SIC - Resolución 17522 de 2025

Página 1 de 19

RESOLUCIÓN NÚMERO 17522 DE 2025

(03 de abril de 2025)

“Por la cual se resuelve un recurso”

Radicación: 24-212210

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución N.º 28908 del 31 de mayo de 2024 1, la Dirección de Investigaciones de Protección de Datos Personales resolvió ordenar a la sociedad SEGUROS DE VIDA SURAMERICANA S.A con NIT 890.903.7905, en su calidad de Responsable del Tratamiento de Datos Personales, que realizara la inscripción en el Registro Nacional de Bases de DatosRNBD, de las bases de datos que contengan inform ación personal cuyo Tratamiento automatizado o manual sea realizado por la entidad.

SEGUNDO: Que la Resolución N. º 28908 del 31 de mayo de 2024 le fue notificada personalmente al señor JOSÉ DAVID CRUZ MOSQUERA en calidad de autorizado por parte de l Representante Legal de la sociedad SEGUROS DE VIDA SURAMERICANA S.A el 6 de junio de 2024 , de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de

de autorizado por parte de l Representante Legal de la sociedad SEGUROS DE VIDA SURAMERICANA S.A el 6 de junio de 2024 , de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio bajo radicado 24-212210- -6 del 8 de julio de 2024.

TERCERO: Que mediante escrito radicado bajo número 24-212210- -00005 el 19 de junio de 2024, la sociedad SEGUROS DE VIDA SURAMERICANA S.A a través de su representante legal judicial, interpuso recurso de reposición y en subsidio apelación contra la Resolución N.º 28908 del 31 de mayo de 2024 , a

interior del cual manifestó que:

1. La sociedad aclara que2:

“(…) SEGUROS DE VIDA SURAMERICANA S.A. se encuentra registrada en calidad de Encargada del Tratamiento de SURAMERICANA S.A., entidad que figura como Responsable de las bases de datos, de acuerdo con lo establecido en la política de tratamiento, conforme a las autorizaciones que se han recolectado de parte de clientes, colaboradores y proveedores.”

Debido a lo anterior la sociedad indica que “ las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no confundir al consumidor, se adoptó un único Responsable ante el cual pueda dirigirse” 3.

2. La sociedad cita lo que considera un caso similar, mediante el radicado 19130080-104, y sostiene que en ese caso la Dirección acogió los argumentos

1 Resolución N° 28908 del 31 de mayo de 2024 obrante en el expediente 24-212210 2 Expediente digital, consecutivo 5, página 8, folio 1

1 Resolución N° 28908 del 31 de mayo de 2024 obrante en el expediente 24-212210 2 Expediente digital, consecutivo 5, página 8, folio 1 3 Expediente digital, consecutivo 5, página 8, folio 2. 4 Expediente digital, consecutivo 5, página 5

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 17522 DE 2025

“Por la cual se resuelve un recurso”

Página 2 de 19

de la aseguradora SEGUROS DE VIDA SURAMERICANA SA. y archivo la actuación por cuanto:

“se pr ocedió a revisar el Registro Nacional de Bases de Datos, donde se pudo constatar que la sociedad Seguros de Vida S.A., identificada con NIT 890903790, en calidad de encargado de 14 bases de datos de Suramericana S.A., realizó la respectiva inscripción de sus bases de datos en el Registro Nacional de Bases de Datos RNBD satisfactoriamente” 5

3. Así, la sociedad recalca que:

“se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las compañías por ella controladas son Encargadas”6, y que “se firmó un contrato de transmisión de datos personales entre Suramericana SA (responsable) y cada una de LAS COMPAÑÍAS (encargadas). Esto es informado a los Titulares tanto en la Política de Protección de Datos Personales, como en las autorizaciones que les son solicitadas previo al Tratamiento” 7.

4. La sociedad des taca la normativa internacional, e indica que en los numerales 36 y 37 de las consideraciones del Reglamento General de

como en las autorizaciones que les son solicitadas previo al Tratamiento” 7.

4. La sociedad des taca la normativa internacional, e indica que en los numerales 36 y 37 de las consideraciones del Reglamento General de Protección de Datos Personales (RGPD) europeo se prevé la figura de una compañía controlante como responsable del tratamiento , y se establece la posibilidad de designar un único delegado de protección de datos para todo un grupo empresarial8.

5. La sociedad para sustentar sus argumentos aportó con el escrito del recurso

los siguientes documentos:

 Comunicado emitido por la Coordinadora Grupo De Trabajo De Investigaciones Administrativas de la Superintendencia de Industria y Comercio de fecha de 25 de agosto de 2020 bajo radicado 19-130080- - 109.  Política de Privacidad y Tratamiento de Datos Personales de Suramericana S.A. 10  Manual de Políticas y Procedimientos para la Protección de Datos Personales de Suramericana S.A. 11  Certificado de Existencia y Representación Legal de SEGUROS DE VIDA

SURAMERICANA SA 12.

6. Por último, la recurrente solicita que “se reponga la decisión proferida en la Resolución 28908 de 2024, en el sentido de archivar la actuación contra SEGUROS DE VIDA SURAMERICANA SA .”13. Subsidiariamente la sociedad requiere que se conceda el recurso de apelación”14.

CUARTO: Que, mediante Resolución N.º 70960 del 21 de noviembre de 202415, la Dirección de Investigaciones de Protección de Datos Personales resolvió dentro del trámite del recurso abrir un periodo probatorio por un término de

CUARTO: Que, mediante Resolución N.º 70960 del 21 de noviembre de 202415, la Dirección de Investigaciones de Protección de Datos Personales resolvió dentro del trámite del recurso abrir un periodo probatorio por un término de DIEZ (10) días hábiles y decretar de oficio la práctica de la siguiente prueba:

“Ordenar a la sociedad SEGUROS DE VIDA SURAMERICANA S.A ., con el NIT. 890.903.790-5, que informe y allegue con destino al expediente 24-212210 lo siguiente:

5 Expediente digital, consecutivo 5, página 8, folio 2. 6 Expediente digital, consecutivo 5, página 8, folio 2. 7 Expediente digital, consecutivo 5, página 2, folio 3. 8 Expediente digital, consecutivo 5, página 2, folio 2. 9 Expediente digital, consecutivo 5, página 5. 10 Expediente digital, consecutivo 5, página 7. 11 Expediente digital, consecutivo 5, página 6. 12 Expediente digital, consecutivo 5, página 4. 13 Expediente digital, consecutivo 5, página 3, folio 3. 14 Expediente digital, consecutivo 5, página3, folio 3. 15 Resolución N.ª 70960 del 21 de noviembre de 2024 obrante en el expediente 24-212210RESOLUCIÓN NÚMERO 17522 DE 2025

“Por la cual se resuelve un recurso”

Página 3 de 19

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las

siguientes bases de datos:

 Los Reaseguro  Los empleados y sus hojas de vida

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las

siguientes bases de datos:

 Los Reaseguro  Los empleados y sus hojas de vida  La nómina  Los accionistas  La junta directiva  Los revisores fiscales  Los representantes legales y apoderados  Los prestadores de servicios  Los contratistas  Los proveedores  Talento humano  Asesoría y Venta de seguros  Expedición y Suscripción de seguros  Siniestros  Gestión Documental e Información Física  Videovigilancia  Los clientes  Los datos de Reaseguro  CRM "Customer Relationship Management”  Los Titulares a quien se les presta la atención de PQRS  Gestión Legal

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta el consentimiento informado para el Tratamiento de datos.

4. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas o de acuerdo con la denominación que le haya dado el Responsable y/o encargado del tratamiento.

5. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

5. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

6. Si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD. Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra o con otra denominación.

7. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

8. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

9. Adjunte el contrato de transmisión de datos personales firmado entre

SURAMERICANA S.A. (Responsable) y SEGUROS DE VIDA SURAMERICANA

S.A (Encargado).”16

QUINTO: Que la Resolución N. º 70960 del 21 de noviembre de 2024 le fue comunicada a la representante legal de la sociedad SEGUROS DE VIDA SURAMERICANA SA el 21 de noviembre de 2024 , de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de

16 Resolución 70960 del 21 de noviembre de 2024 con radicado 24-212210RESOLUCIÓN NÚMERO 17522 DE 2025

“Por la cual se resuelve un recurso”

Página 4 de 19

“Por la cual se resuelve un recurso”

Página 4 de 19

Industria y Comercio bajo radicado 24-212210- -10 del 22 de noviembre de 2024.

SEXTO: Que mediante escrito radicado bajo número 24-212210- -00011 el 4 de diciembre de 2024, la sociedad SEGUROS DE VIDA SURAMERICANA SA , a través de su representante legal, dio respuesta a los requerimientos de información realizados mediante Resolución N.º 70960 del 21 de noviembre de

2024.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

OCTAVO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones:

Frente a los argumentos presentados por la recurrente se encuentra que l os mismos se concretan en dos aspectos, a saber: (i) La calidad de Encargado del tratamiento de los datos personales de los Titulares (ii) las pretensiones.

8.1 Frente a la calidad del Encargado del tratamiento de los datos personales de los Titulares

La Ley 1581 de 2012 en su artículo 25 define el Registro Nacional de Bases de

8.1 Frente a la calidad del Encargado del tratamiento de los datos personales de los Titulares

La Ley 1581 de 2012 en su artículo 25 define el Registro Nacional de Bases de datos (RNBD) como un directorio público de las bases de datos sujetas a Tratamiento que operan en el país; frente a esto la norma indica que:

Ley 1581 de 2012

Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.

Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.

Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento.

Por su parte, el literal a) del artículo 2.2.2.26.1.2 del Decreto 1074 de 20 15, modificado a su vez por el artículo 1 del Decreto 090 del 18 de enero de 2018, establece que las sociedades y entidades sin ánimo de lucro, cuyos activos totales superen las 100.000 UVT tienen la obligación de realizar el registro de

establece que las sociedades y entidades sin ánimo de lucro, cuyos activos totales superen las 100.000 UVT tienen la obligación de realizar el registro de sus bases de datos en el Registro Nacional de Bases de datos:

Decreto 090 de 2018

“Artículo 1. Modifíquese el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así:RESOLUCIÓN NÚMERO 17522 DE 2025

“Por la cual se resuelve un recurso”

Página 5 de 19

Artículo 2.2.2.26.1.2. Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características:

a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT). b) Personas jurídicas de naturaleza pública."

Como se evidencia, la normativa establece dos requisitos que debe cumplir una sociedad para estar obligada a registrar sus bases de datos en el Registro Nacional de Bases de Datos. Estos son: contar con activos totales superiores a 100.000 UVT y ser Responsable del tratamiento . Por lo tanto, este Despacho considera pertinente analizar estos requisitos para determinar si le son aplicables a la recurrente.

En primer lugar, la norma establece que las sociedades con activos superiores a 100.000 UVT tienen la obligación de registrar sus bases de datos en el RNBD.

considera pertinente analizar estos requisitos para determinar si le son aplicables a la recurrente.

En primer lugar, la norma establece que las sociedades con activos superiores a 100.000 UVT tienen la obligación de registrar sus bases de datos en el RNBD. Para el año 2023 la DIAN estableció que una UVT equivalía a CUARENTA Y DOS MIL CUATRO CIENTOS DOCE PESOS ($ 42.412) 17, por lo que 100.000 UVT

corresponderían a CUATRO MIL DOSCIENTOS CUARENTA Y UN MILLONES

DOSCIENTOS MIL PESOS M/CTE ($ 4.241.200.000).

Frente a esto , de acuerdo a la información reportada por la sociedad en el Registro Único Empresarial y Social , para el año 2023 la sociedad contaba con un activo total de $ 13.545.247.796.414, como se observa a continuación:

Captura de imagen No. 1. Tomada del Registro Único Empresarial y Social (RUES) – información correspondiente a la sociedad SEGUROS DE VIDA SURAMERICANA SA identificada con NIT. 890.903.790-5.

Por lo tanto, resulta claro que la sociedad SEGUROS DE VIDA SURAMERICANA SA para la vigencia de 2023, si contaba con activos superiores a las 100.000 UVT, toda vez que la suma reportada equivale a $ 13.545.247.796.414 UVT.

En ese sentido, este Despacho considera que la recurrente cumple con el primer requisito que establece la norma respecto a los sujetos obligados a realizar la inscripción de sus bases de datos en el RNBD.

Segundo, en el presente caso, la normativa establece que los Responsables del

requisito que establece la norma respecto a los sujetos obligados a realizar la inscripción de sus bases de datos en el RNBD.

Segundo, en el presente caso, la normativa establece que los Responsables del tratamiento son los sujetos obligados a registrar sus bases de datos en el

17 DIAN. Resolución N°. 1264 de noviembre 18 de 2022. Artículo 1. Valor De La Unidad De Valor Tributario (UVT). Fijar en cuarenta y dos mil cuatrocientos doce pesos ($42.412) el valor de la Unidad de Valor Tributario (UVT) que regirá durante el año 2023.RESOLUCIÓN NÚMERO 17522 DE 2025

“Por la cual se resuelve un recurso”

Página 6 de 19

Registro Nacional de Bases de Datos (RNBD). Por ende, es necesario acreditar la calidad de Responsabl e para determinar si la sociedad SEGUROS DE VIDA SURAMERICANA SA está efectivamente obligada a realizar dicho registro. En este sentido, resulta pertinente señalar que la Ley 1581 de 2012 dispone que el

tratamiento de datos personales puede llevarse a c abo en calidad de Responsable o Encargado del tratamiento.

De acuerdo con la Ley 1581 de 2012, las definiciones de cada uno son las siguientes:

Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por:

(…)

d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada,

que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

En ese sentido, se denota que el Responsable del tratamiento es el sujeto que decide respecto del tratamiento que se le va a impartir a los datos personales de los Titulares, y el Encargado es quien realiza el tratamiento por cuenta de este. Lo anterior implica que el Responsable del tratamiento es la persona que tiene autonomía en la toma de decisiones sobre el tratamiento de datos, mientras que el Encargado actúa bajo las directrices del Responsable, y e ste último debe supervisar y garantizar que el Encar gado cumpla con las instrucciones y las medidas de seguridad establecidas.

Frente a esto, la sociedad en el escrito del recurso aclaró que “las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no confundir al consumidor, se adoptó un único Responsab le ante el cual pueda dirigirse” 18 , e indicó que “se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las compañías por ella controladas son Encargadas”19. Además, la sociedad enfatizó que “se firmó un contrato de transmisión de datos personales entre Suramericana SA (responsable) y cada una de LAS COMPAÑÍAS (encargadas)”20.

Para sustentar lo anterior , la sociedad ap orta con el escrito del recurso los siguientes documentos:

 Comunicado emitido por la Coordinadora Grupo De Trabajo De

Para sustentar lo anterior , la sociedad ap orta con el escrito del recurso los siguientes documentos:

 Comunicado emitido por la Coordinadora Grupo De Trabajo De Investigaciones Administrativas de la Superintendencia de Industria y Comercio de fecha de 25 de agosto de 2020 bajo radicado 19-130080- - 1021.  Política de Privacidad y Tratamiento de Datos Personales de Suramericana S.A. 22  Manual de Políticas y Procedimientos para la Protección de Datos Personales de Suramericana S.A. 23  Certificado de Existencia y Representación Legal de SEGUROS DE VIDA SURAMERICANA SA 24. En el que se evidencia lo siguiente:

18 Expediente Digital, consecutivo 5, página 8, folio 2. 19 Expediente digital, consecutivo 5, página 8, folio 2. 20 Expediente digital, consecutivo 5, página 8, folio 3. 21 Expediente digital, consecutivo 5, página 5. 22 Expediente digital, consecutivo 5, página 7. 23 Expediente digital, consecutivo 5, página 6. 24 Expediente digital, consecutivo 5, página 4.RESOLUCIÓN NÚMERO 17522 DE 2025

“Por la cual se resuelve un recurso”

Página 7 de 19

(…)

(…)

(…)

Captura de imagen No. 2. Tomada de la información registrada en el Certificado de Existencia y Representación Legal de SEGUROS DE VIDA SURAMERICANA SA

De acuerdo con los documentos aportados, este Despacho constata que, en

(…)

Captura de imagen No. 2. Tomada de la información registrada en el Certificado de Existencia y Representación Legal de SEGUROS DE VIDA SURAMERICANA SA

De acuerdo con los documentos aportados, este Despacho constata que, en efecto, existe el grupo empresarial SURA, cuya sociedad matriz es GRUPO DE INVERSIONES SURAMERICANA S.A., la cual ejerce control directo sobre la sociedad SURAMERICANA S.A. , así mismo, se evidencia que la sociedad SEGUROS DE VIDA SURAMERICANA SA es una de las sociedades subordinadas del grupo empresarial y está bajo el control indirecto de la matriz a través de la sociedad SURAMERICANA S.A.

Debido a lo anterior, la recurrente sostiene que SURAMERICANA S.A. actúa en condición de Responsable del tratamiento y SEGUROS DE VIDA SURAMERICANA SA. actúa en condición de Encargada del tratamiento.RESOLUCIÓN NÚMERO 17522 DE 2025

“Por la cual se resuelve un recurso”

Página 8 de 19

Asimismo, para sustentar el argumento, la sociedad trae a colación la normativa internacional, en concreto, el Reglamento General de Protección de Datos Personales (RGPD) europeo, en el cual en los numerales 36 y 37 de las consideraciones se prevé la figura de una compañía controlante como responsable del tratamiento, y se establece la posibilidad de designar un único delegado de protección de datos para todo un grupo empresarial25.

En primer lugar, este Despacho se permite aclarar, que el reglamento europeo no es aplicable en el territorio colombiano. La existencia de un grupo empresarial conformado por una sociedad matriz y sociedades subordinadas no implica

En primer lugar, este Despacho se permite aclarar, que el reglamento europeo no es aplicable en el territorio colombiano. La existencia de un grupo empresarial conformado por una sociedad matriz y sociedades subordinadas no implica intrínsecamente la existencia de un único Responsable del tratamiento. Cada sociedad, en el desarrollo de sus actividades económicas como unidad independiente, podrá gestionar bases de datos propias , sobre las cuales toma decisiones, sin injerencia de la sociedad matriz.

Como bien lo argumenta el recurrente , es posible que la sociedad controlante actué como Responsable del tratamiento respecto de algunas bases de datos, por cuanto esta sociedad es la que establece las directrices del grupo empresarial y en ese sentido tiene autonomía en la toma de decisiones.

No obstante, lo anterior, en el desarrollo de sus actividades económicas, la SEGUROS DE VIDA SURAMERICANA SA ., como unidad económica independiente, puede tener bases de datos propias , sobre las cuales toma decisiones, sin injerencia de la sociedad SURAMERICANA S.A. , como por ejemplo las bases de datos relativas al área de recursos humanos, la junt a directiva de la sociedad , sus representantes legales y judiciales, apoderados, etc.

En relación con lo anterior, es pertinente resaltar lo establecido en la Ley 222 de 1995, cuyo inciso 2 del artículo 28 dispone:

“Se entenderá que existe unidad de propósito y dirección cuando la existencia y actividades de todas las entidades persigan la consecución de un objetivo determinado por la matriz o controlante en virtud de la dirección que ejerce sobre el conjunto, sin pe rjuicio del desarrollo individual del objeto social o actividad de cada una de ellas.” Subraya y Negrilla por fuera del texto original

Como se puede observar, la norma establece que, aunque en un grupo

el conjunto, sin pe rjuicio del desarrollo individual del objeto social o actividad de cada una de ellas.” Subraya y Negrilla por fuera del texto original

Como se puede observar, la norma establece que, aunque en un grupo empresarial existe una sociedad controlante que ejerc e la dirección, cada sociedad desarrolla individualmente su objeto social o su actividad económica.

En consecuencia, en el marco del desarrollo de su actividad económica, la SEGUROS DE VIDA SURAMERICANA SA decidirá sobre el tratamiento de algunas bases de datos y, por lo tanto, adquiere la calidad de Responsable del tratamiento, aun cuando actúe en calidad de Responsable de los datos de un (1) sólo titular de información.

Cabe destacar que el hecho de que una sociedad actúe como Encargada del tratamiento en algunas bases de datos de otra sociedad, no la limita para actuar como Responsable del tratamiento de sus propias bases de datos. En efecto, una sociedad puede ostentar ambos roles, siempre y cuando no se trate de la misma base de datos.

Así, se resalta que este Despacho no pretende intervenir en las decisiones que como grupo empresarial se hayan tomado con el objetivo de mantener unidad de marca en el mercado, lo cual puede incidir en el diseño de una única política de tratamiento para el grupo empresarial. Sin embargo, esto no puede conllevar a que, en todo el grupo empresarial , solo una sociedad actué en calidad de Responsable de TODAS las bases de datos, pues como se ha visto, todas las

25 Expediente digital, consecutivo 5, página 8, folio 2.RESOLUCIÓN NÚMERO 17522 DE 2025

“Por la cual se resuelve un recurso”

Página 9 de 19

sociedades individualmente, también realizan actividades de Responsables del tratamiento.

“Por la cual se resuelve un recurso”

Página 9 de 19

sociedades individualmente, también realizan actividades de Responsables del tratamiento.

En el presente caso, es preciso señalar que las bases de datos relacionadas con la Junta Directiva constituyen información de carácter exclusivo y reservado de la sociedad a la que pertenecen. En efecto, la Junta Directiva tien e asignadas funciones propias y decisorias que resultan esenciales para el adecuado funcionamiento de la entidad. Entre estas se destacan: velar por la sostenibilidad financiera, garantizar la calidad y oportunidad en la prestación de sus servicios y asegu rar el cumplimiento de la normativa vigente. De igual forma, le corresponde definir y orientar la planeación estratégica, supervisar la gestión de la alta dirección y adoptar políticas de gobierno corporativo que promuevan la transparencia, eficiencia y buen gobierno en todas sus operaciones. Por lo tanto, la Junta Directiva ejerce facultades exclusivas que son inherentes a su rol y a los intereses de la sociedad a la cual pertenece, motivo por el cual la sociedad debería actuar como Responsable de estas bases de datos.

Por otra parte, la recurrente en su argumentación también cita lo que considera un caso similar, el radicado 19-13008026, y sostiene que en ese caso la Dirección acogió los argumentos de la aseguradora SEGUROS DE VIDA SURAMERICANA.SA. y archivó la actuación por cuanto:

“se procedió a revisar el Registro Nacional de Bases de Datos, donde se pudo constatar que la sociedad Seguros de Vida S.A., identificada con NIT 890903790, en calidad de encargado de 14 bases de datos de Suramericana S.A. , realizó la

constatar que la sociedad Seguros de Vida S.A., identificada con NIT 890903790, en calidad de encargado de 14 bases de datos de Suramericana S.A. , realizó la respectiva inscripción de sus bases de datos en el Registro Nacional de Bases de Datos RNBD satisfactoriamente” 27

Al respecto, es importante enfatizar que el hecho de que una sociedad esté registrada en el RNBD en calidad de Encargada del tratamiento de otra sociedad no la exime de su responsabilidad de registrar las bases de datos respecto de las cuales actúa en calidad de Responsable del tratamiento.

Como ya se ha analizado, el hecho de que el grupo empresarial haya determinado adoptar una única política de tratamiento de información no implica que solo una de las empresas sea la Responsable del tratamiento y las otras Encargadas del tratamiento de la totalidad de las bases de datos. Por lo tanto, cada sociedad, de forma independiente, debe determinar sobre qué bases actúa en calidad de Responsable del tratamiento, realizar el correspondiente registro en el RNBD y cargar las políticas adoptadas.

En el presente caso, para dilucidar lo expuesto por la recurrente respecto a la situación de control y los argumentos planteados, este Despacho, mediante Resolución N.º 70960 del 21 de noviembre de 2024, resolvió, en el marco del trámite del recurso, abrir un periodo probatorio de DIEZ (10) días hábiles y decretar de oficio la práctica de la siguiente prueba:

“Ordenar a la sociedad SEGUROS DE VIDA SURAMERICANA S.A ., con el NIT. 890.903.790-5, que informe y allegue con destino al expediente 24-212210 lo siguiente:

10. Informe cómo recolecta, almacena, usa, circula y suprime la información de las

890.903.790-5, que informe y allegue con destino al expediente 24-212210 lo siguiente:

10. Informe cómo recolecta, almacena, usa, circula y suprime la información de las

siguientes bases de datos:

 Los Reaseguro  Los empleados y sus hojas de vida  La nómina  Los accionistas  La junta directiva  Los revisores fiscales  Los representantes legales y apoderados

26 Expediente digital, consecutivo 5, página 3, folio 2. 27 Expediente digital, consecutivo 5, página 5.RESOLUCIÓN NÚMERO 17522 DE 2025

“Por la cual se resuelve un recurso”

Página 10 de 19

 Los prestadores de servicios  Los contratistas  Los proveedores  Talento humano  Asesoría y Venta de seguros  Expedición y Suscripción de seguros  Siniestros  Gestión Documental e Información Física  Videovigilancia  Los clientes  Los datos de Reaseguro  CRM "Customer Relatio