SIC - Resolucion 2025 de 2025

Página 1 de 20

RESOLUCIÓN NÚMERO 50027 DE 2025

(28 de julio de 2025)

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Radicación 22-373421

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que, mediante comunicación obrante bajo el radicado 22 -3734210-0 del 21 de septiembre de 2022, el señor xxxxxxxxxxxxxx puso en conocimiento de esta Superintendencia, la comisión de unos hechos presuntamente infractores de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A., en adelante, CERID identificada con Nit 900.067.963-0 y COOMEVA MEDICINA PREPAGADA S.A. -COOMEVA S.A.-, en adelante COOMEVA, identificada con Nit 805.009.741-0, consideradas individualmente, LA INVESTIGADA.

De la comunicación recibida se extrajeron los siguientes supuestos fácticos:

Nit 805.009.741-0, consideradas individualmente, LA INVESTIGADA.

De la comunicación recibida se extrajeron los siguientes supuestos fácticos:

1.1 Se evidencia en las piezas probatorias allegadas por el denunciante que el día 17 de septiembre de 2022, desde la dirección de correo electrónico info@ceridsa.com fue remitida una comunicación bajo el asunto “ CERID Y COOMEVA MP TE INVITA A REALIZARTE TU MAMOGRAFÍA” a 438 cuentas de correo electrónico, sin ningún tipo de restricción y permitiendo el acceso no autorizado a dicha información por parte de terceros.

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación:

2.1 Pruebas recaudadas por esta Dirección:

2.1.1 Denuncia, junto con sus anexos, obrante bajo el radicado 22 -3734210 del 21 de septiembre de 2022.

2.1.2 Requerimiento de información remitido por la Dirección de Investigación de Protección de Datos Personales a la sociedad CERID S.A., obrante bajo el radicado 22-3734211 del 11 de octubre de 2022.

2.1.3 Respuesta al requerimiento de información, remitido por el apoderado de la sociedad CERID S.A., obrante bajo los radicados 22-373421-3, -4 y -5 del 25 de octubre de 2022. Versión PúblicaRESOLUCIÓN NÚMERO 50027 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 2 de 20

de octubre de 2022. Versión PúblicaRESOLUCIÓN NÚMERO 50027 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 2 de 20

2.1.4 Alcance de respuesta al requerimiento, obrante bajo el radicado 223734216 del 01 de noviembre de 2022.

2.1.5 Requerimiento de información remitido por la Dirección de Investigación de Protección de Datos Personales a la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-3734217 del 07 de julio de 2023.

2.1.6 Respuesta al requerimiento de información, remitido por el Representante Legal de la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-3734219 del 19 de julio de 2023.

2.1.7 Respuesta al requerimiento de información, remitido por el Representante Legal de la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-37342110 del 21 de julio de 2023.

2.1.8 Requerimiento de información remitido por la Dirección de Investigación de Protección de Datos Personales a la sociedad COOMEVA MEDICINA PREPAGADA S.A. , obrante bajo el radicado 22 -37342111 del 11 de septiembre de 2023.

2.1.9 Respuesta al requerimiento de información, remitido por el Representante Legal de la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-37342113 del 20 de septiembre de 2023.

2.1.9 Respuesta al requerimiento de información, remitido por el Representante Legal de la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-37342113 del 20 de septiembre de 2023.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, mediante Resolución 63622 del 19 de octubre de 2023 se le formularon cargos a las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.- identificada con Nit 900.067.963-0 y COOMEVA MEDICINA PREPAGADA S.A. , identific ada con Nit 805.009.741 -0, por la presunta contravención de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.

CUARTO: Que la mencionada resolución le fue notificada personalmente a JOSÉ LUIS DE JESÚS MENDOZA LÓPEZ , en representación de la sociedad COOMEVA MEDICINA PREPAGADA S.A. y mediante Aviso 26787 a JAVIER AQUILES YIBIRIN ARBELÁEZ , en representación de la sociedad CENTRO

ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO

COOMEVA MEDICINA PREPAGADA S.A. y mediante Aviso 26787 a JAVIER AQUILES YIBIRIN ARBELÁEZ , en representación de la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A.-CERID S.A.- mediante Aviso 26787 del 30 de octubre de 2023; según consta en la certificación expedida por la Secretaría General AdHoc de esta Superintendencia obrante bajo el radicado 22-373421-25 del 09 de noviembre de 2023.

QUINTO: Que, la sociedad CERID S.A., por medio de su apoderado especial, doctor CARLOS ENRIQUE ANGARITA ANGARITA , presentó escrito de descargos, obrante bajo el radicado 22 -373421-27 del 10 de noviembre de

2023. A su turno, la sociedad COOMEVA S.A. presentó sus descargos, por medio de su apoderado especial, doctor DAVID TORO OCHOA , mediante escrito obrante bajo el radicado 22-373421-28 del 15 de noviembre de 2023.

SEXTO: Que mediante Resolución 15563 del 03 de abril de 2024, este Despacho procedió a incorporar las pruebas obrantes en el expediente, declaró agotada la etapa probatoria y les corrió traslado a las sociedades investigadas para que, de encontrarlo procedente, presentaran los respectivos alegatos de conclusión.RESOLUCIÓN NÚMERO 50027 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 3 de 20

Así las cosas, las pruebas incorporadas son las siguientes:

6.1 Pruebas recaudadas por esta Dirección:

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 3 de 20

Así las cosas, las pruebas incorporadas son las siguientes:

6.1 Pruebas recaudadas por esta Dirección:

6.1.1 Denuncia, junto con sus anexos, obrante bajo el radicado 22 -3734210 del 21 de septiembre de 2022.

6.1.2 Requerimiento de información remitido por la Dirección de Investigación de Protección de Datos Personales a la sociedad CERID S.A., obrante bajo el radicado 22-3734211 del 11 de octubre de 2022.

6.1.3 Respuesta al requerimiento de información, remitido por el apoderado de la sociedad CERID S.A., obrante bajo los radicados 22-373421-3, -4 y -5 del 25 de octubre de 2022.

6.1.4 Alcance de respuesta al requerimiento, obrante bajo el radicado 223734216 del 01 de noviembre de 2022.

6.1.5 Requerimiento de información remitido por la Dirección de Investigación de Protección de Datos Personales a la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-3734217 del 07 de julio de 2023.

6.1.6 Respuesta al requerimiento de información, remitido por el Representante Legal de la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-3734219 del 19 de julio de 2023.

6.1.7 Respuesta al requerimiento de información, remitido por el Representante

Legal de la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-3734219 del 19 de julio de 2023.

6.1.7 Respuesta al requerimiento de información, remitido por el Representante Legal de la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-37342110 del 21 de julio de 2023.

6.1.8 Requerimiento de información remitido por la Dirección de Investigación de Protección de Datos Personales a la sociedad COOMEVA MEDICINA PREPAGADA S.A. , obrante bajo el radicado 22 -37342111 del 11 de septiembre de 2023.

6.1.9 Respuesta al requerimiento de información, remitido por el Representante Legal de la sociedad COOMEVA MEDICINA PREPAGADA S.A., obrante bajo el radicado 22-37342113 del 20 de septiembre de 2023.

6.2. Pruebas aportadas por la sociedad CERID S.A.

6.2.1 Pruebas aportadas al interior del escrito de descargos

6.2.1.1 Imagen de correo electrónico de la dirección entre direcciones asociadas a las sociedades investigadas.

6.2.2 Pruebas adjuntas al escrito de descargos

6.2.2.1 Copia del contrato de prestación de servicios asistenciales suscrito entre

las sociedades COOMEVA MEDICINA PREPAGADA S.A. y CERID S.A.

6.2.2.2 Otrosí al contrato de prestación de servicios asistenciales suscrito entre

las sociedades COOMEVA MEDICINA PREPAGADA S.A. y CERID S.A.

6.2.2.2 Otrosí al contrato de prestación de servicios asistenciales suscrito entre

las sociedades COOMEVA MEDICINA PREPAGADA S.A. y CERID S.A.

6.2.2.3 Correo electrónico de fecha 17 de septiembre de 2022.

6.3 Pruebas aportadas por la sociedad COOMEVA MEDICINA

PREPAGADA S.A.

6.3.1 Pruebas aportadas junto con el escrito de descargosRESOLUCIÓN NÚMERO 50027 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 4 de 20

6.3.1.1 Otrosí al Contrato de Prestación de Servicios Asistenciales N° MP-CA070-2011 suscrito el día 2 de noviembre de 2022 entre COOMEVA y CERID S.A.

6.3.1.2 Contrato de Prestación de Servicios Asistenciales N° MP -CA-0702011 del 1° de mayo de 2011 entre COOMEVA y CERID S.A.

6.3.1.3 Certificado de Existencia y Representación Legal de Coomeva.

6.3.1.4 Contrato de Prestación de Servicios de Salud Prepagada, sin firma de sus suscriptores, entre Coomeva y xxxxxxxxxxxxxx.

6.3.1.5 Solicitud de Ingreso a la Medicina Prepagada de Coomeva por parte del señor xxxxxxxxxxxxxxxxx.

6.3.1.6 Noticia en www.breastcancer.org. “ Cáncer de mama en hombres: síntomas, diagnóstico y tratamiento”. Escrita por Jen Uscher.

señor xxxxxxxxxxxxxxxxx.

6.3.1.6 Noticia en www.breastcancer.org. “ Cáncer de mama en hombres: síntomas, diagnóstico y tratamiento”. Escrita por Jen Uscher.

6.3.1.7 Artículo en www.teresewinslow.com. “Cáncer de mama en los hombres”.

Escrito por: Centros para el Control y la Prevención de Enfermedades.

6.3.1.8 Artículo en www.elsevier.es (Revista Colombiana de Cancerología). Cáncer de mama en hombres. “¿Es una entidad diferente al cáncer de mama en la mujer? Revisión de la literatura”. Escrito por: Nubia Prada, Javier Ángel y Diana Ríos.

6.3.1.9 Correo electrónico remitido por xxxxxxxxxxxxxx (funcionaria de Coomeva) a CERID S.A. del 13 de septiembre de 2023.

6.3.1.10 Correo electrónico del 13 de octubre de 2022 de Cerid (comercial@ceridsa.com) con destino a Milena del Carmen García Hernández (milenad_@garcia@coomeva.com.co) de Coomeva.

6.3.1.11 Comunicación de CERID al denunciante del 19 de septiembre de 2022.

6.3.1.12 Consentimiento para el tratamiento de datos personales del denunciante a Coomeva del 15 de febrero de 2018.

6.3.1.13 Política de Tratamiento de Datos Personales de Coomeva.

6.3.1.14 Aviso de Privacidad de Coomeva.

6.3.1.15 Archivo del correo electrónico del 17 de septiembre de 2022 “CERID Y

COOMEVA MP TE INVITA A REALIZARTE TU MAMOGRAFÍA”.

6.3.1.14 Aviso de Privacidad de Coomeva.

6.3.1.15 Archivo del correo electrónico del 17 de septiembre de 2022 “CERID Y

COOMEVA MP TE INVITA A REALIZARTE TU MAMOGRAFÍA”.

6.3.1.16 Archivo Excel con las Directrices de Coomeva para el Manejo de Información.

6.3.1.17 Circular N° 027 -2021 de la Gerencia General de Coomeva para el tratamiento de datos personales y medidas para la garantía del derecho de habeas data de Coomeva Medicina Prepagada.

6.3.1.18 Política especial de Manejo de Bases de Datos de Mercadeo de Coomeva.

6.3.1.19 Procedimiento de Gestión de Riesgos de Seguridad y Privacidad de la Información.

6.3.1.20 Documento de Coomeva de Responsabilidades Transversales.

6.3.1.21 Presentación de Power Point con la “Formación Específica en Seguridad y Privacidad de la Información Aplicada a Nuestro Proceso” de Coomeva.RESOLUCIÓN NÚMERO 50027 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 5 de 20

6.3.1.22 Comunicación del 31 de octubre de 2022, de parte de CERID a

COOMEVA.

La mencionada resolución le fue comunicada a las sociedades investigadas el día 03 de abril de 2024, de conformidad con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-373421-35 del 05 de abril de 2025.

03 de abril de 2024, de conformidad con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-373421-35 del 05 de abril de 2025.

SÉPTIMO: Que, dentro del término concedido para el efecto, por conducto de sus respectivos apoderados especiales, mediante escrito radicado bajo el número 22-37321-36 del 09 de abril de junio de 2024, la sociedad CERID S.A. presentó sus alegatos de conclusión por medio de los cuales reiteró lo expresado en el escrito de descargos. A su vez, la sociedad COOMEVA S.A. presentó sus alegatos de conclusión a través del escrito obrante bajo el radicado 22-37342137 del 18 de abril de 2024, reiterando lo expresado en sus descargos.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio

El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso

9.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 1, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las

sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)”

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones d efinidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente.

para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente.

1 1 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduaciónRESOLUCIÓN NÚMERO 50027 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 6 de 20

9.2 Valoración probatoria y conclusiones

9.2.1 Consideraciones previas frente a la presunción de solidaridad en la calidad de Responsables del tratamiento de datos.

Es pertinente destacar que, en el curso de las indagaciones previas adelantadas por esta Dirección, se requirió a las sociedades investigadas en varias oportunidades con el propósito de que informaran y acreditaran la calidad que ostentaban en relación con la administración de los datos personales de los destinatarios de la comunicación. Sin embargo, tal como quedó consignado en la resolución de formulación de cargos, si bien se informó que CERID tuvo acceso a la base de datos “Mamografías CERID, MPFT_138_DETECCION _TEMPRANA _CA.XLSX, Formato Solicitud ST CMP Mamografías .XLSX, Mamografías CERID Septiembre 2022”, las pruebas aportadas por las sociedades en sus respuestas no acreditaron que existieran de por medio unas instrucciones para el acceso, uso y circulación de los correos electrónicos, así como para el envío de

Septiembre 2022”, las pruebas aportadas por las sociedades en sus respuestas no acreditaron que existieran de por medio unas instrucciones para el acceso, uso y circulación de los correos electrónicos, así como para el envío de mensajería masiva, de manera que se configurara un encargo y por tanto las calidades de Responsable-Encargado.

Respecto a esto, se observó de una parte, que la sociedad CERID aportó copia del denominado “ otrosí al contrato de prestación de servicios asistenciales persona jurídica NO. MP-CA-070-2011”2 documento que, se advierte, no incluyó previsiones respecto a los lineamientos para el manejo de la base de datos arriba citada; y de otra que, el anexo del mismo título allegado por COOMEVA3, si bien contiene algunas consideraciones relacionadas con los respectivos roles en torno a la seguridad de los datos personales, tiene como fecha de suscripción 02 de noviembre de 20224.

Conforme a lo descrito, en ausencia de material probatorio que permitiera constatar la posición aludida por las investigadas al momento de la ocurrencia de la conducta, el Despacho acogió la presunción de responsabilidad solidaria sentada por la Honorable Corte Constitucional, mediante Sentencia C -748 de

20115. Ahora bien, con ocasión de la apertura de la presente investigación administrativa de carácter sancionatorio, la sociedad COOMEVA insistió en su argumentación alegando un yerro en la imputación hecha por esta Dirección, basándose en el mismo documento que, como se señaló en líneas precedentes, es posterior a la ocurrencia de los hechos materia de investigación y acerca del cual, admite su apoderado, “ la redacción de la Cláusula puede no ser del todo clara”.

es posterior a la ocurrencia de los hechos materia de investigación y acerca del cual, admite su apoderado, “ la redacción de la Cláusula puede no ser del todo clara”.

Por otro lado, sugiere el Doctor David Toro que esta Superintendencia debe “escudriñar” el contrato de prestación de servicios asistenciales persona jurídica MP-CA-070-2011 datado del año 2011, a fin de evidenciar la subordinación por parte de CERID a su p oderdante que derive en la concurrencia de los presupuestos para fungir como Encargado del tratamiento de datos personales. Postura que no se ajusta al análisis realizado por la Honorable Corte Constitucional respecto a las definiciones entregadas por la L ey 1581 de 2012, literales d) y e) del artículo 3°, así:

d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

2 Ver anexo a la respuesta al requerimiento obrante bajo el radicado 22-373421-5 del 25 de octubre de 2022. 3 Anexo a la respuesta al requerimiento obrante en el expediente bajo el número 22-373421-10 del 21 de julio de 2023. 4 De acuerdo con las pruebas obrantes en el expediente la exposición de las direcciones de correo electrónico fue el 17 de septiembre de 2022.

de 2023. 4 De acuerdo con las pruebas obrantes en el expediente la exposición de las direcciones de correo electrónico fue el 17 de septiembre de 2022. 5 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt ChaljubRESOLUCIÓN NÚMERO 50027 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 7 de 20

Sobre esto, el alto Tribunal estableció mediante Sentencia C-748 de 2011, que:

“El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del

responsable del tratamiento. Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos

(…)

El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos. También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable. (se destaca)

parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable. (se destaca)

Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmentelos fines y medios del tratamiento. Usualmente, (…) el responsable es el propietario de la base de datos; sin embargo, (…) la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis.

(…)

Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una –el responsablele señala a la otra –el encargadocomo quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados.

(…)

También es necesario precisar, como lo señala la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad. En ese orden de ideas, corresponderá a la

tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad. En ese orden de ideas, corresponderá a la autoridad competente de asegurar la vigilancia, control y garantía del dato personal, examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden est ar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad.”

Bajo estas consideraciones, se insiste en que más allá de la existencia de un vínculo contractual (de carácter comercial) entre ambas sociedades, no obraRESOLUCIÓN NÚMERO 50027 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 8 de 20

pieza probatoria alguna que exhiba un acuerdo expreso, previo al acaecimiento de la conducta, sobre el cual la sociedad CERID hubiere recibido unas directrices por parte de COOMEVA respecto a las condiciones en que debía llevar a cabo el tratamiento (almacenamiento, uso, circulación y supresión) de la información que le iba a ser transmitida en el marco de la prestación de los servicios contratados.

Es preciso entonces, destacar que el correo electrónico de fecha 13 de septiembre de 2022 6, aportado a la investigación, tan solo da cuenta de las especificaciones comerciales para la realización de los procedimientos médicos, pero no imparte pautas para el manejo de la información, motivo por el cual se ratifica la posición solidaria de Responsable entre las dos sociedades investigadas.

especificaciones comerciales para la realización de los procedimientos médicos, pero no imparte pautas para el manejo de la información, motivo por el cual se ratifica la posición solidaria de Responsable entre las dos sociedades investigadas.

9.2.2. Respecto del deber de conservar la información bajo las medidas de seguridad necesarias para evitar el acceso no autorizado por su respectivo titular

El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada no sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial ate nción por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C -748 de 2011, así:

“De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulteriores transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se

encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de

fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. (…)6”(Se destaca).

En efecto, el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas por el régimen de protección de datos personales, pues así lo dispuso la Ley 1581 de 2012 cuando señaló en su artículo 25 inciso tercero que, “(i) las políticas de tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley”. Posteriormente, en el ejercicio de la potestad reglamentaria Constitucionalmente atribuida, el Gobierno Nacional, por medio del Decreto 1074 de 2015 señaló que los responsables del tratamiento de datos personales deben ser capaces de demostrar el cumplimiento de sus obligaciones, así:

6 Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb.RESOLUCIÓN NÚMERO 50027 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 9 de 20

Decreto Único Reglamentario 1074 de 2015

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

Página 9 de 20

Decreto Único Reglamentario 1074 de 2015

“Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo en una manera que sea proporcional a lo siguiente:

1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran em