(26 de diciembre de 2025) “Por la cual se resuelve un recurso” Radicación: 21-273914 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que mediante Resolución N.º 38583 del 20 de junio de 20251, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad la sociedad VANTI S.A. ESP identificada con el Nit. 800.007.813-5 de TRESCIENTOS OCHO (308) SALARIOS MÍNIMOS LEGALES VIGENTES – SALARIOS para el año 2023 equivalentes a TREINTA Y CINCO MIL SETECIENTOS VEINTIOCHO (35.728) Unidades de Valor Básico Vigentes para el año 2025 – UVB equivalentes a CUATROCIENTOS DOCE MILLONES SETECIENTOS VEINTINUEVE MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($412.729.856), por la violación a lo dispuesto en: (i) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; y (ii) el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.
Así mismo, impartió las siguientes ordenes: “ARTÍCULO 2: Ordenar a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión. Las ordenes son las siguientes: 1.
Presentar evidencia técnica y funcional de la implementación efectiva del cambio (CHG0033230) en el sistema productivo, la cual puede consistir en: Capturas de pantalla, registros o logs del sistema que reflejen la correcta presentación del número de identificación del cliente en los XML y PDF generados desde el entorno productivo. Resolución No. 17874 del 4 de abril de 2025 obrante en el expediente bajo radicado 22-386528 “Por la cual se resuelve un recurso” 2.
Certificado expedido por el área técnica responsable, donde conste la fecha de liberación del cambio en el ambiente productivo, incluyendo la validación del correcto funcionamiento posterior a la implementación. 3. Registros y/o logs del sistema que evidencien la presentación (número de identificación del cliente en los XML y PDF) mencionada, acompañados de un registro en video que muestre el sistema, la base de datos y los procedimientos ejecutados para la extracción de la información aportada.
Este video debe estar complementado por un manual explicativo del procedimiento. 4. Aportar copia del procedimiento documentado que establezca las actividades de prueba, revisión, verificación y puesta en producción realizadas en los entornos de desarrollo controlados. Este procedimiento debe ser aplicable tanto a las soluciones informáticas propias como a las tercerizadas que involucren el tratamiento de datos personales. 5.
Así mismo, se deberá aportar evidencia de su implementación, incluyendo documentos y demás soportes que permitan demostrar la ejecución y gestión efectiva de las pruebas realizadas. 6. Reportar ante el Registro Nacional de Bases de Datos - RNBD el incidente presentado que dio origen a esta investigación e informar las medidas implementadas para solucionarlo y las acciones llevadas a cabo para mitigar el daño y posibles afectaciones al titular. 7.
Incluir en la Política de Incidentes de Seguridad de la Información la obligación de reportar cualquier error tecnológico relacionado con el tratamiento de datos personales desde el momento en que sea detectado. Dicho reporte deberá realizarse a través del Registro Nacional de Bases de Datos (RNBD) para dar cumplimiento al deber establecido en el literal n) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley. 8.
Robustecer los sistemas de monitoreo y control de incidentes de seguridad en todas las operaciones relacionadas con el tratamiento de datos personales, incorporando mecanismos que generen alertas oportunas ante cualquier novedad que pueda poner en riesgo dichos datos, antes, durante y después de la ejecución de las operaciones.”
SEGUNDO: Que la Resolución N.º 38583 del 20 de junio de 2025 fue notificada mediante Aviso N° 18446 el 3 de julio de 2025 a la sociedad investigada, a través de su apoderado, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado radicado 21-273914- -81 del 3 de julio de 2025.
Así mismo la referida actuación fue comunicada al denunciante.
TERCERO: Que mediante correo electrónico con radicado 21-273914- -00082, 21-273914- -00083 y 21-273914- -00084 del 17 de julio de 2025, a través de su apoderado, la sociedad VANTI S.A. ESP presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución N.º 38583 del 20 de junio de 2025 para que se revoque la sanción impuesta, con fundamento en los siguientes argumentos: 3.1 Respecto del Primer cargo: legalidad y de tipicidad Vulneración de los principios de 3.1.1 Manifestó que, el deber de seguridad es de carácter preventivo y no de resultado, por lo tanto, la infracción se configura cuando el responsable o encargado no implementó medidas de seguridad adecuadas para evitar que ocurra un incidente de seguridad, sin embargo, no se le puede exigir que impida que estas situaciones se presenten.2 2 21-273914.
Consecutivo 82. Página 3. Folio 10 “Por la cual se resuelve un recurso” 3.1.2 Afirmó que, la Dirección en la resolución que impuso la sanción estableció un régimen de responsabilidad objetiva contrario a la Ley, al considerar que VANTI incurrió en una conducta negligente por no tener previsión absoluta de las fallas que podrían ocurrir en la solución tecnológica, sin tener en cuenta la adopción de medidas razonables de seguridad de la información por parte de la sociedad recurrente.3 3.1.3 Aseguró que, la Dirección no acreditó el incumplimiento del deber de adoptar medidas de seguridad de la información adecuadas por parte de VANTI, así como tampoco demostró afectación de la integridad de los datos personales, por uso y adulteración.4 3.1.4 Manifestó que, VANTI cuenta con un robusto sistema de seguridad de la información que incluye el monitoreo y procedimientos de detección y acción ante la ocurrencia de incidentes de seguridad como son: (i) la Política de Seguridad de la Información y Ciberseguridad;
(ii) el Manual Interno de Políticas y Procedimientos en Datos Personales y sus anexos; (iii) la Política de Incidentes de Seguridad de la Información; y (iv) el Procedimiento de gestión de incidentes de seguridad. Así mismo, afirma que VANTI cuenta con medidas de control y realización de pruebas de desarrollos tecnológicos. 5 3.1.5 Resaltó que, el perito en su dictamen pericial concluyó que VANTI cumple con todos los requerimientos y medidas de seguridad de la información y hace referencia a la auditoría interna realizada por PricewaterhouseCoopers (PWC) en el que se determinó que los procedimientos del programa de ciberseguridad son efectivos. 6 3.1.6 También manifestó que, en la resolución impugnada no se demostró que VANTI haya transmitido la información a terceros por error, lo cual vulnera el principio de legalidad y tipicidad.7 3.2 Respecto del Segundo cargo: Vulneración del principio de tipicidad 3.2.1 Reiteró que, la definición normativa de incidente de seguridad no está relacionada con la puesta en peligro de los datos personales, sino que hace referencia a cuatro situaciones: (i) la violación a códigos de seguridad;
(ii) la pérdida de información; (iii) el robo de información; y (iv) el acceso no autorizado de información. Y que no es relevante el nivel de peligrosidad de la situación para determinar si es o no un incidente de seguridad; así mismo afirmó que, en este caso no se presentó ninguna de estas situaciones. 8 3.2.2 Señaló que, ninguna de las medidas se seguridad de VANTI fue vulnerada por cuanto: 9 “(i) ninguna de las medidas de seguridad implementadas por VANTI se vio vulnerada;
(ii) VANTI no extravió ninguno de los datos de titulares bajo su cuidado, pues las bases de datos administradas por VANTI conservaron adecuadamente la totalidad de la información allí incluida; (iii) no hubo una sustracción no autorizada de información pues la información fue compartida y suministrada a la DIAN en cumplimiento de obligaciones legales aplicables a VANTI; y, (iv) tampoco se presentó una situación de acceso no autorizado a la información personal;
VANTI 3 21-273914. Consecutivo 82. Página 3. Folio 10, 11 4 21-273914. Consecutivo 82. Página 3. Folio 11 5 21-273914. Consecutivo 82. Página 3. Folio 12 6 21-273914. Consecutivo 82. Página 3. Folio 17 7 21-273914. Consecutivo 82. Página 3. Folio 18 8 21-273914. Consecutivo 82. Página 3. Folio 19 9 21-273914. Consecutivo 82. Página 3. Folio 19 “Por la cual se resuelve un recurso” compartió la información a una autoridad competente en cumplimiento de sus obligaciones legales.” 3.2.3 Afirmó que, en el presente caso no se violó ningún código de seguridad, puesto que las bases de datos de VANTI mantuvieron su confidencialidad, integridad y disponibilidad.10 3.2.4 Señaló que, la información trasmitida a la DIAN se realizó de forma segura a través de un proveedor habilitado, por lo cual, asegura el recurrente que el incidente se presentó en el sistema de la DIAN por azar, y no ocurrió en los sistemas de VANTI, pues no se envió información personal a terceros no autorizados como el señor XXXX XXXXXXXXXXXXXXXX.
De igual manera, no se presentó afectación a las bases de datos de la sociedad recurrente.11 3.2.5 El recurrente afirmó que, no hubo perdida de la información personal en sus bases de datos, tampoco se presentó robo de la información puesto que fue trasmitida a la DIAN en cumplimiento de las obligaciones legales de facturación electrónica, ni ocurrió un acceso no autorizado. 12 3.2.6 Manifestó que, no se presentó ninguna otra queja o solicitud con relación a la situación investigada, lo que demuestra que es casi nulo el impacto que se puedo generar. 13 3.2.7 El recurrente argumentó que, no se presentó adulteración de los datos personales ni se afectó la integridad de los mismos, por tanto, la resolución recurrida no satisface el principio de legalidad ni tipicidad, porque se emplea un concepto no vinculante para fundamentar la sanción.14 3.3 Respecto de Caducidad de la facultad sancionatoria 3.3.1 El recurrente aseveró que, respecto al segundo cargó ya se cumplió la caducidad de la facultad sancionatoria, puesto que, si VANTI tuvo conocimiento el 24 de mayo de 2021 del incidente, esto significa que el plazo máximo que tenía para hacer el reporte del mismo ante el RNBD era dentro de los quince (15) días hábiles siguientes a dicha fecha, es decir hasta el 16 de junio del 2021, por lo tanto, ya se cumplió la caducidad, de modo que la SIC tenía hasta el 16 de junio del 2024 para notificar a VANTI la imposición de una sanción por la infracción del literal (n) del artículo 17 de la Ley 1581 de 2012.
De igual manera, señala que reportar el incidente ante RNBD es una conducta instantánea y no de carácter continuado, por lo tanto, el segundo cargo ya habría caducado.15 3.4 Respecto de la vulneración del derecho al debido proceso y al derecho de defensa 3.4.1 El recurrente manifestó que, la Dirección negó injustificadamente la práctica de pruebas como lo fue un dictamen de contradicción al análisis técnico 21-273914- 00062 del 3 de septiembre de 2024 y un interrogatorio al autor de dicho análisis, el cual es considerado por el apoderado como un dictamen pericial.16 3.4.2 El recurrente afirmó que, el análisis técnico realizado por esta Dirección es un dictamen pericial a la luz del artículo 226 del Código General del 10 21-273914.
Consecutivo 82. Página 3. Folio 20 11 21-273914. Consecutivo 82. Página 3. Folio 21, 22 12 21-273914. Consecutivo 82. Página 3. Folio 22 13 21-273914. Consecutivo 82. Página 3. Folio 24 14 21-273914. Consecutivo 82. Página 3. Folio 25, 26,27 15 21-273914. Consecutivo 82. Página 3. Folio 30 16 21-273914. Consecutivo 82. Página 3. Folio 32,33 “Por la cual se resuelve un recurso” Proceso, toda vez que para la elaboración del mismo se requirió de conocimientos técnicos en materia de seguridad de la información.17 3.4.3 Señaló que, el apoderado pretendía realizar un interrogatorio al ingeniero que elaboró el análisis técnico del 18 de junio de 2024, con respecto a su idoneidad e imparcialidad, pero principalmente se requería interrogar al autor del dictamen acerca del contenido del mismo. 18 3.4.4 Así pues, el apoderado consideró que se vulneró el derecho de defensa y contradicción de la investigada al no decretarse el interrogatorio, ni poder aportar un dictamen de contradicción, teniendo en cuenta lo establecido en el artículo 228 del Código General del Proceso. 19 3.4.5 Aclaró que, se configuró una de las causales de nulidad de los actos administrativos, lo cual fue solicitado oportunamente por el recurrente, toda vez que se vulneró el derecho al debido proceso por la negación de las pruebas mencionadas como se establece en el artículo 137 de la Ley 1437 de 2011.20 3.5 Sobre la inversión de la carga de la prueba y desconocimiento de las pruebas aportadas 3.5.1 Adujo que, la Dirección invirtió indebidamente la carga de la prueba, al no demostrar el incumplimiento del deber de seguridad ni la omisión en el reporte del incidente por parte de VANTI.
Sostiene el apoderado que, dado que no se presentó un incidente de seguridad, correspondía a la Autoridad probar la existencia de la infracción a las normas de protección de datos personales, pues por mandato legal es la encargada de acreditar la vulneración. 21 3.6 Sobre la inexistencia de antijuridicidad 3.6.1 Dijo que, en la resolución impugnada no se acreditó la existencia de antijuricidad en la conducta o puesta en peligro de los bienes jurídicos protegidos, puesto que no se presentó ninguna afectación a la confidencialidad, integridad ni disponibilidad de la información.22 3.7 Desconocimiento del aporte causal e intervención de terceros en la presente situación 3.7.1 Declaró que, la Dirección desconoció que AYESA reconoció en su respuesta a los requerimientos que, la instrucción que le dio VANTI fue únicamente la eliminación del digito de verificación de los Nit, por lo tanto, la situación presentada se originó por un error en el diseño de la solución tecnológica por parte del proveedor tecnológico. 23 3.7.2 Manifestó que, este Despacho no tuvo en cuenta que también se presentaron omisiones por parte de la DIAN y de TRANSFIRIENDO S.A como puso de presente el apoderado en los descargos. 24 3.7.3 El apoderado argumentó que, este Despacho no le exigió a la DIAN y ni a TRANSFIRIENDO S.A operar con medidas de seguridad, gestión de incidentes, verificación de la información, ni procedimientos para la detección de errores, lo cual es un tratamiento discriminatorio, por tanto, 1721-273914.
Consecutivo 82. Página 3. Folio 33 18 21-273914. Consecutivo 82. Página 3. Folio 35 19 21-273914. Consecutivo 82. Página 3. Folio 35 20 21-273914. Consecutivo 82. Página 3. Folio 37 21 21-273914. Consecutivo 82. Página 3. Folio 37 22 21-273914. Consecutivo 82. Página 3. Folio 39 21-273914. Consecutivo 82. Página 3. Folio 40 24 21-273914.
Consecutivo 82. Página 3. Folio 41 “Por la cual se resuelve un recurso” solicita una disminución de la sanción, en la misma proporción en que estos terceros contribuyeron en la ocurrencia de la situación investigada.25 3.8 Sobre la vulneración naturaleza de los datos del principio de proporcionalidad y 3.8.1 Señaló que, este Despacho no explicó cuál fue la dimensión del daño o peligro a los intereses jurídicos tutelados por la Ley.26 3.8.2 Explicó que, el hecho de que la DIAN haya vinculado reportes de facturación electrónica con el denunciante no implica que VANTI haya hecho tratamiento de los datos personales del titular, ya que se generó un número sin vinculación a una persona en concreto, más si se tiene en cuenta que el denunciante no está registrado como usuario de la sociedad recurrente. 27 3.8.3 El apoderado aseguró que, los datos generados a partir del error no son datos personales, pero que si lo fueran serian datos de identificación de naturaleza pública. 28 3.8.4 Informó que, los datos generados no necesariamente pueden vincularse a personas naturales, puesto que, con relación a los números de identificación de diez dígitos al eliminar el último, queda un número de nueve dígitos que supuestamente “por la estructuración del sistema de números de identificación en Colombia, no puede estar vinculado con ninguna persona.”29 3.8.5 Señaló que, en los casos en que el número generado corresponda a una persona natural, puede tratarse de un titular cuya información no sea administrada por VANTI o que no esté habilitado para acceder al sistema de la DIAN por lo tanto, el alcance del error es muy limitado.30 3.8.6 Resaltó que, la afectación de un titular respecto a sus datos personales públicos es bastante inferior a la que podría sufrir por el indebido tratamiento de sus datos privados. 31 3.8.7 Adujo que, la resolución impugnada no tuvo en cuenta la naturaleza pública de los datos ni el escaso o nulo grado de afectación para los potenciales titulares afectados.
Por consiguiente, la Dirección desconoció el principio de proporcionalidad al imponer una multa excesivamente alta por una supuesta infracción que no generó afectación alguna o que en todo caso fue mínima. 32 3.8.8 Sobre las pretensiones: El recurrente solicitó lo siguiente33: “1. Se REVOQUE la Resolución No. 38583 de 2025 y, en consecuencia, se archive la investigación en contra de VANTI sin la imposición de sanciones a su cargo. 2.
Subsidiariamente solicito se REVOQUE parcialmente la Resolución No. 38583 de 2025 y se reduzca la sanción impuesta a la VANTI. 25 21-273914. Consecutivo 82. Página 3. Folio 42 26 21-273914. Consecutivo 82. Página 3. Folio 42 27 21-273914. Consecutivo 82. Página 3. Folio 43 28 21-273914. Consecutivo 82. Página 3. Folio 43 29 21-273914. Consecutivo 82.
Página 3. Folio 43 30 21-273914. Consecutivo 82. Página 3. Folio 43 31 21-273914. Consecutivo 82. Página 3. Folio 45 32 21-273914. Consecutivo 82. Página 3. Folio 45, 46 33 21-273914. Consecutivo 82. Página 3. Folio 46 “Por la cual se resuelve un recurso” 3. En caso de no revocarse la decisión, solicito se conceda el recurso de APELACIÓN.”
CUARTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
QUINTO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagra los requisitos para la presentación de los recursos y el artículo 78 de la misma Ley, las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto: 5.1 El recurso fue interpuesto por el apoderado de la sociedad investigada dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Cuarto de la parte resolutiva de la Resolución 38583 del 20 de junio de 2025 y acorde con el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a: 5.1.1 La sociedad investigada fue notificada por Aviso N°. 18446 el 3 de julio de 2025 de la Resolución N.º 38583 del 20 de junio de 2025, a través de su apoderado especial, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 21-273914- -81 del 3 de julio de 2025. 5.1.2 El recurrente interpuso recurso de reposición y en subsidio de apelación el 17 de julio de 2025 a través de correo electrónico con radicado 21-273914- -00082, 21-273914- -00083, y 21-273914- 00084 encontrándose dentro del término legal. 5.1.3 El recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución 38583 del 20 de junio de 2025, los cuales fueron expuestos en el numeral considerativo tercero de esta resolución. 5.1.4 Respecto de los documentos aportados como pruebas por el recurrente mediante el correo electrónico con radicado 21-273914-00082, 21-273914- -00083, y 21-273914- -00084 del 17 de julio de 2025, allegó lo siguiente: • Escrito de recurso de reposición y en subsidio de apelación. 5.1.5 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio: • El apoderado especial en el escrito con radicado 21-273914- 00082, 21-273914- -00083, y 21-273914- -00084 del 17 de julio de 2025, con el cual interpone recuso de reposición y en subsidio de apelación a la Resolución 38583 del 20 de junio de 2025, señala nombre, dirección y correo electrónico del recurrente para notificaciones.
SEXTO: Que una vez revisados los argumentos presentados por el recurrente se encuentra que los mismos se concretan en diez (10) aspectos a saber: “Por la cual se resuelve un recurso” 6.1 6.2 Respecto a la vulneración de los principios de legalidad y de tipicidad. Sobre la inexistencia de tipicidad en relación con el primer y segundo cargo. 6.2.1 Respecto al primer cargo sobre la inexistencia de tipicidad. 6.2.2 Respecto al segundo cargo sobre la inexistencia de tipicidad. 6.3 6.4 6.5 6.6 Respecto a la responsabilidad objetiva Caducidad de la facultad sancionatoria de la SIC Vulneración del derecho al debido proceso y al derecho de defensa Inversión de la carga de la prueba y desconocimiento de las pruebas aportadas 6.7 Inexistencia de antijuridicidad 6.8 Desconocimiento del aporte causal e intervención de terceros en la presente situación 6.9 Vulneración del principio de proporcionalidad y naturaleza de los datos 6.10 Pretensiones 6.1 Respecto a la vulneración de los principios de legalidad y de tipicidad El recurrente manifiesta en el recurso que, este Despacho no acreditó la existencia de una conducta típica ni una infracción a la norma, porque la resolución que impone la correspondiente sanción se fundamenta en un documento no vinculante ni obligatorio, específicamente en la “Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales”, imponiéndole ciertos deberes de conducta que, como Responsable del tratamiento, no está obligada a asumir, pues la guía mencionada no se encuentra expresamente prevista en la Ley, en un reglamento ni en ningún acto administrativo vigente.
El recurrente afirma, además, que dicha guía es un documento que contiene meras recomendaciones y que la Dirección sancionó con fundamento en deberes que exceden el alcance y la naturaleza de la obligación de seguridad de la información.34 Al respecto, se aclara que esta Dirección impuso la sanción contenida en la Resolución N° 38583 del 20 de junio de 2025 con fundamento en el incumplimiento de: i) el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; ii) el principio de acceso y circulación restringida y el de seguridad, iii) y el deber de demostración de la implementación de las medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012; establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.
Ahora bien, en cuanto a las guías publicadas por la Superintendencia de Industria y Comercio, es preciso señalar que estas constituyen directrices de optimización que deben observarse en la medida de lo posible, en tanto buscan materializar el cumplimiento de los principios sobre los cuales se erige la normativa de protección de datos personales, en este caso, los principios de seguridad y de circulación restringida.
Dichas guías, aunque no tienen fuerza vinculante en el mismo sentido que la Ley, como bien se menciona en la Resolución recurrida, poseen una relevancia jurídica significativa, pues orientan a los Responsables y Encargados del tratamiento en la adopción de medidas prácticas y eficaces para garantizar la protección efectiva de los datos personales.
En consecuencia, su finalidad es servir como referencia y como su nombre lo dice de guía, para las sociedades, de modo que puedan ser atendidas, consultadas y aplicadas, según las capacidades y particularidades de cada organización. 34 21-273914. Consecutivo 82. Página 3. Folio 3, 4 “Por la cual se resuelve un recurso” Aunque las guías no son de obligatorio cumplimiento, no deben ser ignoradas por los Responsables y Encargados del tratamiento, ni debe subestimarse su utilidad e importancia, ya que fueron elaboradas por la Autoridad de Protección de Datos Personales en cumplimiento de lo establecido en el literal a) y e) del Articulo 21 de la Ley 1581 de 2012 que prevén lo siguiente: Ley 1581 de 2012 “Artículo 21.
Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;” Por lo tanto, los Responsables y Encargados tienen la opción de consultar las recomendaciones impartidas en la “Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales”, al implementar las medidas de seguridad de la información en su organización, entendiendo que las guías expedidas por la Superintendencia no sustituyen, ni se oponen a la implementación interna que corresponde adoptar a los Responsables para garantizar la seguridad de la información. Además, debe considerarse que la Ley 1581 de 2012 establece el deber de seguridad de la información consagrado en el literal d) del artículo 17, sin definir de manera taxativa las medidas específicas que deben ser implementadas por los Responsables del tratamiento, las cuales obedecen a las características particulares de cada organización, tales como su estructura interna, los tipos de datos personales que trata, los riesgos asociados a sus procesos, la tecnología disponible y el contexto operativo en el que desarrolla sus actividades.
En consecuencia, corresponde a cada sociedad evaluar sus propias necesidades y diseñar los mecanismos de seguridad más adecuados para garantizar la protección efectiva de la información. Por lo anterior, esta Entidad elaboró la guía con el fin de proporcionar a los Responsables y Encargados un marco general, que sirva de orientación en la implementación de medidas de seguridad de la información. Cabe resaltar que los conceptos contenidos en dicho documento, provienen de fuentes oficiales internacionales y de autoridades extranjeras en materia de protección de datos personales, lo que demuestra que los lineamientos parten de estudios serios y fundamentados en materia de seguridad de la información. Igualmente, estos contenidos fueron condensados y sistematizados para ofrecer a las sociedades una herramienta práctica y comprensible, que les permita identificar las directrices básicas a considerar, al momento de diseñar sus manuales de seguridad, de gestión de incidentes y, en especial, los protocolos que deben activarse frente a la ocurrencia de un incidente de seguridad de datos personales.
Por lo tanto, es necesario reiterar que este Despacho no sancionó a la investigada por el incumplimiento de la “Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales”, sino por el incumplimiento del deber de seguridad, que exige a los Responsables adoptar medidas eficaces para garantizar la protección de los datos personales y evitar situaciones de riesgo que puedan propiciar la vulneración del derecho fundamental de habeas data.
“Por la cual se resuelve un recurso” Así pues, esta entidad impuso una sanción, debido a que quedó plenamente demostrado que, dentro de los niveles de seguridad de la información implementados por el Responsable, existió una falla tecnológica grave, que no fue detectada oportunamente por la organización, sino únicamente a partir de la denuncia presentada por el Titular afectado.
De igual manera, la resolución impugnada detalló de manera expresa el comportamiento negligente del Responsable en el proceso de generación de la facturación electrónica reportada ante la DIAN, toda vez que se constató que la sociedad recurrente solicitó a su proveedor de software AYESA una modificación que eliminara el dígito de verificación del NIT, sin realizar las verificaciones, pruebas y controles necesarios para asegurar que el archivo a remitir —el cual contenía datos personales de titulares y de personas jurídicas— se generara sin errores.
Como resultado de esta omisión, la sociedad como Responsable no advirtió que el sistema estaba eliminando también el último dígito de la cédula de ciudadanía de los titulares, situación que comprometió la veracidad de la información y vulneró el derecho fundamental de habeas data del titular. Tal como se explicó en la resolución, esta falla se prolongó de manera continua por un periodo de un (1) año y nueve (9) meses, entre noviembre de 2020 y el 1 de agosto de 2022, tiempo durante el cual se envió a la DIAN información errónea del titular, sin que la investigada lo detectara a través de sus mecanismos de seguridad internos previamente adoptados.
En consecuencia, se concluyó que la empresa actuó de manera negligente, tanto por no realizar pruebas de carácter preventivo, como por no monitorear adecuadamente el proceso, ni detectar el incidente de manera inmediata o posterior, enterándose del mismo únicamente por la queja del titular afectado. De esta manera, la conclusión de la resolución impugnada fue irrefutable en cuanto a que el reproche no se basa en la falta de cumplimiento de una guía, sino en la existencia de una vulneración efectiva del deber legal de seguridad, a raíz de la insuficiencia de los controles adoptados por el Responsable, lo cual, generó un incidente de seguridad que se prolongó en el tiempo y que solo fue detectado por el reclamo del titular.
En este sentido, las guías fueron señaladas por la autoridad como marco de referencia e instrumentos de apoyo para ilustrar buenas prácticas, pero, en ningún caso sustituyen las obligaciones legales ni imponen exigencias adicionales a las previstas por el legislador, por lo que la motivación de la resolución, radica en que la conducta reprochada es la omisión en la adopción de medidas adecuadas, suficientes y eficaces para evitar o detectar oportunamente un error tecnológico, que comprometió la integridad de los datos personales, conforme a lo exigido por la Ley 1581 de 2012.
En mérito de lo expuesto, este Despacho concluye que los argumentos del recurrente no están llamados a prosperar, toda vez que la sanción impuesta no se fundamentó en la “Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales”, sino en la comprobada vulneración del deber legal de seguridad previsto en el literal d) del artículo 17 de la Ley 1581 de 2012 y en las obligaciones derivadas de los principios de seguridad, acceso y circulación restringida.
Puesto que, la guía fue citada únicamente como instrumento de referencia, conforme a las funciones asignadas por el artículo 21 de la Ley 1581, sin que ello implique imponer cargas adicionales a las establecidas por el legislador. Así pues, en la presente la investigación se demostró que la sociedad incurrió en una falla tecnológica grave y prolongada, derivada de la ausencia de controles, pruebas y verificaciones mínimas frente a la implementación del sistema de facturación electrónica, lo que produjo el envío de información errónea a la DIAN, vulnerando la integridad y veracidad de los datos personales del titular.
En consecuencia, la decisión sancionatoria se encuentra ajustada a la Ley, por tanto, será confirmada. “Por la cual se resuelve un recurso” 6.2 Sobre la inexistencia de tipicidad en relación con el primer y segundo cargo. 6.2.1 Respecto al primer cargo sobre la inexistencia de tipicidad: El recurrente manifestó en primer lugar, que el deber de seguridad es de naturaleza preventiva y no de resultado, por lo que la infracción únicamente se configura cuando el Responsable no implementa medidas adecuadas para evitar incidentes de seguridad, sin embargo, no se le puede exigir que impida totalmente que estos ocurran.
Sobre este punto, la investigada señaló que esta Dirección en la resolución impugnada, le exigió el deber de prever la falla tecnológica ocurrida con la eliminación del último dígito del número de cédula de las personas naturales, por lo cual, considera que se le está exigiendo un deber de previsibilidad que no es razonable, puesto que la instrucción que le dio a su proveedor AYESA consistía en eliminar el digito de verificación de los NIT, de manera que, le era imposible a VANTI prever que el proveedor elaboraría una solución tecnológica que por error eliminara el último número del documento de identificación de los titulares. 35 También, afirmó que la Dirección aplicó un régimen de responsabilidad objetiva contrario a la Ley, al concluir que VANTI actuó negligentemente por no prever todas las fallas posibles de la solución tecnológica, sin valorar que la sociedad como Responsable del tratamiento adoptó medidas razonables de seguridad De igual forma, argumentó que no se acreditó el incumplimiento del deber de adoptar medidas adecuadas, ni se demostró una afectación a la integridad de los datos personales por uso indebido o adulteración. Por otro lado, sostuvo que cuenta con un sistema robusto de seguridad de la información, con políticas, manuales y procedimientos de monitoreo y gestión de incidentes, así como con controles y pruebas aplicadas a desarrollos tecnológicos, informa que cuenta con una “Política de Seguridad de la Información y Ciberseguridad”, con un esquema de seguridad de la información con nuevas medidas de seguridad, con un “Manual Interno de Políticas y Procedimientos en Datos Personales”, con “Medidas de seguridad del software de facturación”.
Por otro lado, la sociedad resaltó que el dictamen pericial aportado en el curso de la investigación concluyó que VANTI cumple con los requerimientos y medidas de seguridad adecuados, lo cual fue confirmado por una auditoría interna realizada por PWC (PricewaterhouseCoopers) que determinó la efectividad de su programa de ciberseguridad. Finalmente, afirmó que la resolución impugnada no acreditó que los datos personales del titular hubieran sido transmitidos a terceros por error, lo que, a su juicio, desconoce los principios de legalidad y tipicidad.
Ahora bien, se debe señalar que en la Resolución N.º 38583 del 20 de junio de 2025, se determinó que VANTI debía prever que la solución tecnológica adquirida con AYESA podía presentar fallas o requerir ajustes generales en su funcionamiento, al momento de generar el archivo de facturación electrónica. Por lo cual, debía realizar pruebas exhaustivas antes de poner en marcha la operación y hacer el envío del archivo de facturación a TRANSFIRIENDO como proveedor tecnológico habilitado por la DIAN.
De modo que, al momento de hacer dichas verificaciones, se habría detectado el error que afectaba la facturación de personas naturales, consistente en la eliminación del último dígito del número de identificación. Lo anterior adquiere mayor relevancia si se tiene en cuenta que, VANTI manifestó en sus descargos 35 21-273914. Consecutivo 82.
Página 3. Folio 7 “Por la cual se resuelve un recurso” que era una empresa pionera en la implementación del sistema de facturación electrónica, precisamente por esa condición, le era exigible un mayor rigor en el diseño, revisión y validación de la solución tecnológica adoptada, así como en los procedimientos implementados, para garantizar la integridad de la información transmitida a la DIAN.36 No obstante, la sociedad recurrente no aportó soportes o evidencia de que estas pruebas se hubieran realizado previamente al envío del producto final a la DIAN, es más, en el recurso el apoderado afirma que se hicieron pruebas únicamente respecto al funcionamiento correcto de la herramienta conforme con las normas establecidas por la DIAN sobre la facturación electrónica, y frente a los requerimientos solicitados por VANTI al proveedor, con relación a la eliminación del digito de verificación del Número de Identificación Tributaria,37 más no, respecto a posibles errores que afectaran los datos personales.
Por lo tanto, se infiere que, VANTI recibió la herramienta tecnológica y generó la facturación electrónica, con la confianza legítima38 como el apoderado afirmó en los descargos, de que ésta funcionaba de acuerdo con los parámetros solicitados, referentes a solo eliminar el número de verificación de los NIT. Así pues, lo que reprocha este Despacho son dos cosas: 1.
Que VANTI no haya ensayado la herramienta en varias oportunidades antes de poner en marcha la operación, teniendo en cuenta que la misma genera el archivo de facturación de personas naturales y jurídicas, de modo, que hubiera podido identificar el error a tiempo antes de proceder a enviar el archivo definitivo a la DIAN. 2. Que VANTI no haya detectado posteriormente el error, una vez generado la facturación errada, respecto al titular que hizo la denuncia y a los otros 36.509 titulares posiblemente afectados, cifra señalada por VANTI en el oficio del 14 de diciembre de 2022 con radicado número 21-273914- 0001939, y en general que no haya detectado de manera temprana el incidente.
Insistimos que para el caso concreto esta falla se prolongó de manera continua por un periodo de un (1) año y nueve (9) meses, entre noviembre de 2020 y el 1 de agosto de 2022, tiempo durante el cual se envió a la DIAN información errónea del titular. Esto demuestra que el sistema de seguridad de información personal falló, al no realizarse el monitoreo de todos los procedimientos en los que se ejecuta el tratamiento de datos personales al interior de la organización, igualmente, el hecho de que VANTI no haya tenido una reacción inmediata para mitigar el daño y repararlo, sino que se haya percatado de la situación con ocasión a la queja del titular y posteriores requerimientos por parte de esta Superintendencia, es una clara evidencia de que sus medidas de seguridad no son efectivas.
Así se aclara que, este Despacho no espera que los Responsables garanticen una previsión absoluta de toda posible falla, respecto a las soluciones tecnológicas implementadas, pero es casi seguro que cuando una sociedad del tamaño de VANTI que adquiere con un tercero una herramienta tecnológica, debe verificar su funcionamiento de manera previa y solicitar las mejoras, hasta que la herramienta cumpla con las condiciones requeridas.
En este caso, la facturación electrónica se generaba tanto para personas naturales como jurídicas, por lo tanto, cuando existe un tratamiento de datos personales, es imperioso poner la lupa en el proceso y corroborar que no se 36 21-273914. Consecutivo 33. Página 3. Folio 5, 6 37 21-273914. Consecutivo 82. Página 3. Folio 8 38 21-273914.
Consecutivo 33. Página 3. Folio 8 39 21-273914. Consecutivo 19. Página 8. Folio 8 “Por la cual se resuelve un recurso” produzca accidentalmente una afectación al derecho de habeas data de los Titulares de la información. En este sentido, VANTI debía verificar el correcto desempeño de la herramienta antes de enviar a la DIAN el producto final y de la misma forma, debía revisar que la información que ya había sido enviada, estuviera acorde con la realidad, puesto que el error se produjo cuando VANTI implementó por primera vez la herramienta contratada con AYESA para la facturación electrónica, lo que significa que a raíz de su uso incipiente, era muy probable que se presentaran errores, de modo que, la verificación de su funcionamiento adecuado era una prioridad. 40 Respecto a lo señalado por el recurrente, en el sentido de que esta Dirección habría entendido el deber de seguridad como absoluto y no de carácter preventivo41, el apoderado sostiene que los Responsables no están obligados a impedir en todo caso la ocurrencia de incidentes de seguridad, sino únicamente a implementar medidas técnicas, humanas y administrativas orientadas a evitarlos.
Sobre este punto, VANTI manifestó contar con un sistema de seguridad de la información robusto 42, que incluye mecanismos de control y pruebas aplicadas a sus desarrollos tecnológicos. Ante lo cual, este Despacho, encuentra que luego de analizarse los hechos que dieron lugar a esta investigación y las pruebas aportadas por la sociedad recurrente, la realidad es que el sistema de seguridad de la información de VANTI no fue eficaz frente a la implementación de la solución tecnológica proporcionada por AYESA, puesto que no hizo monitoreo y control de la herramienta tecnológica adquirida, con el fin de constatar que el tratamiento de datos personales que se llevaba a cabo mediante la emisión de facturas electrónicas, no presentara ninguna novedad que requiriera una corrección inmediata de la operación. De manera que, el cumplimiento del deber de seguridad no consiste únicamente en contar con medidas de seguridad adecuadas y documentos que acrediten su implementación, sino que las mismas deben activarse en momentos cruciales como la situación que dio origen a la presente investigación, donde se ponen a prueba los sistemas de monitoreo y control que hacen parte del sistema de seguridad de la información. En este caso, se verificó una falla en las medidas de seguridad de la sociedad recurrente, y al mismo tiempo faltó mayor diligencia en el tratamiento de los datos personales en el proceso de facturación electrónica, puesto que, VANTI puso en funcionamiento la herramienta adquirida a su proveedor AYESA sin acreditar ante este Despacho la realización de pruebas previas que permitieran verificar su adecuado desempeño, antes de remitir a la DIAN información inexacta asociada al número de identificación de un titular XXXXXXXXXX XXXXXX.
Por otra parte, en relación con el argumento del recurrente, según el cual se habría impuesto un régimen de responsabilidad objetiva, fue debidamente desvirtuado en el análisis, al haberse demostrado que la sanción no se deriva de la simple ocurrencia del incidente de seguridad, sino de la falta de medidas adecuadas para evitarlo o detectarlo a tiempo, por causa de la actuación poco diligente del Responsable.
En mérito de lo expuesto, este Despacho concluye que los argumentos presentados por el apoderado de la sociedad recurrente no están llamados a 40 21-273914. Consecutivo 33. Página 3. Folio 5 41 21-273914. Consecutivo 33. Página 3. Folio 10 42 21-273914. Consecutivo 33. Página 3. Folio 10 “Por la cual se resuelve un recurso” prosperar, pues quedó plenamente acreditado en el expediente, que ocurrió una falla tecnológica que se prolongó por un periodo significativo, sin ser identificada por los mecanismos internos de la organización y únicamente fue advertida a partir de la queja elevada por el titular afectado.
Demostrando la insuficiencia de las medidas de seguridad de la información implementadas por la sociedad recurrente, así como la vulneración del derecho de habeas data del titular. En consecuencia, se confirma la decisión impugnada respecto al primer cargo. 6.2.2 Respecto al segundo cargo sobre la inexistencia de tipicidad: El recurrente aduce que no se presentó un incidente de seguridad, toda vez que no se cumplió con ninguno de los presupuestos que definen este concepto como son: (i) la violación de los códigos de seguridad, (ii) la pérdida, (ii) robo y/o (iii) acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado.
Y que, por definición, el incidente de seguridad no se determina por la puesta en peligro de los datos personales, sino porque se presenten algunas de las tres condiciones antes mencionadas. 43 Adicionalmente, el recurrente hace énfasis en que las bases de datos de VANTI no se vieron afectadas ya que mantuvieron su confidencialidad, integridad y disponibilidad44, así como tampoco se vulneraron los sistemas de seguridad de la compañía. Por otro lado, la sociedad recurrente afirma que, en caso de haberse generado un acceso no autorizado por parte de un tercero a los datos personales, esto ocurrió en las bases de datos de la DIAN como consecuencia del diseño y la operación que en dicha entidad se realiza del procedimiento de facturación electrónica, puesto que VANTI transmitió la información en cumplimiento de sus obligaciones legales.
Pues bien, este Despacho aclara que la ocurrencia de un incidente de seguridad por cualquiera de las razones establecidas en el Capítulo II, Título V de la Circular Única de la Superintendencia de Industria y Comercio, constituyen per sé una situación de peligro para los datos personales, por el uso indebido al que quedan expuestos en caso de violación de los códigos de seguridad, perdida, robo o acceso no autorizado, esta es la razón por la que se debe hacer el reporte ante el RNBD, puesto que la Autoridad requiere evaluar las acciones tomadas por el Responsable o Encargado para mitigar el daño frente a la situación que afectó la seguridad de los datos.
Por otra parte, la situación presentada con la cédula del titular afectó la integridad del dato personal, en la medida en que su número de identificación fue utilizado de manera indebida en los sistemas de la sociedad y fue compartido con terceros no autorizados, reportando además información errada ante la DIAN. En efecto, se generaron facturas a nombre de otras personas, empleando la cédula del señor XXXXXXXXXXXXXXXXXXXX, pese a que éste no era usuario de VANTI ni mantenía ningún tipo de vínculo contractual con la sociedad recurrente.
Esta irregularidad evidencia una alteración y manipulación no autorizada del dato, lo cual constituye una vulneración directa del deber de preservar la veracidad de la información y al principio de circulación restringida. Por ello, no resulta acertado sostener que los incidentes de seguridad no están relacionados con el nivel de peligrosidad para los datos personales, toda vez que la urgencia de su reporte y la activación de los protocolos de protección se encuentran directamente ligados con los riesgos que enfrenta el titular frente al uso indebido de su información por parte de terceros, como consecuencia de la vulneración de los sistemas de seguridad de las compañías.
A su vez, el recurrente argumenta que no se afectó la integridad de los datos personales por cuanto las bases de datos de VANTI están completas, es decir la eliminación del último dígito solo se presentó en el archivo de facturación 43 21-273914. Consecutivo 82. Página 3. Folio 19 44 21-273914. Consecutivo 33. Página 3. Folio 20 “Por la cual se resuelve un recurso” electrónica enviado a la DIAN, pero no se eliminó en las bases de datos de la sociedad recurrente, igualmente manifiesta que tampoco se perdió la disponibilidad de los datos contenidos en sus bases de datos, que no se adulteraron, no se perdieron, ni fueron accedidos por terceros no autorizados de forma fraudulenta, por tal motivo, según el apoderado, VANTI no tuvo que activar los medidas de seguridad porque no se presentó un incidente de seguridad.
Al respecto, este Despacho considera que el incidente de seguridad ocurrió, en la medida en que se generó una alteración de los números de identificación de personas naturales, en tanto que se eliminó el último dígito por error en la herramienta generada por AYESA, lo cual originó un incidente de seguridad por perdida de integridad del dato; esto desencadenó que se realizara un reporte no veraz con el número de cédula del señor XXXXXXXXXXXXXXXXXX, al emitir facturación electrónica ante la DIAN a nombre de otras cuatro personas cuyas cédulas eran iguales a las del titular en los primeros 7 dígitos, por cuenta de la eliminación del último dígito, de modo que resultaron reportándose facturas a nombre de estas personas con el número de identificación de un tercero. Esto se observa en la prueba aportada por el titular, con una imagen de la información que se encuentra reportada ante la DIAN referente a facturación electrónica, donde se observa que con su número de cédula se reportó información a nombre de otros titulares por parte de la sociedad recurrente.
En dicho cuadro se evidencia que varias facturas electrónicas fueron emitidas por la investigada cuyo nombre aparece en la columna que dice “Nombre Emisor”, seguida de la columna “NIT Receptor” donde se encuentra el número de cédula del titular XXXXXX asignado a 4 persona distintas incluyendo el señor XXXXXXXXXXXXXXXXXXX, y los nombres de estos titulares están en la columna “Nombre Receptor”45: Esto constituye una adulteración del dato que generó información fraudulenta ante terceros, en este caso la DIAN, lo cual puede ocasionar inconvenientes para el titular que no tiene ningún vínculo ni es cliente de VANTI, pero puede dar lugar a consecuencias adversas para el señor XXXXXXXXXXXXXXXXX XXXXX, tales como la posible comisión de conductas delictivas, entre ellas la suplantación de identidad, la vulneración de sus derechos, afectaciones de tipo fiscal ante la DIAN o cualquier otro perjuicio económico, social, etc.
Sobre este punto la “Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales”46 señala la razón por la cual se debe tomar 45 21-273914.Consecutivo 9. Página 2. folio 38 46 https://www.sic.gov.co/centro-de-publicaciones?field_global_topic_tid=7037&field_anos_p_value=All “Por la cual se resuelve un recurso” con seriedad todo tipo de incidentes, pese a que el apoderado considere que no se produce ningún riesgo para los datos personales, al respecto la guía dice: “Todos los incidentes de seguridad deben ser tomados seriamente y evaluados por parte de las organizaciones.
Los que inicialmente parezcan irrelevantes podrían ser significativos o graves respecto de los derechos y las libertades de los Titulares de la información.” Por otra parte, con relación a lo manifestado por el perito contratado por VANTI en su Dictamen Pericial, referente a que la situación presentada con el número de cédula del titular corresponde únicamente a un requerimiento y no a un incidente de seguridad, constituye una interpretación que desconoce y minimiza la gravedad de los hechos.
Puesto que, lo ocurrido afectó la integridad de los datos personales de los titulares involucrados en la emisión de la facturación electrónica, independientemente de que VANTI no haya recibido quejas adicionales o de que esta Superintendencia no cuente con otras denuncias relacionadas con el mismo evento. En esa medida es urgente para VANTI revisar el funcionamiento del sistema de seguridad de la información, y mejorar los controles internos que no funcionaron como se esperaba frente a la contención de la brecha de seguridad, así como analizar las soluciones que se pudieron adoptar por parte de la organización para evitar y prevenir que este error tecnológico, hubiera escalado hasta realizar el envío de facturas electrónicas de los titulares involucrados con información errada.
Por lo anterior se le reitera al recurrente la importancia de proteger los datos personales de los titulares y que independientemente del carácter de los mismos, sean públicos, privados o semiprivados, deben cumplir con todas las disposiciones y exigencias de la Ley, respecto a los deberes de impedir que terceros no autorizados accedan a los datos personales.
Así mismo, la Corte constitucional en sentencia C-748/11 declara como exequible el artículo 17 de la Ley 1581 de 2012 que contiene la lista de deberes exigibles al Responsable del tratamiento. En este caso el incumplimiento de dos de estos deberes llevó a la imposición de la sanción: “Lo anterior significa que corresponderá a la autoridad de protección de datos como a las autoridades judiciales en el ámbito de su competencia, garantizar al titular del dato o sus causahabientes, la protección que exige el ejercicio de su derecho al habeas data, el cual no puede quedar sujeto a limitaciones basadas en la exclusión de la responsabilidad frente a los deberes que cada sujeto involucrado en el tratamiento del dato pueda argumentar, con fundamento en la ley.
Es cierto que el legislador estatutario hizo un esfuerzo por describir los deberes que le asiste a uno y otro sujeto que participan en el tratamiento del dato, pero ello no significa que el titular del derecho no pueda exigir otros que puedan resultar para la plena garantía del mismo en concordancia con los principios que regulan la administración de datos.
En otras palabras, los deberes enunciados en los artículos bajo estudio, respecto del titular del derecho al habeas data, no son taxativos sino enunciativos, lo que significa que responsables y encargados tendrán otros deberes derivados del derecho al habeas data, que corresponderán a las prerrogativas que otorga el derecho, en tanto sujetos pasivos de dicha garantía constitucional.
No obstante, la lista de deberes enunciados en estos artículos, desde el punto de vista sancionatorio y en virtud del principio de legalidad, sí operan como una lista taxativa, es decir, los encargados y responsables no pueden ser sancionados por incumplimiento de deberes que no se hallen en las disposiciones bajo estudio, por lo menos en lo que respecta a las sanciones administrativas previstas por el mismo proyecto de ley.
Por las anteriores, la Corte declarará la exequibilidad de los artículos 17 y 18 del proyecto de ley“ “Por la cual se resuelve un recurso” Así mismo respecto del análisis del artículo 23 en el cual se establecen las posibles sanciones a imponer, la corte indica “ Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción[285].
(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar[286].
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. (…) Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos[290].
En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: “El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.
Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;
(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria”[291]. De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.” (resaltado fuera del texto) Por lo anterior, se concluye que a lo largo de la investigación se garantizó el principio de legalidad, al decidir con fundamento en la Ley aplicable; así mismo, se observó el principio de tipicidad, al formular cargos y resolver sobre el incumplimiento de los deberes previstos en el artículo 17 de la Ley 1581 de 2012.
La conducta reprochada fue claramente descrita desde la formulación de cargos, y posteriormente analizada y soportada con las pruebas recaudadas en la decisión. De esta manera, en todo momento se respetó el debido proceso, asegurando el derecho de defensa, el cual fue ejercido por la investigada en cada una de las etapas del proceso. Cabe señalar que, en este caso, se acreditaron plenamente los presupuestos de un incidente de seguridad, pues se configuró un acceso y tratamiento no “Por la cual se resuelve un recurso” autorizado de datos, afectando la confidencialidad e integridad de la información del titular.
Por lo tanto, en mérito de lo expuesto, este Despacho concluye que los argumentos presentados por el apoderado de la sociedad recurrente no están llamados a prosperar, en la medida en que la sociedad no logró desvirtuar los hechos demostrados en la investigación, entre ellos:(i) la ocurrencia de un incidente de seguridad que permitió la exposición y alteración de los datos personales del titular, (ii) la afectación a la integridad del dato personal, evidenciada en la emisión de facturas electrónicas con información falsa, asociada al señor XXXXXXXXXXXXXXXXXXXXXXXX que no tenían relación contractual con VANTI, y (iii) la ausencia de medidas de seguridad oportunas para contener y mitigar la falla tecnológica que generó el incidente. 6.3 Sobre la responsabilidad objetiva: El apoderado de la sociedad recurrente manifestó que la Dirección en la resolución que impuso la sanción estableció un régimen de responsabilidad objetiva contario a la Ley, al considerar que VANTI incurrió en una conducta negligente por no tener previsión absoluta de las fallas que podrían ocurrir en la solución tecnológica, sin tener en cuenta la adopción de medidas razonables de seguridad de la información por parte de la sociedad recurrente.47 No obstante, al analizar el acto administrativo se observa que la sanción no se fundamenta en la sola ocurrencia del incidente, sino en la valoración de la conducta de la investigada frente a sus deberes legales, particularmente la omisión en las falencias evidenciadas en la implementación de medidas de control, detección y monitoreo de los procesos que implican tratamiento de datos personales al interior de la organización. De esta manera, la decisión no responde a un régimen de responsabilidad objetiva, sino al análisis del grado de diligencia o negligencia de la sociedad en el cumplimiento de sus obligaciones.
En ese sentido, esta Dirección reafirma que, en materia administrativa sancionatoria, como garantía del derecho al debido proceso, rige por regla general el régimen de responsabilidad subjetiva, lo que implica que las sanciones se imponen en función de la conducta desplegada por el investigado y no por la mera ocurrencia de un resultado. En consecuencia, este Despacho concluye que la sanción debe ser confirmada, por cuanto se demostró que la decisión no obedeció a la simple ocurrencia del incidente, sino a la falta de medidas de seguridad adecuadas y a la falta de diligencia del Responsable al no detectar oportunamente la falla tecnológica que comprometió la integridad de los datos personales.
Del mismo modo, la sociedad incumplió el deber de reportar oportunamente el incidente de seguridad y de informar a la autoridad sobre las acciones adoptadas para su atención. Por lo anterior, se encuentra que los argumentos presentados por el apoderado serán desestimados, pues no desvirtúan los hechos identificados que dieron origen a la sanción, ni acreditan la existencia de medidas eficaces de seguridad que hubieran evitado o permitido identificar el error tecnológico que se prolongó en el tiempo. 6.4 Sobre la caducidad de la facultad sancionatoria de la SIC El recurrente asegura que ya se produjo la caducidad de la facultad sancionatoria, argumentando que, si la sociedad tuvo conocimiento del incidente el 24 de mayo de 2021, VANTI tenía plazo hasta el 16 de junio de 2021 para 47 21-273914.
Consecutivo 82. Página 3. Folio 10, 11 “Por la cual se resuelve un recurso” reportarlo ante el RNBD, y si se considera que tuvo conocimiento el 8 de marzo de 2022, el reporte se debió efectuar el 30 de marzo de 2022, de manera que ya habrían transcurrido los tres años establecidos en la Ley para notificar la resolución de sanción. 48 Al respecto, este Despacho aclara que efectivamente se presentó un incidente de seguridad que debió ser reportado por la sociedad recurrente y que la falta de reporte constituye un incumplimiento al deber señalado para el responsable del tratamiento en el literal n) del artículo 17 de la Ley 1581 de 2012.
Sin embargo, este Despacho debe considerar, analizando nuevamente el acervo probatorio obrante en el expediente, que VANTI implementó medidas de seguridad de la información internas posteriores, demostrando su compromiso con la protección de los datos personales y la corrección de las deficiencias detectadas. En consecuencia, y en atención a la mitigación de los riesgos y al cumplimiento posterior de las obligaciones de seguridad, se modificará la resolución impugnada eliminando la sanción pecuniaria, pero se confirmarán las órdenes impartidas, con el fin de que la sociedad continúe adoptando y manteniendo todas las medidas necesarias para garantizar la seguridad de la información y prevenir futuros incidentes.
En mérito de lo expuesto, este Despacho concluye que los argumentos presentados por el apoderado de la sociedad, frente a la caducidad de la facultad sancionatoria no proceden, sin embargo, este Despacho considera que, en atención a la implementación de medidas internas de seguridad por parte de la sociedad recurrente, demuestra su responsabilidad frente al tratamiento de datos personales.
Por ello, se eliminará la sanción pecuniaria impuesta; no obstante, dado que sí se configuró una infracción en el deber de reportar oportunamente el incidente, se confirmarán las órdenes impartidas, ya que es preciso que la sociedad refuerce sus procedimientos de reporte de incidentes de seguridad ante la autoridad, garantizando la notificación oportuna y el cumplimiento efectivo de sus obligaciones legales como Responsable del tratamiento. 6.5 Sobre la vulneración del derecho al debido proceso y al derecho de defensa El apoderado considera que se vulneró el derecho al debido proceso y de defensa al negarse la práctica de pruebas de manera injustificada, respecto a la presentación de un dictamen de contradicción y la realización de un interrogatorio de parte al ingeniero XXXXXXXXXXXXXXXXXXXXXXXXXXXX con relación al análisis técnico del 18 de junio de 2024.49 En relación con este punto, se tiene que el ingeniero que elaboró el análisis técnico en cuestión, lo ejecutó en virtud de un contrato de prestación de servicios profesionales para la Delegatura de Protección de Datos Personales, y su tarea en este caso era apoyar de manera técnica con el análisis e interpretación del dictamen pericial emitido por un perito contratado por VANTI, de manera que, el ingeniero cumplió funciones señaladas en su contrato y por lo tanto, no puede considerársele un perito, porque no fue designado formalmente para rendir un dictamen pericial dentro del proceso.
Es importante resaltar que la función de apoyo realizada por el ingeniero tiene un carácter continuo dentro de la entidad, en virtud de su contrato de prestación de servicios; mientras que la labor de un perito es puntual y específica, dirigida a ilustrar a la autoridad administrativa o judicial sobre un aspecto concreto. En este último caso, se requiere no solo de conocimientos especializados, sino también de una designación expresa dentro del proceso, a fin de que, con base en su experticia, se emita un dictamen técnico que sirva de fundamento a la decisión de la autoridad competente. 48 21-273914.
Consecutivo 82. Página 3. Folio 30 49 21-273914. Consecutivo 82. Página 3. Folio 33 “Por la cual se resuelve un recurso” Por lo tanto, no se configuró una vulneración del derecho al debido proceso, toda vez que la prueba solicitada por la sociedad recurrente no resultaba pertinente, conducente ni útil para esclarecer los hechos que dieron origen a la investigación, ni para acreditar el cumplimiento de los deberes a cargo de VANTI.
En realidad, lo que perseguía el apoderado era, de una parte, cuestionar la imparcialidad e idoneidad del ingeniero que actúa como contratista y brinda apoyo técnico en una entidad de carácter especializado como la del análisis técnico, aspecto que podía ser controvertido en la etapa de alegatos de conclusión. De igual manera, es preciso señalar que, justamente en aras de garantizar el derecho al debido proceso de la sociedad recurrente, este Despacho accedió a la práctica de la prueba solicitada consistente en aportar un dictamen de un perito frente a los hechos investigados.
No obstante, se aclara que dicho dictamen requería del acompañamiento y el análisis de un profesional especializado en la materia, que en su calidad de contratista de la entidad debía brindar apoyo técnico para comprender adecuadamente la información presentada. En esa medida, el análisis emitido por dicho profesional no puede considerarse un dictamen pericial autónomo, sino un concepto técnico de apoyo, que permitió al Despacho interpretar la información allegada por la sociedad investigada, sin que ello implique una vulneración al debido proceso, ni afecte la validez de la actuación administrativa.
Por otra parte, el recurrente argumenta que no tuvo oportunidad de controvertir las pruebas por lo cual, en su debido momento solicitó, la nulidad de todo lo actuado50, no obstante, este Despacho reitera que no se vulneró el derecho de defensa a VANTI toda vez que se le concedieron todas las oportunidades procesales para controvertir las pruebas y presentar argumentos de hecho y de derecho en la etapa de descargos y en la de alegatos de conclusión. Al respecto, este Despacho otorgó a VANTI las oportunidades necesarias para ejercer su derecho de defensa, así como para presentar los argumentos y medios de prueba relacionados con los hechos objeto de investigación, como se observa a continuación: i) ii) iii) iv) v) vi) vii) En etapa preliminar mediante oficio del 28 de febrero de 2022 con radicado 21-273914- -10 este Despacho hizo una solicitud de explicaciones a la investigada, con relación a la denuncia radicada por el titular.
A través comunicación del 11 de marzo de 2022 con radicado 21273914- -00012 VANTI respondió la solicitud de explicaciones de este Despacho. Mediante oficio del 28 de abril de 2022 con radicado 21-273914- -13 este Despacho solicitó aclarar ciertos puntos a VANTI con base en su respuesta al requerimiento anterior. Frente a lo cual VANTI con comunicación del 16 de mayo de 2022 de radicado 21-273914- -00014 respondió la solicitud de explicaciones de este Despacho Por solicitud de la Dirección, los ingenieros forenses de la Delegatura realizaron un análisis técnico el 29 de junio de 2022 con radicado 21273914- -00015 respecto de las pruebas allegadas al expediente hasta ese momento.
Por lo cual, mediante oficio del 1 de noviembre de 2022 con radicado 21-273914- -16 este Despacho solicitó explicaciones a VANTI con relación a las conclusiones y hallazgos del análisis técnico del 29 de junio de 2022 con radicado 21-273914- -00015. Al respecto, con comunicación del 22 de noviembre de 2022 de radicado 21-273914- -00018 la sociedad VANTI solicitó una prórroga para 50 21-273914.
Consecutivo 82. Página 3. Folio 36 “Por la cual se resuelve un recurso” contestar la solicitud de explicaciones del 1 de noviembre de 2022 con radicado 21-273914- -16. viii) Mediante comunicación del 14 de diciembre de 2022 con radicado 21273914- -00019 VANTI respondió la solicitud de explicaciones del 1 de noviembre de 2022 con radicado 21-273914- -16. ix) Por solicitud de la Dirección, los ingenieros forenses de esta Delegatura realizaron un análisis técnico el 17 mayo de 2023 con radicado 21273914- -00020 respecto de las pruebas allegadas al expediente hasta ese momento. x) Por medio de oficio del 22 de junio de 2023 con radicado 21- 273914-21 este Despacho solicitó explicaciones a VANTI con relación a las conclusiones y hallazgos del análisis técnico del 18 de mayo de 2023 con radicado 21-273914- -00020. xi) A través de comunicación del 12 de julio de 2023 con radicado 21273914- -00023 la sociedad VANTI solicitó una prórroga para contestar la solicitud de explicaciones del 22 de junio de 2022 con radicado 21273914- -21. xii) A través de comunicación del 21 de julio de 2023 con radicado 21273914- -00024 VANTI respondió la solicitud de explicaciones del 22 de junio de 2023 con radicado 21-273914- -21. xiii) Posteriormente, se inició la presente investigación administrativa mediante la expedición la Resolución N.º 49332 del 18 de agosto de 2023, por medio de la cual se formularon dos (2) cargos a la sociedad VANTI, la cual fue debidamente notificada a la investigada y se le concedió el termino para presentar descargos. xiv) Así pues, dentro del término establecido para ello, mediante escrito radicado el día 12 de septiembre de 2023 mediante radicado 21273914- -00033 el apoderado de la sociedad VANTI, dio respuesta a la formulación de cargos, en los que manifiesta que presentará un dictamen pericial por parte de un ingeniero de sistemas. xv) Mediante Resolución N.º 79917 del 18 de diciembre de 2023, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 21-273914, y decretó varias pruebas entre ellas la práctica del dictamen pericial mencionado. xvi) Que mediante comunicación del 9 de enero de 2024 con radicado 21273914- -00040 el apoderado de la investigada aportó el Dictamen Pericial decretado. xvii) Que mediante oficio del 10 de julio de 2024 con radicado 21-273914- 53 se requirió a VANTI con el fin de que aportara las pruebas decretadas en la Resolución N.º 79917 del 18 de diciembre de 2023 a través del correo electrónico contactenos@sic.gov.co como documentos adjuntos o a través de un medio físico. xviii) Mediante comunicación del 17 de julio de 2024 con radicado 21-273914-00058, 21-273914- -00059, 21-273914- -00060, el apoderado de VANTI aportó los documentos requeridos mediante archivos adjuntos. xix) Que mediante comunicación del 11 de septiembre de 2024 con radicado 21-273914- -00063, el apoderado de VANTI solicitó lo siguiente: “(…) otorgar un término razonable para pronunciarnos sobre el contenido de del dictamen elaborado por xxxxxxxxxxxxxxxx xxxxxxxx; y (ii) solicitar la práctica de un interrogatorio al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxx identificado con la cédula de ciudadanía número XXXXXXX en su calidad de ingeniero y suscriptor del mencionado dictamen, para verificar su idoneidad, imparcialidad y sobre el contenido del dictamen.” xx) Que mediante Resolución N.º 74720 del 28 de noviembre de 2024, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente, rechazó la prueba solicitada por la investigada, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
Así mismo, en la referida resolución se dio respuesta a la petición “Por la cual se resuelve un recurso” xxi) presentada apoderado de la sociedad investigada, radicada el 11 de septiembre de 2024 con radicado 21-273914- -00063. Finalmente, dentro del plazo otorgado por la Resolución N.º 74720 del 28 de noviembre de 2024, la sociedad investigada mediante comunicado del 12 de diciembre de 2024 con radicado 21-273914- 00073, presentó alegatos de conclusión. Ahora bien, con relación a la idoneidad del ingeniero que elaboró el análisis técnico, la misma se encuentra acreditada en su hoja de vida, debidamente publicada en el Sistema de Información y Gestión del Empleo Público (SIGEP), junto con el Directorio de Servidores Públicos y la Declaración de Bienes, Rentas y Conflictos De Interés, documentos que permiten verificar sus conocimientos técnicos, los cuales fueron solicitados por esta Delegatura, circunstancia que dio lugar a su contratación para la prestación de servicios profesionales.
No obstante, el ingeniero que elaboró el documento en cuestión no fue designado como perito, pues sus análisis e informes técnicos constituyen productos contractuales destinados a servir de insumo para la administración, y no pruebas periciales, que por su naturaleza deben cumplir con las formalidades previstas en la Ley, entre ellas el juramento regulado en el artículo 226 del Código General del Proceso (Ley 1564 de 2012).
En conclusión, este Despacho confirma la decisión adoptada, toda vez que el análisis técnico cuestionado por la sociedad recurrente fue elaborado por un profesional que presta sus servicios a la Entidad y cuya idoneidad técnica resulta acorde con las funciones de apoyo especializado requeridas por esta Delegatura. Así mismo, se precisa que dicho análisis no constituye un dictamen pericial, sino un insumo técnico propio de sus obligaciones contractuales, por lo que no le son exigibles las formalidades previstas para la prueba pericial.
De igual manera, la sanción se impuso por la ocurrencia de un incidente que se derivó de la falta de medidas de seguridad adecuadas para prevenirlo y de las deficiencias en los controles implementados por VANTI, lo que permitió que la falla tecnológica se extendiera en el tiempo y solo fuera detectada por la queja del titular, así mismo, está plenamente probado que se configuró el incidente por la violación de los códigos de seguridad al interior de la organización, mismo que debió ser reportado a la Autoridad de Protección de Datos Personales En ese sentido, los argumentos del apoderado no logran desvirtuar ni la validez del análisis técnico, ni los fundamentos fácticos y jurídicos que motivaron la decisión, razón por la cual no están llamados a prosperar, y por ello se confirma la decisión sancionatoria. 6.6 Sobre la inversión de la carga de la prueba y desconocimiento de las pruebas aportadas El recurrente afirma que este Despacho no tuvo en cuenta las pruebas aportadas por VANTI junto con el dictamen pericial, porque si los hubiera tomado en consideración para su decisión, no habría sancionado a la sociedad puesto que las mismas demuestran que la sociedad recurrente no cometió ninguna infracción a la norma. 51 Sin embargo, se aclara que este Despacho decretó las pruebas que consideró pertinentes para tener una compresión mayor del caso, entre las que se encuentran el dictamen pericial a petición del apoderado de VANTI, y los demás requerimientos hechos a TRANSFIRIENDO, AYESA, y la DIAN, con el objetivo de contar con más elementos de prueba que permitieron fundamentar la decisión de la Dirección con conocimiento de fondo de las circunstancias que generaron el incidente de seguridad. 51 21-273914.
Consecutivo 82. Página 3. Folio 37 “Por la cual se resuelve un recurso” En consecuencia, en esta investigación se recaudaron las pruebas necesarias para sustentar la decisión, la cual fue adoptada con certeza y convicción, al estar soportada en un acervo probatorio suficiente que permitió a este Despacho comprender de manera integral las circunstancias del incidente de seguridad.
En mérito de lo expuesto, este Despacho confirma la decisión recurrida, pues el acervo probatorio recaudado permitió establecer con claridad las circunstancias del incidente de seguridad y evidenciar fallas en las medidas de seguridad implementadas por VANTI, las cuales permitieron que la situación se prolongara y que solo fuera detectada por el titular afectado.
Si bien la sociedad aportó un dictamen pericial y sostuvo que su valoración impediría la imposición de la sanción, lo cierto es que dicho elemento fue tenido en cuenta junto con las demás pruebas practicadas, las cuales permitieron obtener una comprensión integral de los hechos. En ese sentido, los argumentos del recurrente no desvirtúan los fundamentos que soportan la decisión impugnada, razón por la cual no están llamados a prosperar.
Por lo anterior, este Despacho confirma la decisión recurrida. 6.7 Sobre la inexistencia de antijuridicidad El recurrente expresa en el recurso que este Despacho no demostró la antijuricidad, lesión o puesta en peligro de los bienes jurídicos tutelados, por cuanto VANTI acreditó que no se presentó ninguna afectación a la confidencialidad, integridad ni disponibilidad de la información, además no se generaron consecuencias negativas para el titular. 52 Pues bien, en el presente caso si existió antijuricidad en relación con la emisión de facturas electrónicas con información errada, puesto que se hizo un tratamiento indebido del dato personal de titular como es su número de cédula, al reportarse información errada ante la DIAN, lo cual se considera grave si se tiene en cuenta, que el documento que envía VANTI debe garantizar que la información allí consignada es autentica e integra, con el fin de que las facturas emitidas tengan validez para efectos tributarios.
Por consiguiente, se generaron facturas electrónicas invalidas y carentes de integridad y autenticidad por cuenta del error tecnológico, que puedo haber sido detectado antes de que VANTI enviara a través de su proveedor tecnológico la información a la DIAN, si hubiera realizado pruebas en un ambiente de preproducción, únicamente con el objetivo de encontrar fallos en una herramienta recién adquirida con su proveedor tecnológico, es más, si no fue posible para la sociedad recurrente conocer acerca de esta inconsistencia en el proceso de ensayo de la herramienta, su deber era detectarlo prontamente a partir de las primeras facturaciones envidas a la DIAN.
En ese sentido, el presente argumento expuesto por el recurrente no desvirtúa los fundamentos que soportan la decisión impugnada, razón por la cual no está llamado a prosperar. Por lo anterior, este Despacho confirma la decisión recurrida. 6.8 Sobre el desconocimiento del aporte causal e intervención de terceros en la presente situación El apoderado reclamó que este Despacho no tuvo en cuenta la intervención de terceros en la ocurrencia del incidente de seguridad, señalando que AYESA falló al diseñar una solución tecnológica sin acatar los requerimientos de VANTI, de únicamente eliminar el último dígito de verificación de los NIT de las personas jurídicas. 52 21-273914.
Consecutivo 82. Página 3. Folio 39, 40 “Por la cual se resuelve un recurso” De igual manera, asegura que TRANSFIRIENDO y la DIAN también tiene responsabilidad en el incidente, puesto que debieron implementar medidas de control para evitar esta clase de situaciones. 53 El apoderado alega que este Despacho solo le exigió a VANTI contar con herramientas de detección, control y monitoreo en el manejo de datos personales para la facturación electrónica, mientras que, a AYESA, TRANSFIRIENDO y la DIAN no se les exige medidas de seguridad frente al incidente, por lo cual considera que se dio un tratamiento discriminatorio, por lo que se debería revocar la sanción o como mínimo la disminución de la misma.54 Así pues, respecto a estos argumentos se debe manifestar que esta investigación se centró en el papel preponderante de VANTI en su calidad de Responsable del tratamiento, con relación al cumplimiento del deber de contar con medidas seguridad de la información y el deber de reportar ante la Autoridad de Protección de Datos Personales, las violaciones a los códigos de seguridad.
Por otro lado, se analizaron las respuestas proveídas por AYESA y TRANSFIRIENDO, en las que ambas sociedades manifiestan que no son responsables de la información tratada en el proceso de facturación electrónica y tampoco ellos determinan el contenido del archivo que se genera para ser enviado a la DIAN en el que se consignan los datos personales de los titulares con los cuales son creadas las facturas electrónicas, puesto que esta información proviene directamente del emisor que es VANTI.
Ahora bien, el error tecnológico originado en la herramienta adquirida con el proveedor AYESA que fue solicitado por parte de VANTI, debió ser puesto a prueba por parte de esta, como Responsable del tratamiento, y fue negligencia de VANTI no cerciorarse, de que el archivo que sería enviado a la DIAN para generar facturas electrónicas con datos personales, tenía un error en su producción, tan es así, que el apoderado afirma en el recurso, que las pruebas realizadas sobre la solución tecnológica, se hicieron únicamente respecto a la instrucción dada al proveedor de eliminar únicamente el ultimo digito de los Nit de las personas jurídicas.
Esto demuestra que claramente no se hicieron pruebas respecto a las demás funciones de la herramienta, como era crear el archivo plano con los datos personales para las facturas electrónicas de los usuarios de VANTI correspondientes a personas naturales.55 En el curso de la investigación quedo demostrado que el Responsable, en este caso VANTI, incumplió su deber de garantizar que los procedimientos internos de seguridad de la información incluyeran pruebas previas respecto a las soluciones tecnológicas adquiridas a terceros y un monitoreo efectivo de los todos sus procesos, incluido el de facturación electrónica.
Dado que, la ausencia de estos controles permitió que la falla tecnológica reportada por el titular ocurriera y se prolongara en el tiempo. Por otro lado, el rol de la DIAN como autoridad tributaria es de recibir y validar técnicamente las facturas electrónicas para fines de control fiscal y tributario, su función no es verificar si el nombre, o el número de identificación son ciertos.
En conclusión, corresponde a VANTI, en su calidad de Responsable del tratamiento y emisor, garantizar que la información contenida en la factura electrónica sea veraz, completa y exacta. En consecuencia, mediante la resolución impugnada se sancionó el incumplimiento de sus deberes como Responsable del tratamiento, lo cual no permite reducir la multa con fundamento en la participación de otras entidades involucradas en el incidente, como lo plantea el apoderado. 53 21-273914.
Consecutivo 82. Página 3. Folio 41 54 21-273914. Consecutivo 82. Página 3. Folio 41 55 21-273914. Consecutivo 82. Página 3. Folio 8 “Por la cual se resuelve un recurso” Igualmente, está suficientemente acreditado que la sociedad no adoptó las medidas necesarias para evitar ni detectar oportunamente la falla tecnológica que dio lugar al incidente de seguridad de modo que, se confirma la decisión sancionatoria, por cuanto, los argumentos del apoderado, no desvirtúan las obligaciones propias e intransferibles del Responsable ni logran controvertir los fundamentos jurídicos y probatorios que soportan la sanción. En consecuencia, el presente argumento expuesto por el recurrente no desvirtúa los fundamentos que soportan la decisión impugnada, razón por la cual no está llamado a prosperar.
Por lo anterior, este Despacho confirma la decisión recurrida. 6.9 Sobre la vulneración naturaleza de los datos del principio de proporcionalidad y El recurrente manifiesta que en la Resolución impugnada no se explicó específicamente el daño o peligro a los intereses jurídicos tutelados por la Ley, puesto que VANTI no hizo un tratamiento de datos personales, ya que el número que se generó con la eliminación del último dígito no puede vincularse a ninguna persona natural en concreto. 57 Lo cual es a todas luces falso, porque el número XXXXXX es considerado un dato personal al estar vinculado a la cédula del señor XXXXXXXXXXXXXXXXXX, así mismo, este número fue vinculado con otras 4 personas naturales, las cuales son: XXXXXXXXXXXX, XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.58 Por otra parte, se aclara que contrario a lo que afirma el apoderado, 59 el sistema de la DIAN no hizo una vinculación de los reportes de facturación electrónica enviados por el emisor con los datos del denunciante, puesto que, como ya se dijo antes, fue VANTI como Responsable y emisor quien realizó el tratamiento y el único agente, en el proceso que debe garantizar la veracidad de los datos suministrados para la generación de facturas, por ello no es correcto que el recurrente asegure que VANTI no trató los datos personales del titular.
Por otra parte, el apoderado informa que los datos generados, no necesariamente pueden vincularse a personas naturales, puesto que con relación a los números de identificación de diez dígitos, al eliminar el último queda un número de 9 dígitos que según el apoderado: “por la estructuración del sistema de números de identificación en Colombia, no puede estar vinculado con ninguna persona.”60Lo cual tampoco es cierto, si se tiene en cuenta que el número de cédula XXXXXX del señor XXXXXXXXXXXXXXXXXXX es de tan solo 7 dígitos y es un dato personal.
En la misma línea argumentativa, el recurrente señala que el denunciante no es usuario de VANTI, por tanto, el alcance es extremadamente limitado respecto a que el número generado por error corresponda a la cédula de un titular.61 No obstante, se debe recordar lo informado por VANTI en respuesta al requerimiento del 1 de noviembre de 2022 con radicado 21-273914- -16 realizado por este Despacho el en el que se le requirió que contestara lo siguiente62: “2.
Informe el número total de titulares afectados por el incidente (más allá de los relacionados con el número de identificación del señor XXXXXXXXXXXXXXXXX) (sic) y remita una lista detallada de estos.” A lo cual, la sociedad informó mediante el oficio del 14 de diciembre de 2022 con radicado número 21-273914- -00019 que: “(…) se identificó que del total de usuarios de Vanti S.A. E.S.P. esto es un total de 2.446.662 pudieron verse involucrados en 56 21-273914.
Consecutivo 82. Página 3. Folio 42 57 21-273914. Consecutivo 82. Página 3. Folio 42 58 21-273914. Consecutivo 9. Página 2. Folio 38,39 59 21-273914. Consecutivo 82. Página 3. Folio 43 60 21-273914. Consecutivo 82. Página 3. Folio 43 61 21-273914. Consecutivo 82. Página 3. Folio 43 62 21-273914. Consecutivo 16. Página 2. Folio 1 “Por la cual se resuelve un recurso” el evento aproximadamente 36.509, esto es en promedio el 1,5% de usuarios, (…)”63 Por lo tanto, se evidencia que VANTI en la etapa de averiguación preliminar reconoció que el alcance del incidente de seguridad, pudo haber afectado a aproximadamente 36.509 usuarios o clientes de la sociedad recurrente, sin contar los demás titulares que no son clientes pero que, por cuenta de la eliminación del último dígito de las cédulas, pudieron verse afectados porque posiblemente se hicieron reportes errados con sus datos personales ante la DIAN.
Esto representa un incidente de seguridad de grandes magnitudes, que solo fue descubierto por la sociedad recurrente, a partir de la queja del señor XXXXXXXXXXXXXXXX, de modo que, no es admisible el argumento del apoderado según el cual el alcance del incidente fue excepcional y limitado. Por otra parte, el recurrente señala que el número generado a partir de la eliminación del último dígito no es un dato personal y que si lo fuera sería un dato público por tratarse de un número de identificación. 64 Por tanto, afirma el apoderado que cualquier persona puede tratar los datos públicos sin autorización del titular. 65 Al respecto, es preciso señalar que la Ley 1581 de 2012, como Ley estatutaria que regula el derecho fundamental de habeas data, protege todo tipo de datos personales.
En consecuencia, el tratamiento de los datos públicos también debe sujetarse al principio de finalidad, lo que implica que solo pueden ser utilizados para los propósitos para los cuales fueron recolectados y publicados. De igual forma, el principio de circulación restringida establece que los datos públicos están condicionados por los límites de su propia naturaleza y, por tanto, no pueden ser tratados para cualquier fin, dado que la Ley protege tanto los datos como la finalidad para la cual son utilizados.
Por otra parte, el nivel de impacto de un incidente de seguridad depende de las consecuencias adversas que este genere para el titular a partir del uso indebido de sus datos personales, y no de la naturaleza de dichos datos. En el presente caso, aunque se trataba de un dato de carácter público, se afectó el derecho fundamental de hábeas data del titular y se comprometieron la integridad y veracidad de la información, al reportarse datos incorrectos sobre el comportamiento tributario, tanto del titular como de otros titulares ante la DIAN.
Por lo anterior, se concluye que el hecho de que el incidente de seguridad, haya ocurrido respecto a un dato público, no disminuye la gravedad, el impacto ni la afectación del derecho de habeas data del titular, toda vez que, la ocurrencia de un indebido tratamiento de un dato personal de cualquier naturaleza debe ser investigado y sancionado, en caso de que se demuestre que su vulneración es consecuencia del actuar negligente de un Responsable o Encargado del tratamiento.
En conclusión, este Despacho confirma la decisión sancionatoria, toda vez que quedó demostrado que, pese a tratarse de un dato público, el incidente de seguridad comprometió la veracidad e integridad de la información y afectó el derecho fundamental de hábeas data del titular. Por consiguiente, el argumento del apoderado, según el cual la naturaleza pública del dato disminuiría la gravedad del incidente, no está llamado a prosperar, pues cualquier tratamiento indebido de datos personales —sin importar su categoría— debe ser investigado y sancionado cuando se origina por la actuación deficiente del Responsable, como lo es el tratamiento indebido por fallas en la implementación de medidas de seguridad de la información. 63 21-273914.
Consecutivo 19. Página 8. Folio 2 64 21-273914. Consecutivo 82. Página 3. Folio 23, 25 65 21-273914. Consecutivo 82. Página 3. Folio 45 “Por la cual se resuelve un recurso” En ese sentido, el presente argumento expuesto por el recurrente, no desvirtúa los fundamentos que soportan la decisión impugnada, razón por la cual no está llamado a prosperar.
Por lo anterior, este Despacho confirma la decisión recurrida. 6.10 Sobre las pretensiones El apoderado presenta las siguientes pretensiones en el recurso de reposición en subsidio de apelación: “1. Se REVOQUE la Resolución No. 38583 de 2025 y, en consecuencia, se archive la investigación en contra de VANTI sin la imposición de sanciones a su cargo. 2.
Subsidiariamente solicito se REVOQUE parcialmente la Resolución No. 38583 de 2025 y se reduzca la sanción impuesta a la VANTI. 3. En caso de no revocarse la decisión, solicito se conceda el recurso de APELACIÓN.” En relación con la primera pretensión, este Despacho concluye que no es procedente la revocatoria de la Resolución N.º 38583 del 20 de junio de 2025, toda vez que la sociedad recurrente no acreditó el cumplimiento de ninguno de los deberes que dieron lugar a la imposición de la sanción. En cuanto a la segunda pretensión, mediante la cual se solicita, de manera subsidiaria, la revocatoria parcial de la resolución y la reducción de la sanción, esta si resulta procedente, en la medida en que la sociedad recurrente demostró la implementación de medidas de seguridad de la información internas.
En consecuencia, se suprimirá la sanción pecuniaria impuesta por el segundo cargo, no obstante, se confirmarán todas las órdenes impartidas, dado que persiste la necesidad de que la sociedad fortalezca sus procedimientos de reporte de incidentes ante la Autoridad. Por lo anterior, la sanción impuesta en la resolución impugnada será reducida.
Referente a la tercera pretensión, este Despacho concede el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales con el fin de que surta el trámite de Apelación.
SÉPTIMO: Conclusiones En relación con el Recurso de Reposición y en subsidio de Apelación interpuesto por la sociedad VANTI S.A. E.S.P. contra la Resolución N.º 38583 del 20 de junio de 2025, esta Dirección en la presente Resolución desarrolló lo siguiente: i. Se confirmó que la sociedad recurrente infringió abiertamente las normas sobre protección de datos personales consagradas en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, por lo tanto, se impondrá una sanción frente a este cargo y frente al segundo se eliminará la sanción pecuniaria, pero se confirmarán las órdenes. ii.
VANTI puso en peligro los intereses jurídicos del señor XXX XXXXXXXXXXXXXXX y otros titulares, al realizar un indebido tratamiento de su número de cédula, al remitirla a la DIAN para generar la facturación electrónica, pese a que el titular no era un cliente de la sociedad recurrente, lo cual afectó la veracidad e integridad de los datos del titular, puesto que su número de cédula fue empleado para la generación de facturas a nombre de otras personas que compartían el mismo número de cédula respecto a los primero 7 dígitos.
“Por la cual se resuelve un recurso” iii. Efectivamente se presentó un error en la solución informática adquirida por VANTI con su proveedor AYESA para la generación de facturas electrónicas, el cual consistía en la eliminación del último dígito de los número de cédula de personas naturales, pese a que la instrucción era que esto únicamente se efectuara con el número de verificación de los NIT de las personas jurídicas, sin embargo, este error debió ser detectado en la etapa de pruebas, de la herramienta tecnológica o a más tardar al momento de enviar la información errada a la DIAN, lo cual no fue demostrado por parte de la sociedad recurrente, ya que no se aportó prueba de haberse realizado verificaciones del funcionamiento de la sistema antes de poner en marcha la operación, así como también quedo demostrado en el expediente que la sociedad recurrente tuvo conocimiento del incidente solamente a partir de la queja presentada por el titular. iv.
Lo anterior demuestra una falla en los sistemas de seguridad de la información de VANTI, porque no se activaron las medidas de control, detección y monitoreo de los procesos en los que se hace tratamiento de los datos personales oportunamente. v. De igual manera, la investigada no acató el deber de reportar el incidente de seguridad ante el RNBD ya que no puso en conocimiento de esta Entidad la situación ocurrida ni acreditó haberlo hecho oportunamente. vi.
El cumplimiento del Régimen Especial de Protección de Datos Personales debe demostrarse mediante acciones concretas, medibles y efectivas, por lo que, el cumplimiento del deber de seguridad va mucho más allá de la mera expedición de documentos o redacción de políticas. Por ello, se exige que la sociedad recurrente que demuestre el cumplimiento real y efectivo en la práctica de sus funciones como empresa de servicios públicos; además en el caso bajo estudio se encontró demostrado que la sociedad no aportó pruebas que acrediten que las medidas de seguridad adoptadas por la sociedad, fuero efectivas para impedir la ocurrencia del incidente de seguridad o al menos detectarlo a tiempo. vii.
El apoderado no acreditó la configuración de la caducidad de la facultad sancionatoria, toda vez que el incidente de seguridad no fue reportado ante el RNBD. Esta omisión constituye un incumplimiento de carácter continuado, máxime cuando se trata de un incidente de amplia magnitud, cuyo conocimiento por parte de esta Superintendencia se produjo únicamente gracias a la denuncia del titular, de manera que la sociedad debió informar a la Autoridad incluso después de vencido el plazo legal. viii.
No obstante, se modificará la resolución impugnada en el sentido de eliminar la sanción pecuniaria impuesta por el segundo cargo, habida cuenta de que la sociedad acreditó la implementación de medidas de seguridad de la información. Sin embargo, se confirmarán las órdenes impartidas, por cuanto es indispensable que VANTI refuerce sus procedimientos de reporte de incidentes ante la Autoridad y garantice el estricto cumplimiento de sus deberes legales como Responsable del tratamiento. ix.
Los datos personales públicos también son sujetos de protección por la Ley 1581 de 2012, de modo que el nivel de impacto de un incidente de seguridad se determina por las consecuencias adversas que pueda generar para el titular a partir del uso indebido de sus datos personales, y no por la naturaleza de la información comprometida, y en este caso se vulneró el derecho fundamental de hábeas data, al afectarse la integridad y veracidad de la información reportada.
“Por la cual se resuelve un recurso”
OCTAVO: Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra esta Dirección que la resolución objeto de impugnación fue expedida observando la Ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se modificará el monto de la sanción y se confirmará en sus demás partes, la Resolución No. 38583 del 20 de junio de 2025.
NOVENO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad VANTI S.A. E.S.P identificada con NIT. 800.007.813- 5, con el correo electrónico de notificación judicial serviciosjuridicos@grupovanti.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-273914. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo anterior,
RESUELVE
ARTÍCULO 1: MODIFICAR parcialmente el ARTÍCULO PRIMERO de la parte resolutiva de la Resolución No. 38583 del 20 de junio de 2025, el cual quedará así: “ARTÍCULO 1: Imponer una sanción pecuniaria a la sociedad VANTI S.A. E.S.P identificada con el Nit. 800.007.813-5 de CIENTO CINCUENTA Y CUATRO (154) SALARIOS MÍNIMOS LEGALES VIGENTES–para el año 2023 equivalentes a DIECISIETE MIL OCHOCIENTOS SESENTA Y CUATRO (17.864) Unidades de Valor Básico Vigentes para el año 2025 – UVB equivalentes a DOSCIENTOS SEIS MILLONES TRECIENTOS SESENTA Y CUATRO MIL NOVECIENTOS VEINTIOCHO PESOS M/CTE ($206.364.928), por la violación a lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.”
ARTÍCULO 2: CONFIRMAR en sus demás partes la Resolución No. 38583 del 20 de junio de 2025, por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO 3: CONCEDER el Recurso de Apelación interpuesto subsidiariamente por la sociedad sancionada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 4: NOTIFICAR personalmente a la sociedad VANTI S.A. E.S.P., identificada con el NIT 800.007.813-5 a través de su apoderado, entregándole “Por la cual se resuelve un recurso” copia de la misma, e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 5: COMUNICAR al señor XXXXXXXXXXXXXXXXXXXXXXX, identificado con C.C. XXXXXX, a través de su apoderado, el contenido de la presente decisión.
ARTÍCULO 6: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Sede principal: Calle 24 Nº 7-43 Local 108 en la ciudad de Bogotá D.C., de lunes a viernes de 8:00 a.m a 4:30 p.m
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 26 de diciembre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.12.26 12:01:37 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: DR Revisó: YA Aprobó: CG