SIC - Resolución 17231 de 2025

Página 1 de 19

RESOLUCIÓN NÚMERO 17231 DE 2025

(02 de abril de 2025)

“Por la cual se resuelve un recurso”

Radicación 24-65009

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas el artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución N °.6069 del 28 de febrero de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió ordenar a la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S, identificada con NIT 811.007.832-5, en su calidad de Responsable del Tratamiento de Datos Personales, que realice la inscripción en el Registro Nacional de Bases de DatosRNBD de las bases de datos que contengan inform ación personal cuyo Tratamiento automatizado o manual sea realizado por esa entidad.

SEGUNDO: Que la Resolución N°.6069 del 28 de febrero de 2024 se notificó a la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S , mediante Aviso N°. 2356 del 11 de marzo del 2024 , de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia con radicación 2465009-6 del 12 de marzo de 2024.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito

expedida por la Secretaría General de esta Superintendencia con radicación 2465009-6 del 12 de marzo de 2024.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 2 4-65009-7 del 14 de marzo de 2024 la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S ., interpuso recurso de reposición y en subsidio de apelación, contra la Resolución N°. 6069 del 28 de febrero de 2024, mediante el cual solicitó lo siguiente:

3.1. Reitera el artículo primero de la parte resolutiva de la Resolución N°. 6069 del 28 de febrero de 2024, para mencionar que, dentro del sistema del Registro Nacional de Bases de Datos, la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S se encuentra registrada en calidad de Enc argada del Tratamiento de la sociedad SURAMERICANA S.A.

3.2. Adicionalmente, señala que radicado 19-134160-4 se le solicitó a IPS SURA en el año 2019 que aclarara las razones por las cuales no llevó a cabo el proceso de inscripción de sus bases de datos en el RNBD.

En igual sentido, señala que por parte de esta Dirección se le envió un nuevo comunicado en el cual se señala que:

“SERVICIOS DE SALUD IPS SURAMERICANA SAS , mediante comunicado radicado con el número 19-79815-3 del 13 de agosto del 2019, respondió al requerimiento realizado esta señalando que sus bases de datos fueron registradas en el Registro Nacional de Bases de Datos (RNBD) en calidad de encargado del tratamiento. El registro fue realizado sobre las bases de

al requerimiento realizado esta señalando que sus bases de datos fueron registradas en el Registro Nacional de Bases de Datos (RNBD) en calidad de encargado del tratamiento. El registro fue realizado sobre las bases de datos de la sociedad Suramericana S.A., que tiene la calidad de Responsable del Tratamiento.

Esta Dirección, luego de verificar el RNBD, pudo constatar que en efecto la sociedad aparece en el Registro Nacional de Bases de Datos como

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 17231 DE 2025

“Por la cual se resuelve un recurso”

Página 2 de 19

encargado del tratamiento de las bases de datos de la sociedad Suramericana SA”

Señala que tal situación de control de la sociedad Suramericana S.A. sobre la sociedad SERVICIOS DE SALUD IPS SURAMERICANA SAS no ha cambiado y que, de acuerdo con la estructura societaria, Suramericana S.A. controla de manera directa o indirecta a las compañías de Sura Colombia tal como ocurre con IPS SURA. Por tal motivo, se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dent ro de la organización, mientras que las compañías por ella controladas son Encargadas.

3.3. Para sustentar lo anterior la sociedad aportó los siguientes documentos:

• Comunicado emitido por esta Superintendencia de Industria y Comercio de fecha de 2 de marzo de 2020 con radicado 19-1341601. - Política de Protección de Datos Personales de Suramericana S.A.2. - Manual de Protección de Datos Personales de Suramericana S.A. 3. - Certificado de Existencia y Representación Legal de SERVICIOS

GENERALES SURAMERICANA S.A.S. 4.

• Manual de Protección de Datos Personales de Suramericana S.A. 3. - Certificado de Existencia y Representación Legal de SERVICIOS

GENERALES SURAMERICANA S.A.S. 4.

3.4. Por último, la recurrente solicita el archivo del expediente o subsidiariamente que se conceda el recurso de apelación.

CUARTO: Que, dentro del estudio del recurso, se decidió mediante Resolución N°. 73077 del 26 de noviembre del 2024 abrir el periodo probatorio por un término de OCHO (8) días hábiles, de acuerdo con lo establecido en el artículo 79 y 86 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, para que la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S aportara al expediente la siguiente documentación:

1. Informe cómo recolecta, almacena, usa, circula y suprime la siguiente

información personal de:

• Los empleados y sus hojas de vida • La nómina • Los accionistas • La junta directiva • Los revisores fiscales • Los prestadores de servicios • Los contratistas • Los proveedores • Los afiliados • Los usuarios • Los clientes • Los datos clínicos • Las historias clínicas • Los registros de vacunación covid-19 • El directorio médico • El portal de los funcionarios • El portal de los afiliados • La atención de PQRS • Los registros de atención hospitalaria • Los registros de atención hospitalaria en urgencias • Los registros de gestión ambulatoria • Los registros de las jornadas de promoción y prevención • Los registros biométricos de seguridad • Los archivos de video vigilancia.

• Los registros de atención hospitalaria • Los registros de atención hospitalaria en urgencias • Los registros de gestión ambulatoria • Los registros de las jornadas de promoción y prevención • Los registros biométricos de seguridad • Los archivos de video vigilancia.

1 Radicado 24-65009-7, pág. 4 2 Radicado 24-65009-7, pág. 5 3 Radicado 24-65009-7, pág. 6 4 Radicado 24-65009-7, pág. 7RESOLUCIÓN NÚMERO 17231 DE 2025

“Por la cual se resuelve un recurso”

Página 3 de 19

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas.

4. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

5. Indique si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD. Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra.

6. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el

RNBD.

7. Adjunte el formato de las cláusulas de confidencialidad firmadas con los

6. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el

RNBD.

7. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

8. Adjunte el contrato de transmisión de datos personales firmado entre

SURAMERICANA S.A . (Responsable) y SERVICIOS DE SALUD IPS

SURAMERICANA S.A.S. (Encargado).

QUINTO: Que, la Resolución N°.73077 del 26 de noviembre del 2024 se le comunicó a la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S, el 27 de noviembre del 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia con radicación 24-65009-11 del 3 de diciembre de 2024.

SEXTO: Que, dentro del término oportuno para ello, la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. mediante correo electrónico del 9 de diciembre del 2024, allegó memorial con el material probatorio solicitado por este Despacho.

SÉPTIMO: Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición y el de apelación contra actos administrativos de carácter sancionatorio se encuentran contemplados en la Ley 1437 de 2011

(Código de Procedimiento Administrativo y de lo Contencioso Administrativo) de la siguiente manera:

“Artículo 74. Recursos contra los activos administrativos. Por regla

carácter sancionatorio se encuentran contemplados en la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) de la siguiente manera:

“Artículo 74. Recursos contra los activos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos.

1. El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque…”

2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito.

No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.

Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial. (…)RESOLUCIÓN NÚMERO 17231 DE 2025

“Por la cual se resuelve un recurso”

Página 4 de 19

Artículo 76. Oportunidad y presentación. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el cas o. Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez (…)

Artículo 77 Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta

tiempo, salvo en el evento en que se haya acudido ante el juez (…)

Artículo 77 Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos. Los recursos deberán reunir, además, los s iguientes requisitos:

1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido.

2. Sustentarse con expresión concreta de los motivos de inconformidad.

3. Solicitar y aportar las pruebas que se pretende hacer valer.

4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio (…)”5.

OCTAVO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos previstos en las citadas normas para estudiar de fondo el recurso recibido para el caso en concreto, por cuanto:

8.1. El recurso fue interpuesto por la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S., dentro del término previsto en el artículo 76 de la Ley 1437 de 2011. Esto en consideración a que la Resolución N°. 6069 del 28 de febrero de 2024 se le notificó mediante Aviso N°. 2356 del 11 de marzo del 2024 y posteriormente se interpuso recurso de reposición y en subsidio el de apelación a través de correo electrónico con radicado 24-65009-7 del 14 de marzo de 2024.

8.2. En dicho escrito, se señalan con precisión las razones de disentimiento en

a través de correo electrónico con radicado 24-65009-7 del 14 de marzo de 2024.

8.2. En dicho escrito, se señalan con precisión las razones de disentimiento en contra de la Resolución N° 6069 del 28 de febrero de 2024 “Por la cual se imparten órdenes administrativas”, las cuales se resumieron en el numeral TERCERO de este escrito.

8.3. Para sustentar sus alegaciones, la sociedad aportó los siguientes documentos:

• Comunicado emitido por esta Superintendencia de Industria y Comercio de fecha de 2 de marzo de 2020 con radicado 19-1341606. - Política de Protección de Datos Personales de Suramericana S.A.7. - Manual de Protección de Datos Personales de Suramericana S.A. 8.
• Certificado de Existencia y Representación Legal de SERVICIOS DE

SALUD IPS SURAMERICANA S.A.S. 9.

Adicionalmente, como consecuencia de la apertura del periodo probatorio, la sociedad aportó los siguientes documentos:

­ Certificado de Existencia y Representación Legal de la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S.10 ­ Firma Cliente seguros de vida11 ­ Ciclo de Vida de la Información _ Clientes12 ­ Ciclo de Vida de la Información _ Empleados13

5 Ley 1437 de 2011 “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo” 6 Radicado 24-65009-7, pág. 4 7 Radicado 24-65009-7, pág. 5 8 Radicado 24-65009-7, pág. 6

Administrativo” 6 Radicado 24-65009-7, pág. 4 7 Radicado 24-65009-7, pág. 5 8 Radicado 24-65009-7, pág. 6 9 Radicado 24-65009-7, pág. 7 10 Radicado 24-65009-12, pág. 3 11 Radicado 24-65009-12, pág. 4, Anexo en carpeta 12 Radicado 24-65009-12, pág. 4, Anexo en carpeta 13 Radicado 24-65009-12, pág. 4, Anexo en carpetaRESOLUCIÓN NÚMERO 17231 DE 2025

“Por la cual se resuelve un recurso”

Página 5 de 19

­ Ciclo de Vida de la Información _ Proveedores14 ­ Minuta Contrato Laboral15 ­ Formulario Excel ARIBA y campos SAP16 ­ Formulario Excel PQRS17 ­ Formulario Excel Campos SuccessFactor – magneto empleados18 ­ Formulario Excel Declaración conflictos de intereses junta directiva19 ­ Formulario único de afiliación EPS SURA20 ­ Manual de Políticas y Procedimientos para PDP 121 ­ Política de Seguridad de la Información y Ciberseg22 ­ Política de Privacidad y Protección de Datos23 ­ Contrato de transmisión entre Suramericana S.A. y SERVICIOS DE

SALUD IPS SURAMERICANA S.A.S.S.

8.4. Finalmente, en el recurso se señalan con claridad los datos de identificación de la recurrente y sus direcciones de notificación con el objeto dar cumplimiento al principio de publicidad y dar a conocer efectivamente a la sancionada la presente decisión.

Con base en lo anterior, procederá este Despacho en ejercicio de sus funciones

de la recurrente y sus direcciones de notificación con el objeto dar cumplimiento al principio de publicidad y dar a conocer efectivamente a la sancionada la presente decisión.

Con base en lo anterior, procederá este Despacho en ejercicio de sus funciones a estudiar el recurso interpuesto por la sancionada en lo siguiente términos:

NOVENO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimie ntos previstos en la mencionada Ley y sus normas complementarias.

DÉCIMO: Que con base en las funciones otorgadas a esta Superintendencia y de acuerdo con los motivos de inconformidad expuestos por la recurrente, este Despacho procederá a resolver a continuación el recurso interpuesto, el cual se concreta en los siguientes aspectos, a saber: i) Frente a la calidad del Encargado del tratamiento de los datos personales de los Titulares y (ii) Frente a las

Pretensiones.

10.1 Frente a la calidad del Encargado del tratamiento de los datos personales de los Titulares

La Ley 1581 de 2012 en su artículo 25 define el Registro Nacional de Bases de datos (RNBD) como un directorio público de las bases de datos sujetas a Tratamiento que operan en el país; frente a esto la norma indica que:

“Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y

“Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.

Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.”

Por su parte, el literal a) del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado a su vez por el artículo 1 del Decreto 090 del 18 de enero de 2018,

14 Radicado 24-65009-12, pág. 4, Anexo en carpeta 15 Radicado 24-65009-12, pág. 4, Anexo en carpeta 16 Radicado 24-65009-12, pág. 4, Anexo en carpeta 17 Radicado 24-65009-12, pág. 4, Anexo en carpeta 18 Radicado 24-65009-12, pág. 4, Anexo en carpeta 19 Radicado 24-65009-12, pág. 4, Anexo en carpeta 20 Radicado 24-65009-12, pág. 4, Anexo en carpeta 21 Radicado 24-65009-12, pág. 4, Anexo en carpeta 22 Radicado 24-65009-12, pág. 4, Anexo en carpeta

20 Radicado 24-65009-12, pág. 4, Anexo en carpeta 21 Radicado 24-65009-12, pág. 4, Anexo en carpeta 22 Radicado 24-65009-12, pág. 4, Anexo en carpeta 23 Radicado 24-65009-12, pág. 4, Anexo en carpetaRESOLUCIÓN NÚMERO 17231 DE 2025

“Por la cual se resuelve un recurso”

Página 6 de 19

establece que las sociedades y entidades sin ánimo de lucro, cuyos activos totales superen las 100.000 UVT tienen la obligación de realizar el registro de sus bases de datos en el Registro Nacional de Bases de Datos:

Decreto 090 de 2018

“Artículo 1. Modifíquese el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así:

Artículo 2.2.2.26.1.2. Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características:

a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT). b) Personas jurídicas de naturaleza pública."

Como se evidencia, la normativa establece dos requisitos que debe cumplir una sociedad para estar obligada a registrar sus bases de datos en el Registro Nacional de Bases de Datos. Estos son: contar con activos totales superiores a

Como se evidencia, la normativa establece dos requisitos que debe cumplir una sociedad para estar obligada a registrar sus bases de datos en el Registro Nacional de Bases de Datos. Estos son: contar con activos totales superiores a 100.000 UVT y ser Responsable del tratamiento . Por lo tanto, este Despacho considera pertinente analizar estos requisitos para determinar si le son aplicables a la recurrente.

En primer lugar, la norma establece que las sociedades con activos superiores a 100.000 UVT tienen la obligación de registrar sus bases de datos en el RNBD. Para el año 2023 la DIAN estableció que una UVT equivalía a CUARENTA Y DOS MIL CUATRO CIENTOS DOCE PESOS ($ 42.412) 24, por lo que 100.000 UVT

corresponderían a CUATRO MIL DOSCIENTOS CUARENTA Y UN MILLONES

DOSCIENTOS MIL PESOS M/CTE ($ 4.241.200.000).

Frente a esto, de acuerdo con la información reportada por la sociedad en el Registro Único Empresarial y Social , para el año 2023 la sociedad contaba con un activo total de $325.024.168.479, como se observa a continuación:

24 DIAN. Resolución N°. 1264 de noviembre 18 de 2022. Artículo 1. Valor De La Unidad De Valor Tributario (UVT). Fijar en cuarenta y dos mil cuatrocientos doce pesos ($42.412) el valor de la Unidad de Valor Tributario (UVT) que regirá durante el año 2023.RESOLUCIÓN NÚMERO 17231 DE 2025

“Por la cual se resuelve un recurso”

Página 7 de 19

(UVT) que regirá durante el año 2023.RESOLUCIÓN NÚMERO 17231 DE 2025

“Por la cual se resuelve un recurso”

Página 7 de 19

Captura de imagen No. 1. Tomada del Registro Único Empresarial y Social (RUES) – información correspondiente a la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S., identificada con NIT. 811.007.832 - 5.

En este punto, a efectos de establecer si la sociedad SERVICIOS DE SALUD SERVICIOS DE SALUD IPS SURAMERICANA S.A.S cuenta con los activos superiores a los exigidos por la norma citada, se encuentra pertinente hacer la conversión de estos valores a Unidades de Valor Tributario (UVT) correspondientes al año 20 23 a efectos de arrojar claridad sobre la obligación reseñada en la Resolución ahora recurrida.

Una vez efectuado el respectivo cálculo , resulta claro que la sociedad SERVICIOS DE SALUD SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. para la vigencia de 2023, si contaba con activos superiores a las 100.000 UVT, toda vez que la suma reportada equivale a 7.663.495 UVT.

En ese sentido, este Despacho considera que la recurrente cumple con el primer requisito que establece la norma respecto a los sujetos obligados a realizar la inscripción de sus bases de datos en el RNBD.

Segundo, en el presente caso, la normativa establece que los Responsables del tratamiento son los sujetos obligados a registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD). Por ende, es necesario acreditar la calidad de Responsable para determinar si la sociedad SERVICIOS DE

tratamiento son los sujetos obligados a registrar sus bases de datos en el Registro Nacional de Bases de Datos (RNBD). Por ende, es necesario acreditar la calidad de Responsable para determinar si la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S . está efectivamente obligada a realizar dicho registro. En este sentido, resulta pertinente señalar que la Ley 1581 de 2012 dispone que el tratamiento de datos personales puede llevar se a cabo en calidad de Responsable o Encargado del tratamiento.

De acuerdo con la Ley 1581 de 2012, las definiciones de cada uno son las siguientes:

“Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por:

(…)

d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

(…)”

En ese sentido, se denota que el Responsable del tratamiento es el sujeto que decide respecto del tratamiento que se le va a impartir a los datos personales de los Titulares, y el Encargado es quien realiza el tratamiento por cuenta de este. Lo anterior implica que el Responsable del tratamiento es la persona que tiene autonomía en la toma de decisiones sobre el tratamiento de datos, mientras que el Encargado actúa bajo las directrices del Responsable, y e ste último debe supervisar y garantizar que el Encar gado cumpla con las instrucciones y las medidas de seguridad establecidas.

mientras que el Encargado actúa bajo las directrices del Responsable, y e ste último debe supervisar y garantizar que el Encar gado cumpla con las instrucciones y las medidas de seguridad establecidas.

Frente a esto, la sociedad en el escrito del recurso aclaró que “las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no confundir al consumidor, se adoptó un único Responsab le ante el cual pueda dirigirse” 25 , e indicó que “se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las compañías por ella controladas son Encargadas”26. Además, la sociedad enfatizó

25 Radicado 24-65009-7, pág. 3, folio 3. 26 Ibidem.RESOLUCIÓN NÚMERO 17231 DE 2025

“Por la cual se resuelve un recurso”

Página 8 de 19

que “ se firmó un contrato de transmisión de datos personales entre Suramericana SA (responsable) y cada una de LAS COMPAÑÍAS (encargadas)”27.

Para sustentar lo anterior , la sociedad ap orta con el escrito del recurso los siguientes documentos:

• Comunicado emitido por esta Superintendencia de Industria y Comercio de fecha de 2 de marzo de 2020 con radicado 19-13416028. - Política de Protección de Datos Personales de Suramericana S.A.29. - Manual de Protección de Datos Personales de Suramericana S.A. 30. - Certificado de Existencia y Representación Legal de SERVICIOS DE SALUD SERVICIOS DE SALUD IPS SURAMERICANA S.A.S . 31, en el

cual se evidencia lo siguiente:

• Certificado de Existencia y Representación Legal de SERVICIOS DE SALUD SERVICIOS DE SALUD IPS SURAMERICANA S.A.S . 31, en el

cual se evidencia lo siguiente:

(…)

(…)

(…)

De acuerdo con los documentos aportados, este Despacho constata que, en efecto, existe el Grupo Empresarial SURA, cuya sociedad matriz es GRUPO DE INVERSIONES SURAMERICANA S.A., la cual ejerce control directo sobre la sociedad SURAMERICANA S.A. , así mismo, se evidencia que la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. es una de las sociedades subordinadas del grupo empresarial y está bajo el control indirecto de la matriz a través de la sociedad SURAMERICANA S.A.

27 Radicado 24-65009-7, pág. 3, folio 4 28 Radicado 24-65009-7, pág. 4 29 Radicado 24-65009-7, pág. 5 30 Radicado 24-65009-7, pág. 6 31 Radicado 24-65009-7, pág. 7RESOLUCIÓN NÚMERO 17231 DE 2025

“Por la cual se resuelve un recurso”

Página 9 de 19

Debido a lo anterior, la recurrente sostiene que SURAMERICANA S.A. actúa en condición de Responsable del tratamiento y SERVICIOS DE SALUD IPS SURAMERICANA S.A.S . actúa en condición de Encargada del tratamiento. Asimismo, para sustentar el argumento, la sociedad trae a colación la normativa internacional, en concreto, el Reglamento General de Protección de Datos

SURAMERICANA S.A.S . actúa en condición de Encargada del tratamiento. Asimismo, para sustentar el argumento, la sociedad trae a colación la normativa internacional, en concreto, el Reglamento General de Protección de Datos Personales (RGPD) europeo , en el cual en los numerales 36 y 37 de las consideraciones se prevé la figura de una compañía controlante como responsable del tratamiento, y se establece la posibilidad de designar un único delegado de protección de datos para todo un grupo empresarial32.

En primer lugar, este Despacho se permite aclarar que el reglamento europeo no es aplicable en el territorio colombiano. La existencia de un grupo empresarial conformado por una sociedad matriz y sociedades subordinadas no implica intrínsecamente la existencia de un único Responsable del tratamiento. Cada sociedad, en el desarrollo de sus actividades económicas como unidad independiente, podrá gestionar bases de datos propias sobre las cuales toma decisiones, sin injerencia de la sociedad matriz.

Como bien lo argumenta el recurrente, es posible que la sociedad controlante actué como Responsable del tratamiento respecto de algunas bases de datos, por cuanto esta sociedad es la que establece las directrices del grupo empresarial y en ese sentido tiene autonomía en la toma de decisiones.

No obstante lo anterior, en el desarrollo de sus actividades económicas, la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S ., como unidad económica independiente, puede tener bases de datos propias, sobre las cuales toma decisiones, sin injerencia de la sociedad SURAMERICANA S.A., como por ejemplo las bases de datos relativas las historias clínicas, al área de recursos humanos, la junta directiva de la sociedad , sus representantes legales y judiciales, apoderados, etc.

ejemplo las bases de datos relativas las historias clínicas, al área de recursos humanos, la junta directiva de la sociedad , sus representantes legales y judiciales, apoderados, etc.

En relación con lo anterior, es pertinente resaltar lo establecido en la Ley 222 de 1995, cuyo inciso 2 del artículo 28 dispone:

“Se entenderá que existe unidad de propósito y dirección cuando la existencia y actividades de todas las entidades persigan la consecución de un objetivo determinado por la matriz o controlante en virtud de la dirección que ejerce sobre el conjunto, sin perjuicio del desarrollo individual del objeto social o actividad de cada una de ellas .” (Subrayado y negrilla por fuera del texto original)

Como se puede observar, la norma establece que, aunque en un grupo empresarial existe una sociedad controlante que ejerce la dirección, cada sociedad desarrolla individualmente su objeto social o su actividad económica.

En consecuencia, en el marco del desarrollo de su actividad económica, la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. decidirá sobre el tratamiento de algunas bases de datos y, por lo tanto, adquiere la calidad de Responsable del tratamiento, aun cuando actúe en calidad de responsable de los datos de un (1) sólo titular de información.

Cabe destacar que el hecho de que una sociedad actúe como Encargada del tratamiento en algunas bases de datos de otra sociedad, no la limita para actuar como Responsable del tratamiento de sus propias bases de datos. En efecto, una sociedad puede ostentar ambos roles, siempre y cuando no se trate de l mismo conjunto de datos.

Así, se resalta que este Despacho no pretende intervenir en las decisiones que como grupo empresarial se hayan tomado con el objetivo de mantener unidad

sociedad puede ostentar ambos