Cómo gradúa la SIC la multa por datos personales (y qué argumentos la bajan)

El techo es de 2.000 salarios mínimos, y las multas «podrán ser sucesivas mientras subsista el incumplimiento que las originó». Pero la multa es solo una de las cuatro sanciones del catálogo, y la más grave —el cierre inmediato y definitivo— no depende del monto sino de una condición muy concreta: que la operación involucre datos sensibles.

Las cuatro sanciones

El artículo 23 de la Ley 1581 de 2012 las enumera en orden de gravedad creciente:

Dos observaciones que ordenan la estrategia. La primera: el literal a) dice «personal 和 institucional», de modo que la multa puede recaer sobre la organización y sobre personas naturales. La segunda: el literal c) tiene un presupuesto expreso —haber pasado por la suspensión sin adoptar los correctivos—, lo que convierte el cumplimiento del acto de suspensión en la mejor defensa contra el escalamiento.

Los seis criterios que gradúan

El artículo 24 los lista «en cuanto resulten aplicables». Esa cláusula abre la puerta a discutir la aplicabilidad de cada uno, no solo su intensidad:

Dónde se juega la rebaja

Los criterios d) y e) son los únicos agravantes que dependen enteramente de la conducta de la empresa durante la investigación —el f), el reconocimiento, también depende de ella, pero atenúa—, y los únicos que pueden convertir un caso menor en uno agravado. Responder los requerimientos completos y a tiempo no es cortesía procesal: es el insumo probatorio para descartar dos agravantes.

El criterio f) tiene una ventana temporal generosa —hasta antes de la imposición de la sanción— pero conviene no agotarla: cuanto más temprano, más margen tiene la autoridad para reflejarlo en la graduación.

Qué construye la defensa del monto

1. Delimite el universo afectado. El criterio a) mide dimensión: número de titulares, categoría de los datos y exposición efectiva. Es el factor con más peso y el más discutible con evidencia.
2. Descarte el beneficio económico. Si el tratamiento reprochado no generó ingreso ni ventaja, dígalo con cifras.
3. Verifique la reincidencia caso por caso: no toda actuación previa la configura.
4. Documente cada respuesta a la SIC con radicado y fecha, para neutralizar d) y e).
5. Reúna la evidencia de diligencia previa: política de tratamiento, avisos de privacidad, registros de autorización, controles de acceso, capacitaciones, auditorías. Toda ella debe ser anterior al hallazgo.
6. Si hay datos sensibles involucrados, atienda primero ese frente: es el único que habilita el cierre inmediato y definitivo.
7. Cumpla los correctivos de cualquier acto de suspensión: es el presupuesto expreso del cierre temporal.

Y el reloj que puede cerrar el caso

Antes de discutir el monto conviene verificar si la facultad todavía existe. Como la Ley 1581 remite al Código en lo no reglado, opera el artículo 52 del CPACA: la facultad sancionatoria «caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado».

Y si ya recurrió: los recursos «deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición, se entenderán fallados a favor del recurrente».

所引用的法律与判例

• Ley 1581 de 2012, artículos 22, 23 y 24 — Remisión a las normas del Código Contencioso Administrativo en lo no reglado; catálogo de sanciones con multa personal e institucional hasta de 2.000 SMLMV y sucesivas mientras subsista el incumplimiento, suspensión hasta por seis meses con indicación de correctivos, cierre temporal condicionado a no haberlos adoptado, cierre inmediato y definitivo solo en operaciones que involucren datos sensibles, y exclusión de las autoridades públicas con remisión a la Procuraduría; y los seis criterios de graduación. 来源
• Ley 1437 de 2011 (CPACA), artículos 50 y 52 — Los ocho criterios generales de graduación, incluidos el grado de prudencia y diligencia y el reconocimiento antes del decreto de pruebas; y caducidad de la facultad sancionatoria a los tres años, con decisión de los recursos en un año so pena de pérdida de competencia y fallo a favor del recurrente. 来源