(31 de julio de 2025) “Por la cual se resuelve un recurso”. Radicación 22-113525 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que, mediante la Resolución N.° 9927 del día 4 de marzo del 2025, la Dirección de Investigación de Protección de Datos Personales sancionó a la sociedad CREDICRÉDITOS S.A.S., identificada con NIT. 901.244.661-4, así: “ARTÍCULO 1. IMPONER una sanción pecuniaria a la sociedad CREDICRÉDITOS S.A.S., identificada con NIT. 901.244.661-4, de DIEZ (10) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a MIL CIENTO SESENTA (1.160) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a TRECE MILLONES CUATROCIENTOS MIL TRESCIENTOS VEINTE PESOS M/CTE ($13.400.320) por la transgresión al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma.”
SEGUNDO: Que, la Resolución N.° 9927 del día 4 de marzo del 2025, fue notificada a CREDICRÉDITOS S.A.S., electrónicamente el 4 de marzo del 2025, según consta en certificación expedida por la Secretaría General Ad-Hoc esta Superintendencia, obrante en el expediente bajo el radicado N.° 22113525- -39 del 7 de marzo del 2025 TERCERO: Que, el día 14 de marzo del 2024 y estando dentro del término legal para el efecto, el Representante Legal de CREDICRÉDITOS S.A.S, interpuso recurso de reposición y en subsidio de apelación contra la Resolución N.° 9927 del día 4 de marzo del 2025, manifestando que 3.1 La recurrente frente a la sanción impuesta solicita una revisión teniendo en cuenta lo siguiente: • Reconocimiento expreso de responsabilidad: CREDICRÉDITOS S.A.S. admitió la infracción de manera oportuna, lo cual debe considerarse un atenuante según lo establecido en el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. • Medidas correctivas adoptadas: La empresa tomó medidas para asegurar que incidentes similares no se repitan, cumpliendo con su obligación legal.
“Por la cual se resuelve un recurso”. 3.2 Además, la sociedad realiza las siguientes consideraciones: • Aplicación del principio de favorabilidad Conforme al artículo 29 de la Constitución Política y al artículo 40 del CPACA, en los procedimientos administrativos sancionadores se debe aplicar el principio de favorabilidad en situaciones de duda sobre la interpretación o alcance de la norma. • Ausencia de un análisis integral del contexto probatorio El análisis realizado por el Despacho no evaluó adecuadamente las pruebas presentadas, que evidencian lo siguiente: La titular otorgó su autorización para el tratamiento de los datos personales de acuerdo con el artículo 9° de la Ley 1581 de 2012.
Los datos compartidos no incluían información sensible ni se utilizaron para fines no permitidos. • Vulneración al debido proceso Según el literal e) del artículo 3° de la Ley 1581, se considera responsable del tratamiento a quien tiene la decisión sobre el manejo de los datos personales. Sin embargo, no se demostró de manera clara que CREDICRÉDITOS S.A.S. haya actuado fuera de los límites establecidos por la normativa. 3.3 Por último, la sociedad recurrente solicita: 3.3.1 Se otorgue el recurso de reposición y se revoque la Resolución N.º 9927 de 2025, especialmente en lo referente a la sanción impuesta. 3.3.2 En caso de no ser revocada la sanción mediante la reposición, se solicita que, en su lugar, se conceda el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales.
CUARTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
QUINTO: Análisis del caso Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por la recurrente, este Despacho hará las siguientes consideraciones: Frente a los argumentos presentados por la recurrente se encuentra que los mismos se concretan en cuatro aspectos, a saber: (i) Frente a la Desproporcionalidad en la sanción impuesta, (ii) Frente a la aplicación del principio de favorabilidad, (iii) Frente a la falta de análisis integral del contexto probatorio,(iv) Frente al debido proceso, (v) Frente a las pretensiones. 5.1 Frente a la desproporcionalidad en la sanción impuesta “Por la cual se resuelve un recurso”.
En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irracionalmente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.
Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así: “(…) 12.1.1 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley “( ) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, este es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. ( )”. Para determinar adecuadamente la sanción en materia de protección de datos personales, se debe evaluar el daño o riesgo a los derechos protegidos, el posible beneficio económico, y factores como la capacidad económica del investigado, reincidencia, cooperación, y conducta durante el proceso.
También se considera el tamaño e información financiera de la empresa, buscando una sanción proporcional y disuasoria. En el caso de CREDICRÉDITOS S.A.S., se concluyó que la conducta comprobada causó una afectación real a los intereses jurídicos protegidos por la Ley 1581 de 2012. Se comprobó que CREDICRÉDITOS S.A.S. actuó de forma negligente al divulgar información crediticia de una titular a su empleador y compañeros de trabajo, sin garantizar la confidencialidad ni aplicar medidas de seguridad adecuadas, lo que constituyó una infracción al régimen de protección de datos.
Por ello, se impuso una sanción inicial de 20 salarios mínimos legales mensuales vigentes (SMLMV) del año 2023, equivalentes a $ 26.800.640 para el año 2025. Vale la pena resaltar, que no se aplicaron los criterios de agravación de la sanción, ya que no hubo beneficio económico, reincidencia, obstrucción, y/o desacato. Sin embargo, SI se aplicó una reducción del 50% en la sanción por el reconocimiento expreso de la infracción durante el proceso, quedando la multa final en 10 SMLMV, equivalentes a $13.400.320.
En primer lugar, nótese que la Ley 1581 de 2012 señala, como único criterio de atenuación de la responsabilidad, el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar. Ahora bien, el Decreto Único Reglamentario 1074 de 2015 contempla como criterio adicional la responsabilidad demostrada.
No obstante, CREDICRÉDITOS S.A.S. no acreditó con lo dispuesto en el inciso final del artículo 2.2.2.25.6.2 de la referida normatividad, ya que no aportó las pruebas que permitieran demostrar haber implementado medidas útiles, pertinentes y efectivas, para garantizar el cumplimiento de las obligaciones previstas en la “Por la cual se resuelve un recurso”.
Ley 1581 de 2012 y el mismo decreto. Específicamente, no se evidenció que tales medidas fueran proporcionales a la naturaleza jurídica de la sociedad, al tipo de datos personales tratados, al tipo de tratamiento realizado ni a los riesgos potenciales que este tratamiento podría representar para los derechos de los titulares. Al respecto, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.
Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta Superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo, modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la Ley 1581 de 2012.
La Superintendencia impuso una sanción a CREDICRÉDITOS S.A.S. tras valorar los criterios del artículo 24 de la Ley 1581 de 2012, teniendo en cuenta el principio de proporcionalidad. Por lo tanto, inicialmente, se impuso una multa de 20 SMLMV ($26.800.640), reducida al 50% (10 SMLMV, equivalente a $13.400.320) por aplicación del literal f) del artículo 24, al reconocer parcialmente la infracción. La Superintendencia reafirma que la sanción fue adecuada y proporcional a la gravedad de la conducta, que consistió en vulnerar el derecho al habeas data del titular.
Además, recordó que no se requiere daño efectivo, sino que basta con el riesgo a los derechos protegidos. Finalmente, se concluye que los argumentos del recurso presentado no son suficientes para modificar la sanción impuesta en la Resolución N.º 9927 del 4 de marzo de 2025, la cual se mantiene en firme. Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en la Ley 1581 de 2012 y sus disposiciones reglamentarias, como quedó establecido anteriormente.
En virtud de lo expuesto, este Despacho no encuentra que los motivos de inconformidad presentados por la sociedad recurrente, en este acápite del escrito de recurso, estén llamados a prosperar y mantendrá los criterios de graduación de la sanción, según lo expuesto en el acto administrativo N.º 9927 proferido el 4 de marzo del 2025. 5.2 Frente a la aplicación del principio de favorabilidad De acuerdo con el artículo 29 de la Constitución Política y el artículo 40 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo CPACA, en los procedimientos administrativos sancionatorios debe aplicarse el principio pro homine o favorabilidad en caso de duda sobre la interpretación o alcance normativo.
Al respecto, este Despacho, destaca que en cuanto al desconocimiento del principio de favorabilidad que invoca la recurrente por no haberse tenido en “Por la cual se resuelve un recurso”. cuenta, es necesario aclarar que el principio es aplicable en derecho penal y también en el derecho administrativo sancionador, el cual se refiere a aplicar la norma más beneficiosa cuando hay conflicto entre leyes vigentes.
Sin embargo, en el caso que se ocupa este Despacho, al momento de imponer la correspondiente sanción administrativa, no existió duda ninguna clase de duda sobre la interpretación de la norma, en tanto se definieron claramente las normas infringidas sin lugar a dudas. 5.3 Falta de análisis integral del contexto probatorio La sociedad recurrente manifiesta que, a su juicio, este Despacho realizó una indebida valoración probatoria; en la medida que, “(…) La autorización para el tratamiento de datos personales fue otorgada por la titular conforme al artículo 9° de la Ley 1581 de 2012.
Los datos compartidos no incluyeron información sensible ni excedieron las finalidades autorizadas. “ 1 Al respecto, es menester realizar las siguientes precisiones: En primer lugar, la sociedad investigada mediante su escrito de descargos y de alegatos aceptó la comisión de la infracción, afirmando que, en efecto, compartió datos personales de la titular denunciante a un tercero no autorizado.
Asimismo, encuentra este Despacho que en la presente actuación la sociedad investigada reconoció que el día 17 de marzo de 2022 envió un correo electrónico a la empresa REFINANCIA a través del email convocatorias@refinancia.co con información sobre la deuda que la señora XXXXXXXXXXXXXXX tenía con la entidad, con el objeto de que dicha información fuera remitida a la titular.
En consecuencia, esta Dirección encuentra suficientemente acreditado que: El consentimiento otorgado por la titular no autorizaba CREDICRÉDITOS S.A.S. en calidad de Responsable de los datos a contactar a terceros, como su empleador, para transmitir información relacionada con sus obligaciones crediticias. Asimismo, se señala que esta conducta excede las facultades que los Titulares otorgan respecto al tratamiento de sus datos personales y constituye una vulneración significativa de los derechos jurídicos protegidos, al divulgar dicha información a personas no autorizadas.
Por tanto, esta acción no puede considerarse menos grave ni menos perjudicial, que la divulgación de datos sensibles, ya que el hecho de compartir información personal con terceros no autorizados puede afectar gravemente a los titulares. Esta Dirección analizó todas y cada una de las pruebas obrantes en el expediente, así mismo detalló suficientemente, en la parte motiva del acto administrativo recurrido, el análisis de las piezas probatorias obrantes en el expediente 22-113525.
Soportes probatorios que, al ser analizados en su conjunto y de conformidad con las reglas de la sana crítica, permitieron determinar el actuar negligente por parte de la sociedad investigada, al remitir un correo electrónico del 17 de marzo de 2022 a la empresa REFINANCIA convocatorias@refinancia.co con información sobre la deuda que la señora XXXXXXXXXXXXXXX tenía con la entidad, con el objeto de que dicha información fuera remitida a la titular.
Lo anterior se realizó supuestamente bajo las finalidades y autorizaciones que previamente había aceptado la titular, al contraer una obligación en el documento denominado Formato único de solicitudes el cual indica lo siguiente: 1Expediente digital 22-113525-, consecutivo 41, Página dos, folio dos “Por la cual se resuelve un recurso”. “Protección de Datos Personales.
Por medio de la presente, manifiesto mi consentimiento previo, expreso e informado para que Credicréditos trate los datos personales por mi suministrados, conforme su Política de Tratamiento de Datos Personales y finalidades indicadas. De igual forma, manifiesto que Credicréditos, de manera clara y expresa, me informó de lo siguiente: (1) los datos personales que serán recolectados o que han sido recolectados;
(2) las finalidades específicas del tratamiento de los datos personales recolectados y para los cuales se obtiene el consentimiento; (3) el tratamiento al cual serán sometidos los datos personales y las Políticas para el Tratamiento de Datos Persona les, así como el lugar en donde puedo consultar las Políticas y/o solicitar copia de la misma;
(4) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (5) los derechos que me asisten como titular y el procedimiento para su ejercicio; (6) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.
Autorizo para que Credicréditos me envíe información relacionada con los productos y servicios ofrecidos a través de cualquier medio de contacto reportado (teléfono, celular, correo electrónico, residencia)” 2 De la lectura de dicho documento no se evidencia que la titular autorizara que dentro del tratamiento de sus datos personales, se remitiera información relacionada con sus obligaciones, a terceros, ni mucho menos a su empleador, lo cual pone en evidencia, un tratamiento indebido de la información que le fue suministrada a CREDICRÉDITOS S.A.S. dentro de una relación comercial.
De esta manera, se encuentra vulnerado el principio de confidencialidad de la información que le fue conferida por la titular a la investigada CREDICRÉDITOS S.A.S., pues dicha entidad al ser la Responsable del tratamiento de la información, se encontraba obligada a garantizar la reserva de la misma, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.
Así las cosas, el motivo de inconformidad expuesto por la sociedad recurrente no está llamado a prosperar. 5.4 Frente a la vulneración al debido proceso La recurrente señaló que “El literal e) del artículo 3° de la Ley 1581 define al responsable del tratamiento como quien decide sobre el manejo de los datos personales. Sin embargo, no se demostró fehacientemente que CREDICRÉDITOS S.A.S. haya actuado fuera del marco autorizado.” El debido proceso, es un derecho fundamental consagrado en el Artículo 29 de la Constitución Política de Colombia, el cual busca garantizar que todo ciudadano tenga acceso a un proceso justo, respetuoso de las formas procesales, con pleno conocimiento de los cargos imputados y las pruebas en su contra.
Este principio asegura la igualdad de condiciones en el proceso, permitiendo el ejercicio de la defensa y la contradicción. La Corte Constitucional, en sus sentencias, ha reforzado la relevancia del debido proceso en los procedimientos administrativos, en sentencias como la Sentencia T-084 de 2015, en la cual se establece: “En el plano de los procedimientos administrativos, se tiene que el derecho al debido proceso representa un medio de garantía de otros derechos fundamentales de los individuos, que pueden resultar lesionados por el proceder de autoridades públicas.
En esta medida, se procura no solo porque el ejercicio de la función pública y los trámites que se surtan ante la misma se encuentren reglados y respondan a estándares de Expediente digital 22-113525-, consecutivo 13, Página dos, folio dos “Por la cual se resuelve un recurso”. legalidad, sino que también se busca que exista un apego a la normatividad que rige el actuar estatal.
En este sentido, el debido proceso se refiere tanto al establecimiento previo de las formas propias del actuar administrativo como al respeto por dicho sistema de reglas por parte de las autoridades. Por lo tanto, el derecho al debido proceso también requiere que se dé una participación real y efectiva al administrado en el trámite de asuntos que le afectan.
De esta manera se ha dicho que ‘(e)n lo que se refiere a las actuaciones administrativas, éstas deben ser el resultado de un proceso donde quien haga parte del mismo, tenga oportunidad de expresar sus opiniones e igualmente de presentar y solicitar las pruebas que demuestren sus derechos, con la plena observancia de las disposiciones que regulan la materia, respetando en todo caso los términos y etapas procesales descritas’.
En cuanto al alcance del derecho al debido proceso administrativo, se ha establecido que este, en primera medida, comprende el derecho del ciudadano a conocer la actuación administrativa que se surta en relación con sus intereses, así como a aportar, impugnar y contradecir las pruebas que en su contra se alleguen. Además, este derecho incluiría la posibilidad de atacar por medio de recursos las decisiones que el administrado considere contrarias a sus derechos.
De igual forma, el derecho al debido proceso incorpora dentro de su órbita de protección no solo la necesidad de que el funcionario en su obrar cuente con un interés legítimo y que goce de la competencia parar tramitar el asunto sino que en el cumplimiento de sus funciones acate las normas que reglan la materia y se sujete a los principios y valores constitucionales que resulten aplicables al caso en cuestión. De manera adicional, se ha dicho que el derecho al debido proceso administrativo también requiere que se respete la presunción de inocencia, el derecho de defensa y contradicción, el principio de celeridad en el ejercicio de la función pública y la prohibición de non bis in ídem.” 3 (subrayado y negrilla fuera del texto original) Como se evidencia, la Corte Constitucional destaca la importancia del derecho al debido proceso como un mecanismo esencial para proteger otros derechos fundamentales que pueden ser vulnerados por el actuar de las autoridades públicas.
Dentro del marco de los procedimientos administrativos, este derecho exige que se garantice una participación efectiva de los administrados en aquellos trámites que afectan sus intereses. Esto incluye el deber de la administración de permitir que el investigado exprese sus opiniones, presente y solicite las pruebas que respalden sus derechos, con estricta observancia de las normas aplicables y el respeto a los términos y etapas procesales.
El debido proceso también incorpora la obligación de las autoridades, de garantizar al administrado el conocimiento pleno de las actuaciones que se desarrollan en su contra, el derecho a controvertir las pruebas y a recurrir decisiones que considere lesivas para sus derechos. Igualmente, este derecho exige la aplicación de principios fundamentales como la presunción de inocencia, el derecho de defensa, la celeridad en las actuaciones y la prohibición del non bis in ídem.
En definitiva, el deber de la administración de respetar y aplicar estas garantías procesales es fundamental para garantizar la legitimidad de las actuaciones administrativas. Este cumplimiento no solo protege los derechos de los administrados, sino que también fortalece la confianza en el sistema administrativo al garantizar que las actuaciones se desarrollen con apego a los principios de legalidad, eficiencia y justicia. En el presente caso, este Despacho mediante Resolución N.° 12531 de 22 de marzo de 2024 “Por la cual se inicia una investigación administrativa y se Corte Constitucional.
Sentencia T-084 de 25 de febrero de 2015. Magistrada Ponente: María Victoria Calle Correa “Por la cual se resuelve un recurso”. formulan cargos”, le dio a conocer a la sociedad CREDICRÉDITOS S.A.S. la formulación de cargos, y concedió un término de quince (15) días hábiles siguientes a la notificación del acto administrativo para que la sociedad rindiera descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro del proceso.
De esta forma, la investigada tuvo la oportunidad efectiva de conocer los elementos en su contra y de ejercer plenamente su derecho de defensa. De la lectura del texto jurisprudencial en cita y su respectivo cotejo con las etapas agotadas dentro de la investigación administrativa adelantada por esta Dirección, se tiene que, la sociedad investigada tuvo en todo momento la oportunidad de ejercer su derecho de defensa y contradicción, garantizándose todas las exigencias establecidas en la ley para adelantar el proceso de la referencia y, en consecuencia, emitiéndose una decisión ajustada a derecho y absolutamente respetuosa de la Constitución Política colombiana.
Por lo expuesto, observa esta Dirección que no hubo en este caso vulneración alguna del debido proceso de la sociedad investigada, máxime si se tiene en cuenta que el proceso sancionatorio adelantado por esta Superintendencia, se surtió con total apego a las normas que rigen la materia y de cara a proteger los derechos en materia de protección de datos del Titular de la información; razón por la cual, este Despacho desestima los argumentos presentados en este aparte del recurso Por otro lado, con respecto de la afirmación de que, no se demostró que CREDICRÉDITOS S.A.S. haya actuado fuera del marco autorizado, esta Dirección comprobó de manera suficiente que la sociedad recurrente, actuando como Responsable del Tratamiento, envió el 17 de marzo de 2022 un correo electrónico a la dirección ‘contactenos@refinancia.co’, dirigido al empleador y compañeros de trabajo de la Titular, en el cual compartió información relacionada con una obligación crediticia adquirida con la empresa.
Esta acción se realizó sin adoptar las medidas de seguridad necesarias para prevenir el acceso no autorizado a los datos personales de la Titular. En conclusión, no existe vulneración al debido proceso en la actuación administrativa sancionatoria adelantada contra la sociedad CREDICRÉDITOS S.A.S. 5.5. Frente a las pretensiones En su escrito de recurso, la sociedad CREDICRÉDITOS S.A.S realizó las siguientes solicitudes: “Se conceda el recurso de reposición y se revoque la Resolución No. 9927 de 2025 y en especial la sanción impuesta.
Petición Subsidiaria (Apelación): En caso de no ser revocada la sanción en la reposición, solicito en subsidio se conceda el correspondiente recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales.” Teniendo en cuenta lo expuesto en el presente acto administrativo, esta Dirección no encuentra procedente su reposición y mantendrá el sentido material de la decisión adoptada mediante la Resolución N.° 9927 del 4 de marzo del 2025.
En consecuencia, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
SEXTO: CONCLUSIONES: “Por la cual se resuelve un recurso”. • Se confirmó la negligencia en el actuar de la sociedad CREDICRÉDITOS S.A.S respecto del cumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la misma norma. • El monto de la sanción se ajusta proporcionalmente a la magnitud de la vulneración, la duración en el tiempo, la cantidad de titulares afectados, el incumplimiento de los deberes, los criterios legales aplicables, así como el tamaño de la empresa, sus ingresos operacionales, el patrimonio, y, en general, su información financiera. • La Corte estableció que de los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012, los cinco primeros son circunstancias de agravación de la sanción, y solo el último criterio consagra una causal de disminución, en el presente caso, fue aplicado el literal f) del artículo 24 de la Ley 1581 del 2021, toda vez que la investigada durante el transcurso de la actuación aceptó expresamente la comisión de la infracción • En la presente actuación administrativa, no hubo violación a ninguna de las garantías del debido proceso. • Esta Dirección efectuó una valoración integral de todas pruebas allegadas al expediente y así concluyó que la recurrente desconoció el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
SÉPTIMO: Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Dirección confirmará la decisión material adoptada la Resolución N.° 9927 del 4 de marzo del 2025.
OCTAVO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad CREDICRÉDITOS S.A.S identificada con NIT. 901.244.661-4, con el correo electrónico de notificación judicial notificación. credicreditos@serviciosyasesorias.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N.° 22-113525 La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, “Por la cual se resuelve un recurso”.
RESUELVE
ARTÍCULO 1: CONFIRMAR la orden proferida por la Resolución N.° 9927 del día 04 de marzo del 2025 a la sociedad CREDICRÉDITOS S.A.S., identificada con NIT. 901.244.661-4 de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO 2: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3: NOTIFICAR personalmente a la sociedad CREDICRÉDITOS S.A.S., identificada con NIT. 901.244.661-4, a través de su representante legal y/o apoderado, entregándoles copia de la misma.
ARTÍCULO 4: COMUNICAR la presente decisión a la señora XXXXXXXXX XXXXX XXXXXXXX, identificada con cédula de ciudadanía número XXXXXXXXX.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • • Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co Sede Principal: Carrera 13 # 27-00 piso 3 Edificio Bochica en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 31 de julio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.07.31 15:30:48 -05'00' CAROLINA GARCÍA MOLINA Proyectó: JB Revisó: YA Aprobó: CG