Sanción 87414 de 2025 — SIC

(28 de octubre de 2025) “Por la cual se impone una sanción administrativa” Radicación 24-448615 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO. Que mediante la Resolución N.º 86549 del 05 de diciembre de 2022, la Dirección de Hábeas Data en el marco del radicado 22-54815 ordenó a la sociedad BANCO SERFINANZA S.A.- en adelante, “la investigada” - con NIT. 860.043.186-6 lo siguiente: “ARTÍCULO PRIMERO: Ordenar a la sociedad BANCO SERFINANZA S.A, identificada con Nit. 860.043.186-6, para que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, elimine el número de celular XXXXXXXXX en su relación con la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX, identificado (sic) con cédula de ciudadanía No. XXXXXXXXXXXXX de sus bases de datos, de tal manera que cese el contacto a dicho abonado telefónico, teniendo en cuenta que dicha sociedad posiblemente incumplió el literal e) del artículo 8 de la Ley 1581 de 2012.

PARÁGRAFO PRIMERO: La sociedad BANCO SERFINANZA S.A deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad BANCO SERFINANZA S.A acreedora de las sanciones previstas en la Ley. (…)” 1.

SEGUNDO. Que la sociedad BANCO SERFINANZA S.A. fue notificada de la Resolución N.º 86549 del 05 de diciembre de 2022, mediante aviso el día 16 de diciembre de 2022, de conformidad con la certificación expedida por la Secretaria General AD-HOC de esta Superintendencia del 16 de diciembre de 2022, obrante en el expediente, bajo el Radicado N.º 22-54815-17.

TERCERO. Que transcurrido el término otorgado mediante la N.º 86549 del 05 de diciembre de 2022 la sociedad BANCO SERFINANZA S.A. guardó silencio y no acreditó el cumplimiento de la orden impartida. 1 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folio 7. “Por la cual se impone una sanción administrativa”

CUARTO. Que mediante Resolución N.º 73072 del 26 de noviembre de 20242 la Dirección de Investigaciones de Protección de Datos Personales resolvió iniciar investigación administrativa contra la sociedad BANCO SERFINANZA S.A.- en adelante, “la investigada” - con NIT. 860.043.186-6, por la presunta vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma.

De acuerdo con lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la sociedad investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendiera hacer valer dentro de la presente actuación administrativa.

QUINTO. Que la investigada fue notificada de la Resolución N.º 73072 del 26 de noviembre de 2024 de manera electrónica, el 2 de diciembre de 2024, de conformidad con la certificación expedida por la Secretaria General AD-HOC de esta Superintendencia del 5 de diciembre de 2024, obrante en el expediente, bajo el Radicado N.º 24-448615-8.3 SEXTO. Que la investigada, a través de su apoderado, presentó escrito de descargos dentro del término procesal para ello, esto es, el 20 de diciembre de 2024 bajo el radicado 24-448615-00009-0000 del 23 de diciembre de 20244, mediante el cual expuso sus argumentos de defensa y aportó los medios de prueba que pretende hacer valer en la presente actuación. Sobre el cargo único formulado expuso lo siguiente: 6.1.

Que el BANCO SERFINANZA S.A. dispone de una Política de Protección de Datos Personales, así como de su respectivo Manual. Asimismo, informa que ha implementado medidas internas de cumplimiento aplicables a todas sus áreas, incluyendo la Unidad de Seguridad de la Información y Ciberseguridad, así como el área de Atención al Consumidor Financiero.

Entre dichas medidas, se destacan las siguientes: - - Asegurar que los datos personales sean utilizados exclusivamente para los fines legítimos y comunicados al titular, tales como la gestión comercial, el cumplimiento de obligaciones legales y la prevención de actividades ilícitas. Implementar controles estrictos y medidas tecnológicas avanzadas para proteger la integridad, disponibilidad y confidencialidad de los datos personales.

Facilitar a los titulares el ejercicio de sus derechos de acceso, actualización, rectificación, cancelación, revocatoria y oposición a través de mecanismos efectivos y gratuitos. Realizar programas de formación continua para empleados y contratistas, además de auditorías internas y externas que evalúan la conformidad con las normativas internas y externas aplicables. 6.2.

Que el BANCO SERFINANZA S.A. informa que, desde el año 2022, ha implementado un programa de cumplimiento en conjunto con asesores jurídicos externos, con el fin de garantizar que sus operaciones se desarrollen conforme a los principios de legalidad, transparencia, seguridad y responsabilidad. En el marco de dicho programa, se elaboró un informe técnico que se presenta ante este Despacho como anexo. 6.3.

Respecto a la “Garantía del derecho a la supresión de información” la sociedad investigada señaló expresamente lo siguiente: “En respuesta a las solicitudes presentadas por la titular, el Banco Serfinanza procedió con la eliminación del número de teléfono fijo de la base de datos destinada a las gestiones de cobro. Esta acción fue confirmada en varias 2 Expediente digital 24-448615.

Actos Administrativos. RE 73072 2024/11/26. Folios 12. 3 Expediente Digital 24-448615. Consecutivo número 8. Página 1. Folios 1. 4 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 1 al 26. “Por la cual se impone una sanción administrativa” ocasiones mediante comunicaciones destacando los siguientes hitos: oficiales enviadas a la titular, • Primera solicitud: El 18 de enero de 2022, XXXX XXXXXXXXX XXXXXXXXX XXXXXX solicitó eliminar su línea fija y que las gestiones de cobro fueran realizadas exclusivamente a su número de celular.

El Banco atendió esta solicitud y confirmó, mediante comunicación del 31 de enero de 2022, que las actualizaciones requeridas habían sido implementadas en su sistema. • Reiteraciones atendidas: Ante las reiteraciones de la consumidora el 14 de febrero y el 3 de marzo de 2022, el Banco respondió el 21 de febrero y el 15 de marzo de 2022, respectivamente, ratificando que la línea fija había sido eliminada de su base de datos y que, en consecuencia, no se realizarían más gestiones de cobro a través de este canal.

Estas respuestas demuestran la debida diligencia y el compromiso del Banco en el cumplimiento del derecho de supresión de información personal, garantizando que los datos no requeridos fueran eliminados conforme a lo solicitado por la titular. Asimismo, es importante destacar que, desde febrero de 2022, el Banco no ha efectuado gestiones de cobro utilizando la línea fija de la consumidora.

Estas acciones reflejan la alineación de las prácticas del Banco con los principios de respeto, transparencia y protección de los derechos de los titulares de datos personales, en conformidad con las disposiciones normativas aplicables.” 6.4. Respecto al cargo único la sociedad investigada indicó que “reconoce su deber de atender las instrucciones y requerimientos impartidos por la tratamiento de datos personales.

En particular, la sociedad investigada manifestó lo siguiente: “… el sistema de correo electrónico del Banco no estaba configurado para priorizar las notificaciones provenientes del dominio @sic.gov.co, lo que permitió que estos mensajes se confundieran entre otras comunicaciones, reduciendo la probabilidad de que fueran detectados y gestionados oportunamente.

Como resultado, la falta de contestación a los requerimientos generó la percepción de un posible incumplimiento de las obligaciones del Banco Serfinanza frente a la SIC.” 6.6. A partir de este hecho, la sociedad investigada manifiesta que ha implementado medidas correctivas para la optimización de los procesos internos y el fortalecimiento tecnológicos, tales como, la optimización del sistema del correo electrónico.

Esta mejora se encuentra documentada en uno de los anexos denominado “Certificación de Configuración de la Regla de Notificaciones Judiciales”. 6.7. También señala en el documento de descargos, que las sanciones que impone la Superintendencia de Industria y Comercio debe atender el principio de proporcionalidad, en el marco del derecho administrativo sancionador.

En este punto, aduce la sociedad investigada que “no ha trasgredido las disposiciones esenciales de la Ley 1581 de 2012. La solicitud del titular fue atendida de manera eficiente, eliminando los datos personales requeridos y respetando el derecho fundamental 19 al hábeas data. Además, el Banco ha demostrado un compromiso continuo con el respeto de los principios de protección de datos personales, implementando “Por la cual se impone una sanción administrativa” medidas correctivas y preventivas que fortalecen sus procesos internos y garantizan el cumplimiento normativo.” 6.8.

Finalmente, señala que la imposición de una sanción pecuniaria por parte de este Despacho sería una medida desproporcionada, que, por el contrario, una orden administrativa permite “abordar la situación de manera integral y eficiente, asegurando tanto la restauración del orden jurídico como la protección del interés público.”.

SÉPTIMO. Que de acuerdo con los documentos recaudados por esta Dirección de manera preliminar y los documentos aportados con los descargos, esta instancia dispuso incorporar las siguientes pruebas mediante la Resolución N.° 58867 del 15 de agosto de 20255 y correr traslado por 10 días para que la sociedad investigada presentara los alegatos de conclusión: 7.1.

Resolución N.º 86549 del 5 de diciembre de 2022 por la cual la Dirección de Habeas Data imparte una orden administrativa a la sociedad BANCO SERFINANZA S.A.6 7.2. Correo electrónico remitido por la Titular de la información el 11 de febrero de 2022, en el que manifiesta su inconformidad con la sociedad investigada por contactarla al número telefónico XXXXXXXXXX, el cual, según lo manifiesta, ha solicitado eliminar de las bases de datos.7 7.3.

Requerimiento de información dirigido a la sociedad BANCO SERFINANZA S.A. por parte de la Coordinador del Grupo de Trabajo de Tratamiento de Datos Personales de fecha 11 de octubre de 2022.8 7.4. Certificación de notificación mediante aviso N.º 34454 de la Resolución N.º 86549 del 5 de diciembre de 2022, expedida por la Secretaria General AD-HOC de esta Superintendencia el 16 de diciembre de 2022.9 7.5.

Requerimiento de información dirigido a la sociedad BANCO SERFINANZA S.A. por parte de la Coordinador del Grupo de Trabajo de Tratamiento de Datos Personales de fecha 23 de julio de 2024.10 7.6. Escrito de descargos presentado por la sociedad BANCO SERFINANZA S.A. el 20 de diciembre de 2024 bajo el radicado 24-448615-00009-0000 del 23 de diciembre de 202411.

Al cual, se adjuntan los siguientes documentos: 7.6.1. Poder especial otorgado por la sociedad BANCO SERFINANZA S.A., al abogado ANDRÉS FELIPE DÍAZ ARANA.12 7.6.2. Solicitud única de vinculación de clientes de la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX con la sociedad BANCO SERFINANZA S.A..13 7.6.3. Respuesta del 31 de enero de 2022 de la sociedad BANCO SERFINANZA S.A a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX.14 7.6.4.

Respuesta del 2 de febrero de 2022 de la Defensoría del Consumidor Financiero a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX, respecto a la reclamación 04-023-20225 Expediente Digital 24-448615. Actos Administrativos. RE 58867 2025/08/15 6 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folios 1 al 9. 7 Expediente Digital 24-448615.

Consecutivo número 0. Página 2. Folio 10. 8 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folios 11 al 12. 9 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folio 13. 10 Expediente Digital 24-448615. Consecutivo número 0. Página 2. Folios 14 y 15. 11 Expediente Digital 24-448615. Consecutivo número 9. Página 3.

Folios 1 al 26. 12 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 28 al 30. 13 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 32 a 36. 14 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 37. “Por la cual se impone una sanción administrativa” 01-19-2 contra la sociedad BANCO SERFINANZA S.A..15 7.6.5.

Respuesta del 21 de febrero de 2022 de la sociedad BANCO SERFINANZA S.A a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX y soporte de envío16 7.6.6. Respuesta del 15 de marzo de 2022 de la sociedad BANCO SERFINANZA S.A a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX y soporte de envío.17 7.6.7. Certificación de configuración de la Regla de Notificaciones Judiciales “Gestión de Corres de Dominio SIC”.18 7.6.8.

Informe técnico de debida diligencia del Banco Serfinanza en PUNITECH.19 7.6.9. Balance general y el estado de pérdidas y ganancias 2021.20 7.6.10. Balance general y el estado de pérdidas y ganancias 2022.21 7.6.11. Balance general y el estado de pérdidas y ganancias 2023.22 OCTAVO. Que a la investigada le fue comunicada la Resolución N.º 58867 del 15 de agosto de 2025 en la misma fecha de expedición del acto administrativo, de conformidad con la certificación expedida por la Secretaria General AD-HOC de esta Superintendencia el 19 de agosto del 2025 bajo el Radicado N.º 24448615- -13.23 NOVENO. Que la sociedad investigada a través de apoderado presentó escrito de alegatos de conclusión dentro del término legal, esto es, el 29 de agosto del 2025 bajo el radicado N°. 24-448615- -00014-0000 del 1 de septiembre del 2025, en el que reiteró lo manifestado en el escrito de descargos y agregó lo siguiente: 9.1.

La sociedad investigada presenta un análisis relacionado con el ius puniendi, citando apartes de la jurisprudencia de la Corte Constitucional. Posteriormente, enfoca su argumentación en el poder sancionador de la administración pública y concluye con consideraciones sobre la función de inspección, vigilancia y control ejercida por la Superintendencia. 9.2.

En cuanto al cargo único formulado por este Despacho, la sociedad investigada aporta dentro de los documentos allegados como prueba “el “Informe Técnico de Cumplimiento” PUNITECH® presentado en diciembre de 2024, el cual da cuenta del desarrollo, avance y consolidación del programa de cumplimiento normativo en protección de datos personales implementado por el Banco Serfinanza desde el año 2022.” 9.3.

La sociedad sostiene que el programa descrito en el informe mencionado en el numeral anterior ha sido implementado internamente con el propósito de dar cumplimiento a las disposiciones legales en materia de protección de datos personales. En ese sentido, resalta que dicho informe concluye que “el Banco Serfinanza ha alcanzado un nivel de cumplimiento ALTO en materia de tratamiento de datos personales, destacando la solidez de su arquitectura normativa y el compromiso institucional 12 con la mejora continua y la adecuación al marco legal vigente.

Esta evidencia permite afirmar que el Banco ha actuado con debida diligencia y transparencia frente a sus deberes legales, adoptando medidas estructurales orientadas no solo a subsanar posibles falencias, sino 15Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 38. 16 Expediente Digital 24-448615. Consecutivo número 9. Página 3.

Folios 40 a 41. 17 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 43 a 44 18 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 46 a 48. 19 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 50 a 68 20 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 71 a 72 21 Expediente Digital 24-448615.

Consecutivo número 9. Página 3. Folios 74 a 75 22 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 77 a 78 23 Expediente Digital 24-448615. Consecutivo número 13. Página 1. “Por la cual se impone una sanción administrativa” también a prevenir su repetición.”. 9.4. Adicionalmente, presentan la “Certificación de Configuración de la Regla de Notificaciones Judiciales – Gestión de Correos de Dominio SIC” suscrita por el Departamento de Tecnología de la Información el 10 de diciembre de 2024.

Lo anterior, como medida correctiva para la priorización y categorización de las notificaciones respecto a los mensajes que reciban con el dominio @sic.gov.co. 9.5. En relación con las comunicaciones enviadas por la titular de la información a la sociedad investigada, solicitando la eliminación de su número fijo de las bases de datos utilizadas para las gestiones de cobro, esta última afirma haber respondido a las tres solicitudes de la siguiente manera: “• Primera solicitud: El 18 de enero de 2022, XXXX XXXXXXXXX XXXXXXXXX XXXXXX solicitó eliminar su línea fija y que las gestiones de cobro fueran realizadas exclusivamente a su número de celular.

De otra parte, la sociedad investigada aduce que en el presente caso, los derechos de la titular de la información fueron garantizados de forma previa a la intervención de la Superintendencia. De manera específica señala sobre el particular lo siguiente: “En este contexto, la omisión en la remisión oportuna de la acreditación del cumplimiento no puede equipararse a una vulneración sustancial de los derechos de la titular.

La Ley 1581 de 2012, en su artículo 1, establece como objeto principal la protección de los derechos fundamentales, libertades y garantías de los titulares. La normativa sobre protección de datos debe subordinarse, por tanto, a la eficacia de los derechos fundamentales del individuo, privilegiando la restauración material de los derechos sobre el cumplimiento de formalismos administrativos.

Por lo tanto, cualquier eventual incumplimiento formal en la remisión oportuna de acreditaciones carece de trascendencia material y no justifica la imposición de una sanción -mucho menos si es de carácter pecuniaria-. Esto resultaría desproporcionado y contrario a los principios de proporcionalidad y de necesidad, que rigen el derecho administrativo sancionador:” En este apartado, la sociedad sostiene que este Despacho “deberá” concluir que, en el presente caso, corresponde imponer una orden administrativa y no una sanción pecuniaria. 9.7.

Finalmente, la sociedad investigada presenta dos solicitudes dentro de su escrito de alegatos de conclusión: i. ii. Ordenar el archivo de la investigación por la inexistencia de la infracción al literal o) del artículo 17 de la Ley 1581 de 2012. Deforma subsidiaria, si este Despacho resuelve que la sociedad investigada efectivamente trasgredió la norma, la sociedad solicita que se impartan medidas correctivas de carácter pedagógico y “Por la cual se impone una sanción administrativa” preventivo.

DÉCIMO. Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO. Análisis del caso 11.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20116, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, en el caso concreto, se tiene que la sociedad BANCO SERFINANZA S.A. con NIT. 860.043.186-6, vulneró presuntamente lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma; al no dar cumplimiento a lo ordenado mediante la Resolución N.° 86549 del 05 de diciembre de 2022.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el conjunto de pruebas obrantes en el expediente. 11.2. Valoración probatoria y conclusiones 11.2.1. Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente: “Artículo 21.

Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) “Por la cual se impone una sanción administrativa” b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

(…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; (…)” (Cursiva y negrilla fuera de texto) En primer lugar, es importante recordar que, en el presente caso, la parte considerativa de la Resolución N.° 86549 del 5 de diciembre de 2022 señaló lo siguiente: “6.1 Respecto del silencio de los Responsables frente a los Requerimientos de esta Superintendencia Teniendo en cuenta que la sociedad BANCO SERFINANZA S.A, no respondió al requerimiento realizado por este Despacho el día 11 de octubre de 2022 (Consecutivo No. 22-54815-7), es preciso tener en cuenta en el caso particular que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (Ley 1437 de 2011) dispone lo siguiente: ‘(…) Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión que será motivada’ (…).

Por otra parte, el artículo 176 del Código General del Proceso señala que: ‘Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana crítica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos (…)’. Atendiendo las reglas citadas, se encuentra que en el presente caso vencido el término otorgado por esta Superintendencia para que la sociedad BANCO SERFINANZA S.A, rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, no se pronunció al respecto; es decir, guardó silencio, pese a que el requerimiento de información fue notificada (sic) el 11 de octubre de 2022 al correo electrónico de notificación judicial que aparece en el Certificado de Existencia y Representación Legal de la sociedad, que para el efecto corresponde al correo notificacionesjudiciales@bancoserfinanza.com (…) Razón por la cual, se tendrá en cuenta con mayor énfasis lo informado por la titular en su queja y lo que éste allegó al expediente, a la hora de resolver el presente asunto.

El oficio identificado con el número de radicado 22-54815-7, fechado el 11 de octubre de 2022, fue remitido a la dirección electrónica notificacionesjudiciales@bancoserfinanza.com, registrada para efectos de notificación judicial en el Certificado de Existencia y Representación Legal expedido por la Cámara de Comercio de Barranquilla. Transcurrido el término de QUINCE (15) días otorgado para atender el requerimiento, no consta en el expediente que la sociedad BANCO SERFINANZA S.A. haya dado respuesta al mismo.

Posteriormente, el Grupo de Trabajo de Tratamiento de Datos Personales de esta Superintendencia requirió a la sociedad BANCO SERFINANZA S.A., mediante oficio con radicado número 22-54815-18 del 23 de julio de 2024, con el fin de “Por la cual se impone una sanción administrativa” que allegara la evidencia del cumplimiento de la orden administrativa contenida en la Resolución N.° 86549 del 5 de diciembre de 2022.

Vencido el término de OCHO (08) días concedido para dar respuesta, no obra en el expediente constancia de que la sociedad haya atendido el requerimiento formulado." Adicionalmente, como se mencionó al inicio del presente acto administrativo, la Dirección de Investigaciones de Protección de Datos Personales impartió a la sociedad investigada la siguiente orden administrativa: “ARTÍCULO PRIMERO: Ordenar a la sociedad BANCO SERFINANZA S.A, identificada con Nit. 860.043.186-6, para que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión, elimine el número de celular XXXXXXXXXX en su relación con la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX, identificado (sic) con cédula de ciudadanía No. XXXXXXXXXXXXX de sus bases de datos, de tal manera que cese el contacto a dicho abonado telefónico, teniendo en cuenta que dicha sociedad posiblemente incumplió el literal e) del artículo 8 de la Ley 1581 de 2012.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad BANCO SERFINANZA S.A acreedora de las sanciones previstas en la Ley. (…)” 24. Ahora bien, teniendo en cuenta que la Resolución N.° 86549 del 05 de diciembre de 2022, fue notificada a la sociedad investigada mediante aviso el día 16 de diciembre de 2022, conforme a la certificación expedida por la Secretaría General de esta Superintendencia, el plazo otorgado por esta Superintendencia para dar cumplimiento a la orden administrativa impartida era de cinco (5) días hábiles contados a partir de la ejecutoria del acto administrativo.

En cuanto a la ejecutoria del acto administrativo, este Despacho considera pertinente precisar que, de conformidad con lo dispuesto en el artículo segundo de la Resolución N.° 86549 del 05 de diciembre de 2022, se ordenó la notificación del mismo e informó a la sociedad investigada que contaba con un término de diez (10) días hábiles siguientes a la fecha de notificación para interponer recurso de reposición. En ese sentido, si la notificación se surtió el 16 de diciembre del 2022, el plazo máximo para interponer el recurso 30 de diciembre del 2022.

Al no haberse interpuesto dicho recurso, el acto administrativo adquirió firmeza el 2 de enero de 2023. En consecuencia, la Resolución N.° 86549 del 05 de diciembre de 2022 quedó en firme el 2 de enero de 2023, fecha a partir de la cual comenzó a contarse el término de cinco (5) días hábiles para dar cumplimiento a la orden administrativa.

Así, la fecha límite para dicho cumplimiento era el 10 de enero de 2023. Finalmente, conforme a lo dispuesto en el parágrafo segundo del artículo primero de la resolución mencionada, la sociedad investigada debía acreditar el cumplimiento de lo ordenado dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

En tal virtud, la certificación debió aportarse, como máximo, el 17 de enero del 2023. Teniendo claridad sobre las fechas y los términos procesales en los que la sociedad investigada debió ejercer su derecho de defensa y contradicción en el marco del principio constitucional del debido proceso, este Despacho procederá 24 Expediente Digital 24-448615.

Consecutivo número 0. Página 2. Folio 7. “Por la cual se impone una sanción administrativa” análisis del proceso surtido respecto a la notificación del acto administrativo, el cual, fue debidamente notificado a la dirección de correo electrónico notificacionesjudiciales@bancoserfinanza.com, registrada como dirección electrónica para notificaciones judiciales en el certificado de existencia y representación legal de la sociedad, conforme consta en el Registro Único Empresarial y Social – RUES –, como se evidencia a continuación: Imagen No. 1.

Captura de Pantalla tomada del Registro Único Empresarial y Social de la sociedad BANCO SERFINANZA S.A expedido por la Cámara de Comercio de Barranquilla. Teniendo en cuenta lo anterior, este Despacho procederá a ampliar, para un mejor entendimiento, la explicación relativa a la responsabilidad que asiste a los sujetos obligados del régimen de protección de datos personales en cuanto al deber de atender las órdenes y requerimientos impartidos por esta Superintendencia. Sea lo primero señalar que la sociedad BANCO SERFINANZA S.A. no aportó respuesta a dos requerimientos formulados por esta Superintendencia: el primero, remitido el 11 de octubre de 2022 bajo el radicado número 22-548157, y el segundo, enviado el 23 de julio de 2024 con radicado número 22-5481518 este último con el propósito de verificar el cumplimiento de la orden impartida.

Aunado a lo anterior, esta Superintendencia de Industria y Comercio, en ejercicio de la facultad conferida en el literal e) del artículo 21 de la Ley 1581 de 2012, impartió una orden administrativa a la sociedad BANCO SERFINANZA S.A. “Por la cual se impone una sanción administrativa” mediante la Resolución N.° 86549 del 05 de diciembre de 2022.

En el mismo acto administrativo se advirtió que, en caso de incumplir dichas órdenes, la Superintendencia, a través de la Dirección de Investigaciones de Protección de Datos Personales, podrá imponer la sanción correspondiente en virtud de la facultad sancionatoria establecida en el artículo 23 de la mencionada ley. Tal como se indicó anteriormente, la sociedad investigada contaba hasta el 16 de enero del 2023 para remitir la certificación de cumplimiento de la orden impartida.

De manera que, una vez verificado el expediente, se constató que la sociedad investigada no acreditó el cumplimiento de la orden administrativa conforme lo previsto en la Resolución N.° 86549 del 05 de diciembre de 2022. En consecuencia, este Despacho determinó iniciar una investigación administrativa, para lo cual expidió la Resolución N.° 73072 del 26 de noviembre del 2024, con el fin de establecer la existencia de posibles infracciones a las disposiciones en materia de protección de datos personales y, de ser procedente, imponer las sanciones correspondientes.

En el curso de esta investigación administrativa, la sociedad BANCO SERFINANZA S.A. a través de su apoderado, presentó escrito de descargos el 20 de diciembre de 2024 bajo el radicado 24-448615-00009-0000 del 23 de diciembre de 2024, mediante el cual manifiesto respecto al cargo único que: “ … reconoce su deber de atender las instrucciones y requerimientos impartidos por la Superintendencia de Industria y Comercio en su calidad de responsable del tratamiento de datos personales.

Sin embargo, es necesario señalar que la falta de respuesta oportuna a los requerimientos obedeció a factores excepcionales y no a una actitud deliberada de desconocer las obligaciones legales, así como tampoco una práctica común o sistemática dentro de la organización”. Específicamente, el BANCO SERFINANZA S.A. manifiesta que la no respuesta a los requerimientos formulados tuvieron como causa la siguiente circunstancia:: “La no contestación de los requerimientos formulados por la SIC se debió a un incidente aislado, atribuido a un error humano derivado de fallas en la administración del correo electrónico del Banco. lo cual llevó a la indebida notificación del correo y la interrupción del procesamiento adecuado de las notificaciones judiciales y administrativas con respecto a los correos provenientes de esta superintendencia. (Cursiva y negrilla fuera de texto)25” A partir de este hecho, la sociedad investigada manifiesta que ha implementado medidas correctivas para la optimización de los procesos internos y el fortalecimiento tecnológicos, tales como, la optimización del sistema del correo electrónico.

Esta mejora se encuentra documentada en uno de los anexos denominado “Certificación de Configuración de la Regla de Notificaciones Judiciales”. Al final del escrito, elevan la siguiente petición: “1. Que se disponga el archivo anticipado del proceso administrativo sancionador, al haberse demostrado que la solicitud de la Consumidora Financiera fue atendida en cumplimiento de la normativa vigente y que no se vulneraron los derechos fundamentales de los titulares de los datos personales. 2.

En caso de que se determine algún grado de responsabilidad por parte del Banco, se solicita que, en lugar de imponer una sanción 25 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 15. “Por la cual se impone una sanción administrativa” pecuniaria, se adopten medidas correctivas proporcionales, orientadas a fortalecer los mecanismos de cumplimiento y garantizar la prevención de incidentes similares en el futuro, en concordancia con el principio de proporcionalidad y la finalidad del Régimen General de Protección de Datos Personales.” Adicionalmente, con el escrito de descargos aportó los siguientes medios de prueba: ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ Poder especial otorgado por la sociedad BANCO SERFINANZA S.A., al abogado ANDRÉS FELIPE DÍAZ ARANA.26 Solicitud única de vinculación de clientes de la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX con la sociedad BANCO SERFINANZA S.A..27 Respuesta del 31 de enero de 2022 de la sociedad BANCO SERFINANZA S.A a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX.28 Respuesta del 2 de febrero de 2022 de la Defensoría del Consumidor Financiero a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX, respecto a la reclamación 04-023-2022-01-19-2 contra la sociedad BANCO SERFINANZA S.A..29 Respuesta del 21 de febrero de 2022 de la sociedad BANCO SERFINANZA S.A a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX y soporte de envío30 Respuesta del 15 de marzo de 2022 de la sociedad BANCO SERFINANZA S.A a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX y soporte de envío.31 Certificación de configuración de la Regla de Notificaciones Judiciales “Gestión de Corres de Dominio SIC”.32 Informe técnico de debida diligencia del Banco Serfinanza en PUNITECH.33 Balance general y el estado de pérdidas y ganancias 2021.34 Balance general y el estado de pérdidas y ganancias 2022.35 Balance general y el estado de pérdidas y ganancias 2023.36 Posteriormente, este Despacho mediante la Resolución N.° 58867 del 15 de agosto de 2025, incorporó las pruebas al expediente administrativo y corrió traslado a la sociedad investigada para que rindiera los respectivos alegatos de conformidad con lo dispuesto en el inciso segundo del artículo 48 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo).

De modo que, la sociedad investigada a través de su apoderado presentó escrito de alegatos de conclusión dentro del término legal, el 29 de agosto del 2025 bajo el radicado N°. 24-448615- -00014-0000 del 1 de septiembre del 2025, en el que reiteró lo manifestado en el escrito de descargos y agregó lo siguiente: “el Banco Serfinanza ha alcanzado un nivel de cumplimiento ALTO en materia de tratamiento de datos personales, destacando la solidez de su arquitectura normativa y el compromiso institucional con la mejora continua y la adecuación al marco legal vigente.

Esta evidencia permite afirmar que el Banco ha actuado con debida diligencia y transparencia frente a sus deberes legales, adoptando medidas estructurales orientadas no solo a subsanar posibles falencias, sino también a prevenir su repetición.”. 26 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 28 al 30. 27 Expediente Digital 24-448615.

Consecutivo número 9. Página 3. Folios 32 a 36. 28 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 37. 29Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 38. 30 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 40 a 41. 31 Expediente Digital 24-448615. Consecutivo número 9. Página 3.

Folios 43 a 44 32 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folio 46 a 48. 33 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 50 a 68 34 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 71 a 72 35 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 74 a 75 36 Expediente Digital 24-448615.

Consecutivo número 9. Página 3. Folios 77 a 78 “Por la cual se impone una sanción administrativa” De igual manera, presentan la “Certificación de Configuración de la Regla de Notificaciones Judiciales – Gestión de Correos de Dominio SIC” suscrita por el Departamento de Tecnología de la Información el 10 de diciembre de 2024. Lo anterior, como medida correctiva para la priorización y categorización de las notificaciones respecto a los mensajes que reciban con el dominio @sic.gov.co.

Finalmente, presenta dos solicitudes dentro de su escrito de alegatos de conclusión: iii. iv. Ordenar el archivo de la investigación por la inexistencia de la infracción al literal o) del artículo 17 de la Ley 1581 de 2012. De forma subsidiaria, si este Despacho resuelve que la sociedad investigada efectivamente trasgredió la norma, la sociedad solicita que se impartan medidas correctivas de carácter pedagógico y preventivo.

Ahora bien, conforme a lo establecido en el Decreto Único Reglamentario 1074 de 2015, el principio de responsabilidad demostrada (accountability) impone a los responsables del tratamiento de datos personales la obligación de demostrar, a solicitud de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para garantizar el cumplimiento de la Ley 1581 de 2012 y su reglamentación. En particular, el artículo 2.2.2.25.6.137 establece que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica y el tamaño del responsable;

(ii) la naturaleza de los datos personales objeto del tratamiento; (iii) el tipo de tratamiento efectuado; y (iv) los riesgos potenciales que dicho tratamiento pueda implicar para los derechos de los titulares. El mismo artículo dispone que, en respuesta a requerimiento de la Superintendencia, los responsables deben suministrar evidencia concreta sobre los procedimientos de recolección, las finalidades del tratamiento, la pertinencia de los datos recolectados, y la implementación efectiva de las medidas de seguridad adoptadas.

Por su parte, el artículo 2.2.2.25.6.238 prevé que tales medidas deben estar respaldadas por políticas internas efectivas, que incluyan estructuras administrativas adecuadas, programas de formación, herramientas 37 Decreto 1074 de 2015. Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. 38 Decreto 1074 de 2015. Artículo 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la 1.

La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo." “Por la cual se impone una sanción administrativa” de implementación y mecanismos para la atención de peticiones, quejas y reclamos por parte de los titulares.

En este sentido, se advierte que la sociedad investigada aporta una serie de documentación, con los cuales pretende probar la existencia de políticas internas efectivas a fin de demostrarle al Despacho que ha adoptado un programa de cumplimiento normativo en materia de protección de datos personales. Dentro de dichas actuaciones, se resalta lo manifestado en el “Informe técnico de debida diligencia del Banco Serfinanza en PUNITECH®”39 elaborado por los asesores externos contratados por la sociedad investigada.

En este informe se informan las actividades que se han implementado en el marco de un programa de cumplimiento que ha sido reforzado desde el año 2022. Según el documento aportado, este informe “tiene como propósito demostrar las acciones adoptadas por el Banco entre los años 2022 y 2024 para fortalecer su gestión en materia de cumplimiento, con énfasis en la implementación de mecanismos de prevención, detección y respuesta a cualquier eventual incumplimiento normativo.

En particular, se detallan las iniciativas, políticas y procedimientos diseñados para garantizar el ejercicio de los derechos de los titulares, en cumplimiento de las exigencias legales y regulatorias.” Se destacan las siguientes actividades que, según el informe externo, se implementaron entre el 2022 y 2023: 1. Jornadas de capacitación dirigidas a los empleados del banco, las cuales se realizaron en dos bloques: i. ii.

Capacitación teórica en la que se trataron temas como los siguientes: Definición de datos personales, lineamientos internacionales y evolución de la normatividad aplicable, tipos de información (pública, semiprivada, privada y sensible), habeas data financiero, recomendaciones para prestar un servicio de interés público. Capacitación práctica, en la cual se presentaron y resolvieron casos sobre tratamiento de datos en entidades financieras, de conformidad con los conceptos explicación en la sesión teórica. 2.

Reuniones periódicas a partir del 15 de agosto del 2023 hasta el 31 de octubre 2023, con distintas áreas de Serfinanza, coordinadas por el departamento jurídico y relacionadas con la Ley 2300 del 2023. 3. Se incorporó un componente específico relacionado con la Política de Tratamiento de Datos, diseñado para garantizar el cumplimiento normativo y la protección efectiva de los derechos de los titulares a través de los siguientes instrumentos: i. ii. iii.

Riesgo de Conducta Política de Tratamiento de Datos / Habeas Data Antifraude Finalmente, durante este periodo de tiempo, la firma de asesores externos identificó durante la Fase I Diagnóstico en materia de tratamiento de datos, que la sociedad investigada contaba con los siguientes documentos: – Política de Protección de Datos Personales Banco Serfinanza V3.0. – Instructiva atención de PQR habeas data. – Ley Habeas Data – Banco Serfinanza. – Manual de procedimientos para atención de quejas de centrales de riesgo. 39 Expediente Digital 24-448615.

Consecutivo número 9. Página 3. Folios 50 a 68. “Por la cual se impone una sanción administrativa” – Manual de procedimientos para atención de quejas suplantación de identidad. – Inventarios activos de información V2.0. – Gestión de Activos de la Información V 5.0. – Inventario Activos de Información V2.0. – Listado proveedores de Cobranza Marzo 2024. – Política de protección de datos personales. – Política de protección de Datos Personales. – Matriz RO Protección de datos. – Gestión de Incidentes de SI & CS V6.0. – Configuración Copias De Seguridad - TI-IT-DC-009. – Aviso de privacidad y autorización para el tratamiento de datos personales en el proceso de selección de personal. – Cláusulas del contrato asociadas con Habeas Data. – Consentimiento Informado para uso de Microsoft 365 en dispositivos móviles. – Política de cookies. – Formato Solicitud Única de Vinculación de clientes.

En ese orden de ideas, se evidencia que la sociedad BANCO SERFINANZA S.A. ha adoptado medidas de debida diligencia frente a la queja formulada por la titular, en la medida en que, mediante los documentos allegados en las respectivas oportunidades procesales, se evidencia la implementación de un programa de cumplimiento normativo en materia de protección de datos personales, orientado a subsanar las falencias identificadas y a actuar con la diligencia necesaria para mitigar la ocurrencia de hechos similares a los que dieron origen a la presente investigación administrativa.

Dicho lo anterior, este Despacho contemplará la aplicación al principio de responsabilidad demostrada, toda vez que, la sociedad investigada presentó evidencias que permiten reconocer la implementación real y efectiva de mecanismos orientados a garantizar la protección de datos personales de forma previa a la apertura de la presente investigación. En consecuencia, la documentación allegada se valorará en el marco de la presente decisión dentro de una eventual graduación de la sanción, dado que demuestra la existencia de una gestión activa, preventiva y correctiva en materia de protección de datos personales.

Ahora bien, siendo cierto que la sociedad investigada no acreditó el cumplimiento en los términos y condiciones señalados en el acto administrativo, se concluye que, aun cuando la sociedad manifestó expresamente que se trató de un “error humano” toda vez que, “el sistema de correo electrónico del Banco no estaba configurado para priorizar las notificaciones provenientes del dominio @sic.gov.co, lo que permitió que estos mensajes se confundieran entre otras comunicaciones”, este Despacho no puede considerar que se dio cumplimiento a la orden impartida, toda vez que dicha certificación debía ser aportada al expediente en los términos señalados en el acto administrativo y ello no ocurrió. El hecho de que la sociedad investigada manifieste que “la solicitud de la Consumidora Financiera fue atendida en cumplimiento de la normativa vigente y que no se vulneraron los derechos fundamentales de los titulares de los datos personales”, la presente investigación versa sobre la obligación que le asiste a los responsables del tratamiento de la información de atender y cumplir con las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio, dentro de las cuales se encuentra la certificación que acreditaba el cumplimiento de lo ordenado.

Ahora bien, la sociedad investigada tanto en el escrito de descargos como en los alegatos de conclusión aduce que “… La normativa sobre protección de datos debe subordinarse, por tanto, a la eficacia de los derechos fundamentales del individuo, privilegiando la restauración material de los derechos sobre el cumplimiento de formalismos administrativos.

Por lo tanto, cualquier eventual incumplimiento formal en la remisión oportuna de acreditaciones carece de “Por la cual se impone una sanción administrativa” trascendencia material y no justifica la imposición de una sanción -mucho menos si es de carácter pecuniaria-.” Frente a lo anterior, es importante que este Despacho precise a la investigada que la certificación de cumplimiento dentro de un proceso administrativo sancionatorio no puede considerarse un asunto meramente formal, por el contrario, se trata de la garantía del derecho fundamental de habeas data que asiste a los titulares de la información cuyos datos son administrados por la sociedad BANCO SERFINANZA S.A. Queda entonces en evidencia que la sociedad BANCO SERFINANZA S.A., al no presentar la certificación de cumplimiento de las órdenes administrativas dentro del plazo otorgado por la Dirección de Habeas Data, mediante la Resolución N.° 86549 del 05 de diciembre de 2022— esto es, hasta el 16 de enero del 2023—, impidió que se pudiera verificar de manera efectiva la materialización de las acciones necesarias para garantizar a los titulares de la información el pleno ejercicio de su derecho fundamental de habeas data.

Adicional a lo expuesto, este Despacho considera que no constituye un eximente de responsabilidad, ni impide la aplicación de las consecuencias derivadas del incumplimiento de los deberes legales por parte de la sociedad BANCO SERFINANZA S.A., en su calidad de responsable del Tratamiento, el argumento de que, por errores internos, no tuvo acceso a la notificación de la Resolución N.º 86549 del 05 de diciembre de 2022, ni a los requerimientos enviados.

Lo anterior, en la medida en que esta Superintendencia debe ceñirse a las normas vigentes, las cuales permiten la notificación de actos administrativos a través del correo electrónico que conste en el certificado de existencia y representación legal. En consecuencia, corresponde a la sociedad investigada garantizar que la información reportada se mantenga actualizada.

Asimismo, debe aclararse que los inconvenientes relacionados con el correo electrónico, no pueden considerarse como fuerza mayor o caso fortuito, ya que no se cumplen los requisitos legales para configurar tales circunstancias. Analizadas las pruebas obrantes en el expediente, se advierte que, si bien la sociedad aportó una serie de documentos con los cuales pretende acreditar el cumplimiento de la orden impartida, lo cierto y evidente para este Despacho es que dicho cumplimiento no fue acreditado dentro de la oportunidad procesal pertinente.

En el presente caso, es claro que la investigada al no cumplir con la acreditación de las órdenes impartidas por la Dirección de Habeas Data mediante la Resolución N.° 86549 del 05 de diciembre de 2022, despliega una conducta que se subsume típicamente en una infracción al deber de cumplir con las instrucciones impartidas por la autoridad de control, deber contenido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma.

Sin embargo, este Despacho bajo el principio de responsabilidad demostrada, valorará la documentación en el marco de la presente decisión dentro de una eventual graduación de la sanción, dado que demuestra la existencia de una gestión activa, preventiva y correctiva en materia de protección de datos personales.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2340. Esta potestad 40 “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: “Por la cual se impone una sanción administrativa” sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 241, 442 y 643 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo44.

La Corte Constitucional señaló sobre este asunto: “La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”45 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional46.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 42 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 43 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 45 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. 46 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa” En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario – UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario – UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” “Por la cual se impone una sanción administrativa” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.

De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional47 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”48 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros49. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 48 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

“Por la cual se impone una sanción administrativa” La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”50.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia51. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2352 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” 50 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 52 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “2.23. EXÁMEN DEL ARTÍCULO 24: CRITERIOS PARA GRADUAR LAS SANCIONES (…) 2.23.3. La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (…) 53 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Frente a la aplicación del principio de Responsabilidad Demostrada El artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015, establece lo siguiente: “ARTÍCULO 2.2.2.25.6.2.

Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2. 25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.

“Por la cual se impone una sanción administrativa” 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.” (Subrayo fuera de texto original) Por su parte, frente a la solicitud elevada por la sociedad investigada, en la cual manifiesta que: “el Banco Serfinanza ha alcanzado un nivel de cumplimiento ALTO en materia de tratamiento de datos personales, destacando la solidez de su arquitectura normativa y el compromiso institucional con la mejora continua y la adecuación al marco legal vigente.

Esta evidencia permite afirmar que el Banco ha actuado con debida diligencia y transparencia frente a sus deberes legales, adoptando medidas estructurales orientadas no solo a subsanar posibles falencias, sino también a prevenir su repetición.” 54 De igual manera, en su escrito de alegatos de conclusión, la sociedad investigada se pronunció de manera específica sobre las notificaciones de los mensajes recibidos por parte de la Superintendencia de Industria y Comercio, manifestando lo siguiente: “Con el propósito de garantizar el cumplimiento de los requerimientos normativos y prevenir la repetición de incidentes similares, el Banco Serfinanza implementó una serie de medidas correctivas dirigidas a optimizar sus procesos internos y fortalecer sus sistemas tecnológicos.

Para ello, se adelantó una investigación exhaustiva para identificar las causas específicas del incidente por el cual se investiga a Banco Serfinanza en el presente expediente. Este análisis incluyó una revisión detallada del sistema de correo electrónico, en la cual se analizaron las configuraciones actuales para detectar deficiencias en la priorización y categorización de las notificaciones.

Como resultado de esta investigación, se establecieron acciones específicas para corregir las deficiencias detectadas y prevenir su recurrencia. Como prueba de lo anterior, se incorporó al expediente la “Certificación de Configuración de la Regla de Notificaciones Judiciales – Gestión de Correos de Dominio SIC”, suscrita por personal del Departamento de Tecnología de la Información el 10 de diciembre de 2024.

Este documento técnico da cuenta del proceso de configuración, validación y prueba de una regla automatizada dentro del sistema de correo institucional, específicamente diseñada para gestionar de manera prioritaria y eficiente los mensajes provenientes del dominio @sic.gov.co.”55 Este Despacho considera que es procedente evaluar el principio de responsabilidad demostrada de acuerdo a lo establecido en el inciso final del artículo 2.2.2.25.6.2 del Decreto 1074 de 201556.

Lo anterior, por cuanto, como se analizó previamente en esta providencia, la sociedad acreditó haber implementado medidas apropiadas, suficientes y efectivas para cumplir con las 54 Expediente Digital 24-448615. Consecutivo número 14. Página 3. Folios 11 y 12. 55 Expediente Digital 24-448615. Consecutivo número 14. Página 3. Folio 12. 56 Decreto 1074 de 2015.

“Artículo 2.2.2.25.6.2. Políticas internas efectivas. (…) La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.” “Por la cual se impone una sanción administrativa” obligaciones previstas en la Ley 1581 de 2012 y en su decreto reglamentario, conforme con los criterios establecidos en la norma.

La sociedad investigada acreditó la implementación de dichas medidas mediante al aporte de los siguientes documentos: 1. Certificación de configuración de la Regla de Notificaciones Judiciales “Gestión de Corres de Dominio SIC”.57 2. Informe técnico de debida diligencia del Banco Serfinanza en PUNITECH.58 En relación con el primer documento, se expone el procedimiento implementado para marcar como de “importancia alta” los correos electrónicos cuyo remitente contenga el dominio @sic.gov.co.

Adicionalmente, se indica que dichos correos serán redirigidos al correo electrónico dpto_juridico@bancoserfinanza.com (Departamento Jurídico), con el fin de garantizar su oportuna recepción y la adecuada respuesta a los requerimientos emitidos por la Superintendencia. De otra parte, la sociedad investigada solicitó a través de asesores externos – firma PUNITECH un estudio técnico sobre la implementación de proyectos de cumplimiento en materia de tratamiento de datos en la organización. En este informe se destacan la implementación de las siguientes actividades implementadas entre el 2022 y 2023: 1.

Jornadas de capacitación dirigidas a los empleados del banco, las cuales se realizaron en dos bloques: iii. iv. Capacitación teórica en la que se trataron temas como los siguientes: Definición de datos personales, lineamientos internacionales y evolución de la normatividad aplicable, tipos de información (pública, semiprivada, privada y sensible), habeas data financiero, recomendaciones para prestar un servicio de interés público.

Capacitación práctica, en la cual se presentaron y resolvieron casos sobre tratamiento de datos en entidades financieras, de conformidad con los conceptos explicación en la sesión teórica. 2. Reuniones periódicas a partir del 15 de agosto del 2023 hasta el 31 de octubre 2023, con distintas áreas de Serfinanza,, coordinadas por el departamento jurídico relacionadas con la Ley 2300 del 2023. 3.

Se incorporó un componente específico relacionado con la Política de Tratamiento de Datos, diseñado para garantizar el cumplimiento normativo y la protección efectiva de los derechos de los titulares a través de los siguientes instrumentos: iv. v. vi. Riesgo de Conducta Política de Tratamiento de Datos / Habeas Data Antifraude En efecto, la aplicación del principio de Accountability exige que el responsable del tratamiento demuestre de manera concreta y documentada que ha adoptado acciones proporcionales a: (i) su naturaleza jurídica y operativa;

(ii) las características de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento realizado; y (iv) los riesgos potenciales que dicho tratamiento puede generar frente a los derechos de los titulares. En consecuencia, en el presente caso, la sociedad logró demostrar que ha implementado medidas de debida diligencia frente a la vulneración analizada, aportando evidencia suficiente que permite verificar la existencia de protocolos eficaces para la prevención, mitigación y respuesta ante incidentes relacionados 57 Expediente Digital 24-448615.

Consecutivo número 9. Página 3. Folio 46 a 48. 58 Expediente Digital 24-448615. Consecutivo número 9. Página 3. Folios 50 a 68 “Por la cual se impone una sanción administrativa” con la confirmación y priorización de los mensajes enviados por esta Superintendencia. Así como, la implementación de proyectos de cumplimiento en materia de tratamiento de datos en la organización a través de una firma asesora externa.

En el caso sub examine, frente al cargo único sobre por el presunto incumplimiento del deber contenido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma, quedó probado que la sociedad BANCO SERFINANZA S.A., no acreditó el cumplimiento de la orden administrativa impuesta por la Dirección de Habeas Data mediante la Resolución N.° 86549 del 05 de diciembre de 2022.

Por tanto, y teniendo en cuenta el principio de responsabilidad demostrada, el cual se acreditó en la presente investigación, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de SESENTA Y OCHO (68) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a SIETE MIL OCHOCIENTOS OCHENTA Y OCHO (7.888) Unidades de Valor Básico – UVB – Vigentes para el año 2025 – equivalentes a NOVENTA Y UN MILLONES CIENTO VEINTIDOS MIL CIENTO SETENTA Y SEIS PESOS M/CTE ($91.122.176)59, por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 12.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, y (v) no hubo un reconocimiento expreso de la comisión de la sanción. El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO TERCERO. CONCLUSIONES 13.1. Que la sociedad BANCO SERFINANZA S.A. al no presentar dentro del término señalado en la Resolución N.° 86549 del 05 de diciembre de 2022 la certificación de cumplimiento de las órdenes administrativas dispuestas por la Dirección de Habeas Data, en procura de la protección efectiva del derecho fundamental de habeas data de los Titulares de la información de los datos personales que administra la sociedad en sus bases de datos, incumplió el deber contenido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma. 13.2.

Como quiera que este Despacho debe preservar el derecho de habeas data de los Titulares y teniendo en cuenta que la sociedad no acredito el 59 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa” cumplimiento de la orden impartidas por la Dirección de Habeas Data en la Resolución N.° 86549 del 05 de diciembre de 2022, ni atendió los requerimientos efectuados se deberá imponer una sanción pecuniaria a la sociedad BANCO SERFINANZA S.A., identificada con NIT. 860.043.186-6, no obstante se valoró que la sociedad haya acreditato el principio de Responsabilidad Demostrada.

DÉCIMO CUARTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad BANCO SERFINANZA S.A., con NIT. 860.043.186-6, con el correo electrónico de notificación judicial notificacionesjudiciales@bancoserfinanza.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 24-448615. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad BANCO SERFINANZA S.A., con NIT. 860.043.186-6, de SESENTA Y OCHO (68) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a SIETE MIL OCHOCIENTOS OCHENTA Y OCHO (7.888) Unidades de Valor Básico – UVB – Vigentes para el año 2025 – equivalentes a NOVENTA Y UN MILLONES CIENTO VEINTIDOS MIL CIENTO SETENTA Y SEIS PESOS M/CTE ($91.122.176)60, por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad BANCO SERFINANZA S.A., con NIT. 860.043.186-6, a través de su Representante Legal en calidad de investigada, así como, al apoderado, entregándole copia de la misma e informándole que contra ella 60 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa” procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 3. COMUNICAR a la señora XXXX XXXXXXXXX XXXXXXXXX XXXXXX, identificada con cédula de ciudadanía N.º XXXXXXXXXXXXXX el contenido de la presente decisión.

ARTÍCULO 4. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Calle 24 # 7 – 43 Local 108 en la ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 de octubre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.10.28 13:58:20 -05'00' CAROLINA GARCÍA MOLINA Proyectó: AC Revisó: YA Aprobó: CG

Resolución sancionatoria N° 87414 de 2025

CONSIDERANDO

RESUELVE