( 21 de enero 2026) Radicación 22-482908 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial, las conferidas en los artículos 19 y 21 de la Ley 1581 de 2012 y en el numeral 8, del artículo 16, del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Que, mediante Oficio radicado con el número 22-482908-00 del 6 de diciembre de 2022, el Oficial de Transparencia del Ministerio de Comercio Industria y Turismo remitió a esta Superintendencia la queja presentada por la señora xxxxx xxxxxxxx xxxxxx xxxxxxxx en contra del Banco Davivienda S.A., (en adelante Davivienda o el Banco) por la presunta vulneración a su derecho fundamental de habeas data, toda vez que un empleado del Banco entregó a su padre información relacionada con un producto de crédito a su nombre sin tener la autorización para ello.
SEGUNDO. Que la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante Resolución No. 24068 del 14 de mayo de 2024, abrió una investigación administrativa y formuló un único cargo en contra de Davivienda, por la presunta vulneración de lo dispuesto en el literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la Ley 1581 de 2012.
La Dirección, luego de realizar un análisis de las pruebas allegadas, concluyó en el citado acto administrativo que Davivienda, “desatendió el deber que le asiste de conservar la información con las medidas técnicas, humanas y administrativas de seguridad para garantizar que terceros no autorizados por su titular, pudieran acceder a esta (…)”
TERCERO. Que mediante los escritos con radicados No. 22-482908-30 y 22482908-31 del 14 de junio de 2024, Davivienda presentó los Descargos, a saber: 3.1. El funcionario incumplió con sus obligaciones contractuales, así como con los lineamientos otorgados por Davivienda para la confidencialidad y seguridad de la información de la Titular. 3.2.
Davivienda actuó de forma diligente, no sólo estableciendo obligaciones contractuales claras, sino proporcionando todos los instrumentos, herramientas y capacitaciones necesarias para que el trabajador actuara acorde a derecho. Lo anterior como parte de un Programa Integral de Protección de Datos Personales activo y comprometido con el continuo refuerzo de la cultura de datos personales en la organización y frente a la seguridad de la información, la implementación de medidas técnicas, humanas y administrativas con miras a evitar eventos de uso, consulta no autorizada, adulteración, pérdida o destrucción de la información. “Por la cual se resuelve un recurso de apelación” 3.3.
A pesar de lo anterior, el funcionario actuó en contravención de todas sus obligaciones y de los Manuales y procedimientos que conocía, razón por la cual, Davivienda decidió, en primera instancia, sancionarlo con la suspensión de su contrato laboral y a la postre desvincularlo de la organización. 3.4. Esta situación se derivó de una situación extraordinaria correspondiente a una actuación intencional en razón a su vínculo de amistad con el señor xxxxxx xxxxxx y que vulneró la expectativa de Davivienda frente al profesionalismo que se espera, de manera razonable, de un funcionario que llevaba más de 22 años vinculado a la organización.
CUARTO. Que la Dirección determinó que no es suficiente que un establecimiento del tamaño empresarial como el que posee el Banco Davivienda limite su responsabilidad frente al tratamiento de datos personales de sus más de 130.000 clientes a la expedición de documentos en donde se establezcan los compromisos que recaen sobre sus trabajadores.
Puesto que, dado el caudal y naturaleza de la información que administra en calidad de Responsable le es exigible un nivel de diligencia mayor, que se traduzca en acciones eficaces, verbigracia, la implementación de controles de seguridad que limiten el acceso a la información de un titular en tanto se verifique la concurrencia de los requisitos para que sea conocida solamente por él o por quienes este hubiere expresamente autorizado, de manera que no quede a merced del funcionario de turno la decisión de cumplir o no los lineamientos organizacionales y con ello garantizar la estricta confidencialidad de los datos personales, tal como sucedió en el caso sub examine.
La Dirección consideró además que los sistemas de información con los que cuenta el Banco Davivienda no le permiten identificar o percatarse a tiempo de las fallas relacionadas con el acceso a la información de sus clientes efectuado por terceros sin autorización del titular de los datos. Esto se colige, a partir de lo expuesto en los descargos, cuando se informa al Despacho que fue con ocasión de la queja interpuesta por la señora XXXXX XXXXXXXX XXXXXX XXXXXXXX ante la defensoría del consumidor financiero y el Banco que este último emprendió acciones tendientes a establecer las circunstancias en que se presentó el incidente.
Por lo que, mediante Resolución No. 47347 del 18 de julio de 2025, resolvió:
ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad BANCO DAVIVIENDA S.A. identificada con Nit 860.034.313-7 de DOSCIENTOS (200) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTITRÉS MIL DOSCIENTOS (23.200) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SESENTA Y OCHO MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400).26, por la vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.”.
ARTÍCULO 2: ORDENAR a la sociedad BANCO DAVIVIENDA S.A. identificada con Nit 860.034.313-7 implementar medidas técnicas efectivas que le permitan ejercer un monitoreo y control permanentes para garantizar que la información financiera de sus clientes solo sea accedida por los terceros que se encuentren debidamente autorizados por su respectivo titular.
La presente orden deberá ser cumplida por la sociedad BANCO DAVIVIENDA S.A., dentro del término de sesenta (60) días hábiles, siguientes a la ejecutoria de la presente decisión. Parágrafo: La sociedad BANCO DAVIVIENDA S.A. identificada con el Nit. 860.034.313-7 deberá acreditar el cumplimiento de lo ordenado ante esta Superintendencia, dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.
QUINTO. Que Davivienda a través de su representante legal (en adelante, también, la recurrente), mediante el escrito con radicado No. 22-482908-47 del 12 de agosto de 2025, interpuso recurso de reposición y en subsidio de “Por la cual se resuelve un recurso de apelación” apelación1 contra la Resolución No. 47347 del 18 de julio de 2025, cuyos argumentos son los siguientes: 5.1.
Existencia de medidas de responsabilidad demostrada por parte de Davivienda. Indica la recurrente que en el transcurso de la actuación administrativa logró demostrar que cuenta y “contaba” para el momento de los hechos con un Programa Integral de Gestión de Datos Personales que socializa con sus trabajadores y sobre los cuales el exfuncionario manifestó conocer su contenido.
Indica que, en cumplimiento del deber de previsión, Davivienda implementó las siguientes acciones, que reflejan un compromiso serio con la cultura de protección de datos: La Resolución No. 47347 del 18 de julio de 2025 fue notificada por aviso al Banco Davivienda el 29 de julio de 2025. “Por la cual se resuelve un recurso de apelación” En primer lugar, la compañía informó de manera clara y suficiente al exfuncionario sobre su deber de confidencialidad, la obligación de preservar la reserva bancaria y las responsabilidades en materia de seguridad de la información. Estas obligaciones fueron formalizadas contractualmente a través del Otrosí al contrato de trabajo suscrito en el año 1999.
Sostiene la recurrente que conforme la naturaleza de las funciones del exfuncionario, le reiteró: (i) la importancia crítica de la información a la que tendría acceso debido a su cargo (ii) la información es de los clientes y como tal no puede ser utilizada sin contar con la autorización previa para ello, (iii) el deber de la reserva bancaria (iv) las consecuencias jurídicas y disciplinarias que conllevan el incumplimiento.
Señala la recurrente que el exfuncionario aceptó expresamente su obligación de confidencialidad, comprometiéndose a: (i) mantener la información en estricta reserva (ii) abstenerse de usar, compartir, aplicar o explotar la información para beneficio personal o de terceros; (iii) impedir el acceso de terceros no autorizados a dicha información y(iv) Devolver cualquier soporte o fuente de información al momento de finalizar su vínculo laboral.
En segundo lugar, tal como lo reconoció el exfuncionario en la diligencia de descargos, los lineamientos de Davivienda eran claros en establecer que, previo a realizar la consulta de información personal de un cliente, era obligatorio (i) verificar que quien solicita la información sea el Titular o quien la solicite tenga la respectiva autorización, (ii) verificación del documento de identidad correspondiente (iii) realizar la validación biométrica y (iv) verificar la firma frente al sistema para confirmar su autenticidad.
Las anteriores medidas, señala la recurrente, evidencian que no solo adoptó políticas generales, sino controles específicos y verificables en los puntos críticos del tratamiento de datos personales, como lo es el acceso a la información de los titulares. Considera la recurrente que la interpretación hecha por la Dirección resulta problemática por al menos 2 razones: Primero, porque parte de la premisa contraria a la lógica misma de los procedimientos administrativos sancionatorios en materia de protección de datos personales.
Es decir, el hecho de que se adelante una actuación sancionatoria supone, por definición, que se ha presentado una eventual falla o vulneración. No obstante, ello no desvirtúa automáticamente la existencia de un programa de cumplimiento serio, estructurado y funcional que, aunque no haya evitado la materialización del riesgo, sí evidencia una gestión diligente por parte del Responsable.
Segundo, porque una interpretación que exija resultados perfectos e inmunes a cualquier incidente (materialización de un riesgo) convierte el estándar de cumplimiento en un ideal inalcanzable. Concluye la recurrente este aspecto del recurso, indicando que se parte del supuesto de que los riesgos existen, son inherentes al tratamiento de datos personales, y en ciertos casos pueden materializarse, incluso con medidas razonables de control.
Reconoce la recurrente el mérito de la entidad para sancionar el incumplimiento de sus obligaciones legales. No controvierte la potestad sancionatoria del Estado ni la existencia de un hecho que da lugar a la actuación administrativa. Lo que sí controvierte, es que la posibilidad de reducir la sanción impuesta, como consecuencia de la verificación del principio de responsabilidad demostrada, haya sido descartada con base en una lógica que exige una eficacia absoluta de las medidas adoptadas.
Esta interpretación, afirma, desnaturaliza el objetivo del régimen de responsabilidad demostrada, pues este no exige perfección, sino evidencia verificable de diligencia, proporcionalidad y mejora continua. “Por la cual se resuelve un recurso de apelación” 5.2. De los reparos por parte de la Dirección de Investigaciones de Protección de Datos Personales al Programa Integral de Datos de Davivienda.
Indica la recurrente que las medidas administrativas y humanas relacionadas con la protección de datos personales establecidos en el Reglamento Interno de Trabajo como el Código de Ética, no fueron valoradas ni consideradas para efectos de aplicar el principio de responsabilidad demostrada, a pesar de que constituyen parte integral del marco normativo adoptado por la entidad para garantizar el cumplimiento de sus obligaciones legales en esta materia.
SEXTO. Que la Dirección, mediante Resolución No. 107867 del 19 de diciembre de 2025, resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 47347 del 18 de julio de 2025.
SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 092 de 2022). 7.1. Respecto de la existencia de medidas de responsabilidad demostrada por parte del Banco Davivienda y la solicitud de la reducción de la sanción. El artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, dispone que “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto…”.
Sobre este particular, la Corte Constitucional mediante la sentencia C-32 de 2021 reconoció la existencia-validez del principio de responsabilidad demostrada en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic).
El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas. Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial;
(ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal. Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos.
A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable; (ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales.
El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”2 (negritas fuera de texto) Asimismo, el artículo 2.2.25.6.2, del Decreto 1074 de 2015, dispone: Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021.
M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm “Por la cual se resuelve un recurso de apelación” “ARTÍCULO 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2. 25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.
Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.
La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.
De acuerdo con lo expuesto por la recurrente, a pesar de contar con un “programa de cumplimiento serio, estructurado y funcional que, aunque no haya evitado la materialización del riesgo, sí evidencia una gestión diligente por parte del Responsable”, reprocha que no se opte por reducir la sanción impuesta como consecuencia de la verificación del principio de responsabilidad demostrada, pues éste no exige perfección, sino evidencia verificable de diligencia, proporcionalidad y mejora continua.
Las disposiciones del Decreto 1074 de 2015, inicialmente contenidas en el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2012, deben interpretarse en concordancia, precisamente, con las normas que buscaron reglamentar. Esto es, con las normas pertinentes de la Ley 1581 de 2012. La Ley 1581 de 2012, no menciona el principio de responsabilidad demostrada.
Aunque semejante expresión no fue reconocida explícitamente en su articulado, el mismo puede inferirse como un principio implícito, a partir de las disposiciones relacionadas con el principio de seguridad, reconocido en el literal g), del artículo 4, y con los deberes, precisamente, de conservar la información bajo condiciones de seguridad, de que trata el literal d), o de “contar con manuales internos de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley”, contenido en el literal k), ambos, del artículo 17.
Todo ello, claro está, sin perjuicio de reconocer que el principio de responsabilidad demostrada ha sido reconocido también, por la Jurisprudencia de la Corte Constitucional, en los casos de las Sentencias C-032 de 2021, como ya se mencionó, y T-360 de 2022 y, explícitamente, en el artículo 12 de la Ley 2157 de 2021 que modificó la Ley Estatutaria 1266 de 2008.
No obstante, en la Ley 1581 de 2012, a diferencia de lo que sucede con el principio de responsabilidad demostrada, sí hay mención explícita a los criterios para, parafraseando lo dicho por la recurrente, “incidir en la determinación de la sanción”. Estos criterios, fueron fijados por el legislador en el artículo 24, precisamente con el cabezote “criterios para graduar las sanciones”, así: Artículo 24.
Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción;
“Por la cual se resuelve un recurso de apelación” d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
Ahora, siguiendo el principio de estricta tipicidad, la Superintendencia de Industria y Comercio no tiene competencia para incluir criterios adicionales, para graduar las sanciones, en ninguno de los dos sentidos, ni para agravarlas, ni para atenuarlas. Si esto es así, entonces ¿cómo interpretar el inciso final del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, que dispone que “la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones”, y que la recurrente invoca en su escrito de impugnación? La alternativa interpretativa que advierte esta Delegatura como más plausible es que dicha verificación debe ser “tenida en cuenta” por esta Superintendencia para decidir si se impone o no una sanción, y si se decide imponer una sanción, para evaluar qué tipo de sanción se impone dentro de las que prevé el artículo 23 de la Ley 1581 de 2012 (multa, suspensión de actividades, cierre temporal o cierre inmediato y definitivo).
Esta no es una norma que habilite a la Dirección de Investigaciones o a esta Delegatura para graduar las sanciones pecuniarias, ya a la baja, ya al alta. Pues esos criterios, como ya lo precisamos, fueron decididos por el Legislador y a ello debe atenerse la Superintendencia en relación con el ejercicio de sus facultades sancionatorias. En este contexto, esta Delegatura no puede acoger el argumento de la Recurrente que cuestiona la decisión de instancia por haber supuestamente descartado la aplicación del principio de responsabilidad demostrada para “reducir la sanción impuesta como consecuencia de la verificación del principio de responsabilidad demostrada”.
No es esa la lógica la que guio la imposición de la sanción, ni con la cual se puede, con apego al derecho, caracterizar el análisis efectuado respecto de los criterios para su graduación en la Resolución ahora bajo examen. Y no lo es, y no lo podría ser, porque una valoración semejante no es posible dentro del marco jurídico actual, en el que, como ya se explicó, no figura la responsabilidad demostrada dentro de los criterios de graduación de las sanciones, y en el que, por el principio de estricta tipicidad, no podía, ni puede esta Superintendencia así valorarlo.
Dicho esto, esta Delegatura quiere hacer claridad en que, de lo que se advierte en el texto de la Resolución ahora impugnada y en general en el expediente administrativo íntegro, la imposición de la sanción en la presente actuación administrativa no desconoce ni el compromiso ético de Davivienda con el respeto y la protección de los datos personales de sus clientes, ni mucho menos las medidas para la gestión de la información personal que el Banco Davivienda tiene adoptadas en términos generales.
La imposición de la sanción responde eso sí, y de forma exclusiva, al incumplimiento puntual de un deber legal. Finalmente, no quiere esta Delegatura dejar de resaltar que la sanción impuesta se enmarca en los límites establecidos en la Ley. La misma se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales vigentes, establecido en el artículo 23 de la Ley 1581 de 2012 y equivale al 10% del umbral máximo permitido.
Tampoco quiere esta Delegatura dejar de resaltar que, en su imposición, la Dirección valoró las causales de agravación y de atenuación establecidas en el artículo 24 de la Ley 1581 de 2012, ya mencionado, así como el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, “Por la cual se resuelve un recurso de apelación” su información financiera, y demás aspectos jurídicos y fácticos relevantes.
De tal forma que la misma se enmarca en el ejercicio de la discrecionalidad limitada por parámetros legales propia de la administración pública, no tiene carácter confiscatorio, es proporcional y está acorde con la capacidad económica del Banco Davivienda. 7.2. Respecto de los reparos realizados por la Dirección frente al Programa Integral de Protección de Datos de Davivienda.
Frente a las observaciones hechas por la Dirección en la Resolución que se revisa, relacionados con el Programa Integral de Protección de Datos Personales, con especial énfasis en (i) Manual de Protección de Datos Personales, (ii) la política de Tratamiento de la Información (iii) el Manual de Seguridad de la Información y Ciberseguridad (iv) las capacitaciones impartidas al exfuncionario involucrado en la presente actuación administrativa, esta Delegatura concuerda con el análisis probatorio realizado por la Dirección tanto en el acto administrativo que se revisa, como en el que resolvió el recurso de reposición. En relación con las Políticas de Tratamiento esta Delegatura coincide con la Dirección en que el objeto de reproche no se centra en la mera inclusión de las disposiciones legales relacionadas con el principio de seguridad, sino en que las políticas no incluyesen “procedimientos ajustados a las necesidades propias de la organización, esto es, “que no se articulen los principios normativos con los procesos internos” de la organización. Una situación similar, ocurre en relación con el manual de seguridad de la información en el que se evidencia la ausencia de “controles técnicos” para impedir que terceros no autorizados accedan a la información, o de “protocolos de acceso” que efectivamente garanticen que los datos personales “no sean divulgados, modificados o eliminados” contraviniendo el régimen de protección de datos personales.
Reconocer la evidencia de implementación de medidas normativas y humanas para concretar los principios de confidencialidad, seguridad y circulación restringida de la información personal, no le impide a esta Delegatura extrañar, al igual que lo hace la Dirección, su inconducencia para demostrar la implementación de medidas técnicas para impedir el acceso a los datos personales por personas no autorizadas.
Finalmente, frente a las acciones posteriores a la ocurrencia de los hechos denunciados tomadas por Davivienda con el fin de fortalecer las medidas técnicas y administrativas para que estos casos no vuelvan ocurrir, esta Delegatura las reconoce y las valora de forma muy positiva. Las tiene a futuro como una muestra de su compromiso con el cumplimiento de la Ley y con el tratamiento responsable de los datos personales de sus clientes.
En efecto, esta Delegatura destaca la conducta proactiva de Davivienda para reconocer las oportunidades de mejora, y estima su buena disposición para tomar medidas técnicas, humanas y administrativas que optimicen su sistema integral de gestión de información y eviten que la conducta infractora se repita. Conclusiones. • En este caso está demostrado que el Banco Davivienda vulneró el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su acceso no autorizado, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012.
Y esto fue así porque un empleado suyo consultó información financiera de un cliente, entregándola a un tercero que no se encontraba autorizado para acceder a ella. • La sanción impuesta a Davivienda que esta Delegatura confirmará se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales “Por la cual se resuelve un recurso de apelación” vigentes, establecido en el artículo 23 de la Ley 1581 de 2012 y equivale al 10% del umbral máximo permitido.
Para su imposición, la Dirección valoró las causales de agravación y de atenuación establecidas en el artículo 24 de la Ley 1581 de 2012, y valoró la realidad económica de la empresa y otros aspectos jurídicos y fácticos relevantes. Esta sanción se adecúa a los mandatos del principio de legalidad, no tiene carácter confiscatorio, es proporcional y está acorde con la capacidad económica del Banco Davivienda. • La existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable, podrán tenerse en cuenta cuando se opte por imponer alguna de las sanciones establecidas en el artículo 23 de la Ley 1581 de 2012.
No pueden considerarse como un medio para reducir el valor de la sanción impuesta. Los criterios de graduación son aquellos contemplados en la Ley, en especial, los fijados en el artículo 24 de la Ley 1581 de 2012. Por tanto, en mérito de lo expuesto, este Despacho RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 47347 del 18 de julio de 2025.
ARTÍCULO 2. NOTIFICAR la presente Resolución a la sociedad BANCO DAVIVIENDA S.A., identificada con Nit. 860.034.313-7, a través de su representante legal, entregándole copia de la misma e informándole que contra ella no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente Resolución a xxxxx xxxxxxxx xxxxxx xxxxxxxx, identificada con la cédula de ciudadanía No. X.XXX.XXX.XXX.
ARTÍCULO 4. INFORMAR el contenido de la presente Resolución a la Dirección de Investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 21 de enero 2026. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES, JUAN CARLOS UPEGUI MEJIA Firmado digitalmente por JUAN CARLOS UPEGUI MEJIA Fecha: 2026.01.21 11:15:10 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: NTL Revisó y aprobó: JCUM