SIC - Concepto 616895 de 2025

Bogotá D.C., enero de 2026

Asunto: Radicación: 25-616895

Folios: 24

Respetado señor:

De conform idad con lo previsto en el artículo 28 de la Ley 1755 de 2015, “por m edio de la cual se regula el Derecho Fundam ental de Petición y se sustituye un título del Código de Procedim iento Adm inistrativo y de lo Contencioso Adm inistrativo”, fundam ento jurídico sobre el cual se sustenta la consulta objeto de la solicitud, procede la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a em itir un pronunciam iento, en los térm inos que a continuación se pasan a exponer:

1 . OBJETO DE LA CONSULTA

Sobre la consulta elevada ante esta Oficina en la que plantea las siguientes inquietudes:

“1. Si las Entidades Responsables de Pago (EPS) cuentan con legitim ación para acceder a las historias clínicas de los usuarios por finalidades distintas a las autorizadas por la ley, específicam ente aquellas relacionadas con: La auditoría de la prestación del servicio de salud.Los procesos de facturación, verificación y revisión de cuentas. 2.En caso afirm ativo, solicito se indique con precisión: La norm a jurídica que habilita dicho acceso. El alcance y lím ites legales de esa facultad.; Los controles, responsabilidades y obligaciones en m ateria de protección de datos sensibles aplicables a las EPS o cooperativas; Las garantías que deben im plem entarse para proteger el carácter reservado de la historia clínica.3.En caso negativo, solicito se especifique: • Las

protección de datos sensibles aplicables a las EPS o cooperativas; Las garantías que deben im plem entarse para proteger el carácter reservado de la historia clínica.3.En caso negativo, solicito se especifique: • Las restricciones legales concretas que im piden a las EPS o cooperativas acceder a la historia clínica para finalidades distintas a las previstas por la ley. • Las eventuales consecuencias adm inistrativas, disciplinarias o sancionatorias derivadas de acceder a esta inform ación sin com petencia o legitim ación.”

Nos perm itimos adelantar las siguientes precisiones:

2 . CUESTI ÓN PREVI A

Reviste de gran im portancia precisar, en prim er lugar, que la SUPERI NTENDENCI A DE I NDUSTRI A Y COMERCI O a través de su OficinaAsesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido implicaría la flagrante vulneración del debido proceso como garantía constitucional. Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005:

“Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conc eptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver la inquietud por Usted manifestada.

al administrado en libertad para seguirlos o no”.

Ahora bien, una vez realizada la anterior precisión, se suministrarán las herramientas de información y elementos conceptuales necesarios que le permitan absolver la inquietud por Usted manifestada.

3. FACULTADES DE LA SUPERINTENDENCIA DE INDUSTRIA Y

COMERCIO EN MATERIA DE PROTECCIÓN DE DATOS

PERSONALES

La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia:

• Velar por el cumplimiento de la legislación en materia de protección de datos personales; • Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; • Promover y divulgar los derechos de las personas en relación con el Tratamiento de datos personales e implementara campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos; • Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los responsables del tratamiento y encargados del tratamiento a las disposiciones previstas en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el presente numeral, los

en la presente ley; • Solicitar a los responsables del tratamiento y encargados del tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

Finalmente, de conformidad con lo expuesto en el presente numeral, los conceptos de la Oficina Asesora Jurídica se limitan a exponer pautas de acciónsobre las materias a cargo de esta Superintendencia, mas no están destinados a interpretar o complementar contratos, actos administrativos o leyes, mucho menos a solucionar conflictos de carácter particular. Por lo anterior, no es procedente que esta Ofici na se pronuncie expresamente sobre el interrogante de su consulta. Sin perjuicio de lo anterior, a continuación, daremos respuesta a la inquietud presentada.

4. CONSIDERACIONES EN TORNO A LA CONSULTA

Sea lo primero precisar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO es la Autoridad de Protección de Datos Personales, como lo señala el artículo 19 de la Ley 1581 de 2012, en los siguientes términos:

“Artículo 19. Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.

De acuerdo con lo anterior, como Autoridad de Protección de Datos, esta Superintendencia es la encargada de las funciones de inspección, vigilancia y control sobre los responsables y encargados del tratamiento. Partiendo de lo anterior, esta Oficina Asesora Jurídica responderá su consulta considerando las competencias de esta entidad en el marco del régimen de protección de datos

control sobre los responsables y encargados del tratamiento. Partiendo de lo anterior, esta Oficina Asesora Jurídica responderá su consulta considerando las competencias de esta entidad en el marco del régimen de protección de datos personales, en particular de la Ley 1581 de 2012 y del Capítulo 25 del Decreto 1074 de 2015 y demás normas complementarias , sin q ue, pueda referirse a otros aspectos de su consulta que desbordan el ámbito de estas competencias.

En dicho contexto , desarrollaremos la presente consulta, en primer lugar , haciendo énfasis al mecanismo de la interoperabilidad frente a la historia clínica electrónica relacionada con la seguridad de la información y seguridad digital, a la luz de la Ley 2015 de 2020 y la Resolución 866 de 201 y en segundo lugar, en lo concerniente a la seguridad de la información dentro del marco de la Ley 1581 de 2012, en la forma y términos ya descritos.

Previo a la argumentación de dicho desglose , procedemos a mencionar las consideraciones de orden constitucional, legal, jurisprudencial y doctrinal, en el marco del interrogante planteado en su solicitud.

4.1 Definición y Tratamiento de Datos Personales

Al respecto la Ley 1581 de 2012, en su artículo 2, señala el ámbito de aplicación de la siguiente manera:

“Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados encualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada”.

La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas.

La precitada ley aplica al tratamiento, es decir, la recolección, almacenamiento, uso, circulación o supresión, de datos personales registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas.

En cuanto al concepto de bases de datos o archivos la CORTE CONSTITUCIONAL mediante Sentencia C-748 de 2011 señaló́ lo siguiente:

“El literal b) define las bases de datos como un “(...) conjunto organizado de datos personales que sea objeto de tratamiento”. Pese a que esta definición es bastante amplia y parece coincidir más con la de banco de datos empleada en la Ley 1266, en tanto el legislador goza de libertad de configuración en la materia, puede adoptar definiciones diferentes dependiendo de la regulación.

Ahora bien, la definición se ajusta a la Carta, pues cobija todo espacio donde se haga alguna forma de tratamiento del dato, desde su simple recolección, lo que permite extender la protección del habeas data a todo tipo de hipótesis. En concordancia, la Sala recuerda, como se indicó́ en la consideración 2.4.3.2., que el concepto de base de datos cobija los archivos, entendidos como depósitos ordenados de datos, lo que significa que los archivos están sujetos a las garantías previstas en el proyecto de ley”.

Por lo anterior, la Ley 1581 de 2012 se aplica a los datos personales que se encuentren en bases de datos o archivos de entidades públicas o privadas, entendidos estos, como el conjunto organizado o depósitos ordenados de datos personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos.

entendidos estos, como el conjunto organizado o depósitos ordenados de datos personales sujetos a tratamiento, es decir, a la recolección, el almacenamiento, el uso, la circulación o la supresión de los mismos.

A su vez, el literal c) del artículo 3 de la Ley 1581 de 2012 define el dato personal en los siguientes términos:

“Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.”

Por su parte, el literal g) del artículo 3 define tratamiento en los siguientes términos:

"Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión."Por lo anterior, el tratamiento se refiere a cualquier operación sobre datos personales como, la utilización, recolección, almacenamiento, circulación y supresión de los datos personales que se encuentren registrados en cualquier base de datos o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales.

4.2 Tratamiento de Datos Sensibles relacionados con la salud

Esta precisión es relevante para el presente tema objeto de consulta, y bajo este entendido es importante referir que las historias clínicas, se encuentran definidas en el literal a ) del artículo 1 de la Resolución 1995 de 1999 , de la siguiente manera:

“La Historia Clínica es un documento privado, obligatorio y sometido a reserva, en el cual se registran cronológicamente las condiciones de salud del paciente, los actos médicos y los demás procedimientos ejecutados por el equipo de salud que interviene en su atención. Dicho documento únicamente puede ser conocido por terceros previa

reserva, en el cual se registran cronológicamente las condiciones de salud del paciente, los actos médicos y los demás procedimientos ejecutados por el equipo de salud que interviene en su atención. Dicho documento únicamente puede ser conocido por terceros previa autorización del paciente o en los casos previstos por la ley.”

Partiendo de esa base, las historias clínicas contienen Datos personales sensibles, pues están relacionados con información íntima y confidencial sobre la salud de una persona. En efecto, su Tratamiento puede llegar a afectar la privacidad y dignidad del individuo, y por ello, estos datos requieren un nivel de protección reforzado —pues son reservados — y solo pueden ser tratados con autorización expresa del titular o en los casos excepcionales previstos por la ley, como más adelante se expondrá.

Así́ mismo, el artículo 3 de la Resolución 1995 de 1999, determina unas características para dicho documento:

“Las características básicas son: Integralidad: La historia clínica de un usuario debe reunir la información de los aspectos científicos, técnicos y administrativos relativos a la atención en salud en las fases de fomento, promoción de la salud, prevención específica, diagnóstico, tratamie nto y rehabilitación de la enfermedad, abordándolo como un todo en sus aspectos biológico, psicológico y social, e interrelacionado con sus dimensiones personal, familiar y comunitaria.

Secuencialidad: Los registros de la prestación de los servicios en salud deben consignarse en la secuencia cronológica en que ocurrió la atención. Desde el punto de vista archivístico la historia clínica es un expediente que de manera cronológica debe acum ular documentos

Secuencialidad: Los registros de la prestación de los servicios en salud deben consignarse en la secuencia cronológica en que ocurrió la atención. Desde el punto de vista archivístico la historia clínica es un expediente que de manera cronológica debe acum ular documentos relativos a la prestación de servicios de salud brindados al usuario.Racionalidad científica: Para los efectos de la presente resolución, es la aplicación de criterios científicos en el diligenciamiento y registro de las acciones en salud brindadas a un usuario, de modo que evidencie en forma lógica, clara y completa, el pr ocedimiento que se realizó en la investigación de las condiciones de salud del paciente, diagnóstico y plan de manejo.

Disponibilidad: Es la posibilidad de utilizar la historia clínica en el momento en que se necesita, con las limitaciones que impone la Ley

Oportunidad: Es el diligenciamiento de los registros de atención de la historia clínica, simultánea o inmediatamente después de que ocurre la prestación del servicio.”

Obsérvese como, nace la obligatoriedad para los prestadores del servicio de salud elaborar de manera simultánea o inmediatamente posterior a la prestación del servicio de atención en salud la elaboración de la historia clínica de los pacientes, al interior de la cual se encuentra el diagnóstico, el tratamiento y la rehabilitación de las enfermedades del paciente.

Ahora bien, de aquí la importancia de los datos sensibles frente al tratamiento especial de que gozan conforme lo consagrado en el artículo 6 de la Ley 1581 de 2012 así:

“Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explicita a dicho

de 2012 así:

“Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:

a) El Titular haya dado su autorización explicita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.

b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización. c) El Tratamiento sea efectuado en el curso de las actividades legitimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro órgano sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular.

d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.”

Dicho esto, es claro que la Ley 1581 de 2012, señala los eventos en los que se puede realizar tratamiento de los datos sensibles, esto es, la recolección, el almacenamiento, el uso, la circulación o supresión de los mismos, entre ellos, cuando el titular haya dado su autorización explicita para ello.

Respecto a la autorización para el tratamiento de los datos personales como la

almacenamiento, el uso, la circulación o supresión de los mismos, entre ellos, cuando el titular haya dado su autorización explicita para ello.

Respecto a la autorización para el tratamiento de los datos personales como la recolección, almacenamiento, uso, circulación o supresión de los mismos debe tenerse en cuenta el principio de libertad definido en el literal c) del artículo 4 de la mencionada ley así́:

“c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”.

Así las cosas, el tratamiento de los datos personales solo puede realizarse cuando exista la autorización previa, es decir, debe recolectarse en una etapa anterior a su incorporación en la base de datos del responsable; expresa, es decir, que no exista duda o equivocación de su aceptación; e informada del titular, es decir, que conozca las finalidades específicas de tratamiento y los efectos de su consentimiento. Lo anterior, con el fin de permitirle que se garantice en todo momento y lugar que pueda conocer en donde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación.

Respecto a la autorización, ya referida, el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 señala lo siguiente:

"Autorización. El Responsable del Tratamiento deberá́ adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento

1074 de 2015 señala lo siguiente:

"Autorización. El Responsable del Tratamiento deberá́ adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así́ como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento".

Para el tratamiento de los datos sensibles el artículo 2.2.2.25.2.3. del precitado

Decreto señala lo siguiente:

“De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 est á prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley.En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:

1. Informar al Titular que por tratarse de datos sensibles no está́ obligado a autorizar su Tratamiento.

2. Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así́ como obtener su consentimiento expreso.

Ninguna actividad podrá́ condicionarse a que el Titular suministre datos personales sensibles.”

Para el caso específico de la historia clínica, es de vital importancia referirse a lo dispuesto por el artículo 14 de la Resolución 1995 de 1999, el cual precisa

personales sensibles.”

Para el caso específico de la historia clínica, es de vital importancia referirse a lo dispuesto por el artículo 14 de la Resolución 1995 de 1999, el cual precisa quienes están facultados para acceder a la información que allí repose:

“Artículo 14. Acceso a la historia clínica. Podrán acceder a la información contenida en la historia clínica, en los términos previstos en la Ley: 1) El usuario. 2) El Equipo de Salud. 3) Las autoridades judiciales y de Salud en los casos previstos en la Ley. 4) Las demás personas determinadas en la ley. PARAGRAFO. El acceso a la historia clínica, se entiende en todos los casos, única y exclusivamente para los fines que de acuerdo con la ley resulten procedentes, debiendo en todo caso, mantenerse la reserva legal.”

Por consiguiente, se colige de las normas enunciadas que la historia clínica — por regla general — está sometida a reserva y solo se podrá acceder a la información que allí repose cuando exista: (i) Consentimiento por parte del paciente —Titular— o; (ii) su Tratamiento se encuentre enmarcado en una de las excepciones taxativas enunciadas en la ley.

No puede perderse de vista lo señalado en los artículos 11 y 12 de la Resolución 839 de 2017 “Por la cual se modifica la Resolución 1995 de 1999 y se dictan otras disposiciones”, los cuales estipularon que el uso, manejo, recolección y tratamiento de la in formación de las historias clínicas deben ceñirse a lo dispuesto en la Ley 1581 de 2012 —y sus respectivas normas reglamentarias—

otras disposiciones”, los cuales estipularon que el uso, manejo, recolección y tratamiento de la in formación de las historias clínicas deben ceñirse a lo dispuesto en la Ley 1581 de 2012 —y sus respectivas normas reglamentarias— y que, las personas naturales o jurídicas que no ostenten la calidad de prestadores de servicios de salud, pero contraten prof esionales de salud para prestar servicios en sus sedes o instalaciones, se sujetarán a lo dispuesto en la presente resolución, en lo relacionado con la custodia y conservación de las historias clínicas:“Artículo 11. Protección de datos personales. El uso, manejo, recolección, tratamiento de la información y disposición final de las historias clínicas, deberá observar lo correspondiente a la protección de datos personales, de que trata la Ley 1581 de 2012 , sus normas reglamentarias y las disposiciones que las modifiquen o sustituyan. “Artículo 12. Normativa aplicable en el caso de personas naturales o jurídicas que custodian y manejan historias clínicas. Las personas naturales o jurídicas que pese a no tener la calidad de prestadores de servicios de salud, contraten profesionales de la salud para prestar servicios en sus sedes e instalaciones y que como tal, custodien y conserven expedientes de historias clínicas, se sujetarán a lo dispuesto en la presente resolución”

En concordancia con lo anterior, el artículo 2.2.2.25.2.4., del mencionado decreto dispone:

“Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para

decreto dispone:

“Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá́ que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá́ asimilarse a una conducta inequívoca”.

En consecuencia, los responsables del tratamiento de los datos personales deben obtener la autorización por parte del titular a más tardar al momento de su recolección informándole la finalidad específica del tratamiento de los mismos , y debe utilizar mecanismos que garanticen su consulta posterior.

Ahora bien, el artículo 12 de la Ley 1581 de 2012 dispone lo siguiente sobre la información que se debe suministrar al titular de los datos personales al momento de recolectar su autorización:

“ARTÍCULO 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá́ informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo.

Tratamiento, al momento de solicitar al Titular la autorización, deberá́ informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo. b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes.c) Los derechos que le asisten como Titular. d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá́ conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”.

Siguiendo las consideraciones expuestas, se procederá entonces con el desglose argumentación y orientación del tema objeto de consulta, como a continuación se sigue: 4.3. Mecanismo de la Interoperabilidad frente a la Historia Clínica Electrónica y Seguridad de la Información y Seguridad digital A través de la Ley 2015 de 2020 se creó la historia clínica electrónica interoperable y se dictan otras disposiciones, la cual tiene por objeto regular la Interoperabilidad de la Historia Clínica Electrónica - IHCE, a través de la cual se intercambiarán los elementos de datos clínicos relevantes, así como los documentos y expedientes clínicos del curso de vida de cada persona.

A su vez, el artículo 13 de la mencionada Ley establece frente a la seguridad de la información y seguridad digital lo siguiente:

“ARTÍCULO 13º. Seguridad e la información y seguridad digital. Los actores que traten información en el marco del presente título deberán establecer un plan de seguridad y privacidad de la

la información y seguridad digital lo siguiente:

“ARTÍCULO 13º. Seguridad e la información y seguridad digital. Los actores que traten información en el marco del presente título deberán establecer un plan de seguridad y privacidad de la información, seguridad digital y continuidad de la prestación del servicio, para lo cual establecerán una estrategia a través de l a cual deberán realizar periódicamente una evaluación del riesgo de seguridad digital, que incluya una identificación de las mejoras a implementar en su Sistema de Administración del Riesgo Operativo. Para lo anterior, deberán contar con normas, políticas, procedimientos, recursos técnicos, administrativos y humanos necesarios para gestionar efectivamente el riesgo mediante la adopción de los lineamientos para la administración de la seguridad de la información y la seguridad digital que emita el Ministerio de Tecnologías de la Información y las Comunicaciones o quien haga sus veces. Lo anterior, incluyendo lo señalado por la Ley 1581 de 2012 de Hábeas Data y Ley 527 de 1999 de Comercio Electrónico, o las normas que las modifiquen, sustituyan o complementen.”

De acuerdo con lo anterior, establece la norma que deberá aplicarse la Ley 1581 de 2012 en el marco de la adopción de los lineamientos para la administración de la seguridad de la información y seguridad digital.

Por otra parte, mediante la Resolución 866 de 2021 se reglamentó “el conjunto de elementos de datos clínicos relevantes para la interoperabilidad de la historiaclínica en el país y se dictan otras disposiciones”, y se dispuso en el artículo 16 lo siguiente:

“Artículo16. Responsable y encargado del tratamiento . Los actores descritos en el artículo 2° del presente acto administrativo,

lo siguiente:

“Artículo16. Responsable y encargado del tratamiento . Los actores descritos en el artículo 2° del presente acto administrativo, serán responsables del tratamiento de los datos que suministre la persona. Asimismo, serán los encargados del tratamiento de los datos que otras entidades les proporcionen en el ma rco de la Interoperabilidad de datos de la historia clínica.

En cada caso, los responsables y encargados del tratamiento de datos de las personas deberán cumplir los deberes establecidos en la Ley 1581 de 2012 o las normas que la modifiquen o sustituyan, sin perjuicio de las obligaciones que se establecen en el presente acto administrativo.”

Así mismo, el artículo 17 establece frente a la acreditación de la responsabilidad lo siguiente:

“Artículo17. Acreditación de la responsabilidad. Los actores que participen en la interoperabilidad de los datos clínicos relevantes deberán adoptar medidas apropiadas, efectivas y verificables que les permitan demostrar el correcto cumplimiento de las normas sobre tratamiento de datos personales y cumpl ir los lineamientos de responsabilidad demostrada previstos por la Superintendencia de Industria y Comercio (SIC) y demás que fije sobre la materia. Igualmente, deberán establecer y adoptar un Programa Integ ral de Gestión de Datos Personales (PIGDP) y cumplir con la guía para la implementación de la responsabilidad demostrada de la SIC.

Una vez se establezca el mecanismo de interoperabilidad este debe cumplir con la normatividad existente sobre responsabilidad demostrada que aplica al régimen de protección de datos personales, de conformidad a los límites que impone la Ley de Protección de Datos

Una vez se es