INS - Resolución 1457 de 2025

REPUBLICA DE COLOMBIA

5] Rent, Gdn INSTITUTO NACIONAL DE SALUD RESOLUCIÓN NÚMERO... 1457 DE 2025 bos D 4 DIC 2025 ) “Por la cual se actualiza la Política de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos delInstituto Nacional de Salud - INS, como uno de los elementos habilitadores de laPolitica de Gobierno Digital, y se deroga la Resolución 0839 de 2025" LA DIRECTORA GENERAL DEL INSTITUTO NACIONAL DE SALUD En ejercicio de sus facultades legales contempladas en los numerales 23, 29 y 35 delartículo 5 del Decreto 2774 del 2012 y, CONSIDERANDO Que el artículo 15 de la Constitución Política, establece el fundamento principal de laseguridad y privacidad de la información digital consagrando el derecho fundamental alHabeas Data, según el cual (..) “Todas las personas tienen derecho a su intimidadpersonal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que sehayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y

privadas”. Que la Ley 527 de 1999 (..) “Por medio de la cual se define y reglamenta el acceso y usode los mensajes de datos, del comercio electrónico y de las firmas digitales, y seestablecen las entidades de certificación y se dictan otras disposiciones”. Que el Decreto 1078 de 2015 Único Reglamentario del sector de Tecnologías de laInformación y las Comunicaciones, dispone en el artículo 2.2.9.1.2.1 que la Politica deGobierno Digital será definida por el MinTIC y se desarrollará a través de componentesy habilitadores transversales que, acompañados de lineamientos y estándares,permitirán el logro de propósitos que generarán valor público en un entorno de confianza digital a partir del aprovechamiento de las TIC. Que el artículo 2.2.9.1.2.1 del Decreto 1078 de 2015, dispone que los habilitadorestransversales de la Política de Gobierno Digital, corresponde a las capacidades que lespermitan ejecutar las Lineas de Acción de la Política de Gobierno Digital y estáncompuestos por Arquitectura, Cultura y Apropiación, Seguridad y privacidad de la Información y Servicios Ciudadanos Digitales. Que el Título 9, Políticas y Lineamientos de Tecnologías de la Información, Capítulo 1del Decreto 1078 de 2015, Subrogado por el artículo 1 del Decreto 767 de 2022, Políticade Gobierno Digital, artículo 2.2.9.1.1.2. establece que “Los sujetos obligados a lasdisposiciones contenidas en el presente capítulo serán las entidades que conforman laadministración pública en los términos del artículo 39 de la Ley 489 de 1998 (...)”.RESOLUCIÓN NÚMERO = 1457 DE gg pig 275 HOJA No 2

“Por la cual se actualiza la Política de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos del InstitutoNacional de Salud - INS, como uno de los elementos habilitadores de la Política deGobierno Digital,:y se deroga la Resolución 0839 de 2025” Que el Decreto 767 de 2022 "Por el cual se establecen los lineamientos generales de laPolítica de Gobierno Digital y se subroga el Capítulo 1 del Título 9 de la Parte 2 del Libro2 del Decreto 1078 de 2015, Único Reglamentario del sector de Tecnologías de laInformación y las Comunicaciones” dispone al tenor del numeral 3.2 del artículo2.2.9.1.2.1. que el habilitador transversal de la Política de Gobierno Digital, Seguridad yPrivacidad de la Información “(...) busca que los sujetos obligados desarrollencapacidades a través de la implementación de los lineamientos de seguridad y privacidadde la información en todos sus procesos, trámites, servicios, sistemas de información,infraestructura y en general, en todos los activos de información, con el fin de preservar la confidencialidad, integridad, disponibilidad y privacidad de los datos.”. Que para desarrollar el habilitador transversal de “Seguridad y Privacidad de laInformación” el MINTIC expidió la Resolución 00500 de 2021 que establece loslineamientos generales para la implementación del Modelo de Seguridad y Privacidad de la Información - MSPI, la guía de gestión de riesgos de seguridad de la información y elprocedimiento para la gestión de los incidentes de seguridad digital, y, establece loslineamientos y estándares para la estrategia de seguridad digital, a los sujetos obligados

señalados en el artículo 2.2.9.1.1.2. del Decreto 1078 de 2015. Que el artículo 5 de la norma en cita, establece que los sujetos obligados deben adoptarla estrategia de seguridad digital en la que se integren los principios, políticas,procedimientos, guías, manuales, formatos y lineamientos para la gestión de la seguridad de la información digital. Dicha estrategia debe incluir en el Plan de Seguridad y Privacidad de la Información que se integra al Plan de Acción en los términos artículo 2.2.22.3.14. del capitulo 3 del Titulo 22 de la Parte 2 del Libro 2 del Decreto 1083 de 2015, Único Reglamentario del Sectorde Función Pública, o la norma que la modifique, adicione, subrogue o derogue; como elModelo de Seguridad y Privacidad de la Información — MSP! señalado en el Anexo 1 dela misma resolución, como habilitador de la política de Gobierno Digital, actualizado con la resolución 02277 de 2025. Que la Resolución 746 de 2022 del MinTIC, establece lineamientos adicionales a losestablecidos en la Resolución número 500 de 2021, fortaleciendo el Modelo deSeguridad y Privacidad de la Información en los términos de adoptar medidas, almomento de adquirir productos y servicios de Seguridad Digital operados en entornos de nube, que garanticen el cumplimiento de lo dispuesto en la Ley Estatutaria 1581 de2012 y sus normas reglamentarias, en particular las relativas a la transferenciainternacional de datos personales, así como la gestión de la seguridad de la informaciónpara las relaciones con los proveedores, determinando e implementando los controlespara mitigar los riesgos asociados a la adquisición de productos y servicios de seguridad

digital.RESOLUCIÓN NÚMERO: A517 DE 040102, HOYA No 3 “Por la cual se actualiza la Política de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos del InstitutoNacional de Salud - INS, como uno de los elementos habilitadores de la Política deGobierno Digital, y se deroga la Resolución 0839 de 2025” Que mediante Resolución 0661 de 2021 el INS actualizó la operación del Sistema deGestión de Calidad y su articulación con los demás sistemas implementados acorde alalcance definido en el MNL-D02.0000-001 Manual del SIG incluida la NTC-ISO/IEC 27001 de seguridad de la información. Que, mediante Resolución.0839 de 2025 el INS actualizó la Política de Seguridad yPrivacidad de la Informaciórl? Sin embargo, la Oficina de Tecnologías de Información yComunicaciones - OTIC, en el marco de la evaluación de dicha política y la evolución delmarco normativo recomendó articularla teniendo en cuenta la actualización a la versión2022 de la NTC-ISO/IEC 27001 base para la implementación del SGSPI, incluyendobuenas prácticas de seguridad digital para el manejo de los sistemas y tecnologías deinformación en la entidad, medidas de seguridad y privacidad efectivas para garantizarla integridad, confidencialidad, privacidad y disponibilidad de la información, lo quepermite prevenir y gestionar riesgos asociados al uso del ciberespacio, la inteligenciaartificial y de las herramientas tecnológicas en el cumplimiento de los objetivos de la entidad.

entidad. Por tanto, y de conformidad con la necesidad expuesta, en sesión extraordinaria delnoviembre 13 de 2025 fue puesta en consideración del Comité Institucional de Gestióny Desempeño la actualización de la Política de Seguridad y Privacidad de la informacióny Seguridad Digital, como uno de los elementos habilitadores de la Política de GobiernoDigital, así como la derogatoria de la Resolución 0839 de 2025, y con decisión de aprobar este acto administrativo. Que, en mérito de lo expuesto este despacho,

RESUELVE

CAPÍTULO | DISPOSICIONES GENERALES Artículo 1. Objeto. La presente resolución tiene por objeto actualizar la Política deSeguridad y Privacidad de la Información, Seguridad Digital y continuidad de la operaciónde los servicios del Instituto Nacional de Salud - INS, como uno de los elementoshabilitadores de la Política de Gobierno Digital, con el fin de promover lineamientos para el manejo, uso y protección de la información de la Entidad. Artículo 2. Ámbito de aplicación. Serán sujetos obligados de la presente resolución,todos los niveles funcionales, organizacionales y dependencias de la Entidad, así comotodos los funcionarios, contratistas, pasantes, profesionales en entrenamiento,investigadores visitantes, colaboradores, proveedores y demás personas o terceros que compartan, utilicen, recolecten, procesen, intercambien o consulten su información biensea permanente, temporal o transitoria, al igual que a las entidades de control y demásRESOLUCIONNUMERO 1457 pe HOJA No 41)4 DIC 2025 “Por la cual se actualiza la Política de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos del InstitutoNacional de Salud - INS, como uno de los elementos habilitadores de la Política deGobierno Digital, y se deroga la Resolución 0839 de 2025”

entidades relacionadas que accedan, ya sea de manera interna o externamente acualquier activo de información, independientemente de su ubicación. De igual manera,esta política aplica a toda la información creada, inventada, desarrollada, procesada outilizada por la Entidad sin importar el medio, formato, presentación o lugar en el cual se encuentre. Artículo 3. Política General de Seguridad y Privacidad de la Información, SeguridadDigital y continuidad de la operación de los servicios tecnológicos del InstitutoNacional de Salud - INS. Los sujetos descritos en el ámbito de aplicación deberánpreservar y administrar la integridad, confidencialidad, disponibilidad, privacidad,legalidad y confiablidad de la información digital y física, que se produce en el marco dela operación de sus procesos misionales y/o contractuales, mediante una gestión integral de riesgos y la implementación de controles físicos y digitales para prevenir incidentes,propender por la continuidad de la operación de los servicios y dar cumplimiento a losrequisitos legales, reglamentarios, regulatorios y a los de las normas técnicascolombianas, orientados a la mejora continua y al alto desempeño del Sistema deGestión de Seguridad de la Información, promoviendo la prestación ininterrumpida de losservicios científicos, técnicos y de salud pública del INS, con calidad, transparencia,responsabilidad y respetando las disposiciones vigentes en materia de tratamiento dedatos personales, en beneficio de la ciudadanía, el sistema de salud y las institucionesque conforman el Sistema Nacional de Ciencia, Tecnología e innovación. Artículo 4. Objetivos de la Política General. La Política de Seguridad y Privacidad dela Información y Seguridad Digital, tendrá los siguientes objetivos:

e Establecer mecanismos de aseguramiento físico y digital para fortalecer laconfidencialidad, integridad, imparcialidad, disponibilidad, privacidad, legalidad y confiabilidad de la información del INS. + Mitigar el impacto de los incidentes de seguridad y privacidad de la información y seguridad digital en el INS. + Gestionar los riesgos de seguridad y privacidad de la información y de seguridad digital. e Generar un cambio organizacional a través de la concienciación y apropiación de laseguridad y privacidad de la información y la seguridad digital, orientados a la mejoracontinua y al alto desempeño del sistema de gestión de seguridad y privacidad de la información. + Dar cumplimiento a los requisitos legales, reglamentarios, regulatorios, y a los de las normas técnicas colombianas en materia de seguridad y privacidad de la información,seguridad digital y protección de la información personal. + Definir y operar la continuidad de la operación de los servicios tecnológicos del INS.+ Garantizar el acceso libre a la ciudadanía de la información pública en poder de laentidad, con el fin de garantizar el cumplimiento del derecho de acceso a la información pública nacional.RESOLUCIONNUMERO 1457 DÉ :_ HOJA No 504 DIC 2025 “Por la cual se actualiza la Política de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos del InstitutoNacional de Salud - INS, como uno de los elementos habilitadores de la Política deGobierno Digital, y se deroga la Resolución 0839 de 2025”

CAPÍTULO Il, ,POLITICAS GENERALES ORGANIZACIONALES Artículo 5. Politica de seguridad de la información en la gestión de proyectos. Estapolítica busca que desde la gestión de los proyectos se traten los lineamientos frente ala seguridad y privacidad de la información independientemente del tipo de proyecto. LaOficina Asesora de Planeación y el personal de apoyo, deberá incluir los requerimientosy consideraciones en materia de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios, en la metodología de gestión de proyectos de la Entidad, garantizando que se implementen en las fases iniciales de losproyectos, en el mismo sentido, la Oficina Asesora de Control Interno y el personal deapoyo, podrá implementar seguimientos, monitoreos, planes de auditoría interna u otros mecanismos de control, para la revisión del cumplimiento e implementación de la política, dependiendo de las necesidades de la Entidad. Artículo 6. Política de gestión de activos. La OTIC y la Secretaría General, en sumarco de competencias, articularán el diseño y la adopción de los lineamientosespecíficos para la identificación, clasificación, valoración, rotulado (etiquetado) y buen uso de los activos de información, con el objetivo de garantizar su protección. Dichoslineamientos se construirán e impartirán teniendo en cuenta los siguientes criterios: + Inventario de Activos: Los activos del Instituto deben ser identificados, clasificados,valorados y controlados para garantizar su uso, protección y recuperación ante desastres. La OTIC y el Grupo de Gestión Documental, diseñará una metodología

con los lineamientos necesarios para llevar el inventario de los activos de información,discriminado por procesos y dependencia, tipo, nivel de criticidad, duración de laconfidencialidad y reserva de la información, clasificación, ubicación, responsable, custodio, y demás atributos que la entidad defina. +» Protección: Con el objetivo de establecer los controles de seguridad físicos ydigitales, las dependencias que tienen la custodia de la información generada en elmarco de su función se encargarán de proteger la información, así como de mantenery actualizar el inventario de activos de información relacionados con sus servicios(información física o digital, software, hardware y recurso humano), bajo los parámetros establecidos. + Archivos de Gestión: El Grupo de Gestión Documental deberá implementar loscontroles necesarios para que los archivos de gestión cuenten con los mecanismos de seguridad apropiados, de acuerdo con las Tablas de Retención Documental yTablas de Control de Acceso, con el fin de proteger y conservar la confidencialidad,integridad, imparcialidad y disponibilidad de la información física del Instituto. + Sistema de gestión de documento electrónico de archivoSGDEA: El Grupo de Gestión Documental con el apoyo de la OTIC, deberán implementar un sistema de gestión documental electrónica y de archivo digital, asegurando la conformación de expedientes electrónicos con características de integridad, disponibilidad y autenticidad de la información. Adicionalmente, para la emisión, recepción y gestiónRESOLUCIÓN NÚMERO, — 1457 HOJA No 6D4 DIC 2025 “Por la cual se actualiza la Política de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos del InstitutoNacional de Salud - INS, como uno de los elementos habilitadores de la Política deGobierno Digital, y se deroga la Resolución 0839 de 2025”

de comunicaciones oficiales, a través de los diversos canales electrónicos y físico,deberá asegurar un adecuado tratamiento archivístico. e Clasificación de la Información: La OTIC en conjunto con el Grupo de GestiónDocumental deberán establecer lineamientos para la clasificación y rotulado(etiquetado) de la información del Instituto, en el marco de la Ley 594 de 2000 (LeyGeneral de Archivos), la Ley 1712 de 2014 (ley de transparencia y acceso a lainformación), esta última reglamentada por el Título 1 de la Parte 1 del Libro 2 delDecreto 1081 de 2015 y en el Título 3 de la Parte 8 del Libro 2 del Decreto 1080 de2015 y demás normativa que reglamente la clasificación de información de lasentidades públicas del país. Así mismo, la OTIC implementará una herramientainformática que permita rotular (etiquetar) la información digital. + Firma de documentos: Las firmas de documentos que produzca el Instituto seráválida en cualquiera de los siguientes métodos, garantizando la confiabilidad,integridad, autenticidad y disponibilidad de la información de los documentosexpedidos por los servidores públicos y contratistas en el marco de sus funciones y competencias, así: o En físico con firma autógrafa mecánica. o Con firma digital de persona natural asignadas por la OTIC según lo dispuesto porla Ley 527 de 1999 o la norma que la modifique, adicione o sustituya.e Con firma electrónica, de acuerdo con lo dispuesto en los Decretos 2364 de 2012y 1287 de 2020, o la norma que los modifique, adicionen o sustituyan, para lo cualel Instituto deberá adquirir o implementar un aplicativo que contenga como mínimo

lo siguiente:" Control seguro de acceso y uso al aplicativo, sincronizado con el directorioactivo, garantizando que solo personal vinculado pueda hacer uso del mecanismo de firma electrónica, « Múltiples controles para la autenticación y firma del documento electrónico,garantizando que el firmante es quien dice ser. = El sistema debe solicitar la firma digitalizada o escaneada y quedar estampadaen el documento junto con el nombre completo, cargo, correo electrónico institucional del servidor o contratista que firma. = Identificador único provisto por el sistema que permita la verificación de la veracidad del documento. = Fecha de creación y finalización de la firma provisto por el servidor ysincronizado con la hora legal colombiana.» Estado del trámite de firma.«Firma digital del funcionario quien ejerce la representación del Instituto, según sea el caso. » En ningún caso se debe utilizar firmas facsímil, salvo en aquellos que seautorice por resolución expedida por el director del Instituto, indicando para que fin y porqué medios podrá ser utilizada. Parágrafo. Durante el proceso de transición e implementación de lo anterior, el procesode firma de los documentos expedidos para el desarrollo misional y de apoyo de laRESOLUCIÓN NÚMERO — 4457 “HOJA No 7DE’,04 DIC 20% “Por la cual se actualiza la Politica de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos del InstitutoNacional de Salud - INS, como uno de los elementos habilitadores de la Política deGobierno Digital, y se deroga la Resolución 0839 de 2025”

Entidad, se seguirá realizando de acuerdo’ gon f definido en articulo 7 de la Ley 527 de1999, reglamentado por el Decreto 2364 de 2012. Artículo 7. Política de control de acceso. De conformidad con lo establecido con laGuía Técnica Colombiana GTC-ISO/IEC 27002:2022, los propietarios de los activos deinformación, teniendo en cuenta el tipo de activo, deberán establecer medidas de controlde acceso a nivel de red, sistema operativo, sistemas de información, servicios detecnologías e infraestructura física (instalaciones y oficinas), todo esto con el fin demitigar riesgos asociados al acceso a la información, infraestructura tecnológica einfraestructura física de personal no autorizado y así propender por salvaguardar laintegridad, disponibilidad, confidencialidad y privacidad de la información del Instituto. Artículo 8. Política de seguridad para la relación con proveedores. Esta políticabusca establecer las condiciones para la prestación de los servicios, responsabilidadesy controles que ayuden a proteger la información involucrada en las relaciones entre elInstituto con terceros, frente a interceptaciones, copia, modificación, divulgación,destrucción no autorizada y los riesgos asociados a la adquisición de productos yservicios de seguridad digital que puedan afectar los principios de integridad,imparcialidad, disponibilidad, privacidad y confidencialidad de la información. Aplica paratodos los proveedores que para la ejecución de su trabajo requieran acceder a la

información o infraestructura tecnológica del Instituto. El Grupo de Gestión Contractual, establecerá y documentará, las disposicionesnecesarias para asegurar que la información que se genere, trate, custodie, procese,comparta, utilice, recolecte, intercambie o a la que se tenga acceso con ocasión de uncontrato, se utilice dentro del marco de la seguridad y privacidad de la información porparte de los proveedores. En el mismo sentido y a través del seguimiento a la ejecución,se garantizará que los supervisores de los contratos, convenios o acuerdos sean losresponsables de aplicar las políticas y procedimientos de seguridad y privacidad de lainformación durante la ejecución de los contratos, estos lineamientos deberán sercomunicados a los proveedores a través de los canales dispuestos por el Instituto. Parágrafo. Tratándose de relaciones contractuales del Instituto, estas disposicionesdeberán ser incorporadas en los términos, cláusulas, minutas o acuerdos con los que se relacionen estos, a efectos de garantizar su implementación. Artículo 9. Política de gestión de incidentes de seguridad y privacidad de lainformación y seguridad digital. Esta política busca gestionar adecuadamente todoslos incidentes de seguridad y privacidad de la información y seguridad digital reportadosen la Entidad, dando cumplimiento a los procedimientos establecidos para el efecto.Aplica para todos los servidores públicos, aplicaciones, y terceros del Instituto que detecten un evento o incidente de seguridad y privacidad de la información y seguridaddigital, el cual deben reportar, adecuadamente, de acuerdo con los procedimientos

establecidos. El Oficial de Seguridad y Privacidad de la Información o quien haga sus veces, promoverá entre los empleados públicos, contratistas y terceros, el reporte yRESOLUCIÓN NÚMERO 67 DE .. .. HOJA No 8LAST PE 04 prc a “Por la cual se actualiza la Política de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos del InstitutoNacional de Salud - INS, como uno de los elementos habilitadores de la Política deGobierno Digital, y se deroga la Resolución 0839 de 2025” seguimiento de incidentes relacionados con la seguridad y privacidad de la informacióny seguridad digital, y sus medios. Así mismo, asignará responsables para el tratamientode estos, quienes investigarán y solucionarán los incidentes reportados, de acuerdo con su criticidad. El Oficial de Seguridad y Privacidad de la Información informará a la Dirección Generaldel Instituto, los incidentes de seguridad, para que éste en el marco de sus competencias,reporte e instaure las denuncias ante las autoridades pertinentes, tales como, defensanacional, policía, fiscalía y de control. La Dirección General o quien esta delegue, seráel único canal de comunicación autorizado para hacer pronunciamientos oficiales antelas entidades externas, medios de comunicación o la ciudadanía. Artículo 10. Política de la continuidad de la operación de los servicios. Esta políticabusca asegurar que todos los aspectos relacionados con la seguridad de la informaciónse incluyan en los planes de continuidad de la operación de la Entidad y así proteger lainformación. Esta política aplica para la definición del plan de continuidad de operaciónde servicios y la recuperación en caso de desastres, en las cuales se deben incluir losrequisitos de seguridad y privacidad de la información. El Instituto dispondrá los planesnecesarios para la continuidad de la operación de los servicios, los cuales serán

operados por los líderes de los procesos. El Oficial de Seguridad y Privacidad de la Información y la OTIC liderarán conjuntamentela elaboración del Análisis de Impacto del Negocio (BIA) y del Plan de Recuperación ante Desastres (DRP) tecnológicos. Artículo 11. Política de cumplimiento. Esta política busca evitar el incumplimiento delas obligaciones legales, estatutarias, de reglamentación o contractuales relacionadascon seguridad y privacidad de la información, y de cualquier requisito de esta índole enla Entidad y asegurar que se revisen y actualicen periódicamente, como mínimo una vezal año o cuando se presente una actualización en la normatividad que afecte la seguridady privacidad de la información. Esta será aplicada por todas las dependencias del Instituto. El Oficial de Seguridad y Privacidad de la Información con apoyo de la Oficina AsesoraJurídica y su personal de apoyo, y el Asesor de Planeación, velarán por la identificación,documentación, cumplimiento y asesoría de los requisitos legales enmarcados en laseguridad y privacidad de la información y seguridad digital, de acuerdo con loestablecido por el gobierno nacional, entre ellos los referentes a la propiedad intelectual,protección de datos personales, ley de transparencia y del derecho de acceso a la información pública nacional, para lo cual dispondrá de procedimientos y una matriz de requisitos legales para su control y seguimiento. Artículo 12. Política de privacidad. El Instituto deberá disponer, a través del Oficial deprotección de datos personales o quien haga sus veces de los controles necesarios parala protección de la información de los empleados públicos, contratistas y partesEL - HOJA No 904 DIC 202RESOLUCIÓN NÚMERO ° Y 4 5 7 BE

“Por la cual se actualiza la Politica de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos del InstitutoNacional de Salud - INS, como uno de los elementos habilitadores de la Política deGobierno Digital, y se deroga la Resolución 0839 de 2025” interesadas externas, en los términos d 7 lap Ley 1581 de 2012 y sus decretosreglamentarios, así como la política de tratamiento de dátos personales de la Entidad. Parágrafo 1. El Oficial de protección de datos personales o quien haga sus veces delegado en el Instituto, en conjunto con el Grupo de Gestión Contractual, diseñarán unformato de autorización y uso de datos personales, así como de su tratamiento, quedeberá adoptar Entidad, en lo que respecta al uso de datos semiprivados, privados,sensibles, de niños, niñas y adolescentes; dicho formato debe ser claro y detallado en lo referente a la recolección de los datos personales; así mismo, deberá ser firmado portodos los empleados públicos y contratistas en el momento de su vinculación al INS. Parágrafo 2. El Oficial de Seguridad y Privacidad de la Información en conjunto con laOficina Asesora de Comunicaciones, diseñarán y actualizarán los formatos deautorización, por parte de los ciudadanos, de la captación y uso de imágenes, videos ocualquier medio audiovisual, de conformidad con lo dispuesto en las normas vigentessobre protección de datos personales, en especial la Ley 1581 de 2012 y sus normasreglamentarias y el Decreto 1074 de 2015 o la norma que lo modifique, adicione osustituya, así como su autorización libre, expresa e inequívoca a el Instituto o a quieneste autorice o encargue, para el uso del recurso audiovisual en el marco del

cumplimiento de su misión. Los formatos deberán prever la opción en caso de que el ciudadano sea menor de edady se deberá establecer lineamientos para el caso en que el ciudadano no autorice dicho tratamiento. Parágrafo 3. La toma de material audiovisual a los ciudadanos mayores o menores deedad sólo se podrá realizar por los empleados públicos o contratistas avalados por laOficina Asesora de Comunicaciones y en cumplimiento de las funciones deacompañamiento del Instituto o donde éste fuere invitado de manera oficial. Los datosque se recolecten solo podrán ser tratados para el cumplimiento de la finalidad para la cual se ha dispuesto el tratamiento. CAPÍTULO IIIPOLÍTICAS GENERALES DEL RECURSO HUMANO Artículo 13. Política de seguridad y privacidad en el recurso humano. Esta políticaasegura que tanto los funcionarios como los contratistas comprendan lasresponsabilidades en los roles que ejercen en la Entidad y tomen conciencia respecto a la implementación de los lineamientos de seguridad y privacidad con el fin de preservar la disponibilidad, integridad, privacidad y confidencialidad de la información del Instituto. Para el efecto, el Grupo de Gestión del Talento Humano y el Grupo de Gestión Contractual con el apoyo del Oficial de Seguridad y Privacidad de la Información o quien haga sus veces deberán: + Desplegar esfuerzos para generar conciencia y apropiación en los empleados públicos de la entidad y contratistas, sobre sus responsabilidades con el fin de reducirRESOLUCIÓN NÚMERO, — 1457 DE. py pre gp HOJA No 10 “Por la cual se actualiza la Política de seguridad y privacidad de la información,seguridad digital y continuidad de la operación de los servicios tecnológicos delInstituto Nacional de Salud - INS, como uno de los elementos habilitadores de laPolítica de Gobierno Digital, y se deroga la Resolución 0839 de 2025”

los riesgos, el mal uso de las instalaciones y recursos tecnológicos y así asegurar laconfidencialidad, integridad, disponibilidad y privacidad de la información.+ Incluir en las minutas de los contratos y c