Sanción 99824 de 2025 — SIC

(28 de noviembre de 2025) “Por la cual se impone una sanción administrativa” VERSIÓN ÚNICA Radicación 25-228843 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Dirección mediante Resolución N.° 77654 del 3 de noviembre del 2022, expedida dentro del expediente con radicación 20-57773, impuso a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA con NIT 830.059.921-4, la siguiente orden administrativa: “(…)

ARTÍCULO SEGUNDO: ORDENAR a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA., identificada con el Nit. 830.059.921-4, cumplir con las siguientes instrucciones: - La sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. deberá ajustar y cargar la versión actualizada de su Política de Tratamiento de información en el Registro Nacional de Bases de Datos, conforme a lo preceptuado en la Ley 1581 de 2012 y su Decreto Único Reglamentario 1074 de 2015. - La sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. deberá documentar su manual de seguridad de la información, para dar cumplimiento a lo señalado en La Ley Estatutaria 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO PRIMERO: La sociedad comercial COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA., identificada con el Nit. 830.059.921-4 deberá́ cumplir con lo ordenado en esta resolución dentro de los noventa (90) días hábiles siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO: Para demostrar el cumplimiento, se deberá remitir a esta Dirección una certificación suscrita por el representante legal de la sociedad, mediante la cual acredite que se han implementado las medidas ordenadas, sin perjuicio de que las misma puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

“Por la cual se impone una sanción administrativa”

SEGUNDO: Que, la Resolución N°. 77654 del 3 de noviembre del 2022 fue notificada a la representante legal de la sociedad COMPAÑIA INTE GRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA mediante notificación electrónica el 10 de noviembre del 2022 y a su apoderado especial mediante notificación electrónica el 3 de noviembre del 2022, de conformidad con la certificación con radicado 20-57773-50 de fecha 16 de noviembre del 2022 expedida por la Secretaria General de esta Superintendencia.

TERCERO: Que la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA, guardó silencio y NO interpuso recursos contra la Resolución en cuestión.

CUARTO: Que, de conformidad con el termino señalado en el parágrafo primero del artículo segundo, la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA debía acreditar el cumplimiento de las órdenes administrativas contenidas en la Resolución N°. 77654 del 03 de noviembre del 2022 dentro de los noventa (90) días hábiles posteriores a la ejecutoria de dicho acto administrativo.

En este sentido, la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA debía acreditar el cumplimiento de lo ordenado a más tardar el 12 de abril de 2023, situación que NO fue demostrada en el expediente.

QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 11 de junio de 2025, se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 35539 por medio de la cual, se formuló cargos en contra de la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA con NIT 830.059.921-4, por la presunta infracción de lo dispuesto en: - El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma; y - El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 inciso 3 de la misma Ley y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

SEXTO: Que, la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA fue notificada de la Resolución N°. 35539 del 11 de junio de 2025, de manera electrónica el día 11 de junio de 2025 a su representante legal, de conformidad con la certificación bajo radicado 25228843- -4 de fecha 13 de junio de 2025 expedida por la Secretaria General de esta Superintendencia.

SÉPTIMO: Que encontrándose dentro del término establecido para el efecto, la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA allegó el 4 de julio de 2025 escrito de descargos bajo consecutivo N.° 25-228843- -5 argumentando, entre otras cosas, lo siguiente: Primero, la sociedad reconoció plenamente los siguientes incumplimientos: “1.

No registro ni actualización de la Política de Tratamiento en el RNBD antes del 10 de abril de 2023. 2. Ausencia de certificación suscrita por el Representante Legal que acreditara el cumplimiento de dicha política. 3. No formalización, socialización ni verificación del Manual de Seguridad de la Información. 4. Falta de mecanismos específicos para el ejercicio de derechos de los titulares (Peticiones, Quejas, Reclamos y Solicitudes – PQRS).” 2 Expediente digital 25-228843.

Consecutivo número 5. Página 4. Folio 2. “Por la cual se impone una sanción administrativa” Además, la sociedad señaló algunas circunstancias las cuales consideró como atenuantes: “1. Naturaleza MIPYME: limitados recursos económicos y humanos, con dependencia de asesoría externa para cumplimiento normativo. 2. Demoras en procesos internos de aprobación, sujetos a doble validación en órganos de dirección. 3.

Voluntad inequívoca de subsanar: desde abril de 2023 se elaboraron borradores de políticas y manual, listos para su registro inmediato. 4. Colaboración proactiva con esta Superintendencia: respuestas oportunas a requerimientos y disposición a auditorías. ” Por último, la sociedad presentó un Plan Integral de Cumplimiento4. Para sustentar lo anterior, la sociedad allegó, entre otros, los siguientes documentos: - Política de tratamiento de datos personales.5 Manual de seguridad de la información.6 Certificado de existencia y representación legal.7 OCTAVO: Que mediante Resolución N.° 73594 de 19 septiembre de 2025, ésta Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 25-228843, con el valor legal correspondiente: 8.1.

Resolución N.º 77654 del 3 de noviembre del 2022.8 8.2. Memorando interno de la Directora de Investigaciones de Protección de Datos Personales dirigido a la Coordinadora Grupo de Trabajo de Investigaciones Administrativas mediante la cual se da inicio de oficio una investigación administrativa.9 8.3. Citación notificación del 3 de noviembre del 2022 bajo el radicado 2057773- -43.10 8.4.

Notificación personal por medio electrónico de la Resolución N.º 77654 del 3 de noviembre del 2022.11 8.5. Certificado de comunicación electrónica.12 8.6. Certificado de comunicación electrónica.13 8.7. Certificación de notificación expedida por la Secretaria General AD-HOC de esta Superintendencia el 16 de noviembre de 2022 bajo el Radicado N.º 20-57773- -50.14 8.8.

Escrito de descargos presentado por la investigada el 4 de julio del 2025 bajo el radicado 25-228843- -00005-0000 del 7 de julio del 2025.15Al documento de descargos adjuntó los siguientes documentos: 8.8.1. Poder otorgado al abogado ALBERTO ACOSTA GUERRERO con cédula de ciudadanía 80.057.103 y tarjeta profesional N.º 283.176 3 Expediente digital 25-228843.

Consecutivo número 5. Página 4. Folio 2. 4 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 2 a 3. 5 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 4 al 9. 6 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 10 al 15. 7 Expediente Digital 25-228843. Consecutivo número 5. Página 4.

Folios 16 al 22. 8 Expediente Digital 25-228843. Consecutivo número 0. Página 2. Folios 1 al 24. 9 Expediente Digital 25-228843. Consecutivo número 0. Página 1. 10 Expediente Digital 25-228843. Consecutivo número 0. Página 2. Folio 25 11 Expediente Digital 25-228843. Consecutivo número 0. Página 2. Folios 26 al 27. 12 Expediente Digital 25-228843.

Consecutivo número 0. Página 2. Folios 28 al 31. 13 Expediente Digital 25-228843. Consecutivo número 0. Página 2. Folios 33 al 34. 14 Expediente Digital 25-228843. Consecutivo número 0. Página 4. Folios 19 al 20. 15 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 1 al 3. “Por la cual se impone una sanción administrativa” del C.S.J.16 8.8.2.

Política de tratamiento de datos personales.17 8.8.3. Manual de seguridad de la información.18 8.8.4. Certificado de existencia y representación legal.19 8.8.5. Estado de resultados 2022 – 2021.20 8.8.6. Estado de situación financiera 2022 -2021.21 8.8.7. Estado flujo de efectivo 2022 – 2021.22 8.8.8. Estado de cambios en el patrimonio 2022 – 2021.23 8.8.9.

Revelaciones a los estados financieros 2022 – 2021.24 8.8.10. Estado de resultados integral comparativo 2024 – 2023.25 8.8.11. Notas a los estados financieros a 31 de diciembre de 2024.26 NOVENO: Que, la Resolución N.° 73594 de 19 septiembre de 2025 le fue comunicada a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA el 19 de septiembre de 2025 a su representante legal, de conformidad con la certificación expedida por la Secretaria General de esta Superintendencia bajo radicado 25-228843- -9 de fecha de 23 de septiembre de 2025.

DÉCIMO: Que la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA, guardó silencio y no presentó escrito alegatos de conclusión.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201127, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar 16 Expediente Digital 25-228843.

Consecutivo número 5. Página 3. Folios 1 17 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 4 al 9. 18 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 10 al 15. 19 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 16 al 22. 20 Expediente Digital 25-228843. Consecutivo número 5. Página 4.

Folio 23 21 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 24 al 25. 22 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folio 26 23 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folio 27 24 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 28 al 39 25 Expediente Digital 25-228843.

Consecutivo número 5. Página 4. Folios 40 al 42 26 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 43 al 47 27 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción administrativa” a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado • El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma; y • El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 inciso 3 de la misma Ley y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el escrito de descargos presentados por la sociedad y el conjunto de pruebas obrantes en el expediente. 12.2 Valoración probatoria 12.2.1. Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente: “Artículo 21.

Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” En esta medida, es claro que los Responsables deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

En el presente caso, la Dirección de Investigación de Datos Personales, mediante Resolución N°. 77654 del 3 de noviembre del 2022, le ordenó a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. con N.I.T. 830.059.921-4, lo siguiente: “(…)

ARTÍCULO SEGUNDO: ORDENAR a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA., identificada con el Nit. 830.059.921-4, cumplir con las siguientes instrucciones: • La sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. deberá ajustar y cargar la versión actualizada “Por la cual se impone una sanción administrativa” de su Política de Tratamiento de información en el Registro Nacional de Bases de Datos, conforme a lo preceptuado en la Ley 1581 de 2012 y su Decreto Único Reglamentario 1074 de 2015. • La sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. deberá documentar su manual de seguridad de la información, para dar cumplimiento a lo señalado en La Ley Estatutaria 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA., identificada con el Nit. 830.059.9214, acreedora de las sanciones previstas en la ley. (…)” La Resolución N°. 77654 del 3 de noviembre del 2022 fue notificada al apoderado de la investigada mediante notificación electrónica el 3 de noviembre de 2022, y a la representante legal mediante notificación electrónica el 10 de noviembre de 2022, según consta en la certificación expedida por Secretaría General ADHOC de esta Superintendencia bajo radicado N.° 20-57773- -5028.

Con base en lo anterior, se tiene que el término que tenía la investigada para interponer los recursos de ley vencía el 29 de noviembre de 2022, de modo que la Resolución en cuestión quedó en firme a partir del 30 de noviembre de 2022. En consecuencia, dado que dicho acto administrativo otorgaba un plazo de noventa (90) días hábiles contados a partir de su ejecutoria para dar cumplimiento a las órdenes impartidas, se concluye que la sociedad tenía plazo hasta el 12 de abril de 2023.

Sin embargo, la investigada guardó silencio y no acreditó dentro del término legal el cumplimiento de las órdenes administrativas impartidas en la Resolución N°. 77654 del 3 de noviembre del 2022. Por lo anterior, la Dirección de Investigación de Protección de Datos Personales de esta Superintendencia, mediante Resolución N°. 35539 de 11 de junio de 2025, decidió formular pliego de cargos en contra de la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA., por la presunta infracción de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma, toda vez que la sociedad “no cumplió con las órdenes impartidas por este Despacho a través de la Resolución N°. 57172 del 3 de septiembre del 2021”29 Al respecto, la sociedad allegó el 4 de julio de 2025 escrito de descargos bajo consecutivo N.° 25-228843- -5, reconociendo plenamente los siguientes incumplimientos: “1.

No registro ni actualización de la Política de Tratamiento en el RNBD antes del 10 de abril de 2023. 2. Ausencia de certificación suscrita por el Representante Legal que acreditara el cumplimiento de dicha política. 28 Expediente Digital 25-228843. Consecutivo número 0. Página 4. Folio 19. 29 Resolución N°. 35539 de 11 de junio de 2025. Folio 4.

“Por la cual se impone una sanción administrativa” 3. No formalización, socialización ni verificación del Manual de Seguridad de la Información. 4. Falta de mecanismos específicos para el ejercicio de derechos de los titulares (Peticiones, Quejas, Reclamos y Solicitudes – PQRS).” Además, la sociedad señaló algunas circunstancias las cuales consideró como atenuantes: “1.

Naturaleza MIPYME: limitados recursos económicos y humanos, con dependencia de asesoría externa para cumplimiento normativo. 2. Demoras en procesos internos de aprobación, sujetos a doble validación en órganos de dirección. 3. Voluntad inequívoca de subsanar: desde abril de 2023 se elaboraron borradores de políticas y manual, listos para su registro inmediato. 4.

Colaboración proactiva con esta Superintendencia: respuestas oportunas a requerimientos y disposición a auditorías. ” Por último, la sociedad presentó un Plan Integral de Cumplimiento32. Para sustentar lo anterior, la sociedad allegó, entre otros, los siguientes documentos: - Política de tratamiento de datos personales.33 Manual de seguridad de la información.34 Certificado de existencia y representación legal.35 Ahora bien, de acuerdo con lo anterior, en el caso bajo estudio se debe tener en cuenta que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo dispone lo siguiente: “Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión, que será motivada”.

Por otra parte, el artículo 176 del Código General del Proceso señala que: “Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana critica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos ( )”. Atendiendo las reglas citadas, encontramos que, para el caso que nos ocupa: 1.

La sociedad no allegó la certificación suscrita por el representante legal de la sociedad, donde se acreditara que se han implementado las medidas ordenadas, de acuerdo a lo ordenado en el parágrafo segundo del artículo segundo de la Resolución N°. 77654 del 3 de noviembre del 2022. 2. La sociedad reconoció que: “1. No registro ni actualización de la Política de Tratamiento en el RNBD antes del 10 de abril de 2023. 2.

Ausencia de certificación suscrita por el Representante Legal que acreditara el cumplimiento de dicha política. 3. No formalización, socialización ni verificación del Manual de Seguridad de la Información. 4. Falta de mecanismos específicos para el ejercicio de derechos de los titulares (Peticiones, Quejas, Reclamos y Solicitudes – PQRS).” 36 (subrayado y negrilla fuera del texto original) 30 Expediente digital 25-228843.

Consecutivo número 5. Página 4. Folio 2. 31 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2. 32 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 2 a 3. 33 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 4 al 9. 34 Expediente Digital 25-228843. Consecutivo número 5. Página 4. Folios 10 al 15. 35 Expediente Digital 25-228843.

Consecutivo número 5. Página 4. Folios 16 al 22. 36 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2. “Por la cual se impone una sanción administrativa” 3. El documento denominado “POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES”37, aportado por la sociedad en los descargos establece como fecha de vigencia de las bases de datos el 30 de junio de 2025, como se observa a continuación: 4.

El documento denominado “MANUAL DE SEGURIDAD DE LA INFORMACIÓN”38, aportado por la sociedad en los descargos establece como fecha de emisión el 1 de julio de 2025, siendo esta su versión 1.0, como se evidencia a continuación: Por lo anterior, este Despacho concluye que la sociedad: (i) no allegó la certificación de cumplimiento requerida;

(ii) únicamente con ocasión de la presente actuación administrativa procedió a actualizar la política de tratamiento de datos e implementar un manual de seguridad de la información. Así, este Despacho destaca que es fundamental que los sujetos obligados den cumplimiento oportuno y efectivo a las órdenes impartidas por la en materia de protección de datos personales, toda vez que esta entidad es la encargada de velar por la observancia y aplicación del régimen previsto en la Ley 1581 de 2012.

El acatamiento de sus instrucciones no solo garantiza el respeto de los derechos de los titulares de la información, sino que también constituye una manifestación del deber de colaboración con las autoridades y del compromiso institucional con la legalidad, la transparencia y la responsabilidad en el tratamiento de datos personales. Ahora bien, la sociedad en su escrito de descargos presentó un plan integral de cumplimiento39, el cual consistía en: “V. PLAN INTEGRAL DE CUMPLIMIENTO Objetivo: restablecer la plena conformidad normativa mediante inmediatas, fortalezas organizacionales y verificación independiente. acciones 37 Expediente digital 25-228843.

Consecutivo número 5. Página 4. Folios 4 a 9. 38 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 10 a 12. 39 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 2 a 3. “Por la cual se impone una sanción administrativa” Fase I – Corrección Inmediata (1–30 días) • Registro y publicación de la Política de Tratamiento en el RNBD (Día 20/07/2025). • Formalización 30/07/2025). y socialización interna del Manual de Seguridad (Día • Expedición de certificación suscrita por Representante Legal y Revisor Fiscal (Día 31/07/2025).

Fase II – Fortalecimiento Estructural (31–90 días) • Nominación y registro del Oficial de Protección de Datos (DPO) ante la SIC (15/09/2025). • Implementación de canal PQRS y protocolos detallados de atención (30/09/2025). • Jornadas de capacitación obligatoria para todo el personal (15/10/2025). Fase III – Verificación y Certificación (91–180 días) • Auditoría interna de cumplimiento y cierre de brechas (15/12/2025). • Plan de acciones correctivas con plazos y responsables (31/12/2025). • Contratación de auditor externo y obtención de informe de conformidad (31/01/2026).

VI. SOLICITUDES 1. Aplicación de criterios de atenuación y no imposición de sanción pecuniaria, o en su defecto, fijación de multa mínima legal. 2. Concesión de seis (6) meses adicionales para ejecución total del Plan Integral. 3. Otorgamiento de facilidades de pago en cuotas, en caso de sanción pecuniaria. 4. Reconocimiento de certificados y auditorías como prueba suficiente de cumplimiento” 40 Al respecto, este Despacho advierte que el documento allegado por la sociedad presenta fechas posteriores al término legal establecido en la Resolución N.° 77654 del 3 de noviembre de 2022 para dar cumplimiento a las órdenes administrativas impartidas.

Adicionalmente, se observa que la sociedad no aportó los documentos o pruebas pertinentes que permitieran acreditar la implementación real y efectiva del plan de cumplimiento. En conclusión, este Despacho encuentra acreditado que la sociedad incumplió el deber de atender las instrucciones y requerimientos emitidos por la artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

Por lo tanto, este Despacho procederá a imponer la sanción correspondiente. No obstante lo anterior, toda vez que la sociedad efectuó un reconocimiento expreso de la comisión de la infracción antes de la imposición de la sanción, este Despacho aplicará el atenuante consagrado en el literal f) del artículo 24 de la Ley 1581 de 2012, de conformidad con lo dispuesto en dicha norma.

En cuanto a los demás criterios invocados por la sociedad como circunstancias atenuantes, a saber: 40 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folios 2 a 3. “Por la cual se impone una sanción administrativa” “1. Naturaleza MIPYME: limitados recursos económicos y humanos, con dependencia de asesoría externa para cumplimiento normativo. 2.

Demoras en procesos internos de aprobación, sujetos a doble validación en órganos de dirección. 3. Voluntad inequívoca de subsanar: desde abril de 2023 se elaboraron borradores de políticas y manual, listos para su registro inmediato. 4. Colaboración proactiva con esta Superintendencia: respuestas oportunas a requerimientos y disposición a auditorías. ” Este Despacho precisa que, para efectos de la graduación de la sanción, se valorarán los criterios legalmente establecidos en el artículo 24 de la Ley 1581 de 2012, los cuales disponen: “Artículo 24.

Criterios para graduar las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” En mérito de lo expuesto, este Despacho observa que la sociedad investigada incumplió con las órdenes administrativas impartidas mediante la Resolución N.° 77654 del 3 de noviembre de 2022, vulnerando con ello el deber legal de atender las instrucciones de la autoridad de control.

No obstante, teniendo en cuenta el reconocimiento expreso de la infracción y las demás circunstancias acreditadas en el expediente, se procederá a la imposición de la sanción correspondiente, debidamente graduada conforme a los criterios previstos en el artículo 24 de la Ley 1581 de 2012. 12.2.2. Respecto del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data Frente a este deber, el literal k) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

(…) Artículo 25. Definición. (…) Para realizar el registro de bases de datos, los interesados deberán aportar a la información, las cuales obligarán a los responsables y encargados del mismo, y 41 Expediente digital 25-228843. Consecutivo número 5. Página 4. Folio 2. “Por la cual se impone una sanción administrativa” cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.

PARÁGRAFO. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento.” Así mismo, el Decreto Único Reglamentario 1074 de 2015: Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.3.1.

Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4.

Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.

Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.” En el presente caso, la Dirección de Investigación de Datos Personales, mediante Resolución N.° 35539 del 11 de junio de 2025, formuló pliego de cargos en contra de la sociedad COMPAÑÍA INTEGRAL DE SERVICIOS TÉCNICOS EN LIMPIEZA CISTEL LTDA., por la presunta infracción de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25, inciso 3, de la misma Ley y con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

Lo anterior, toda vez que la sociedad presuntamente “no ha acreditado contar con la Política de Tratamiento de la Información; situación que se materializa en el presunto incumplimiento del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data”42 Al respecto, este Despacho advierte una incongruencia en el acto administrativo de formulación de cargos, por cuanto en el mismo se hace alusión a dos deberes distintos en un único cargo.

En efecto, mientras la descripción fáctica se refiere a la presunta vulneración del deber de garantizar al titular el pleno y efectivo ejercicio del derecho de hábeas data, previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, la cita normativa corresponde al literal k) del mismo artículo, el cual establece el deber de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley. 42 Resolución N°. 35539 de 11 de junio de 2025.

Folio 6. “Por la cual se impone una sanción administrativa” De conformidad con la norma mencionada, los literales citados disponen: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;” Así las cosas, resulta pertinente analizar el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo –CPACA–, que establece los requisitos mínimos que debe cumplir la formulación de cargos en un procedimiento sancionatorio.

Dicha disposición señala que el acto administrativo que formule cargos debe precisar con claridad y exactitud los hechos que lo originan, las disposiciones presuntamente vulneradas, las pruebas que lo sustentan y las posibles sanciones o medidas aplicables, garantizando al investigado el ejercicio del derecho de defensa y contradicción. De acuerdo con la citada disposición:

ARTÍCULO 47. Procedimiento administrativo sancionatorio. Los procedimientos administrativos de carácter sancionatorio no regulados por leyes especiales o por el Código Disciplinario Único se sujetarán a las disposiciones de esta Parte Primera del Código. Los preceptos de este Código se aplicarán también en lo no previsto por dichas leyes.

Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes Este acto administrativo deberá ser notificado personalmente a los investigados.

Contra esta decisión no procede recurso. Los investigados podrán, dentro de los quince (15) días siguientes a la notificación de la formulación de cargos, presentar los descargos y solicitar o aportar las pruebas que pretendan hacer valer. Serán rechazadas de manera motivada, las inconducentes, las impertinentes y las superfluas y no se atenderán las practicadas ilegalmente.

PARÁGRAFO 1. Las actuaciones administrativas contractuales sancionatorias, incluyendo los recursos, se regirán por lo dispuesto en las normas especiales sobre la materia. En este contexto, el acto administrativo de formulación de cargos debe contener de manera coherente y congruente la relación entre los hechos descritos y las normas presuntamente infringidas, de modo que el investigado pueda conocer con claridad los fundamentos de la imputación y ejercer efectivamente su derecho de defensa.

En el caso bajo examen, se advierte una incongruencia entre la descripción fáctica de la presunta infracción y la norma citada como vulnerada, situación que genera ambigüedad respecto del deber presuntamente desconocido y, por ende, afecta la validez del acto administrativo de formulación de cargos. Dicha irregularidad no fue subsanada durante la actuación, lo que impide continuar con el análisis de fondo sin comprometer las garantías procesales del investigado.

“Por la cual se impone una sanción administrativa” En mérito de lo expuesto, este Despacho considera que la inconsistencia advertida en la formulación de cargos vulnera el principio de congruencia y afecta el derecho de defensa de la sociedad investigada, pilares esenciales del debido proceso administrativo. En consecuencia este Despacho procederá a archivar el presente cargo, en observancia de los principios de legalidad, transparencia y respeto por el debido proceso que rigen toda actuación administrativa sancionatoria.

DÉCIMO TERCERO: Conclusiones Por lo expuesto, esta Dirección evidencia que la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. incumplió con las órdenes administrativas impartidas mediante la Resolución N.° 77654 del 3 de noviembre de 2022, vulnerando con ello el deber legal de atender las instrucciones y requerimientos emitidos por la Superintendencia de Industria y Comercio, obligación prevista en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

DÉCIMO CUARTO: Imposición y graduación de la sanción 14.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2343. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 244, 445 y 646 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo47.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”48 (negrita añadida) 43“Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” 44 Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 45 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 46 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) 47 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);

Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 48 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción administrativa” Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional49.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente:

ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana. 49 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa”

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional50 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”51 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 51 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción administrativa” finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros52. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”53.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia54. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2355 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 53 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 54 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 55 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “2.23. EXÁMEN DEL ARTÍCULO 24: CRITERIOS PARA GRADUAR LAS SANCIONES (…) 2.23.3. La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (…) 56 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 14.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. 56Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.

“Por la cual se impone una sanción administrativa” En el caso sub examine, frente al primer cargo sobre el presunto incumplimiento del deber consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma, quedó acreditado que la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LTDA. incumplió con las órdenes administrativas impartidas mediante la Resolución N.° 77654 del 3 de noviembre de 2022, vulnerando con ello el deber legal de atender las instrucciones y requerimientos emitidos por la Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de SIETE (7) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a OCHOCIENTAS DOCE (812) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a NUEVE MILLONES TRESCIENTAS OCHENTA MIL DOSCIENTAS VEINTICUATRO PESOS M/CTE ($9.380.224)57, por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 14.1.2 Reconocimiento o aceptación sobre la comisión de la infracción En la medida en que la investigada en su escrito de Descargos estableció: “Con el fin de acogernos al principio de buena fe y al artículo 24(f) de la Ley 1581/2012, CISTEL reconoce plenamente los siguientes incumplimientos: 1.

No registro ni actualización de la Política de Tratamiento en el RNBD antes del 10 de abril de 2023. 2. Ausencia de certificación suscrita por el Representante Legal que acreditara el cumplimiento de dicha política.”58 Este Despacho tendrá en cuenta la aceptación como criterio atenuante de la sanción. Por ello, el monto de la sanción impuesta será reducido a CUATRO (4) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a CUATROCIENTOS SESENTA Y CUATRO (464) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CINCO MILLONES TRESCIENTOS SESENTA MIL CIENTO VEINTIOCHO PESOS M/CTE ($5.360.128)59, por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 14.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la 57 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 58 Expediente digital 25-228843.

Consecutivo número 5. Página 4. Folio 2. 59 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa” comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO QUINTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA, con el NIT. 830.059.921-4, con el correo electrónico de notificación judicial cistelltda@gmail.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 25-228843. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA, con el NIT. 830.059.921-4, de CUATRO (4) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a CUATROCIENTOS SESENTA Y CUATRO (464) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CINCO MILLONES TRESCIENTOS SESENTA MIL CIENTO VEINTIOCHO PESOS M/CTE ($5.360.128)60, por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma norma.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad COMPAÑIA INTEGRAL DE SERVICIOS TECNICOS EN LIMPIEZA CISTEL LIMITADA, con el NIT. 830.059.921-4 a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación. 60 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa”

ARTÍCULO 3: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Calle 24 Nº 7-43 Local 108 en la ciudad de Bogotá D.C., de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 de noviembre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.11.28 14:50:51 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LA Revisó: YA Aprobó: CG

Resolución sancionatoria N° 99824 de 2025

CONSIDERANDO

RESUELVE