SIC - Resolución 11976 de 2025

Página 1 de 19

RESOLUCIÓN NÚMERO 11976 DE 2025

(11 de marzo de 2025)

“Por la cual se resuelve un recurso”

Radicación 24-212232

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución N. º 28911 del 31 de mayo de 2024 , la Dirección de Investigaciones de Protección de Datos Personales resolvió ordenar a la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S ., con N IT 811.036.875-5, en su calidad de Responsable del Tratamiento de Datos Personales, que reali zara la inscrip ción en el Registro Nacional de Bases de DatosRNBD, de las bases de datos que contengan inform ación personal cuyo Tratamiento automatizado o manual sea realizado por la entidad.

SEGUNDO: Que la Resolución N. º 28911 del 31 de mayo de 2024 le fue notificada personalmente a la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S. el 6 de junio de 2024, de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio bajo radicado 24-212232- -6 del 8 de julio de 2024.

emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio bajo radicado 24-212232- -6 del 8 de julio de 2024.

TERCERO: Que mediante escrito radicado bajo número 24-212232- -5 el 19 de junio de 2024, la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S., a través de su representante legal, interpuso recurso de reposición y en subsidio apelación contra la Resolución N.º 28911 del 31 de mayo de 2024, a través del

cual manifestó que:

1. La sociedad aclara que la “SERVICIOS GENERALES SURAMERICANA S.A.S. se encuentra registrada en calidad de Encargada del Tratamiento de SURAMERICANA S.A., entidad que figura como Responsable de las bases de datos, de acuerdo con lo establecido en la política de tratamiento, conforme a las autorizaciones que se han recolectado de parte de clientes, colaboradores y proveedores.”1.

Debido a lo anterior la sociedad indica que “las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no confundir al consumidor, se adoptó un único Responsable ante el cual pueda dirigirse” 2.

2. La sociedad cita lo que considera un caso similar, mediante el radicado 191300803, y sostiene que en ese caso la Dirección acogió los argumentos de la aseguradora SEGUROS DE VIDA SURAMERICANA SA. y archivó la

actuación por cuanto:

1 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 1. 2 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 2.

actuación por cuanto:

1 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 1. 2 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 2. 3 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 1.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 11976 DE 2025

“Por la cual se resuelve un recurso”

Página 2 de 19

“se procedió a revisar el Registro Nacional de Bases de Datos, donde se pudo constatar que la sociedad Seguros de Vida S.A., identificada con NIT 890903790, en calidad de encargado de 14 bases de datos de Suramericana S.A., realizó la respectiva inscripción de sus bases de datos en el Registro Nacional de Bases de Datos RNBD satisfactoriamente” 4

3. Así, la sociedad recalca que “se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las compañías por ella controladas son Encargadas ”5, y que “ se firmó un contrato de transmisión de datos personales entre Suramericana SA

(responsable) y cada una de LAS COMPAÑÍAS (encargadas). Esto es informado a los Titulares tanto en la Política de Protección de Datos Personales, como en las autorizaciones que les son solicitadas previo al Tratamiento.” 6.

4. La sociedad des taca la normativa internacional, e indica que en los numerales 36 y 37 de las consideraciones del Reglamento General de Protección de Datos Personales (RGPD) europeo se prevé la figura de una

Tratamiento.” 6.

4. La sociedad des taca la normativa internacional, e indica que en los numerales 36 y 37 de las consideraciones del Reglamento General de Protección de Datos Personales (RGPD) europeo se prevé la figura de una compañía controlante como responsable del tratamiento , y se establece la posibilidad de designar un único delegado de protección de datos para todo un grupo empresarial7.

5. La sociedad para sustentar sus argumentos aportó con el escrito del recurso

los siguientes documentos:

• Comunicado emitido por la Coordinadora Grupo De Trabajo De Investigaciones Administrativas de la Superintendencia de Industria y Comercio de fecha de 25 de agosto de 2020 bajo radicado 19-130080- - 108. • Política de Protección de Datos Personales de Suramericana S.A. 9 • Manual de Protección de Datos Personales de Suramericana S.A. 10 • Certificado de Existencia y Representación Legal de SERVICIOS

GENERALES SURAMERICANA S.A.S.11

6. Por último, la recurrente solicita que “se reponga la decisión proferida en la Resolución 28909 de 2024, en el sentido de archivar la actuación contra EPS SURAMERICANA S.A.S. ”12. Subsidiariamente la sociedad implora que se conceda el recurso de apelación”13.

CUARTO: Que, mediante Resolución N.º 56920 del 27 de septiembre de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió dentro del trámite del recurso abrir un periodo probatorio por un término de DIEZ (10) días hábiles y decretar de oficio la práctica de la siguiente prueba:

la Dirección de Investigaciones de Protección de Datos Personales resolvió dentro del trámite del recurso abrir un periodo probatorio por un término de DIEZ (10) días hábiles y decretar de oficio la práctica de la siguiente prueba:

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

• Ordenar a la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S., con el NIT. 811.036.875 -5, que informe y allegue con destino al expediente 24212232 lo siguiente:

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de

las siguientes bases de datos:

• Los empleados y sus hojas de vida • La nómina

4 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 2. 5 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 2. 6 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 3. 7 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 2. 8 Expediente Digital 24-212232. Consecutivo número 5. Página 5. 9 Expediente Digital 24-212232. Consecutivo número 5. Página 7. 10 Expediente Digital 24-212232. Consecutivo número 5. Página 6 11 Expediente Digital 24-212232. Consecutivo número 5. Página 4. 12 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 3.

11 Expediente Digital 24-212232. Consecutivo número 5. Página 4. 12 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 3. 13 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 3.RESOLUCIÓN NÚMERO 11976 DE 2025

“Por la cual se resuelve un recurso”

Página 3 de 19

• Los accionistas • La junta directiva • Los revisores fiscales • Los Representantes legales y apoderados • Los prestadores de servicios • Los contratistas • Los proveedores • Los clientes • Los inversionistas • Los beneficiarios de préstamos o créditos • Los Titulares otorgantes de los títulos valores • Los Titulares Personas Naturales de las inversiones en bienes muebles e inmuebles • Los Titulares a quien se les presta la atención de PQRS • Los archivos de video vigilancia

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta el consentimiento informado para el Tratamiento de datos.

4. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas o de acuerdo con la denominación que le haya dado el Responsable y/o encargado del tratamiento.

5. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la

descritas o de acuerdo con la denominación que le haya dado el Responsable y/o encargado del tratamiento.

5. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

6. Si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD. Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra o con otra denominación.

7. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

8. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

9. Adjunte el contrato de transmisión de datos personales firmado entre SURAMERICANA S.A. (Responsable) y SERVICIOS GENERALES SURAMERICANA S.A.S. (Encargado). ” 14.

QUINTO: Que la Resolución N.º 56920 del 27 de septiembre de 2024 le fue comunicada a la representante legal de la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S . el 27 de septiembre de 2024 , de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio bajo radicado 24-212232- -10 del 30 de septiembre de

2024.

certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio bajo radicado 24-212232- -10 del 30 de septiembre de 2024.

SEXTO: Que mediante escritos radicados bajo números 24-212232- -11 y 24212232- -12 el 11 de octubre de 2024, la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S., a través de su representante legal, dio respuesta a los requerimientos de información realizados mediante Resolución N.º 56920 del 27 de septiembre de 2024.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

14 Resolución N.º 56920 del 27 de septiembre de 2024. Folios 3 a 5.RESOLUCIÓN NÚMERO 11976 DE 2025

“Por la cual se resuelve un recurso”

Página 4 de 19

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

OCTAVO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones:

Frente a los argumentos presentados por la recurrente se encuentra que l os mismos se concretan en dos aspectos, a saber: (i) La calidad de Encargado del

expuesto por el recurrente, este Despacho hará las siguientes consideraciones:

Frente a los argumentos presentados por la recurrente se encuentra que l os mismos se concretan en dos aspectos, a saber: (i) La calidad de Encargado del tratamiento de los datos personales de los Titulares (ii) las pretensiones.

8.1 Frente a la calidad del Encargado del tratamiento de los datos personales de los Titulares

La Ley 1581 de 2012 en su artículo 25 define el Registro Nacional de Bases de datos (RNBD) como un directorio público de las bases de datos sujetas a Tratamiento que operan en el país; frente a esto la norma indica que:

Ley 1581 de 2012

Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.

Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.

Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento.

Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento.

Por su parte, el literal a) del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado a su vez por el artículo 1 del Decreto 090 del 18 de enero de 2018, establece que las sociedades y entidades sin ánimo de lucro, cuyos activos totales superen las 100.000 UVT tienen la obligación de realizar el registro de sus bases de datos en el Registro Nacional de Bases de datos:

Decreto 090 de 2018

“Artículo 1. Modifíquese el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así:

Artículo 2.2.2.26.1.2. Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características:

a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT). b) Personas jurídicas de naturaleza pública."

Como se evidencia, la normativa establece dos requisitos que debe cumplir una sociedad para estar obligada a registrar sus bases de datos en el Registro Nacional de Bases de Datos. Estos son: contar con activos totales superiores a

Como se evidencia, la normativa establece dos requisitos que debe cumplir una sociedad para estar obligada a registrar sus bases de datos en el Registro Nacional de Bases de Datos. Estos son: contar con activos totales superiores a 100.000 UVT y ser Responsable del tratamiento . Por lo tanto, este DespachoRESOLUCIÓN NÚMERO 11976 DE 2025

“Por la cual se resuelve un recurso”

Página 5 de 19

considera pertinente analizar estos requisitos para determinar si le son aplicables a la recurrente.

En primer lugar, la norma establece que las sociedades con activos superiores a 100.000 UVT tienen la obligación de registrar sus bases de datos en el RNBD. Para el año 2023 la DIAN estableció que una UVT equivalía a CUARENTA Y DOS MIL CUATRO CIENTOS DOCE PESOS ($ 42.412) 15, por lo que 100.000 UVT

corresponderían a CUATRO MIL DOSCIENTOS CUARENTA Y UN MILLONES

DOSCIENTOS MIL PESOS M/CTE ($ 4.241.200.000).

Frente a esto , de acuerdo a la información reportada por la sociedad en el Registro Único Empresarial y Social , para el año 2023 la sociedad contaba con un activo total de $631.992.291.556, como se observa a continuación:

Captura de imagen No. 1. Tomada del Registro Único Empresarial y Social (RUES) – información correspondiente a la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S., identificada con NIT. 811.036.875-5.

Por lo tanto, resulta claro que la sociedad SERVICIOS GENERALES

información correspondiente a la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S., identificada con NIT. 811.036.875-5.

Por lo tanto, resulta claro que la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S. para la vigencia de 2023, si contaba con activos superiores a las 100.000 UVT, toda vez que la suma reportada equivale a 14.901.261,2 UVT.

En ese sentido, este Despacho considera que la recurrente cumple con el primer requisito que establece la norma respecto a los sujetos obligados a realizar la inscripción de sus bases de datos en el RNBD.

Segundo, en el presente caso, la normativa establece que los Responsables del tratamiento son los sujetos obligados a registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD). Por ende, es necesario acreditar la calidad de Responsable para determinar si la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S. está efectivamente obligada a realizar dicho registro. En este sentido, resulta pertinente señalar que la Ley 1581 de 2012 dispone que el tratamiento de datos personales puede llevarse a cabo en calidad de Responsable o Encargado del tratamiento.

15 DIAN. Resolución N°. 1264 de noviembre 18 de 2022. Artículo 1. Valor De La Unidad De Valor Tributario (UVT). Fijar en cuarenta y dos mil cuatrocientos doce pesos ($42.412) el valor de la Unidad de Valor Tributario (UVT) que regirá durante el año 2023.RESOLUCIÓN NÚMERO 11976 DE 2025

“Por la cual se resuelve un recurso”

Página 6 de 19

“Por la cual se resuelve un recurso”

Página 6 de 19

De acuerdo con la Ley 1581 de 2012, las definiciones de cada uno son las siguientes:

Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por:

(…)

d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

En ese sentido, se denota que el Responsable del tratamiento es el sujeto que decide respecto del tratamiento que se le va a impartir a los datos personales de los Titulares, y el Encargado es quien realiza el tratamiento por cuenta de este. Lo anterior implica que el Responsable del tratamiento es la persona que tiene autonomía en la toma de decisiones sobre el tratamiento de datos, mientras que el Encargado actúa bajo las directrices del Responsable, y e ste último debe supervisar y garantizar que el Encar gado cumpla con las instrucciones y las medidas de seguridad establecidas.

Frente a esto, la sociedad en el escrito del recurso aclaró que “las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no confundir al consumidor, se adoptó un único Responsab le ante el cual pueda dirigirse” 16 , e indicó que “se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las

confundir al consumidor, se adoptó un único Responsab le ante el cual pueda dirigirse” 16 , e indicó que “se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las compañías por ella controladas son Encargadas”17. Además la sociedad enfatizó que “se firmó un contrato de transmisión de datos personales entre Suramericana SA (responsable) y cada una de LAS COMPAÑÍAS (encargadas)”18.

Para sustentar lo anterior , la sociedad ap orta con el escrito del recurso los siguientes documentos:

• Comunicado emitido por la Coordinadora Grupo De Trabajo De Investigaciones Administrativas de la Superintendencia de Industria y Comercio de fecha de 25 de agosto de 2020 bajo radicado 19-130080- - 1019. • Política de Protección de Datos Personales de Suramericana S.A. 20 • Manual de Protección de Datos Personales de Suramericana S.A. 21 • Certificado de Existencia y Representación Legal de SERVICIOS GENERALES SURAMERICANA S.A.S. 22, en el cual se evidencia lo

siguiente:

16 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 2. 17 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 2. 18 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 3. 19 Expediente Digital 24-212232. Consecutivo número 5. Página 5. 20 Expediente Digital 24-212232. Consecutivo número 5. Página 7. 21 Expediente Digital 24-212232. Consecutivo número 5. Página 6

19 Expediente Digital 24-212232. Consecutivo número 5. Página 5. 20 Expediente Digital 24-212232. Consecutivo número 5. Página 7. 21 Expediente Digital 24-212232. Consecutivo número 5. Página 6 22 Expediente Digital 24-212232. Consecutivo número 5. Página 4.RESOLUCIÓN NÚMERO 11976 DE 2025

“Por la cual se resuelve un recurso”

Página 7 de 19

(…)

(…)

Captura de imagen No. 2. Tomada de los anexos aportados por la recurrente con el escrito del recurso. Obrante en el expediente digital, consecutivo número 5, página 4, folios 28 a 32.

De acuerdo con los documentos aportados, este Despacho constata que, en efecto, existe el grupo empresarial SURA, cuya sociedad matriz es GRUPO DE INVERSIONES SURAMERICANA S.A., la cual ejerce control directo sobre la sociedad SURAMERICANA S.A. , así mismo, se evidencia que la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S . es una de las sociedades subordinadas del grupo empresarial y está bajo el control indirecto de la matriz a través de la sociedad SURAMERICANA S.A.

Debido a lo anterior, la recurrente sostiene que SURAMERICANA S.A. actúa en condición de Responsable del tratamiento y SERVICIOS GENERALES SURAMERICANA S.A.S . actúa en condición de Encargada del tratamiento. Asimismo, para sustentar el argumento, la sociedad trae a colación la normativa internacional, en concreto, el Reglamento General de Protección de Datos

SURAMERICANA S.A.S . actúa en condición de Encargada del tratamiento. Asimismo, para sustentar el argumento, la sociedad trae a colación la normativa internacional, en concreto, el Reglamento General de Protección de Datos Personales (RGPD) europeo , en el cual en los numerales 36 y 37 de las consideraciones se prevé la figura de una compañía controlante como responsable del tratamiento, y se establece la posibilidad de designar un único delegado de protección de datos para todo un grupo empresarial23.

En primer lugar, este Despacho se permite aclarar que el reglamento europeo no es aplicable en el territorio colombiano. La existencia de un grupo empresarial conformado por una sociedad matriz y sociedades subordinadas no implica intrínsecamente la existencia de un único Responsable del tratamiento. Cada sociedad, en el desarrollo de sus actividades económicas como unidad independiente, podrá gestionar bases de datos propias sobre las cuales toma decisiones, sin injerencia de la sociedad matriz.

Como bien lo argumenta el recurrente , es posible que la sociedad controlante actué como Responsable del tratamiento respecto de algunas bases de datos, por cuanto esta sociedad es la que establece las directrices del grupo empresarial y en ese sentido tiene autonomía en la toma de decisiones.

No obstante lo anterior, en el desarrollo de sus actividades económicas, la SERVICIOS GENERALES SURAMERICANA S.A.S ., como unidad económica independiente, puede tener bases de datos propias , sobre las cuales toma decisiones, sin injerencia de la sociedad SURAMERICANA S.A. , como por ejemplo las bases de datos relativas las historias clínicas, al área de recursos humanos, la junta directiva de la sociedad , sus representantes legales y judiciales, apoderados, etc.

ejemplo las bases de datos relativas las historias clínicas, al área de recursos humanos, la junta directiva de la sociedad , sus representantes legales y judiciales, apoderados, etc.

En relación con lo anterior, es pertinente resaltar lo establecido en la Ley 222 de 1995, cuyo inciso 2 del artículo 28 dispone:

23 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 2.RESOLUCIÓN NÚMERO 11976 DE 2025

“Por la cual se resuelve un recurso”

Página 8 de 19

“Se entenderá que existe unidad de propósito y dirección cuando la existencia y actividades de todas las entidades persigan la consecución de un objetivo determinado por la matriz o controlante en virtud de la dirección que ejerce sobre el conjunto, sin perjuicio del desarrollo individual del objeto social o actividad de cada una de ellas.” Subraya y Negrilla por fuera del texto original

Como se puede observar, la norma establece que, aunque en un grupo empresarial existe una sociedad controlante que ejerce la dirección, cada sociedad desarrolla individualmente su objeto social o su actividad económica.

En consecuencia, en el marco del desarrollo de su actividad económica, la SERVICIOS GENERALES SURAMERICANA S.A.S . decidirá sobre el tratamiento de algunas bases de datos y, por lo tanto, adquiere la calidad de Responsable del tratamiento, aun cuando actúe en calidad de responsable de los datos de un (1) sólo titular de información.

Cabe destacar que el hecho de que una sociedad actúe como Encargada del tratamiento en algunas bases de datos de otra sociedad, no la limita para actuar como Responsable del tratamiento de sus propias bases de datos. En efecto, una

Cabe destacar que el hecho de que una sociedad actúe como Encargada del tratamiento en algunas bases de datos de otra sociedad, no la limita para actuar como Responsable del tratamiento de sus propias bases de datos. En efecto, una sociedad puede ostentar ambos roles, siempre y cuando no se trate de la misma base de datos.

Así, se resalta que este Despacho no pretende intervenir en las decisiones que como grupo empresarial se hayan tomado con el objetivo de mantener unidad de marca en el mercado, lo cual puede incidir en el diseño de una única política de tratamiento para el grupo empresarial. Sin embargo, esto no puede conllevar a que en todo el grupo empresarial , solo una sociedad actué en calidad de responsable de TODAS las bases de datos, pues como se ha visto, todas las sociedades individualmente, también realizan activi dades de responsables del tratamiento.

En el presente caso, es preciso señalar que las bases de datos relacionadas con la Junta Directiva constituyen información de carácter exclusivo y reservado de la sociedad a la que pertenecen. En efect o, la Junta Directiva de una sociedad, como SERVICIOS GENERALES SURAMERICANA S.A.S ., tiene asignadas funciones propias y decisorias que resultan esenciales para el adecuado funcionamiento de la entidad. Entre estas se destacan: velar por la sostenibilidad financiera, garantizar la calidad y oportunidad en la prestación de los servicios y asegurar el cumplimiento de la normativa vigente, en particular la relacionada con el sector de préstamos, créditos y financiamiento de pólizas, y la protección de datos personales. De igual forma, le corresponde definir y orientar la planeación estratégica, supervisar la gestión de la alta dirección y adoptar políticas de gobierno corporativo que promuevan la transparencia, eficiencia y

de datos personales. De igual forma, le corresponde definir y orientar la planeación estratégica, supervisar la gestión de la alta dirección y adoptar políticas de gobierno corporativo que promuevan la transparencia, eficiencia y buen gobierno en todas sus operaciones. Por lo tanto, la Junta Directiva ejerce facultades exclusivas que son inherentes a su rol y a los intereses de la sociedad a la cual pertenece, motivo por el cual la sociedad debería actuar como Responsable de estas bases de datos.

Por otra parte, la recurrente en su argumentación también cita lo que considera un caso similar, el radicado 19-13008024, y sostiene que en ese caso la Dirección acogió los argumentos de la aseguradora SEGUROS DE VIDA SURAMERICANA S.A. y archivo la actuación por cuanto:

“se procedió a revisar el Registro Nacional de Bases de Datos, donde se pudo constatar que la sociedad Seguros de Vida S.A., identificada con NIT 890903790, en calidad de encargado de 14 bases de datos de Suramericana S.A., realizó la respectiva inscripción de sus bases de datos en el Registro Nacional de Bases de Datos RNBD satisfactoriamente” 25

24 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 1. 25 Expediente Digital 24-212232. Consecutivo número 5. Página 3, folio 2.RESOLUCIÓN NÚMERO 11976 DE 2025

“Por la cual se resuelve un recurso”

Página 9 de 19

Al respecto, es importante enfatizar que el hecho de que una sociedad esté registrada en el RNBD en calidad de Encargada del tratamiento de otra sociedad no la exime de su responsabilidad de registrar las bases de datos respecto de

Página 9 de 19

Al respecto, es importante enfatizar que el hecho de que una sociedad esté registrada en el RNBD en calidad de Encargada del tratamiento de otra sociedad no la exime de su responsabilidad de registrar las bases de datos respecto de las cuales actúa en calidad de Responsable del tratamiento.

Como ya se ha analizado, el hecho de que el grupo empresarial haya determinado adoptar una única política de tratamiento de información no implica que solo una de las empresas sea la Responsable del tratamiento y las otras Encargadas del tratamiento de la totalidad de las bases de datos. Por lo tanto, cada sociedad, de forma independiente, debe determinar sobre qué bases actúa en calidad de Responsable del tratamiento, realizar el correspondiente registro en el RNBD y cargar las políticas adoptadas.

En el presente caso, para dilucidar lo expuesto por la recurrente respecto a la situación de control y los argumentos planteados, este Despacho, mediante Resolución N.º 56920 del 27 de septiembre de 2024 , resolvió, en el marco del trámite del recurso, abrir un periodo probatorio de DIEZ (10) días hábiles y decretar de oficio la práctica de la siguiente prueba:

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

• Ordenar a la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S., con el NIT. 811.036.875 -5, que i