(09 de julio de 2025) “Por la cual se resuelve un recurso de apelación” Radicado 21-169148 VERSIÓN ÚNICA EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que mediante Resolución 25800 del 30 de abril de 2021, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección) le ordenó a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. lo siguiente: “ARTÍCULO PRIMERO: ORDENAR a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.
PARÁGRAFO PRIMERO: Adicionalmente deberá actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas.
ARTÍCULO SEGUNDO: La sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.
PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad que acredite que se han implementado las medidas ordenadas.”
SEGUNDO. Que, la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. fue notificada de la Resolución No. 25800 del 30 abril 2021, mediante notificación electrónica el 6 de mayo 2021, de conformidad con la certificación con radicado 21-169148-00006, del 14 de mayo 2021 expedida por la Secretaría General Ad- Hoc de esta Superintendencia. Dicha Sociedad tenía la obligación de acreditar el cumplimiento de las órdenes dadas en la Resolución 25800 del 30 abril 2021, remitiendo a esta Superintendencia una certificación suscrita por su representante legal, que acreditara que se habían implementado las medidas ordenadas.
Vencido el término establecido en el artículo segundo de la Resolución 25800 del 30 abril 2021, la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S., no acreditó el cumplimiento de las órdenes impartidas. “Por la cual se resuelve un recurso de apelación”
TERCERO. Que, en virtud de lo expuesto, la Dirección, mediante la Resolución 56782 del 22 de septiembre de 2023, decidió abrir una investigación administrativa y formular cargos a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S., por la presunta vulneración de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales e) y f) del artículo 21 de la norma en mención.
CUARTO. Que la Dirección, con fundamento en las pruebas allegadas dentro de la presente actuación, consideró que la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S., no acreditó el cumplimiento de lo ordenado mediante la Resolución 25800 del 30 de abril de 2021. Por lo anterior, mediante Resolución 56927 del 27 de septiembre de 2024 resolvió lo siguiente: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S identificada con Nit. 900.782.536-5, de CINCO (5) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a QUINIENTOS OCHENTA (580) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a SEIS MILLONES TRESCIENTOS CINCUENTA Y UN MIL QUINIENTOS OCHENTA PESOS M/CTE ($6.351.580) por la vulneración de en su calidad de Responsable del tratamiento del literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) y f) del artículo 21 de la citada Ley.”
QUINTO. Que, dentro del término legal establecido para el efecto, el 11 de octubre de 2024, COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. (en adelante la RECURRENTE), a través de su representante legal y mediante escrito radicado con el número 21-169148-25, interpuso recurso de reposición y en subsidio de apelación1 contra la Resolución 56927 del 27 de septiembre de 2024.
Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: La sociedad indica que ha venido implementando y monitoreando de manera efectiva su Política de Seguridad de la Información, con un enfoque proactivo orientado a salvaguardar los activos de información. Señala que antes de la expedición del acto administrativo ahora recurrido, ya había dado cumplimiento a lo ordenado en la Resolución 67915 de 2023, la cual contiene requerimientos idénticos a los de la Resolución 25800 de 2021, lo que evidencia la existencia de dos procedimientos administrativos sobre los mismos hechos.
Aunque dicha información no fue incorporada formalmente como prueba, la sociedad sostiene que remitió por correo electrónico la documentación de soporte para demostrar el cumplimiento de la orden. Agrega que se encuentra plenamente acreditado: (i) la existencia e implementación de la Política de Seguridad de la Información, (ii) la actualización del manual de tratamiento de datos personales y su registro en el RNBD, y (iii) la certificación del representante legal sobre el cumplimiento de estas obligaciones.
Finalmente, advierte que debe aplicarse el principio de non reformatio in pejus, a fin de no agravar la situación de la sociedad con la imposición de una sanción mayor.
SEXTO. Que la Dirección, mediante Resolución 16610 del 31 de marzo de 2025, resolvió el recurso de reposición interpuesto confirmando en todas sus partes la Resolución 56927 del 27 de septiembre de 2024. Lo anterior, al concluir que la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. incumplió las órdenes impartidas por la Superintendencia, sin que los argumentos del recurso de reposición lograran desvirtuar el cargo formulado.
La Resolución 56927 del 27 de septiembre de 2024, fue notificada electrónicamente la RECURRENTE, el 27 de septiembre de 2024. “Por la cual se resuelve un recurso de apelación” Durante el trámite se garantizó el debido proceso y la legalidad, y la sanción impuesta se fundamentó en criterios de proporcionalidad y razonabilidad, conforme a la Ley 1581 de 2012 y la jurisprudencia aplicable.
La sanción no fue arbitraria, sino una consecuencia legal por la infracción al régimen de protección de datos personales.
SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022). 7.1. Respecto de la orden impartida La sociedad recurrente sostiene que, antes de la expedición del acto administrativo mediante el cual se impuso la sanción que ahora se recurre, ya había dado cumplimiento a lo ordenado en la Resolución 67915 de 2023.
Señala, además, que dicha resolución contiene requerimientos idénticos a los establecidos en la Resolución 25800 de 2021, lo que, a su juicio, evidencia la existencia de dos procedimientos administrativos que versan sobre los mismos hechos. En este sentido, es preciso aclarar que la sanción impuesta por esta Dirección se fundamentó en la omisión de la sociedad recurrente, consistente en el incumplimiento de la orden impartida mediante la Resolución No. 25800 del 30 de abril de 2021.
Dicho acto administrativo fue debidamente notificado electrónicamente el 6 de mayo de 2021, conforme lo certificó la Secretaría General Ad-Hoc de esta Superintendencia mediante constancia con radicado No. 21-169148-6 del 14 de mayo de 2021. Una vez surtida la notificación, la sociedad contaba con un término de diez (10) días hábiles para interponer los recursos de ley.
No obstante, al no haberse presentado recurso alguno dentro del término legal, el acto administrativo quedó en firme y ejecutoriado desde el 24 de mayo de 2021, de acuerdo con lo establecido en el artículo 87 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA). En consecuencia, la orden contenida en el artículo segundo de la citada resolución debía cumplirse dentro de los seis (6) meses siguientes a la ejecutoria del acto, es decir, a más tardar el 24 de noviembre de 2021, e incluía las siguientes obligaciones: • Documentar, implementar y monitorear una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles”; y • Actualizar la información en el RNBD registrando allí las medidas implementadas para todas las bases de datos inscritas. Asimismo, el parágrafo primero del artículo segundo disponía que el cumplimiento de lo ordenado debía acreditarse mediante una certificación suscrita por el representante legal de la sociedad.
Sin embargo, transcurrido en su totalidad el plazo de seis meses otorgado por la autoridad, la sociedad no allegó ninguna certificación ni prueba alguna que acreditara la implementación, documentación o monitoreo de la política de seguridad de la información exigida, ni actualizó la información en el Registro Nacional de Bases de Datos (RNBD).
Esta omisión total en el cumplimiento de “Por la cual se resuelve un recurso de apelación” las órdenes constituye una infracción al régimen de protección de datos personales y justifica plenamente la sanción impuesta. Tal como fue confesado por la propia sociedad recurrente, solo hasta el 30 de abril de 2024 se acreditó el cumplimiento de la orden librada, inicialmente mediante la Resolución No. 25800 del 30 de abril de 2021.
Esta circunstancia, lejos de desvirtuar la sanción impuesta, confirma el comportamiento omisivo de la sociedad frente a las órdenes proferidas por la Superintendencia de Industria y Comercio El cumplimiento tardío que se produjo hasta abril de 2024 fue consecuencia de la expedición de una nueva orden administrativa, librada en idénticos términos a los contenidos en la Resolución 25800 del 30 de abril de 2021, en la Resolución No. 67915 del 31 de octubre de 2023.
La circunstancia en la que concurren órdenes administrativas muy similares, adoptadas en resoluciones diferentes separadas por el paso del tiempo, no enerva la legalidad de la sanción impuesta. Pues los hechos que la motivaron se mantienen incólumes: el incumplimiento prolongado e injustificado de una orden administrativa válida y ejecutoriada.
Por otra parte, el cumplimiento extemporáneo de las obligaciones administrativas no constituye causal de exoneración de responsabilidad, aunque pueda ser tenido en cuenta, en ciertos casos, para efectos de la graduación de la sanción. En el presente caso, el incumplimiento persistió por un período superior a dos años y cinco meses, lo cual excede con creces un margen razonable de actuación y, por tanto, configura la infracción material al régimen de protección de datos personales, particularmente en lo que respecta al deber de “cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio” establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, por la cual la empresa fue sancionada.
No descarta esta Delegatura que durante ese extenso lapso en que la orden permaneció incumplida, los datos personales administrados por la sociedad, incluyendo datos sensibles, pudieron estar potencialmente expuestos a riesgos de adulteración, pérdida, uso o acceso no autorizado o fraudulento, por la ausencia de una política de seguridad debidamente implementada y monitoreada.
Por consiguiente, esta Dirección concluye que la presentación de una certificación de cumplimiento en abril de 2024, para acreditar el cumplimiento de una segunda orden, no desvirtúa la conducta infractora sancionada. En cambio, demuestra el cumplimiento tardío de la primera orden y parece sugerir que la sociedad solo reaccionó ante una nueva orden formal y no frente al cumplimiento oportuno y diligente de sus deberes legales.
En ese orden de ideas, se desestima el argumento de la recurrente conforme al cual la sanción carecería de fundamento, y se confirma la legalidad de la actuación sancionatoria adoptada en primera instancia. 7.2. Respecto de las medias implementadas por la sociedad La sociedad recurrente afirma que ha implementado y monitoreado su Política de Seguridad de la Información, con un enfoque proactivo orientado a salvaguardar los activos de información. Sin embargo, esta afirmación carece de sustento probatorio oportuno dentro del expediente administrativo.
En efecto, aunque la sociedad indica haber remitido documentación de soporte a través de correo electrónico, dicha documentación no fue allegada formalmente al expediente dentro del término legal otorgado para acreditar el cumplimiento de la orden impartida mediante la Resolución No. 25800 del 30 de abril de 2021, ni durante los seis (6) meses siguientes a la ejecutoria del acto, es decir, hasta el “Por la cual se resuelve un recurso de apelación” 24 de noviembre de 2021, tal como lo exigía el artículo segundo de dicha resolución. En relación con la supuesta existencia e implementación de la política, la actualización del manual de tratamiento y su registro en el RNBD, así como la certificación expedida por el representante legal, se observa que tales actuaciones solo fueron acreditadas hasta el 30 de abril de 2024, en cumplimiento de una nueva orden administrativa proferida mediante Resolución No. 67915 del 31 de octubre de 2023.
Este cumplimiento tardío y provocado, como se indicó previamente, no enerva la infracción ya consumada, sino que confirma la renuencia de la sociedad a cumplir oportunamente con las instrucciones impartidas por esta Superintendencia, así como su falta de diligencia frente a las obligaciones legales que le asisten en calidad de responsable del tratamiento de datos personales.
Cabe resaltar que el literal o) del artículo 17 de la Ley 1581 de 2012 establece de forma clara el deber de los responsables del tratamiento de “cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”. La inobservancia de este deber configura una infracción al régimen de protección de datos personales, en tanto constituye una desatención a las órdenes legítimas de la autoridad competente.
Por lo tanto, esta Dirección concluye que los argumentos presentados por la sociedad recurrente no desvirtúan la conducta infractora sancionada. 7.3. Sobre el principio de non reformatio in pejus El principio de non reformatio in pejus, consagrado en el artículo 31 de la Constitución Política y reconocido en el derecho administrativo sancionador, establece que “el superior no podrá agravar la pena impuesta cuando el condenado sea apelante único”, lo cual en el derecho administrativo se entiende como que el superior jerárquico solo puede revisar los aspectos desfavorables cuestionados por quien interpuso el recurso, sin imponer consecuencias más gravosas.
Al respecto, la Corte Constitucional ha señalado que “La garantía constitucional de la non reformatio in pejus, la cual es aplicable no solo a procesos punibles sino a otras ramas del derecho incluyendo la contenciosa administrativa, es un derecho fundamental que consagra una de las reglas básicas de los recursos, y es la de establecer un límite a la competencia del fallador de segunda instancia consistente en que su providencia debe ceñirse únicamente a un pronunciamiento respecto de lo desfavorable a quien apeló, es decir, no puede hacer más perjudiciales las consecuencias de quien ejerció el recurso.
Si el operador transgrede esta regla, su sentencia estará violando directamente la Constitución”2. Esta garantía, aplicable no solo en materia penal sino también en el ámbito contencioso administrativo, protege el derecho fundamental de defensa y delimita la competencia del fallador de segunda instancia, impidiéndole adoptar decisiones que perjudiquen a quien ejerció válidamente su derecho a recurrir.
En el presente asunto, la Resolución No. 16610 del 31 de marzo de 2025, por la cual se resolvió el recurso de reposición, confirmó íntegramente la decisión sancionatoria de primera instancia, sin introducir sanciones adicionales ni aumentar el monto de la multa. Por su parte esta Delegatura hará lo propio. En consecuencia, la presente actuación en un todo, ha sido respetuosa, como debe ser, del principio de non reformatio in pejus.
Sentencia T-393-17, MP Cristina Pardo Schlesinger “Por la cual se resuelve un recurso de apelación” Cabe recordar, que este principio no impide la confirmación total de la sanción cuando, como sucede aquí, los argumentos de la apelación resultan infundados y la actuación administrativa se ajusta a derecho. Por otra parte, en relación con una eventual vulneración del principio de non reformatio in pejus asociada a la expedición de la Resolución 67915 de 2023, alegada por la sociedad recurrente, se observa que su argumentación podría estar soportada en una lectura equivocada de las circunstancias que rodean el caso, de la existencia de una segunda resolución en unos términos muy similares, y también del alcance y del momento procesal en el que dicho principio resulta aplicable.
Por lo tanto, se aclara que la segunda orden impartida mediante la Resolución No. 67915 del 31 de octubre de 2023 constituye un acto administrativo autónomo, expedido con ocasión del incumplimiento continuado de los deberes legales por parte de la sociedad. No corresponde a una decisión de segunda instancia, ni es consecuencia de un recurso presentado contra una decisión previa.
En síntesis, el principio de non reformatio in pejus solo es exigible al momento de resolver un recurso, y busca evitar que la situación del apelante se vea agravada por su propia impugnación. En el presente caso, la sanción impuesta es confirmada tanto en sede de reposición, como ahora, en sede de apelación, sin que se introdujera modificación alguna que agravara la situación jurídica de la sociedad, por lo cual no se configura vulneración del principio de non reformatio in pejus.
OCTAVO. Conclusiones. • La sociedad incumplió de manera injustificada y prolongada la orden impartida mediante la Resolución No. 25800 del 30 de abril de 2021, al no acreditar dentro del término legal la implementación, documentación y monitoreo de una política de seguridad de la información, ni la actualización de la información en el Registro Nacional de Bases de Datos.
El cumplimiento tardío verificado hasta abril de 2024 no desvirtúa la infracción sancionada, sino que confirma el obrar omisivo de la sociedad. • Los elementos probatorios relacionados con las medidas implementadas por la sociedad fueron allegados de forma extemporánea, en respuesta a una nueva orden administrativa, y no dentro del término otorgado para cumplir la orden inicial. • No se configura vulneración del principio de non reformatio in pejus, toda vez que la decisión recurrida fue confirmada en su integridad en reposición sin que se agravara la situación jurídica del recurrente.
La segunda orden, proferida mediante Resolución No. 67915 de 2023, constituye una actuación administrativas independiente y no derivada de recursos, razón por la cual dicho principio no resulta aplicable en el contexto alegado por la sociedad. • La multa impuesta a COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. ($6.351.580), corresponde al 0,24% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). • El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados, de las circunstancias específicas de este caso, y en especial, del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los responsables y/o encargados del tratamiento.
“Por la cual se resuelve un recurso de apelación” Por todo lo anterior, y de conformidad con el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procederá a confirmar la Resolución 56927 del 27 de septiembre de 2024, por lo que, en mérito de lo expuesto, RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución 56927 del 27 de septiembre de 2024, de la Dirección de Investigaciones de Protección de Datos Personales, de conformidad con lo establecido en la parte motiva del presente acto administrativo.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución, a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S., identificada con Nit. 900.782.536-5, a través de su representante legal o apoderado, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. INFORMAR el contenido de la presente resolución a la Dirección de Investigaciones de Protección de Datos Personales, y devolverle el expediente para su custodia final.
NOTIFÍQUESE, Y CÚMPLASE Dada en Bogotá D.C., 09 de julio 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES JUAN CARLOS UPEGUI MEJIA Firmado digitalmente por JUAN CARLOS UPEGUI MEJIA Fecha: 2025.07.09 12:02:28 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU