital, consecutivo 33, página 3, folio 17 30 Expediente digital, consecutivo 33, página 3, folio 21 31 Expediente digital, consecutivo 33, página 3, folio 22 32 Expediente digital, consecutivo 33, página 3, folio 28 33 Expediente digital, consecutivo 33, página 3, folio 29 34 Expediente digital, consecutivo 33, página 3, folio 39 “Por la cual se impone una sanción y se imparten ordenes administrativas” 21.23 Afirma que hay ausencia de antijuridicidad y hecho superado porque no se presentó una lesión ni se puso en riesgo la seguridad de los datos personales de titulares de VANTI S.A. ESP.35 21.24 Afirma que hay ausencia de culpabilidad porque VANTI S.A. ESP. ha sido diligente en la implementación de medidas de seguridad.36 21.25 Respecto al segundo cargo dice que no ocurrió un incidente de seguridad porque no se presentó una violación a la estructura de la información y tampoco se comprometió la disponibilidad, integridad, confidencialidad de los datos, ni se registró un acceso indebido o divulgación, razón por la cual, VANTI S.A. ESP. no consideró necesario efectuar un reporte en el RNBD.37 21.26 Informa que en caso de que se hubiera generado un incidente se habría generado en la base de datos de la DIAN y no de la investigada. 38 21.27 Así mismo, anuncia que la investigada presentará un dictamen pericial por parte de un ingeniero de sistemas por la complejidad y especialidad del tema. 39 VIGÉSIMO SEGUNDO: Que mediante Resolución N.º 79917 del 18 de diciembre de 2023, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 21-273914, con el valor legal que les corresponda, y decretó las siguientes pruebas: “ARTÍCULO 2: DECRETAR, a petición de parte, la siguiente prueba: • Dictamen pericial por parte del señor XXXXXXXXXXXXXXXXXXXXXX, XXXXXXXXXX Ingeniero de Sistemas de la Universidad Católica de Colombia, Especialista en Telecomunicaciones de la Universidad Piloto de Colombia, Máster en Auditoría, Seguridad, Gobierno y Derecho de las TIC de la Universidad Autónoma de España, y Doctorante en Gerencia de Proyectos de la Universidad Benito Juárez de México, conforme a los requisitos establecidos en los artículos 226 al 235 del Código General del Proceso.

ARTÍCULO 3: DECRETAR, las siguientes pruebas: • Requerir a la DIAN para que informe lo siguiente: (i) Informar si tiene conocimiento de la situación manifestada por el señor XXXXXXXXXXXXXXXXXXXXX respecto a la emisión por parte de VANTI S.A. ESP de facturación electrónica, desde noviembre de 2020 a nombre de varias personas quienes se identifican con la cédula de ciudadanía XXXXXXX, por un error en la información suministrada por parte de VANTI S.A. ESP al eliminar el último número de la identificación de algunos clientes.

(ii) ¿Qué impacto tiene para el señor XXXXXXXXXXXXXXXXXXX la generación de facturas electrónicas con su número de cédula a nombre de terceras personas, respecto de su situación fiscal u obligaciones con la DIAN? (iii) ¿Cuál es la responsabilidad de VANTI S.A. ESP en cuanto a la veracidad de la información suministrada para la generación de facturación electrónica a nombre de personas naturales? 35 Expediente digital, consecutivo 33, página 3, folio 40 36 Expediente digital, consecutivo 33, página 3, folio 44 37 Expediente digital, consecutivo 33, página 3, folio 56 38 Expediente digital, consecutivo 33, página 3, folio 61 y 62 39 Expediente digital, consecutivo 33, página 3, folio 64 y 65 “Por la cual se impone una sanción y se imparten ordenes administrativas” (iv) ¿Cuál es la función del proveedor TRANSFIRIENDO S.A. como proveedor tecnológico de VANTI S.A. ESP respecto al envío de información relacionada con facturación electrónica? (v) Informe si AYESA DE COLOMBIA ADVANCED TECHNOLOGIES S.A.S también es un proveedor tecnológico habilitado de VANTI S.A. ESP respecto al envío de información relacionada con facturación electrónica. • Requerir a la sociedad TRANSFIRIENDO S.A. 900032159 – 4 para que informe lo siguiente: (i) ¿Cuál es su función como proveedor tecnológico de VANTI S.A. ESP en temas de facturación electrónica ante la DIAN? (ii) ¿Cuál es su grado de responsabilidad respecto al incidente de emisión por parte de VANTI S.A. ESP de facturación electrónica, desde noviembre de 2020 a nombre de varias personas quienes se identifican con la Cédula de Ciudadanía XXXXXX, correspondiente al señor XXX XXXXXXXXXXXXXXX? (iii) Informe de qué manera verifica que la información suministrada por parte de VANTI S.A. ESP de facturación electrónica sea correcta y veraz.

(iv) Informe si conoce de más incidentes en los que se haya emitido facturación electrónica con números de cédula errados por parte de VANTI S.A. ESP. • Requerir a la sociedad AYESA ADVANCED TECHNOLOGIES S.A. SUCURSAL COLOMBIA identificada con Nit. 900665341 - 5 para que informe lo siguiente: (i) ¿Cuál es su función como proveedor tecnológico de VANTI S.A. ESP en temas de facturación electrónica ante la DIAN? (ii) ¿Cuál es su responsabilidad respecto al incumplimiento de la supuesta solicitud de VANTI S.A. ESP de desarrollar una solución que permitiera eliminar el último digito del NIT de conformidad con las reglas de facturación electrónica de la DIAN, y no le instruyó eliminar el último digito del número de identificación de personas naturales a efectos de este reporte, como si ocurrió con el número de cédula XXXXXX? (iv) Describa como ocurrió el incidente o la causa que lo originó. (v) Informe respecto a qué otros números de cédula se eliminó por error el ultimo digito del documento de identificación. • Requerir a la sociedad VANTI S.A. ESP que aporte las pruebas documentales que menciona en el escrito de descargos en un medio soporte físico o electrónico que permita su consulta, ya que el link proveído no permite el acceso.

“ VIGÉSIMO TERCERO: Que la Resolución N.º 79917 del 18 de diciembre de 2023 fue comunicada a VANTI S.A. ESP el 19 de diciembre de 2023 de acuerdo con la certificación con radicado 21-273914- -39.

VIGÉSIMO CUARTO: Que mediante comunicación del 9 de enero de 2024 con radicado 21-273914- -00040 el apoderado de la investigada aportó el Dictamen Pericial decretado y solicitó acceso al expediente.

VIGÉSIMO QUINTO: Que mediante comunicación del 6 de febrero de 2024 con radicado 21-273914- -00041 el apoderado de la investigada nuevamente solicitó acceso al expediente virtual. “Por la cual se impone una sanción y se imparten ordenes administrativas”

VIGÉSIMO SEXTO: Que, mediante oficio del 1 de abril de 2024 con radicado 21-273914- -42 este Despacho concedió accedo al expediente virtual al apoderado de VANTI S.A. ESP y se le informó que la sociedad tiene acceso al mismo, por lo cual, debía registrarse en calidad de empresa.

VIGÉSIMO SÉPTIMO: Que mediante oficios del 1 de abril de 2024 con radicado 21-273914- -43 y 10 de julio de 2024 con radicado 21-273914- -54 se requirió a la DIRECCIÓN DE IMPUESTOS Y ADUANAS NACIONALES DE COLOMBIA (DIAN) en virtud de la orden decretada en la Resolución N.º 79917 del 18 de diciembre de 2023.

VIGÉSIMO OCTAVO: Que, la DIRECCIÓN DE IMPUESTOS Y ADUANAS NACIONALES DE COLOMBIA (DIAN) mediante respuesta el 20 de mayo de 2024 con radicado 21-273914- -0004840 y del 10 de julio de 2024 con radicado 21-273914- -00057, 41en el que se acusa recibo del requerimiento de esta entidad42.

VIGÉSIMO NOVENO: Que, la DIRECCIÓN DE IMPUESTOS Y ADUANAS NACIONALES DE COLOMBIA (DIAN) mediante respuesta del 10 de junio de 2024 con radicado 21-273914- -00049 respondió al requerimiento de este Despacho.

TRIGÉSIMO: Que mediante oficios del 1 de abril de 2024 con radicado 21273914- -44, del 20 de mayo de 2024 con radicado 21-273914- -46, y del 10 de julio de 2024 con radicados 21-273914- -50, 21-273914- -51, 21-273914- 55, se requirió a AYESA ADVANCED TECHNOLOGIES S.A. SUCURSAL COLOMBIA, en virtud de la orden decretada en la Resolución N.º 79917 del 18 de diciembre de 2023.

TRIGÉSIMO PRIMERO: Que mediante oficios del 1 de abril de 2024 con radicado 21-273914- -45, del 20 de mayo de 2024 con radicado 21-273914- 47, del 10 de julio de 2024 con radicado 21-273914- -52, 21-273914- -56 y del 22 de octubre de 2024 con radicado 21-273914- -65-1 se requirió a TRANSFIRIENDO S.A. en virtud de la orden decretada en la Resolución N.º 79917 del 18 de diciembre de 2023.

TRIGÉSIMO SEGUNDO: Que mediante oficio del 10 de julio de 2024 con radicado 21-273914- -53 se requirió a VANTI S.A. ESP con el fin de que aportara las pruebas decretadas en la Resolución N.º 79917 del 18 de diciembre de 2023 a través del correo electrónico contactenos@sic.gov.co como documentos adjuntos o a través de un medio físico.

TRIGÉSIMO TERCERO: Que mediante comunicación del 17 de julio de 2024 con radicado 21-273914- -00058, 21-273914- -00059, 21-273914- -00060, el apoderado de VANTI S.A. ESP aportó los documentos requeridos mediante archivos adjuntos.

TRIGÉSIMO CUARTO: Que mediante comunicación del 31 de julio de 2024 con radicado 21-273914-00061-, la sociedad AYESA ADVANCED TECHNOLOGIES S.A. SUCURSAL COLOMBIA respondió el requerimiento realizado por este Despacho.

TRIGÉSIMO QUINTO: Que mediante comunicación del 11 de septiembre de 2024 con radicado 21-273914- -00063, el apoderado de VANTI S.A. ESP solicitó lo siguiente: “(i) otorgar un término razonable para pronunciarnos sobre el contenido de del dictamen elaborado por XXXXXXXXXXXXXXXXXXXXXXXXXX; y (ii) solicitar la práctica de un interrogatorio al señor XXXXXXXXXXXXXXXXXXX 40 Expediente digital, consecutivo 48 41 Expediente digital, consecutivo 57 42 Expediente digital, consecutivo 48 “Por la cual se impone una sanción y se imparten ordenes administrativas” XXXXXXXX identificado con la cédula de ciudadanía número XXXXXXXX en su calidad de ingeniero y suscriptor del mencionado dictamen, para verificar su idoneidad, imparcialidad y sobre el contenido del dictamen.”

TRIGÉSIMO SEXTO: Que mediante comunicación de TRANSFIRIENDO S.A del 29 de octubre de 2024 con radicado 21-273914- -00066 aporta respuesta al requerimiento hecho por este Despacho43.

TRIGÉSIMO SÉPTIMO: Que mediante Resolución N.º 74720 del 28 de noviembre de 2024, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 21-273914, con el valor legal que les corresponda, rechazó la prueba solicitada por la investigada, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Así mismo, en la referida resolución se dio respuesta a la petición presentada apoderado de la sociedad investigada, radicada el 11 de septiembre de 2024 con radicado 21-273914- -00063.

TRIGÉSIMO OCTAVO: Que la Resolución N.º 74720 del 28 de noviembre de 2024 se comunicó al apoderado de la sociedad investigada VANTI S.A. ESP el 28 de noviembre de 2024, de conformidad con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia con radicación 21273914- -72 del 3 de diciembre de 2023.

TRIGÉSIMO NOVENO: Que dentro del plazo otorgado por la Resolución N.º 74720 del 28 de noviembre de 2024, la sociedad investigada mediante comunicado del 12 de diciembre de 2024 con radicado 21-273914- -00073, presentó alegatos de conclusión reiterando lo señalado en los descargos e indicando lo siguiente. 39.1 Indicó que esta Superintendencia invirtió la carga de la prueba que le corresponde como autoridad sancionatoria.44 39.2 Manifestó que mediante el dictamen pericial aportado por la investigada se resaltaron las medidas de seguridad de la información implementadas por VANTI S.A. ESP.45 39.3 Señala que el análisis técnico del 3 de septiembre de 2024 es un dictamen pericial, por lo cual debía estar sujeto a las reglas de contradicción del Código General del Proceso.46 39.4 Manifiesta que se configura una nulidad de la presente investigación al negarse el interrogatorio de parte al ingeniero XXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXX, pues el objetivo de esta prueba no era solo evaluar su idoneidad e imparcialidad sino “(…) lograr un mejor entendimiento de las conclusiones y el análisis desarrollado” por el ingeniero en el análisis técnico y su contradicción, por lo cual se está vulnerando el derecho al debido proceso de la investigada. 47 39.5 Considera que las conclusiones del análisis técnico del 3 de septiembre de 2024 son “un prejuzgamiento de la autoridad”.48 39.6 Aduce que las conclusiones del análisis técnico en mención se basan en el “Manual de Usuario del Registro Nacional de Bases de Datos” y la 43 Expediente digital, consecutivo 66 44 Expediente digital, consecutivo 73, página 3, folio 3 45 Expediente digital, consecutivo 73, página 3, folio 9 y 10 46 Expediente digital, consecutivo 73, página 3, folio 21 y 47 Expediente digital, consecutivo 73, página 3, folio 22, 23, 24 48 Expediente digital, consecutivo 73, página 3, folio 26 “Por la cual se impone una sanción y se imparten ordenes administrativas” “Guía para la Gestión de Incidentes de Seguridad” no son vinculantes para los Responsables.49 CUADRAGÉSIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

CUADRAGÉSIMO PRIMERO: Análisis del caso 41.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201150, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (I) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(II) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a: (I) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; y (ii) El literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, de conformidad con lo establecido en la parte motiva de la presente resolución. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 41.2 Valoración probatoria y conclusiones 41.2.1 Respecto del deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para 49 Expediente digital, consecutivo 73, página 3, folio 27 50 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparten ordenes administrativas” impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 de la siguiente manera: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)” “Artículo 4. Principios: “En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;” Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.6.1.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. “Por la cual se impone una sanción y se imparten ordenes administrativas” 3.

Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.” En respuesta a los requerimientos de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada, una explicación sobre la relevancia de los datos personales en cada caso y evidencia sobre la implementación efectiva de medidas de seguridad de la información apropiadas.

Al respecto la Corte en Sentencia C-748/11 sobre el principio de seguridad señala los siguiente: “(…) En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: ( ) (iii) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.

Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento -literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares- literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.” En este sentido, esta Dirección encontró preliminarmente que la investigada, al menos hasta el 8 de marzo de 2022, no tenía implementadas unas condiciones de seguridad adecuadas para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información, que impidieran que los datos personales tratados por la investigada fueran transmitidos a terceros por error, así como tampoco demostró que contara con unos controles adecuados que le permitieran detectar por sus propios medios y de manera oportuna la errada divulgación de información. Lo anterior, de acuerdo con las pruebas aportadas por el titular, se encontró que desde noviembre de 2020 la investigada reportó facturas ante la DIAN a nombre de otras personas con su número de cédula.

De igual manera, el titular reportó dicha situación a la investigada el 24 de mayo de 2021, sin embargo, la investigada manifestó que el error fue solucionado hasta el 1 de agosto de 2022. Cabe resaltar que, en la respuesta al requerimiento de este Despacho, por parte de la investigada mediante la comunicación del 14 de diciembre de 2022 con radicado número 21-273914- -00019 informó que: “(…) se identificó que del total de usuarios de Vanti S.A. E.S.P. esto es un total de 2.446.662 pudieron verse involucrados en el evento aproximadamente 36.509, esto es en promedio el 1,5% de usuarios, (…)”51 La investigada afirmó que aproximadamente 36.509 usuarios pudieron ser afectados, sin contar a los demás titulares que no tenían ningún vínculo contractual con la investigada como es el caso del titular.

En consecuencia, este Despacho concluyó de manera preliminar que VANTI S.A. ESP, identificada con NIT. 800.007.813-5, no conservó la información bajo 51 Expediente digital, consecutivo 19, página 8, folio 2 “Por la cual se impone una sanción y se imparten ordenes administrativas” las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente: • El titular aporta la información que encuentra reportada ante la DIAN referente a facturación electrónica, donde se observa que con su número de cédula se reporta información a nombre de otros titulares por parte de la investigada. En dicho cuadro se observa que varias facturas electrónicas fueron emitidas por la investigada cuyo nombre aparece en la columna que dice “Nombre Emisor”, seguida de la columna “NIT Receptor” donde se encuentra el número de cédula del titular XXXXXX asignado a 4 persona distintas incluyendo el señor XXXXXXXXXXXXXXXXXXXX, y los nombres de estos titulares están en la columna “Nombre Receptor”52: • Se tiene la petición radicada por el titular ante la investigada el 24 de mayo de 2021 denunciando la situación53: • Respuesta a la petición del titular por parte de VANTI S.A. E.S.P. del 9 de junio de 2021, en la que le informan lo siguiente54: 52 Expediente digital, consecutivo 9, página 2, folio 38 53 Expediente digital, consecutivo 9, página 2, folio 20 a 23 54 Expediente digital, consecutivo 9, página 2, folio 35 “Por la cual se impone una sanción y se imparten ordenes administrativas” • Mediante oficio del 14 de diciembre de 2022 con radicado 21-273914- 00019 VANTI S.A. E.S.P. informó lo siguiente a este Despacho55: “El incidente fue detectado el día ocho (8) de marzo de 2022 y solucionado el día primero (1º) de agosto del mismo año. (…) El protocolo que se realiza desde el área de TI de la Compañía para corregir incidencias en Producción consiste en la generación de un control de cambio, para este caso particular se crea CHG0033230, y se recibe confirmación por el área técnica de su aplicación en Producción.” (Subrayamos) Así mismo, aporta la siguiente imagen del correo mediante el cual AYESA confirma la corrección de la presentación de las facturas el 1 de agosto de 2022: • Respuesta de la DIAN al requerimiento de este Despacho del 10 de junio de 2024 con radicado 21-273914- -0004956: “Qué impacto tiene para el señor XXXXXXXXXXXXXXXXXXX la generación de facturas electrónicas con su número de cédula a nombre de terceras personas, respecto de su situación fiscal u obligaciones con la DIAN?” RESPUESTA: La UAE DIAN tiene la función de llevar a cabo el procedimiento de validación de las facturas electrónicas de venta generadas y trasmitidas por los sujetos obligados a facturar, así como las notas crédito y / 55 Expediente digital, consecutivo 19, página 8, folio 2 y 3 56 Expediente digital, consecutivo 49 “Por la cual se impone una sanción y se imparten ordenes administrativas” debito, asociadas a las facturas electrónicas que, siendo previamente validadas, el emisor considere deban ser corregidas o anuladas.

Debe señalarse que las notas crédito que se derivan de la factura electrónica de venta con validación previa, se encuentran sometidas a los procedimientos de generación (Resolución 000165 DE 2023, artículo 29), transmisión para validación (artículo 31) y validación (artículo 33), cumpliendo con las condiciones, términos y mecanismos técnicos y tecnológicos, de conformidad con el «Anexo técnico 1.9 de factura electrónica de venta” Así las cosas, corresponde al emisor verificar la procedencia de las notas crédito o débito, PARA LA CORRECCIÓN, AJUSTE O ANULACIÓN DE LAS FACTURAS ELECTRÓNICAS que tengan errores de tipo fiscal o contable, de ser procedentes, generarlas y trasmitirlas, y una vez se reciban el sistema de factura electrónica, la DIAN llevara a cabo el correspondiente procedimiento de validación. Por lo consiguiente, cualquier requerimiento sobre la inexactitud de la factura electrónica de venta, el receptor debe requerir al obligado a facturar electrónicamente.” (Subrayamos) • Respuesta del 31 de julio de 2024 con radicado 21-273914- -00061 por parte de AYESA al requerimiento de este Despacho57: “(…) fue responsabilidad de Vanti hacer la verificación, pruebas y revisiones necesarias para garantizar que los requerimientos solicitados a Ayesa fueran desarrollados y/o configurados conforme a lo solicitado para que una vez recibida la aprobación de Vanti de las pruebas.

(…) 2. ¿Cuál es su responsabilidad respecto al incumplimiento de la supuesta solicitud de Vanti en desarrollar una solución que permitiera eliminar el último dígio del NIT de conformidad con las reglas de facturación electrónica de la DIAN, y no le instruyó eliminar el último dígito del número de identificación de personas naturales a efectos de este reporte, como si ocurrió con el número de cédula nº XXXXXXX? Como se indica en el punto anterior, la responsabilidad de Ayesa consistió en implementar los requerimientos realizados por Vanti.

A mayor abundamiento, adjunto se encuentran los documentos de diseño aprobados por Vanti y como pueden comprobar no se menciona. Adicionalmente, como se puede ver en documento Excel adjunto, en el detalle tan solo se indica que el NIT debe ir sin dígito de verificación.” 57 Expediente digital, consecutivo 61 “Por la cual se impone una sanción y se imparten ordenes administrativas” • Respuesta del 29 de octubre de 2024 por parte de TRANSFIRIENDO al requerimiento de este Despacho con radicado 21-273914- -0006658: “RESPUESTA: Desde Transfiriendo S.A. manifestamos que como proveedores tecnológicos de VANTI S.A. ESP, ostentamos un rol de encargados del tratamiento de la información recibida, y no tenemos responsabilidad alguna en cuanto a la veracidad ni calidad de datos, fuentes de datos o validación de los mismos previo al procesamiento de la información para este cliente: pues es el cliente mismo como responsable de administración de la información, quien nos la envía la para su procesamiento bajo las condiciones previamente expuestas.” (…) Tal conforme se evidencia de lo anteriormente expuesto, a TRANSFIRIENDO S.A. no tiene responsabilidad alguna en la obtención y tratamiento de datos personales de los clientes de su contratante VANTI S.A. ESP, destinatarios del servicio que presta de facturación electrónica.

En concreto y en la práctica, a TRANSFIRIENDO S.A., es un mero proveedor de servicios tecnológicos de VANTI S.A. ESP, dentro de un modelo de contratación para un proceso que esta última promociona, comercializa, calcula y cobra. En función de ello, entre VANTI S.A. ESP y TRANSFIRIENDO S.A. opera una figura jurídica de mandato en la cual, TRANSFIRIENDO S.A., se limita ejecutar los pasos claramente documentados en el contrato y detallados anteriormente en los cuales y por definición de la norma, es responsable exclusivo el obligado a facturar y no el proveedor tecnológico (TRANSFIRIENDO S.A.) como mandatario que es de VANTI S.A. ESP” (Subrayamos) • Una de las conclusiones a las que llega el perito designado por VANTI S.A. E.S.P. en su dictamen respecto a las medidas de seguridad de la investigada es la siguiente59: “(…) Frente a lo expuesto previamente, es posible concluir que VANTI posee los niveles de seguridad adecuados y pertinentes para proteger sus activos de información, así como sus características, siendo estas, integridad, confidencialidad y disponibilidad, y con ello, evitar la materialización de riesgos de seguridad de la información y ciberseguridad sobre los datos gestionados y administrados por la compañía.” También resalta las medidas de seguridad implementadas por la investigada para proteger los datos personales, entre las que se relacionan con el caso se encuentran: “Medidas Gerenciales Gestión de Riesgos: Se puede determinar que se ha implementado un proceso de gestión de riesgos de seguridad de la información que permite identificar, evaluar y mitigar los riesgos sobre los activos de información de la compañía. (…) ix.

Gestión de parches y actualizaciones: Existe documentación que habla frente a la gestión proactiva con ocasión de instalación de parches y actualizaciones de software, evitando la explotación de vulnerabilidades. Medidas Capacitación 58 Expediente digital, consecutivo 66 59 Expediente digital, consecutivo 40 “Por la cual se impone una sanción y se imparten ordenes administrativas” x. Programa de Concientización: Existe documentación en donde se dan las pautas para desarrollar planes de concientización sobre seguridad de la información y ciberseguridad, logrando educar a los colaboradores sobre riesgos y mejores prácticas en seguridad de la información. Medidas de Monitoreo y Control xi. xii.

Auditorias y Revisiones: Se realizan auditorias y revisiones frente a temas de seguridad evaluando la eficacia de las medidas implementadas. Sistema de detección de intrusiones: Existen herramientas y servicios especializados contratados que permiten hacer un monitoreo permanente, y con ello, identificar o detectar intrusiones o patrones de comportamiento malicioso en tiempo real.

Xiii Monitoreo de Actividades: Se evidenciaron actividades de monitoreo continuo frente a las actividades en los sistemas y la redes de VANTI para detectar posibles amenazas. xiv. Respuesta a Incidentes: Existe un procedimiento frente a la administración y gestión de incidentes de seguridad de la información, en donde estos se clasifican, y con ello, lograr actuar de manera eficaz en caso de que se presenten.” Al respecto, es relevante señalar lo establecido por la “Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales”60 respecto a las medidas de seguridad de la información. En primer lugar, se debe aclarar que las guías se entienden como mandatos de optimización, las cuales, si bien no son de obligatorio cumplimiento, son herramientas para que los Responsables del tratamiento tengan una orientación mayor, a la hora de documentar y desarrollar internamente sus procesos en torno a la seguridad de la información. Dichas herramientas, emiten conceptos basados en normas técnicas tales como la ISO/IEC 27001, que es considerada como un conjunto de estándares internacionales que apoyan a las empresas a homogeneizar su gestión, respecto de la seguridad de los datos personales.

Ahora bien, la “Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales” establece que las medidas de seguridad son PREVENTIVAS, toda vez que: “El principio y el deber de seguridad tienen un criterio eminentemente preventivo, lo cual obliga a los Responsables o Encargados del Tratamiento a adoptar las medidas necesarias para evitar posibles afectaciones a la seguridad de los datos.” Por lo cual, la investigada debía prever que la solución informática adquirida con AYESA pudiera tener algún tipo de falla, por lo cual, dentro de sus medidas de seguridad debía estar, la de verificar el correcto funcionamiento de la herramienta tecnológica, en un ambiente de preproducción previo a su entrada en funcionamiento.

Ahora bien, la guía también hace una clasificación de los incidentes de seguridad dependiendo del grado de pérdida de las siguientes características de la información, como son: • Confidencialidad • Integridad • Disponibilidad 60 https://www.sic.gov.co/centro-de-publicaciones?field_global_topic_tid=7037&field_anos_p_value=All “Por la cual se impone una sanción y se imparten ordenes administrativas” Con base en lo anterior, en el presente caso, se afectó la integridad de los datos, puesto que se envió el archivo de facturación electrónica a la DIAN omitiendo el último dígito de los números de cédula de los titulares, afectando la integridad del dato personal y reportando información no veraz ante el ente fiscal.

Así mismo, la guía señala las diferentes razones por las que puede generarse un incidente de seguridad como son: • Inexistencia de políticas preventivas de seguridad • Errores o negligencia humana • Casos fortuitos • Actos maliciosos o criminales • Fallas en los sistemas de la organización • Procedimientos defectuosos • Deficiencias o defectos en las operaciones • Alteración; destrucción; robo o pérdida de archivos físicos En este caso, el incidente ocurrió por varias causales como son: errores o negligencia humana, fallas en los sistemas de la organización y procedimientos defectuosos.

Esta última es la que más aplica para el caso en cuestión porque si dentro de los protocolos para la adquisición de herramientas tecnológicas, la investigada hiciera pruebas de las mismas, el error se hubiera detectado a tiempo. Por otro lado, es muy importante tener en cuenta lo que dice la guía sobre el siguiente punto: “(…) Ahora bien, si la seguridad falla es fundamental que las organizaciones cuenten con mecanismos de monitoreo y control que les permita detectar de inmediato o prontamente el incidente de seguridad.” (Subrayamos) Por lo cual, se infiere que VANTI S.A. ESP debió detectar con sus mecanismos de control y monitoreo, de forma inmediata o al poco tiempo la ocurrencia del incidente, con el fin de mitigar el daño y solucionarlo, no obstante, falló esta medida de seguridad por parte de la investigada.

Por lo anterior se concluye que: 1. Por un lado, el titular informa que desde noviembre de 2020 la investigada reporta facturas a nombre de otras personas con su número de cédula. 2. El titular informa la situación a la investigada el 24 de mayo de 2021 y en la respuesta proferida el 9 de junio de 2021 por la investigada, se atiende de fondo su petición y se le pide disculpas por las molestias presentadas, no obstante, el titular sigue siendo reportado ante la DIAN con facturas electrónicas emitidas por VANTI S.A. ESP con su número de cédula. 3.

Por lo anterior, observa este Despacho, que la investigada solucionó el incidente sólo hasta el 1 de agosto de 2022 de acuerdo a lo informado por la misma. Es decir, habiendo transcurrido más de catorce (14) meses y ocho (8) días desde que el Titular puso en conocimiento la situación. Ahora bien, teniendo en cuenta que el deber de seguridad consiste en la implementación de todo tipo de medidas técnicas, administrativas y humanas de carácter PREVENTIVO, para evitar el indebido tratamiento de los datos personales de los titulares y proteger su derecho fundamental de habeas data, se pone en evidencia que en este caso VANTI S.A. ESP., en ningún momento durante el curso de esta investigación, ha manifestado que realizó pruebas, “Por la cual se impone una sanción y se imparten ordenes administrativas” verificaciones o revisiones de la solución informática adquirida con su proveedor de software AYESA, es decir, no acreditó que luego de recibir el producto solicitado haya, realizado pruebas para verificar que funcionara correctamente.

Lo anterior, hace referencia al deber de mínima diligencia, que debe cumplir cualquier sociedad que realiza tratamiento de datos personales, en función del tamaño de su organización, teniendo en cuenta que en este caso la responsabilidad es mayor, pues es evidente que VANTI S.A. ESP maneja un volumen altísimo de información personal en sus bases de datos, por lo tanto, se supondría que antes de enviar el archivo de facturación electrónica al proveedor habilitado por la DIAN como intermediario en el proceso de facturación, la investigada hubiera realizado las pruebas pertinentes en un “ambiente controlado” con el simple propósito de verificar que AYESA hubiera cumplido con los requerimiento del servicio.

De igual manera, es claro que el error tecnológico ocurrió en el documento de facturación electrónica generado por AYESA y que fue enviado a TRANSFIRIENDO quien posteriormente lo remite a la DIAN, no obstante, ese error pudo haber sido corregido a tiempo si VANTI S.A. ESP hubiera hecho las pruebas necesarias para detectar inexactitudes en la información que sería reportada ante el ente fiscal.

Por otra parte, es muy grave que pese a todas las medidas de seguridad implementadas por VANTI S.A. ESP, no hubiera detectado el incidente inmediata o prontamente, sino que haya tenido conocimiento del mismo por cuenta de la queja del titular que fue presentada el 24 de mayo de 2021. De manera que, se infiere que las medidas de monitoreo y control fallaron y no detectaron que se estaban generando facturas electrónicas equivocadas, y que se estaba afectando el dato personal del titular y de los demás titulares involucrados.

En este sentido, se dio una afectación por uso y adulteración de los datos personales del titular entre otros, y principalmente se vulneró la integridad de los datos relacionados con el número de identificación. Respeto a los argumentos del apoderado de la investigada, se entiende que el mismo le resta importancia, al hecho de permitir que se reporte información no veraz del titular o que terceros no autorizados, accedan a los datos personales de sus titulares, que obran bajo su custodia, solo por el hecho de ser datos de carácter público como el número de la cédula.

Por lo anterior se le aclara al apoderado la importancia de proteger los datos personales de los titulares y que independientemente del carácter de los mismos, sean públicos, privados o semiprivados, deben cumplir con todas las disposiciones y exigencias de la Ley e impedir que terceros no autorizados accedan a los datos personales. Asi pues, a lo largo de la investigación se cumplió con el principio de tipicidad al formular cargos respecto del incumplimiento de los deberes establecidos en el artículo 17 de la Ley 1581 de 2012 y la conducta o comportamiento reprochable fue claramente detallado desde la formulación y analizado y soportado con las pruebas allegadas al proceso, cumpliendo en todo momento con el debido proceso, y garantizando el derecho de defensa que fue ejercido en todas las etapas por parte de la investigada.

Sobre este punto, la Corte constitucional en sentencia C-748/11 declara como exequible el artículo 17 de la Ley 1581 de 2012, el cual que contiene la lista de deberes exigibles al Responsable del tratamiento. En este caso el incumplimiento de dos de estos deberes: “Por la cual se impone una sanción y se imparten ordenes administrativas” “Lo anterior significa que corresponderá a la autoridad de protección de datos como a las autoridades judiciales en el ámbito de su competencia, garantizar al titular del dato o sus causahabientes, la protección que exige el ejercicio de su derecho al habeas data, el cual no puede quedar sujeto a limitaciones basadas en la exclusión de la responsabilidad frente a los deberes que cada sujeto involucrado en el tratamiento del dato pueda argumentar, con fundamento en la ley.

Es cierto que el legislador estatutario hizo un esfuerzo por describir los deberes que le asiste a uno y otro sujeto que participan en el tratamiento del dato, pero ello no significa que el titular del derecho no pueda exigir otros que puedan resultar para la plena garantía del mismo en concordancia con los principios que regulan la administración de datos.

En otras palabras, los deberes enunciados en los artículos bajo estudio, respecto del titular del derecho al habeas data, no son taxativos sino enunciativos, lo que significa que responsables y encargados tendrán otros deberes derivados del derecho al habeas data, que corresponderán a las prerrogativas que otorga el derecho, en tanto sujetos pasivos de dicha garantía constitucional.

No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, sí operan como una lista taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a las sanciones administrativas previstas por el mismo proyecto de ley.

Por las anteriores, la Corte declarará la exequibilidad de los artículos 17 y 18 del proyecto de ley“ Así mismo respecto del análisis del artículo 23 en el cual se establecen las posibles sanciones a imponer, la corte indica “ Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción[285].

(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar[286].

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. (…) Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos[290].

“Por la cual se impone una sanción y se imparten ordenes administrativas” En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: “El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.

Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;

(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria”[291]. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.” (Resaltado fuera del texto) De manera que, las medidas de seguridad que se implementaron con ocasión al incidente presentado demuestran que la investigada no estaba preparada para una situación como esta, que pudo haberse prevenido si dentro de sus políticas se encontrara la realización de revisiones obligatorias a las soluciones informáticas adquiridas con proveedores de software, ante un eventual riesgo de vulneración del derecho de habeas data.

Pues en este caso, VANTI S.A. ESP adjudica la culpa a AYESA por el error en el documento enviado a la DIAN, sin detallar y ni acreditar que haya realizado verificaciones sobre el funcionamiento del servicio adquirido. Por el contrario, afirma que actúo con la confianza legitima de que su proveedor cumplió con el deber encomendado, sin atender al deber de diligencia, comprobando que la solución informática cumpliera con los requisitos mínimos establecidos, como era la eliminación del digito de verificación del NIT, no de la cédula de ciudadanía, lo cual habría podido corregirse antes de poner en marcha la operación de facturación electrónica.

Respecto a la figura del hecho superado, se debe señalar que la misma se puede configurar ante el amparo del derecho fundamental de habeas data y que como consecuencia no haya lugar a impartir una orden administrativa. Así pues, se habla de hecho superado cuando: “(…) entre el momento de la interposición de la acción de tutela y el momento del fallo se satisface por completo la pretensión contenida en la demanda de amparo, razón por la cual cualquier orden judicial en tal sentido se torna innecesaria.

En otras palabras, aquello que se pretendía lograr mediante la orden del juez de tutela ha acaecido antes de que el mismo diera orden alguna. 61” De manera que podría configurarse esta figura si los actos que vulneran el derecho fundamental desaparecen y como consecuencia la orden pierde su razón de ser. Esto podría suceder en el transcurso de la actuación administrativa en lo relativo al amparo del derecho fundamental.

Ahora bien, esta Superintendencia está facultada para adelantar una actuación administrativa de carácter sancionatorio, cuando existe responsabilidad administrativa 61 Corte Constitucional Sentencia T-358 de 2014, ver también: sentencias T-608 de 2002, T-552 de 2002, T-146 de 2012 y T-200 de 2013, entre otras. “Por la cual se impone una sanción y se imparten ordenes administrativas” derivada de la vulneración al Régimen Especial de Protección de Datos Personales.

Por lo que, el hecho de que una empresa, corrija sus posibles errores no lo exime de las consecuencias legales de sus acciones u omisiones, frente al tratamiento de datos personales, de modo que la figura del “hecho superado” no significa que desaparezcan las eventuales irregularidades, en que pudo haber incurrido una organización frente al tratamiento de datos personales.

En este caso, el incumplimiento del deber, por parte de la investigada ocurrió en un momento determinado e independientemente de que haya sido subsanado, no elimina su responsabilidad frente a la ocurrencia del incidente que puso en peligro los datos personales de varios titulares, por lo tanto, es deber de esta entidad investigar los hechos y analizar si es necesario imponer una sanción como consecuencia de una falta al régimen de protección de datos personales.

En conclusión, se encuentra demostrado que VANTI S.A. ESP actuó de manera negligente frente al tratamiento de datos personales en el proceso de generación de facturación electrónica reportado ante la DIAN, por cuanto, solicitó a su proveedor de software una solución de servicio que eliminara el dígito de verificación del Nit y no verificó y ni hizo las pruebas pertinentes para corroborar que el archivo que debía ser enviado a la DIAN con datos personales de sus usuarios y de personas jurídicas no tuviera errores que pusieran en riesgo el derecho de habeas data de los titulares, por lo cual, no se percató del error tecnológico a tiempo, en el que se estaba eliminado el último número de la cédula de ciudadanía de los mismos, y aun así se presentó la emisión de facturación electrónica a la DIAN, errada por un (1) año y nueve (9) meses, es decir desde noviembre de 2020 hasta el 1 de agosto de 2022.

De igual manera, falló la investigada como Responsable del tratamiento, al no monitorear el proceso y detectar el incidente de forma inmediata o posterior, sino que se enteró del mismo por la queja del titular, lo cual se tipifica como un incumplimiento del deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

Por consiguiente, procederá este Despacho a imponer una sanción pecuniaria. 41.2.2 Deber de informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares Deber consagrado en establecido en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

Ley 1581 de 2012 “Artículo 17. Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

(…)” Artículo 4. Principios: En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) “Por la cual se impone una sanción y se imparten ordenes administrativas” f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)” Por su parte, es menester traer a colación el numeral 2.1 del artículo segundo del Título V de la Circular Única de la Superintendencia de Industria y Comercio que dispone: “(ii) Incidentes de seguridad. Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD por parte de los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.

Los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD y los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el micrositio de la Delegatura para la Protección de Datos Personales o mediante cualquiera de los canales habilitados por la entidad para recibir comunicaciones dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.

La información relacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes de seguridad reportados en el RNBD no estará disponible para consulta pública”. (Se subraya fuera de texto) De igual manera, la norma ISO/IEC 27001 define un incidente de seguridad como cualquier evento que comprometa la confidencialidad, integridad o disponibilidad de la información, y de acuerdo con la norma ISO/IEC 29100 – Marco de Privacidad, se habla de un principio de exactitud de los datos.

Preliminarmente este Despacho encontró que se presentó un incidente de seguridad que afectó y puso en riesgo la administración de la información de los titulares, al remitir a terceros información errónea relacionada con los datos personales de aproximadamente 36.509 de sus clientes y terceros sin relación con la investigada. De acuerdo con lo manifestado por parte de la investigada mediante la comunicación del 14 de diciembre de 2022 con radicado número 21-273914- 00019: “(…) se identificó que del total de usuarios de Vanti S.A. E.S.P. esto es un total de 2.446.662 pudieron verse involucrados en el evento aproximadamente 36.509, esto es en promedio el 1,5% de usuarios, (…)”62 62 Expediente digital, consecutivo 19, página 8, folio 2 “Por la cual se impone una sanción y se imparten ordenes administrativas” Por lo cual, VANTI S.A. ESP tuvo conocimiento de lo ocurrido desde el 08 de marzo de 2022, pero no le informó a la Autoridad de Protección de Datos lo ocurrido, como se puede constatar en sus respuestas a los requerimientos realizados por este Despacho.

Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente: • El titular aporta prueba del envío de su petición del 24 de mayo de 2021 a la investigada con captura de pantalla del correo electrónico63: • El titular aporta petición del 24 de mayo de 2021 informando a VANTI acerca del reporte erróneo de facturas electrónica que está haciendo ante la DIAN: En la cual informa que el 12 de mayo de 2021 al revisar la emisión de datos del tablero de la DIAN, encontró que VANTI realizó la emisión de facturas a varias personas con el número de cédula del titular, desde noviembre de 2020.

Por lo cual, solicitó que cesara esta anomalía ya que, a la fecha de la presentación de la petición, seguían emitiéndose facturas con información errada que afectaba el derecho de habeas data del titular. • Posteriormente en 9 de junio de 2021 la investigada emite una respuesta en la que resuelve la petición del titular y le dice lo siguiente64: ESPACIO EN BLANCO 63 Expediente digital, consecutivo 9, página 2, folio 19 64 Expediente digital, consecutivo 0, página 2, folio 35 “Por la cual se impone una sanción y se imparten ordenes administrativas” • También aporta la respuesta proferida por la investigada el 15 de junio de 2021, en la que le solicitan al titular información y documentos otorgándole la calidad de cliente como si su queja estuviera relacionada con el servicio que presta VANTI S.A. ESP:65 • El titular mediante comunicado del 8 de julio de 2021 le manifiesta a VANTI que no se ha solucionado el incidente, que puso en conocimiento el 24 de mayo de 2021 y siguen emitiéndose facturas electrónicas con su número de cédula, por lo tanto, agota el requisito de procedibilidad e impondrá una queja ante esta Entidad66: ESPACIO EN BLANCO 65 Expediente digital, consecutivo 0, página 2, folio 1 66 Expediente digital, consecutivo 9, página 2, folio 24, 25, 26 “Por la cual se impone una sanción y se imparten ordenes administrativas” • Mediante oficio dirigido a esta Superintendencia del 14 de diciembre de 2022 con radicado 21-273914- -00019 VANTI S.A. E.S.P. informó lo siguiente67: 67 Expediente digital, consecutivo 19, página 8, folio 2 y 3 “Por la cual se impone una sanción y se imparten ordenes administrativas” “El incidente fue detectado el día ocho (8) de marzo de 2022 y solucionado el día primero (1º) de agosto del mismo año. (…)” • Al respecto el dictamen pericial define la situación presentada, no como un incidente de seguridad sino como un requerimiento68: “- Requerimientos: Los requerimientos son solicitudes que surgen de las necesidades y expectativas de los usuarios; algunos ejemplos pueden ser: solicitudes de acceso a una aplicación especifica, consulta sobre procedimientos o cambios de contraseña. (…) es posible concluir, de acuerdo al estudio previamente realizado, que la clasificación que debe darse a la situación técnica presentada, es de requerimiento, ya que frente al contexto de los hechos aquí investigados, en ningún momento se logra evidenciar la presencia de alguna amenaza, entendiendo esta como una situación que pudiera afectar la integridad, confidencialidad o disponibilidad de la información que reposa en el sistema de información SAP37 de VANTI, es decir, no se trata de un incidente de seguridad de la información.” De las pruebas analizadas anteriormente, se destaca que, con base en la definición de incidente de seguridad, el presente caso se trata de uno, en la medida en que la Ley 1581 de 2012 es clara en cuanto al deber de proteger mediante el uso de medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, por lo que, la integridad de los datos personales del titular y probablemente de muchos otros, se vio afectada debido a que las facturas fueron asignadas incorrectamente a otras personas.

De igual manera, para detallar con precisión lo que se considera incidente de seguridad, al respecto, la norma ISO/IEC 27001 define un incidente de seguridad como cualquier evento que comprometa la confidencialidad, integridad o disponibilidad de la información. También la norma ISO/IEC 27001 instruye acerca de los procedimientos que se deben ejecutar al momento de gestionar un incidente de seguridad, lo cuales deben estar documentados con el fin de orientar a los colaboradores en el manejo de los mismos, así pues, estos procedimientos son:69 • o o • o o o “ (…) Las responsabilidades Defina un responsable o responsables para la gestión de incidentes quien deberá garantizar que se desarrollan los procedimientos adecuados para que se realicen todas las tareas o procesos necesarios para gestionar los incidentes Defina las responsabilidades de cada empleado tanto en la colaboración para la respuesta, como en la necesidad de comunicación de los incidentes de seguridad de la información Los procesos o procedimientos Que existan procedimientos para la detección, análisis y elaboración de informes de incidentes de la seguridad de la información Elabore procedimientos para que se comuniquen los incidentes.

Que dichos procedimientos sean conocidos (Que cada empleado conozca los procedimientos de comunicación de incidentes y sus responsabilidades) 68 Expediente digital, consecutivo 40, folio 41 69 https://www.normaiso27001.es/a16-gestion-de-incidentes-de-la-seguridad-de-la-informacion/ “Por la cual se impone una sanción y se imparten ordenes administrativas” o • o Que existan vías de comunicación adecuadas (asegúrese de que se definen los puntos de recogida de información para los incidentes y eventos de la seguridad de la información) Capacitación Asegúrese de la competencia del personal de atención y resolución de incidentes.

Mantenga un plan de capacitación de las personas que se ocupan de los incidentes de la seguridad de la información” Dentro de los puntos más destacados que se nombraron anteriormente se encuentran: 1. Comunicar el incidente 2. Que existan procedimientos de detección del incidente y 3. Que se capacite al personal para la atención y resolución del incidente.

Los cuales no fueron puestos en práctica por la investigada, puesto que una vez se conoció la queja del titular se debió comunicar al área encargada que se estaba presentando un incidente de seguridad y solucionarlo de forma inmediata, sin embargo, se continuó llevando a cabo la conducta reprochada al emitir facturas con el número de cédula del titular a terceros no autorizados, igualmente, la organización falló en la no detección del incidente de manera temprana y en la falta de capacitación de sus colaboradores respecto a atención de los incidentes de seguridad.

De la misma manera, en la norma ISO/IEC 29100 – Marco de Privacidad (ISO/IEC 29100:2024), se habla de un principio de exactitud de los datos, de modo que el tratamiento de los mismos debe ser de manera responsable y con miras a preservar la información y tratarla únicamente para las finalidades autorizadas por el titular. Así las cosas y analizando cada una de las pruebas obrantes en el expediente, este Despacho concluye lo siguiente 1.

El incidente se presentó según lo denunciado por el titular desde noviembre de 2020. 2. El titular informó el incidente el 24 de mayo de 2021 ante la investigada y solicitó que se solucionara la situación. 3. La investigada emite una respuesta el 9 de junio al titular en donde le informan que la situación fue solucionada y “no volverá a recibir facturas”.70 4.

No obstante, el titular informa a la investigada mediante comunicación del 8 de julio de 2021 que se sigue presentado la misma irregularidad “como la de facturar con número de cédula del accionante, aún con pleno conocimiento por parte de ustedes (…)” 71 5. El titular en su denuncia presentada el 10 de julio de 2021 con radicado 21-273914- -00000 manifiesta que “Que desde el mes de noviembre del año Dos mil Veinte (2020) al día de hoy se ha venido presentado esta irregularidad, sin que al día de hoy la empresa VANTI S.A. ESE emisor de la facturación haya solucionado o rectificado dicho ilícito por parte de los receptores.”72 6.

La investigada mediante oficio del 14 de diciembre de 2022 con radicado 21-273914- -00019 VANTI S.A. E.S.P. informó lo siguiente a este Despacho:“El incidente fue detectado el día ocho (8) de marzo de 2022 y solucionado el día primero (1º) de agosto del mismo año. (…)” Por todo lo anterior, se concluye que de acuerdo con la comunicación del 14 de diciembre de 2022 con radicado 21-273914- -00019 VANTI S.A. E.S.P. tuvo conocimiento del incidente de seguridad desde el 8 de marzo de 2022, no obstante, el 24 de mayo de 2021 el titular radicó una petición informando la situación que se estaba presentando, y a partir de dicha solicitud la investigada informa al titular mediante oficio del 9 de junio de 2021 que ha 70 Expediente digital, consecutivo 9, página 2, folio 35 71 Expediente digital, consecutivo 9, página 2, folio 25 72 Expediente digital, consecutivo 0, página 4, folio 2 73 Expediente digital, consecutivo 19, página 8, folio 2 y 3 “Por la cual se impone una sanción y se imparten ordenes administrativas” solucionado la situación por la que presentó su reclamo, por lo tanto, desde la fecha en que el titular radicó su solicitud e informó acerca del incidente, la investigada tenía quince (15) días hábiles para reportar el incidente de seguridad ante el RNBD, y llevar a cabo de manera inmediata acciones tendientes a mitigar los riesgos y fortalecer los procesos a partir del incidente presentado.

No obstante, la investigada afirma mediante oficio del 14 de diciembre de 2022 con radicado 21-273914--00019 que VANTI S.A. E.S.P. que detectó el incidente el 8 de marzo de 2022 y lo solucionó el 1 de agosto de 2022. De manera que, se evidencia que la investigada tuvo conocimiento del incidente en el 24 de mayo de 2021 a partir de la petición presentada por el Titular, sin embargo no se tomó en consideración como incidente hasta el 8 de marzo de 2022 y lo solucionó hasta el 1 de agosto de 2022, pese que el error de facturación electrónica se presentó desde noviembre de 2020 y el titular presentó dos quejas ante la investigada entre mayo y junio de 2021, por lo tanto, este Despacho echa de menos las acciones adelantadas por VANTI a fin de mitigar ese riesgo y tomar acciones frente al incidente con la suficiente inmediatez, para evitar que se siguiera vulnerando el derecho de habeas data de los titulares implicados en el incidente de seguridad.

Por lo tanto, se infiere que se continuó emitiendo facturación electrónica con la cédula del titular a nombre de otros titulares hasta el 1 de agosto de 2022, fecha en que fue solucionado el incidente. Por otra parte, en razón a que la investigada no reconoce que ocurrió un incidente de seguridad en este caso, no considera necesario reportarlo ante el RNBD, de manera que dejó pasar el término legal para ponerlo en conocimiento de esta Superintendencia. Por otro lado, si bien se trató de un error tecnológico, este es considerado como un incidente de seguridad, puesto que puede poner en peligro los datos personales de los titulares y es deber de los Responsables informarlo y demostrar ante la Autoridad de Protección de Datos que llevó a cabo todas las acciones necesarias para mitigar el daño y solucionar la falla en el sistema lo más pronto posible, con el objetivo de disminuir las afectaciones al derecho de habeas data del titular.

De modo que, VANTI S.A. E.S.P debió incluso informar a la DIAN acerca de la irregularidad y solicitar que el incidente presentado no generara información equivocada frente a los deberes fiscales del titular y demás temas relacionados con la competencia de esa entidad por cuenta de un error de la investigada. En conclusión, se encuentra probado el actuar negligente por parte de VANTI S.A. E.S.P., al no reportar ante esta entidad por medio el RNBD el incidente de seguridad denunciado por el titular el 24 de mayo de 2021, el cual hasta el momento no ha sido registrado como tal en dicha plataforma, lo cual se tipifica como un incumplimiento del deber establecido en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

Por consiguiente, se impondrá una sanción pecuniaria. 41.3 Aclaraciones finales • Sobre la carga de la prueba en el proceso administrativo sancionatorio “Por la cual se impone una sanción y se imparten ordenes administrativas” Si bien la carga de la prueba en el proceso administrativo sancionatorio se encuentra en manos del Estado, se debe recordar que los elementos probatorios provienen de lo aportado por las partes al largo de la investigación y de las pruebas decretadas de oficio por este Despacho, con el propósito de contar con todos los elementos de análisis necesarios para comprender los hechos que dieron origen a la denuncia interpuesta por los titulares, y tomar una decisión con la plena convicción de que la misma es la más acertada, como consecuencia de las situaciones acreditadas con las pruebas incorporadas al expediente.

Ahora bien, le corresponde al Estado sustentar las pruebas que soportan su decisión y la relación directa de ellas con respecto a la conclusión a la que llega este Despacho para tomar una decisión en derecho, por ende, en este proceso se decretaron pruebas, a todos los entes involucrados así como se decretó a solicitud de parte el dictamen pericial, con el fin de contar con los elementos de prueba suficientes y pertinentes para generar una decisión adecuada y ajustada a lo que exige la Ley en el acto administrativo de decisión. En ese sentido, es pertinente señalar apartes de la sentencia proferida por la Sección Tercera del Consejo de Estado del 22 de octubre de 2012, mediante la cual se dispone lo siguiente: “La presunción de inocencia va acompañada de otra garantía: ‘el in dubio pro administrado, toda vez que si el Estado no cumple con la carga probatoria que le corresponde y existen dudas razonables respecto de la responsabilidad de quien está siendo objeto de investigación, la única respuesta posible es la exoneración. No obstante lo anterior, es indispensable señalar que los principios de presunción de inocencia y de ‘in dubio pro administrado’, admiten modulaciones en derecho administrativo sancionatorio que incluso podría conducir a su no aplicación, es decir procedimientos administrativos sancionatorios en los que se parte de la regla inversa: se presume la culpabilidad, de forma tal que la carga de la prueba se desplaza al presunto infractor y para que éste no sea declarado responsable debe demostrar durante la actuación administrativa que actuó diligentemente o que el acaecimiento de los hechos se dio por una causa extraña (fuerza mayor, caso fortuito o intervención de un tercero).

No se trata de un régimen de responsabilidad objetiva sino de una reasignación de la carga probatoria, la responsabilidad sigue siendo subjetiva porque como se desprende de lo afirmado existe la posibilidad de exoneración comprobando un comportamiento ajustado al deber objetivo de cuidado”. Igualmente, dicho principio ha sido suficientemente desarrollado por la Corte Constitucional, así: “Como elemento característico de los sistemas políticos democráticos y de manera congruente con instrumentos internacionales ratificados por Colombia, la Constitución Política de 1991 estableció en su artículo 29 la presunción de inocencia, como una de las garantías del derecho fundamental al debido proceso.

Se trata de una cautela constitucional contra la arbitrariedad pública, que se activa en todos aquellos eventos en los que el Estado pretenda ejercer el poder de reprochar comportamientos, por la vía judicial o administrativa, esencialmente en ejercicio de su facultad sancionadora (ius puniendi) A pesar de que la norma constitucional disponga que “Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable”, en una redacción equivalente a la del artículo 8 de la Convención Americana sobre Derechos Humanos y a la prevista en el artículo 14 del Pacto Internacional de Derechos Civiles y Políticos, ambos ratificados por Colombia, la presunción de inocencia es una garantía fundamental que es igualmente exigible en los procedimientos “Por la cual se impone una sanción y se imparten ordenes administrativas” administrativos, como lo reconoce expresamente el inciso primero del artículo 29 de la Constitución colombiana y que entraña las siguientes consecuencias: (i) corresponde al Estado la carga de desvirtuar la inocencia, a través de la prueba de los distintos elementos de la responsabilidad, incluida la culpabilidad.

(ii) A pesar de existir libertad respecto de las pruebas para desvirtuar la presunción de inocencia, sólo son admisibles medios de prueba respetuosos del debido proceso y acordes a la dignidad humana. (iii) Nadie puede ser obligado a contribuir para que la presunción de inocencia que lo ampara, sea desvirtuada y sus silencios carecen de valor probatorio en forma de confesión o indicio de su responsabilidad;

(iv) durante el desarrollo del proceso o del procedimiento, la persona tiene derecho a ser tratada como inocente y (v) la prueba necesaria para demostrar la culpabilidad debe tener suficiente fuerza demostrativa, más allá de toda duda razonable, la que, en caso de persistir, debe resolverse mediante la confirmación de la presunción. Las anteriores, son “garantías constitucionales que presiden la potestad sancionadora de la administración y el procedimiento administrativo que se adelanta para ejercerla”.

(…) La certeza o convicción racional equivale a un estándar probatorio denominado de convicción más allá de toda duda razonable por lo que, para poder ejercer el poder punitivo del Estado, no se requiere la certeza absoluta, sino que las pruebas válidamente recaudadas demuestren la reunión de los elementos de la responsabilidad y, al respecto, no existan dudas derivadas de la insuficiencia probatoria o de contradicciones probatorias insuperables a partir del examen conjunto del expediente.” En conclusión, la decisión de imponer una sanción a la investigada por parte de este Despacho, está basada en lo que fue probado por la investigada y las respuestas allegadas por las demás organizaciones requeridas para clarificar la situación fáctica, sobre dichas pruebas, se hicieron análisis técnicos y jurídicos que determinaron sin lugar a dudas que la investigada actuó de forma negligente respecto a los dos deberes en comento, toda vez que no desarrolló medidas de seguridad adecuadas para detectar el incidente, y tampoco ejecutó acciones inmediatas para solucionarlo o mitigar los posibles daños a tiempo; igualmente faltó al deber de reportar debidamente ante la Autoridad de Protección de Datos Personales la ocurrencia del incidente de seguridad como lo exige la Ley. • Sobre la fuerza mayor, el caso fortuito o hecho de un tercero En lo que tiene que ver con la fuerza mayor, la jurisprudencia del Consejo de Estado ha retomado lo establecido por la Corte Suprema de Justicia al referirse a las características que debe revestir: “Así, pues, la cuestión del caso fortuito liberatorio o de fuerza mayor, al menos por norma general, no admite ser solucionada mediante una simple clasificación mecánica de acontecimientos apreciados en abstracto como si de algunos de ellos pudiera decirse que por sí mismo, debido a su naturaleza específica, siempre tienen tal condición, mientras que otros no. En cada evento es necesario estudiar las circunstancias que rodean el hecho con el fin de establecer si, frente al deber de conducta que aparece insatisfecho, reúne las características que indica el art. 1º de la Ley 95 de 1890, tarea en veces dificultosa que una arraigada tradición jurisprudencial exige abordar con severidad.

Esos rasgos por los que es preciso indagar, distintivos del caso fortuito o de fuerza mayor, se sintetizan en la imposibilidad absoluta de cumplir derivada de la presencia de un obstáculo insuperable unido a la ausencia de culpa del agente cuya responsabilidad se pretende comprometer (g.j., t. xlii, p. 54) y son, en consecuencia, los siguientes: “Por la cual se impone una sanción y se imparten ordenes administrativas” a) Que el hecho sea imprevisible, esto es que en condiciones normales haya sido lo suficientemente probable para que ese agente, atendido su papel específico en la actividad que origina el daño, haya podido precaverse contra él. Aunque por lo demás, respecto del acontecimiento de que se trata, haya habido, como lo hay de ordinario para la generalidad de los sucesos, alguna posibilidad vaga de realización, factor este último con base en el cual ha sostenido la jurisprudencia que “ cuando el acontecimiento es susceptible de ser humanamente previsto, por más súbito y arrollador de la voluntad que parezca, no genera el caso fortuito ni la fuerza mayor ” (g.j., tomos liv, p. 377, y clviii, p. 63). b) Que el hecho sea irresistible en el sentido estricto de no haberse podido evitar su acaecimiento ni tampoco sus consecuencias, colocando al agente sojuzgado por el suceso así sobrevenido-, en la absoluta imposibilidad de obrar del modo debido, habida cuenta que si lo que se produce es tan solo una dificultad más o menos acentuada para enfrentarlo, tampoco se configura el fenómeno liberatorio del que viene haciéndose mérito”74 - Respecto al hecho de un tercero como causal de exoneración, al este respecto ha establecido la jurisprudencia: “Por otra parte, en relación con la causal de exoneración consistente en el hecho de un tercero, la jurisprudencia de esta Corporación ha señalado que la misma se configura siempre y cuando se demuestre que la circunstancia extraña es completamente ajena al servicio y que este último no se encuentra vinculado en manera alguna con la actuación de aquél”75 En este caso no se configura ninguna de estas situaciones, por cuanto la investigada tenía control del producto solicitado a su proveedor de software, y le entregó las instrucciones sobre lo que necesitaba respecto al documento de facturación electrónica que sería enviado a la DIAN, de modo que, una vez recibida la herramienta, la investigada pudo haber verificado que esta funcionara correctamente y que el proveedor hubiera cumplido con las tareas señaladas, pero en cambio no hay soporte de que VANTI haya ejecutado las pruebas mínimas de verificación del funcionamiento de la solución tecnológica, y por el contrario atribuye la responsabilidad del incidente no solo a AYESA sino a TRASNFIRIENDO, cuya función es recibir el archivo de facturación electrónica y enviarlo a la DIAN, la cual a su vez fue señalada por la investigada como responsable del incidente, por no verificar la información recibida.

Sin embargo, TRASNFIRIENDO no es responsable de la veracidad de la información suministrada por VANTI, pues su función es la de ser un mero intermediario en el proceso de facturación electrónica76, igualmente, la DIAN no tiene la responsabilidad de corroborar que la información remitida por los emisores de facturación sea ajustada a la realidad77, pues esto le corresponde a VANTI quien debe garantizar que emite las facturas a las personas correctas.

Por tanto, este Despacho concluye que este no fue un caso fortuito o hecho de un tercero, ya que no cumple con los elementos básicos para que se configure alguno de estos fenómenos, en la medida en que la investigada pudo prevenir la ocurrencia del incidente si hubiera sido más diligente en la implementación de la solución informática adquirida con su proveedor, llevando a cabo pruebas de funcionamiento antes de ponerla en marcha. 74 Corte Suprema de Justicia, Sala de Casación Civil, sentencia del 26 de noviembre de 1999, expediente 5220. 75 Consejo de Estado, Sección Tercera, sentencia del 26 de marzo de 2008, expediente 16530.

Ver en mismo sentido: Consejo de Estado, Sección Tercera, sentencia del 18 de febrero de 2010, expediente 17179. 76 Expediente digital, consecutivo 66, página 2, folio 2 77 Expediente digital, consecutivo 49, página 3, folio 3 “Por la cual se impone una sanción y se imparten ordenes administrativas” • Sobre el análisis técnico Sobre este punto, se debe considerar que el ingeniero que elaboró el análisis técnico controvertido por la investigada es un contratista por prestación de servicios profesionales de la Superintendencia de Industria y Comercio, de modo que, para conocer sus credenciales y demás, el apoderado puede consultarlos en el Sistema de Información y Gestión del Empleo Público (SIGEP) donde está el Directorio Servidores Públicos y en él se encuentra información sobre su Hoja de Vida y Declaración de bienes y rentas y conflictos de interés, con lo cual podrá comprobar su idoneidad y conocimientos técnicos.

Por otra parte, la contradicción de todas las pruebas se ha garantizado en todas las instancias del proceso, y se han tenido en cuenta las allegadas por la investigada durante la investigación, como medios de convicción para hacer un análisis con toda la información necesaria, que conduzcan a una decisión derivada de los hechos probados en el proceso y no únicamente basada en los análisis técnicos de los ingenieros que hacen parte del equipo de la Delegatura. • Sobre la solicitud de Nulidad: Este despacho se permite aclarar que las solicitudes de nulidad de actos administrativos se deben tramitar ante la jurisdicción de lo contencioso administrativo en acción de nulidad, de conformidad con lo preceptuado por el artículo 137 de la Ley 1437 de 2011, puesto que no hace parte de las competencias de esta Superintendencia resolver este tipo de peticiones, de conformidad con el artículo 88 de la Ley 1437 de 2011: “ARTÍCULO

88. PRESUNCIÓN DE LEGALIDAD DEL ACTO ADMINISTRATIVO. Los actos administrativos se presumen legales mientras no hayan sido anulados por la Jurisdicción de lo Contencioso Administrativo. Cuando fueren suspendidos, no podrán ejecutarse hasta tanto se resuelva definitivamente sobre su legalidad o se levante dicha medida cautelar.” Ahora bien, la autoridad debe garantizar el derecho fundamental al debido proceso de la investigada en el curso de una investigación administrativa, por lo cual todas las actuaciones se deben adelantar de conformidad con las normas y procedimientos establecidos por la Constitución y la Ley, con plena garantía de los derechos de representación, defensa y contradicción en virtud del principio del debido proceso (Articulo 3 numeral 1° de la Ley 1437 de 2011).

Por lo cual, este Despacho considera que la presente actuación administrativa se ha acogido a las normas procesales y al artículo 29 de la Constitución Política de 1991, y no es pertinente reabrir el periodo probatorio para practicar el interrogatorio de parte del ingeniero, por cuanto, en la Resolución 74720 del 28 de noviembre de 2024 se explicó la razón por la que se rechazó la práctica de esta prueba.

De igual manera, ninguno de los actos administrativos proferidos en esta investigación administrativa incurren en alguna de las causales de nulidad establecidas en el artículo 137 de la Ley 1437 como son: “ARTÍCULO 137. Nulidad. Toda persona podrá solicitar por sí, o por medio de representante, que se declare la nulidad de los actos administrativos de carácter general.

Procederá cuando hayan sido expedidos con infracción de las normas en que deberían fundarse, o sin competencia, o en forma irregular, o con desconocimiento del derecho de audiencia y defensa, o mediante falsa motivación, o con desviación de las atribuciones propias de quien los profirió. “Por la cual se impone una sanción y se imparten ordenes administrativas” (…)” Por lo anterior, se puede decir que este Despacho garantizó en todas las etapas de la investigación el derecho fundamental al debido proceso de la investigada, y motivó cada acto administrativo argumentando las razones que dieron origen a estos, sin infringir las normas en que debían fundarse, del mismo modo, se decretaron las pruebas que se encontraron pertinentes, conducentes y útiles para la correcta apreciación y análisis de los hechos denunciados por el titular, teniendo en cuenta, los que fueron expuestos por la investigada y demás entes requeridos, por consiguiente, no es procedente anular todo lo actuado, en la medida en que la investigación fue desarrollada en cumplimiento de los deberes legales que le corresponden a esta Superintendencia. • Sobre la definición de lo que es un dato personal Al respecto, la Ley 1581 de 2012 establece lo siguiente: “c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables;” Así mismo, la Ley 1266 de 2008 también define el dato personal y hace la clasificación respectiva: “(…) e) Dato personal.

Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal.

Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.” (Subrayamos) Por lo tanto, el hecho de que el número de cédula del titular haya sido tratado por la investigada debido a un error tecnológico ocurrido en la solución informática adquirida con su proveedor de software, que generó el indebido tratamiento del dato del titular sin este ser un cliente de VANTI y sin estar incluido en sus bases de datos personales, en razón a la eliminación del último digito, lo que derivó en un reporte de facturas electrónicas a nombre de otros titulares con el número de cédula del quejoso, demuestra que si se hizo tratamiento de un dato personal y que hubo consecuencias negativas para el titular por el simple hecho de que se reportó información que carecía de veracidad ante la DIAN.

“Por la cual se impone una sanción y se imparten ordenes administrativas” Esto permite concluir que los datos personales públicos también son objeto de cuidado por parte de los Responsables, pues el mal uso de los mismos puede generar inconvenientes para los titulares frente a otras instancias, como sucedió en este caso que se reportó información falsa ante el ente fiscal. • Calidad tercero interviniente y solicitud de indemnización por daños y perjuicios al titular: En primer lugar, se aclara que el señor XXXXXXXXXXXXXXXXXXXXX no solicitó ser reconocido como tercero interviniente a lo largo del proceso, por lo tanto, no es parte dentro del mismo.

Segundo, respecto a la solicitud del titular de ser indemnizado por daños y perjuicios, se informa que esta Superintendencia no tiene la competencia para acceder a estas pretensiones, puesto que su única función es ejercer la vigilancia como Autoridad de Protección de Datos personales, para garantizar que los Responsables y Encargados realicen el tratamiento respetando los derechos, garantías y procedimientos previstos en la presente ley.

Por consiguiente, el titular tiene la facultad de solicitar ante los entes jurisdiccionales la indemnización por daños y perjuicios si lo considera pertinente.

CUADRAGÉSIMO SEGUNDO: FRENTE A LA APLICACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA En vista de todos los hechos y situaciones probadas en este expediente, este Despacho encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada. Esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”78.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2679 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de Corte Constitucional, Sentencia T-227 de 2003 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2.

La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. “Por la cual se impone una sanción y se imparten ordenes administrativas” la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”80. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. El texto de Accountability.pdf la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia- “Por la cual se impone una sanción y se imparten ordenes administrativas” establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”81.

Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

(ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

En el presente caso, la sociedad VANTI S.A. E.S.P debe propender por que se dé cumplimiento a la normativa de Protección de Datos Personales. En consecuencia, se hace necesario que la sociedad VANTI S.A. E.S.P no solo implemente procedimientos internos eficaces para cumplir con la Ley 1581 de 2012, sino que también promueva activamente el respeto a los derechos de los titulares de datos.

El cumplimiento de la normativa no debe depender exclusivamente de los requerimientos de las autoridades, sino de un compromiso integral por parte de la sociedad para garantizar la protección de los datos personales, tal como lo establece la Constitución. Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/quees-compliance.php (última consulta 20 de abril de 2020) “Por la cual se impone una sanción y se imparten ordenes administrativas” En virtud de lo anterior, EXHORTAMOS al Representante Legal de la sociedad VANTI S.A. E.S.P, para que adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los titulares de los datos. 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los titulares de los datos personales. 5) Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas CUADRAGÉSIMO TERCERO: Imposición y graduación de la sanción 43.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo “Por la cual se impone una sanción y se imparten ordenes administrativas” dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional82.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al ConsumidorIPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana. 82 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten ordenes administrativas”

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera el monto de la Sanción será calculado en los términos de la norma antes mencionada.

De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional83 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la 83 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción y se imparten ordenes administrativas” gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”84 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros85. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”86.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia87. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2388 de la misma ley. 84 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 85 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 86 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 87 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 88Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: “Por la cual se impone una sanción y se imparten ordenes administrativas” Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 43.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”89 a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” 89 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten ordenes administrativas” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados90.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, se encuentra demostrado que VANTI S.A ESP actuó de manera negligente frente al tratamiento de datos personales en el proceso de facturación electrónica reportado ante la DIAN, por cuanto, no detectó a tiempo que estaba tratando el dato personal del titular como es su número de cédula para emitir facturas de algunos de sus clientes debido a un error tecnológico que pudo haberse corregido si la investigada hubiera realizado las verificaciones y revisiones mínimas antes de enviar la información al ente fiscal.

Lo cual se tipifica como un incumplimiento del deber establecido en El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. Por lo cual se impondrá una sanción pecuniaria equivalente a CIENTO CINCUENTA Y CUATRO (154) SALARIOS MÍNIMOS LEGALES VIGENTES–para el año 2023 equivalentes a DIECISIETE MIL OCHOCIENTOS SESENTA Y CUATRO (17.864) Unidades de Valor Básico Vigentes para el año 2025 – UVB equivalentes a DOSCIENTOS SEIS MILLONES TRECIENTOS SESENTA Y CUATRO MIL NOVECIENTOS VEINTIOCHO PESOS M/CTE ($206.364.928).

De otro lado, la sociedad investigada incumplió sus deberes como Responsable al no reportar ante esta entidad por medio del RNBD el incidente de seguridad denunciado por el titular el 24 de mayo de 2021, junto con las medidas de seguridad puestas en marcha para solucionarlo y mitigar los daños que puedan afectar el titular y demás titulares posiblemente afectados, de igual manera, dicho incidente, hasta el momento no ha sido registrado como tal en dicha plataforma.

Los cual se tipifica como un incumplimiento del deber establecido en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley. Por lo cual se impondrá una sanción pecuniaria equivalente a CIENTO CINCUENTA Y CUATRO (154) SALARIOS MÍNIMOS LEGALES VIGENTES–para el año 2023 equivalentes a DIECISIETE MIL OCHOCIENTOS SESENTA Y CUATRO (17.864) Unidades de Valor Básico Vigentes para el año 2025 2– UVB equivalentes a DOSCIENTOS SEIS MILLONES TRECIENTOS SESENTA Y CUATRO MIL NOVECIENTOS VEINTIOCHO PESOS M/CTE ($206.364.928). 90 Ley 1581 de 2012 “Artículo 23.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción y se imparten ordenes administrativas” En síntesis, encuentra este Despacho procedente imponer la sanción correspondiente a TRESCIENTOS OCHO (308) SALARIOS MÍNIMOS LEGALES VIGENTES– SALARIOS para el año 2023 equivalentes a TREINTA Y CINCO MIL SETECIENTOS VEINTIOCHO (35.728) Unidades de Valor Básico Vigentes para el año 2025 – UVB equivalentes a CUATROCIENTOS DOCE MILLONES SETECIENTOS VEINTINUEVE MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($412.729.856), por la violación de: (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, a la sociedad VANTI S.A. ESP. 43.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

CUADRAGÉSIMO CUARTO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, teniendo en cuenta lo informado mediante comunicación del 21 de diciembre de 2023 con radicado 21-273914- -00038 en el que aportó el “Anexo 6 -Resultado pruebas corrección del error.pdf” el cual contiene el documento titulado “Informe Integrales de Prueba UAT (ISU_ CHG0033230 Corrección en la presentación de las Facturas Billing y SD, del No. de Identificación del cliente, como destinatario de las mismas.”91 y mediante comunicación del 9 de enero de 2024 con radicado 21-273914- -00040 en el que el apoderado aportó el Dictamen Pericial decretado, así mismo, una vez analizadas todas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: 1.

Presentar evidencia técnica y funcional de la implementación efectiva del cambio (CHG0033230) en el sistema productivo, la cual puede consistir en: Capturas de pantalla, registros o logs del sistema que reflejen la correcta presentación del número de identificación del cliente en los XML y PDF generados desde el entorno productivo. 2. Certificado expedido por el área técnica responsable, donde conste la fecha de liberación del cambio en el ambiente productivo, incluyendo la validación del correcto funcionamiento posterior a la implementación. 3.

Registros y/o logs del sistema que evidencien la presentación (número de identificación del cliente en los XML y PDF) mencionada, acompañados 91 Expediente digital, consecutivo 19, página 5 y también se encuentra en el consecutivo 38, página 3, en el siguiente enlace: https://serranomartinezcmasas.sharepoint.com/:f:/s/SerranoMartinez/Ekxep8ve6KRDvHdjM3uE 4oAB_u3ud19nYC03PKTxPEGWbw?e=l8B7lT “Por la cual se impone una sanción y se imparten ordenes administrativas” de un registro en video que muestre el sistema, la base de datos y los procedimientos ejecutados para la extracción de la información aportada.

Este video debe estar complementado por un manual explicativo del procedimiento. 4. Aportar copia del procedimiento documentado que establezca las actividades de prueba, revisión, verificación y puesta en producción realizadas en los entornos de desarrollo controlados. Este procedimiento debe ser aplicable tanto a las soluciones informáticas propias como a las tercerizadas que involucren el tratamiento de datos personales. 5.

Así mismo, se deberá aportar evidencia de su implementación, incluyendo documentos y demás soportes que permitan demostrar la ejecución y gestión efectiva de las pruebas realizadas. 6. Reportar ante el Registro Nacional de Bases de Datos - RNBD el incidente presentado que dio origen a esta investigación e informar las medidas implementadas para solucionarlo y las acciones llevadas a cabo para mitigar el daño y posibles afectaciones al titular. 7.

Incluir en la Política de Incidentes de Seguridad de la Información la obligación de reportar cualquier error tecnológico relacionado con el tratamiento de datos personales desde el momento en que sea detectado. Dicho reporte deberá realizarse a través del Registro Nacional de Bases de Datos (RNBD) para dar cumplimiento al deber establecido en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley. 8.

Robustecer los sistemas de monitoreo y control de incidentes de seguridad en todas las operaciones relacionadas con el tratamiento de datos personales, incorporando mecanismos que generen alertas oportunas ante cualquier novedad que pueda poner en riesgo dichos datos, antes, durante y después de la ejecución de las operaciones. De lo anteriormente ordenado la sociedad VANTI S.A. ESP. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

CUADRAGÉSIMO QUINTO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: I. Se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en: (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, de conformidad con lo establecido en la parte motiva de la presente resolución. II. Se encuentra demostrado que VANTI S.A ESP omitió implementar medidas de seguridad de detección y monitoreo del proceso de facturación electrónica, en el que se reportó información no veraz ante DIAN, por cuanto, no se percató a tiempo que estaba tratando el dato personal del titular, como lo es su número de cédula, para emitir facturas a nombre de otros titulares, debido a un error tecnológico que pudo haberse corregido si la investigada hubiera realizado las verificaciones y revisiones mínimas de la solución tecnológica adquirida con su proveedor AYESA, antes de enviar la información al ente fiscal.

“Por la cual se impone una sanción y se imparten ordenes administrativas” III. Por otra parte, la investigada interpretó erróneamente el incidente de seguridad, dando la calidad de requerimiento u otra, pese a que se afectó la integridad de los datos personales del titular. IV. Debido a lo anterior, no reportó ante esta entidad por medio el RNBD el incidente de seguridad denunciado por el titular el 24 de mayo de 2021, junto con las medidas de seguridad puestas en marcha para solucionarlo y mitigar los daños que puedan afectar al titular y demás titulares posiblemente afectados, de igual manera, dicho incidente, hasta el momento no ha sido registrado como tal en dicha plataforma.

V. El error tecnológico es un incidente de seguridad, en la medida en que afectó la integridad del dato personal del titular por uso y adulteración, mediante el indebido tratamiento llevado a cabo por la investigada, al enviar un archivo para reportar las facturas electrónicas de sus clientes entre ellos personas jurídicas y naturales, sin antes verificar y hacer pruebas para asegurarse de que la información enviada fuera veraz y no se vulnerara el derecho de habeas data.

VI. Las medidas de seguridad implementadas por VANTI S.A ESP, no fueron suficientes para impedir ni mitigar la vulneración del derecho de habeas data del titular, puesto que no detectaron el incidente de seguridad a tiempo ni evitaron que este ocurriera. VII. El error tecnológico habría podido detectarse y corregirse a tiempo si, VANTI S.A ESP hubiera verificado que la solución informática suministrada por AYESA tenía una irregularidad y si se hubieran realizado las pruebas antes de entrar en funcionamiento.

VIII. VANTI S.A ESP tuvo conocimiento del incidente de seguridad con la petición radicada por el titular el 24 de mayo de 2024, pero sólo le dio calidad de incidente hasta el 8 de marzo de 2022 y lo solucionó el 1 de agosto de 2022. IX. VANTI S.A. E.S.P. hace tratamiento de un gran volumen de datos personales, por tanto, sus medidas de seguridad no solo deben ser robustas y estar plasmadas en documentos donde se describa sus características, sino que deben ser efectivas y demostrar que realmente funcionan cuando se presentan incidentes de seguridad.

X. La situación que se presentó no fue un requerimiento que se solucionó por la mesa de ayuda de la investigada sino un incidente de seguridad que puso en peligro la integridad del dato personal del titular al reportarse información errónea ante terceros. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a TRESCIENTOS OCHO (308) SALARIOS MÍNIMOS LEGALES VIGENTES– SALARIOS para el año 2023 equivalentes a TREINTA Y CINCO MIL SETECIENTOS VEINTIOCHO (35.728) Unidades de Valor Básico Vigentes para el año 2025 – UVB equivalentes a CUATROCIENTOS DOCE MILLONES SETECIENTOS VEINTINUEVE MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($412.729.856),, por la violación (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, de conformidad con lo establecido en la parte motiva de la presente resolución a la sociedad VANTI S.A. E.S.P. “Por la cual se impone una sanción y se imparten ordenes administrativas”

CUADRAGÉSIMO SEXTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad VANTI S.A. E.S.P identificada con NIT. 800.007.8135, con el correo electrónico de notificación judicial serviciosjuridicos@grupovanti.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-273914. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo anterior,

RESUELVE

ARTÍCULO 1: Imponer una sanción pecuniaria a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5 de TRESCIENTOS OCHO (308) SALARIOS MÍNIMOS LEGALES VIGENTES – SALARIOS para el año 2023 equivalentes a TREINTA Y CINCO MIL SETECIENTOS VEINTIOCHO (35.728) Unidades de Valor Básico Vigentes para el año 2025 – UVB equivalentes a CUATROCIENTOS DOCE MILLONES SETECIENTOS VEINTINUEVE MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($412.729.856), por la violación a lo dispuesto en (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: Ordenar a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión. Las ordenes son las siguientes: 1.

Presentar evidencia técnica y funcional de la implementación efectiva del cambio (CHG0033230) en el sistema productivo, la cual puede consistir en: Capturas de pantalla, registros o logs del sistema que reflejen la “Por la cual se impone una sanción y se imparten ordenes administrativas” correcta presentación del número de identificación del cliente en los XML y PDF generados desde el entorno productivo. 2.

Certificado expedido por el área técnica responsable, donde conste la fecha de liberación del cambio en el ambiente productivo, incluyendo la validación del correcto funcionamiento posterior a la implementación. 3. Registros y/o logs del sistema que evidencien la presentación (número de identificación del cliente en los XML y PDF) mencionada, acompañados de un registro en video que muestre el sistema, la base de datos y los procedimientos ejecutados para la extracción de la información aportada.

Este video debe estar complementado por un manual explicativo del procedimiento. 4. Aportar copia del procedimiento documentado que establezca las actividades de prueba, revisión, verificación y puesta en producción realizadas en los entornos de desarrollo controlados. Este procedimiento debe ser aplicable tanto a las soluciones informáticas propias como a las tercerizadas que involucren el tratamiento de datos personales. 5.

Así mismo, se deberá aportar evidencia de su implementación, incluyendo documentos y demás soportes que permitan demostrar la ejecución y gestión efectiva de las pruebas realizadas. 6. Reportar ante el Registro Nacional de Bases de Datos - RNBD el incidente presentado que dio origen a esta investigación e informar las medidas implementadas para solucionarlo y las acciones llevadas a cabo para mitigar el daño y posibles afectaciones al titular. 7.

Incluir en la Política de Incidentes de Seguridad de la Información la obligación de reportar cualquier error tecnológico relacionado con el tratamiento de datos personales desde el momento en que sea detectado. Dicho reporte deberá realizarse a través del Registro Nacional de Bases de Datos (RNBD) para dar cumplimiento al deber establecido en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley. 8.

Robustecer los sistemas de monitoreo y control de incidentes de seguridad en todas las operaciones relacionadas con el tratamiento de datos personales, incorporando mecanismos que generen alertas oportunas ante cualquier novedad que pueda poner en riesgo dichos datos, antes, durante y después de la ejecución de las operaciones. Parágrafo primero: La sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello deberá remitir a esta entidad los documentos mediante los cuales se acredite la implementación de los procedimientos ordenados para hacer las verificaciones técnicas correspondientes. Parágrafo segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5, acreedora de las sanciones previstas en la ley.

ARTÍCULO 3: Notificar personalmente el contenido de la presente resolución a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5 a través de su apoderado, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigación de Protección de Datos Personales y de apelación ante el “Por la cual se impone una sanción y se imparten ordenes administrativas” Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 4: COMUNICAR al señor XXXXXXXXXXXXXXXXXXXXXX, identificado con XXXXXXXXX el contenido de la presente decisión.

ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 20 de junio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.06.20 13:40:52 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: DR Revisó: YA Aprobó: CG NOTIFICACIÓN: Investigada: Entidad: VANTI S.A. E.S.P. Identificación: Nit.: 800.007.813- 5 Representante Legal: ÁLVARO HERNANDO SÁNCHEZ HURTADO Identificación: C.C. N.º 11.220.045 Dirección: Calle 72 N.º 5-38 Ciudad: Bogotá D.C. Correo electrónico: serviciosjuridicos@grupovanti.com Apoderado: FELIPE SERRANO PINILLA Identificación: C.C. N.º 91.519.674 T.P. N.º 155.763 del C. S. de la J. Dirección: Calle 27 # 5A – 12 Ciudad: Bogotá D.C. Correo electrónico: fserrano@serranomartinezcma.com y radicaciones@serranomartinezcma.com COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXXXXX Identificación: XXXXXXXXX Dirección: XXXXXXXX Ciudad: XXXXXXXXX Correo electrónico: XXXXXXXXXXXXXXX Apoderado: DUBEL ALEXIS PORTILLA PÉREZ Identificación: C.C 1.115.855.903 Dirección: KR 8 11-12 B Ciudad: Paz de Ariporo, Casanare Correo electrónico: alexisportillajuridico@hotmail.com y dubelalex@hotmail.com