SIC - Resolucion 2025 de 2025

Página 1 de 13

RESOLUCIÓN NÚMERO 99866 DE 2025

(28 de noviembre de 2025)

“Por la cual se resuelve un recurso”

Radicación 22-373421

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y,

CONSIDERANDO

PRIMERO: Que, mediante comunicación obrante bajo el radicado 22 -3734210-0 del 21 de septiembre de 2022, el señor XXXXXXXXXXXXXX puso en conocimiento de esta Superintendencia, la comisión de unos hechos presuntamente infractores de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A., en adelante, CERID identificada con Nit 9 00.067.963-0 y COOMEVA MEDICINA PREPAGADA S.A. -COOMEVA S.A. -, en adelante COOMEVA, identificada con Nit 805.009.741 -0, consideradas individualmente, LA

INVESTIGADA.

De la comunicación recibida se extrajeron los siguientes supuestos fácticos:

1.1 Se evidencia en las piezas probatorias allegadas por el denunciante que el

INVESTIGADA.

De la comunicación recibida se extrajeron los siguientes supuestos fácticos:

1.1 Se evidencia en las piezas probatorias allegadas por el denunciante que el día 17 de septiembre de 2022, desde la dirección de correo electrónico info@ceridsa.com fue remitida una comunicación bajo el asunto “CERID Y COOMEVA MP TE INVITA A REALIZARTE TU MAMOGRAFÍA” a 438 cuentas de correo electrónico, sin ningún tipo de restricción y permitiendo el acceso no autorizado a dicha información por parte de terceros.

SEGUNDO: Que, la Constitución Política de Colombia artículo 15 exige que en la recolección, tratamiento y circulación de datos personales se respeten la libertad y demás garantías consagradas en nuestro ordenamiento jurídico. El término Tratamiento se refiere a “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”1.

TERCERO: Que, la Ley 1581 de 2012 “ Por la cual se dictan disposiciones generales para la protección de datos personales ” “tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma” 2.

1 Ley 1581 de 2012, artículo 3, literal g). 2 Ley 1581 de 2012, artículo 1.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 99866 DE 2025

1 Ley 1581 de 2012, artículo 3, literal g). 2 Ley 1581 de 2012, artículo 1.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 99866 DE 2025

“Por la cual se resuelve un recurso”

Página 2 de 13

CUARTO: Que, el Decreto Único Reglamentario 1074 de 2015 “ Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”, en su Capítulo 25 “Reglamenta parcialmente la Ley 1581 de 2012”.

QUINTO: Que mediante Resolución 50027 del 28 de julio de 2025, la Dirección de Investigaciones de Protección de Datos Personales resolvió:

“ARTÍCULO 1: IMPONER una sanción pecuniaria a las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.- identificada con Nit 900.067.963-0 de CINCUENTA (50) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a CINCO MIL OCHOCIENTOS (5.800) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a SESENTA Y SIETE MILLONES MIL SEISCIENTOS PESOS M/CTE (67.001.600); y COOMEVA MEDICINA PREPAGADA S.A., identificada con Nit 805.009.741 -0 de CUARENTA

(40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el

PREPAGADA S.A., identificada con Nit 805.009.741 -0 de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTOS CUARENTA (4.640) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CINCUENTA Y TRES MILLONES SEISCIENTOS UN MIL DOSCIENTOS OCHENTA PESOS M/CTE (53.601.280)24 , por la vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015”.

SEXTO: Que la Resolución 50027 del 28 de julio de 2025 se notificó mediante Aviso 23672 del 06 de agosto de 202 5 a DAVID TORO OCHOA , en representación de la sociedad COOMEVA MEDICINA PREPAGADA S.A. , y electrónicamente el 28 de julio de 2025 a CARLOS ENRIQUE ANGARITA ANGARITA, en representación de la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.-, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-37342149 del 11 de agosto de 2025.

SÉPTIMO: Que, dentro del término concedido para el efecto, mediante escrito

General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-37342149 del 11 de agosto de 2025.

SÉPTIMO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 22-373421-46 del 01 de agosto de 2025, la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A. -, por medio de su apoderado especial, interpuso recurso de reposición y en subsidio apelación contra la Resolución 50027 del 28 de julio de 2025. A su vez, mediante escrito radicado bajo el número 22 -373421-50 del 21 de agosto de 2025, la sociedad COOMEVA MEDICINA PREPAGADA S.A. , por intermedio de su apoderado especial, presentó recurso de reposición y en subsidio apelación contra la Resolución 50027 del 28 de julio de 2025.

OCTAVO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 de la Ley 1437 de 2011, Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente, este Despacho hará las siguientes consideraciones:

8.1 Frente a los argumentos del recurso interpuesto por la sociedad

CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO

DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.-

8.1.1 De la presunción de responsabilidad solidaria entre las sociedades investigadas

Al respecto, expresó la recurrente que “No es posible aplicar la presunción

DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.-

8.1.1 De la presunción de responsabilidad solidaria entre las sociedades investigadas

Al respecto, expresó la recurrente que “No es posible aplicar la presunción de solidaridad en calidad de responsables del tratamiento:RESOLUCIÓN NÚMERO 99866 DE 2025

“Por la cual se resuelve un recurso”

Página 3 de 13

De acuerdo con el certificado de existencia y representación legal de CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. que obra en el expediente, se tiene que su objeto social o actividad económica corresponde a la prestación de servicios de diagnóstico médico por imágenes1; en desarrollo de su objeto, CERID S.A. mantiene una relación comercial y contractual con COOMEVA MEDICINA PREPAGADA S.A. a través de la cual se prestan dichos servicios.

En el contrato de prestación de servicios asistenciales No. MP -CA-070-2011 suscrito entre CERID S.A. y COOMEVA MEDICINA PREPAGADA S.A., que se anexó como prueba y obra en el expediente, se dice en la cláusula primera relacionada con el objeto que “En virtud del presente contrato, EL CONTRATISTA o PRESTADOR se obliga para con Coomeva Medicina Prepagada S.A., a prestar los servicios IMÁGENES DIAGNÓSTICAS, con racionalidad técnico – científica a los usuarios de los programas de Medicina Prepagada S.A., los ser vicios asistenciales, médicos, quirúrgicos y hospitalarios que se requieran, de conformidad con las coberturas, cláusulas y términos contenidos en los

los usuarios de los programas de Medicina Prepagada S.A., los ser vicios asistenciales, médicos, quirúrgicos y hospitalarios que se requieran, de conformidad con las coberturas, cláusulas y términos contenidos en los contratos de prestación de servicios celebrados entre los usuarios y Coomeva Medicina Prepagada S.A., cuyo texto forma parte integrante de este contrato y que EL CONTRATISTA O PRESTADOR declara conocer y aceptar…” (Negrilla y resaltado del memorialista).

La práctica de la mamografía, objetivo de la campaña, fue promocionado por CERID S.A. y COOMEVA MEDICINA PREPAGADA S.A. como examen de prevención y detección a tiempo del cáncer de mama en mujeres, no obstante, dicha campaña no excluía la posibilidad de hacerse efectiva en hombres, razón por la cual el quejoso tuvo acceso a la información en la que se indicó, que prevenir, detectar y controlar el cáncer de mama es la mejor alternativa.

Sobre los exámenes realizados por CERID S.A. con ocasión de la campaña, se reitera al Despacho que los resultados fueron resguardados y protegidos sin que terceros tuvieran acceso a la información; en la página web de CERID S.A. los pacientes pueden accede r a su información incorporando un usuario y contraseña, lo que genera una mayor confiabilidad y seguridad en los procedimientos a cargo de CERID S.A.

En la cláusula segunda se encuentra la definición de usuario en los siguientes términos: “Es toda persona natural debidamente inscrita por el contratante y aceptada por Coomeva Medicina Prepagada S.A. dentro de un plan y programa específicos” y en la cláusula tercera se dice que CERID S.A. como “EL

términos: “Es toda persona natural debidamente inscrita por el contratante y aceptada por Coomeva Medicina Prepagada S.A. dentro de un plan y programa específicos” y en la cláusula tercera se dice que CERID S.A. como “EL CONTRATISTA o PRESTADOR” sólo prestará “los servicios objeto de este contrato, a los usuarios que hayan celebrado contrato con Coomeva Medicina Prepagada S.A. que se identifique como tal, mediante su carné de afiliación y documento de identidad, previa validación de sus derechos ante Coomeva Medicina Prepagada S.A…”

En el numeral 10 de la cláusula cuarta que corresponde a las obligaciones a cargo de CERID S.A. se dice “Acatar y dar cumplimiento a los procedimientos que para la prestación de servicios defina Coomeva Medicina Prepagada S.A., a través de comunicaciones y promulgación de directrices, los cuales hacen parte integrante del presente contrato”.

En la autorización para el tratamiento de datos personales que se arrimó al expediente por CERID S.A., del contrato de medicina prepagada y específicamente del denunciante, se dice en el numeral 2) lo siguiente: “Uso y tratamiento de datos: que mis datos personales sean objeto de tratamiento para las siguientes finalidades: 2.1. Datos personales: a) Compartir todos mis datos, soportes y los que llegare a suministrar con ocasión de mi vinculación comercial con Coomeva Medicina Prepagada S.A., los cuales podr án ser cedidos a otras entidades con las cuales se tengan alianzas o acuerdos comerciales. b) Realizar campañas de identificación en procesos institucionaes (sic) de Coomeva

con Coomeva Medicina Prepagada S.A., los cuales podr án ser cedidos a otras entidades con las cuales se tengan alianzas o acuerdos comerciales. b) Realizar campañas de identificación en procesos institucionaes (sic) de Coomeva Medicina Prepagada S.A. o de marketing (promoción de productos y servicios),RESOLUCIÓN NÚMERO 99866 DE 2025

“Por la cual se resuelve un recurso”

Página 4 de 13

envío de información comercial por cualquier medio conocido o que llegase a conocerse… 2.2.) Datos sensibles (información biométrica y estado de salud): que los datos sensibles, incluidos los biómetricos (sic) y los referentes a mi estado de salud, sean objeto de tratamiento para las siguientes finalidades. a) Recolectar e incluir mis huellas dactilares y cualquier otro dato de tipo biométrico que sean susceptibles de tratamiento en la Base de Datos administrada por Coomeva Medicina Prepagada S.A… b). Transmitir o transferir mis huellas dactilares y cualquier otro dato personal…d) Realizar el tratamiento de mis datos personales incluidos los datos de carácter sensible durante el tiempo que dure la relación jurídica con Coomeva Medicina Prepagada S.A…”

El artículo 3 de la Ley 1581 de 2012 define al encargado, en el literal d) como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento” y en el literal e), se define al responsable como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.

Tratamiento” y en el literal e), se define al responsable como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.

Tomando como referencia el el (sic) contrato de prestación de servicios asistenciales No. MP -CA-070-2011 suscrito entre CERID S.A. y COOMEVA MEDICINA PREPAGADA S.A., la la (sic) autorización para el tratamiento de datos personales del contrato de medicina prepagada y las definiciones de que trata el artículo 3 de la Ley 1581 de 2012, se tiene que contrario a lo indicado por el Despacho en la Resolución No. 50027 del 28 de julio de 2025, CERID S.A. no ostenta la condición de responsable del tratamiento para que se aplique la presunción de solidaridad entre las personas jurídicas que integran la parte investigada.

Téngase en cuenta por el Despacho que como se indica en la autorización para el tratamiento de datos personales del contrato de medicina prepagada, COOMEVA MEDICINA PREPAGADA S.A. es la administradora de la base de datos de los usuarios que suscribieron el referido contrato, por lo que COOMEVA MEDICINA PREPAGADA S.A. decide sobre la base de datos y lo hace como responsable, mientras que CERID S.A. hace el tratamiento de la información o de la base de datos de acuerdo con lo que indique COOMEVA MEDICINA PREPAGADA S.A., esto es, lo hace como encargada”.

Frente a lo expresado, es pertinente recordar en primer lugar que, de acuerdo con lo previsto por el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el recurso interpuesto debe s ustentarse con

Frente a lo expresado, es pertinente recordar en primer lugar que, de acuerdo con lo previsto por el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el recurso interpuesto debe s ustentarse con expresión concreta de los motivos de inconformidad. En tal sentido, esta Dirección solamente hará referencia a aquellos argumentos que cumplan con el referido presupuesto procesal.

Dicho esto, se observa que el recurrente trae nuevamente a colación el contrato MP-CA-070-2011 suscrito entre las sociedades investigadas y se refiere a la “autorización para el tratamiento de datos personales ”, presuntamente contenida en él, pero no exhibe ni precisa cuál es la cláusula aludida, limitando su exposición a señalar que “ COOMEVA MEDICINA PREPAGADA S.A. es la administradora de la base de datos de los usuarios que suscribieron el referido contrato, por lo que COOMEVA MEDICINA PREPAGADA S.A. decide sobre la base de datos y lo hace como responsable, mientras que CERID S.A. hace el tratamiento de la información o de la base de datos de acuerdo con lo que indique COOMEVA MEDICINA PREPAGADA S.A., esto es, lo hace como encargada”.

De otra parte, el recurrente lleva a cabo una suerte de valoración conjunta entre la cláusula primera del contrato en cita y la política de tratamiento de datos personales del Grupo Empresarial Coomeva con el fin de avizorar que los usuarios, es decir los titulares, autorizaron y de alguna manera asignaron el rol de responsable del tratamiento a COOMEVA MEDICINA PREPAGADA S.A. ,RESOLUCIÓN NÚMERO 99866 DE 2025

“Por la cual se resuelve un recurso”

Página 5 de 13

de responsable del tratamiento a COOMEVA MEDICINA PREPAGADA S.A. ,RESOLUCIÓN NÚMERO 99866 DE 2025

“Por la cual se resuelve un recurso”

Página 5 de 13

quien además administra la base de datos y, asimismo designó a su poderdante como Encargada del tratamiento. Sin embargo, dicha conclusión no es de recibo para esta autoridad por cuanto el análisis probatorio frente al contrato de prestación de servicios f ue sentado en el acto administrativo que se recurre, cuando se señaló sobre ese respecto que el referido documento no da cuenta de la realización de un encargo para el tratamiento de los datos personales (direcciones de correo electrónico) destinatarias de la comunicación sobre la cual se sustentó la sanción impuesta. En ese sentido, el soporte del recurso frente a los elementos para concluir el papel que desempeñan las investigadas en el tratamiento de los datos personales, no se ajusta a los parámetros le gales y constitucionales aplicados a la presente actuación administrativa.

Ahora bien, teniendo como referente que el otrosí al contrato de servicios asistenciales N° MP -CA-070-2011 fue suscrito con posterioridad a los hechos que se investigan, y por tanto carece de efectos retroactivos, esto es, hacia el pasado, tampoco posee la vocación de acreditar acuerdos previos a la ocurrencia de la conducta reprochada por el Despacho frente a las particularidades que rodean los hechos materia de investigación.

8.1.2 Del deber de conservar la información bajo medidas de seguridad para evitar su pérdida, consulta o acceso no autorizado.

En este punto, advierte igualmente el Despacho que el representante de la sociedad CERID S.A. soporta el recurso interpuesto en aquellos argumentos

evitar su pérdida, consulta o acceso no autorizado.

En este punto, advierte igualmente el Despacho que el representante de la sociedad CERID S.A. soporta el recurso interpuesto en aquellos argumentos expresados por medio de sus descargos y alegatos de conclusión, sin especificar cuáles son los yerros o motivos de inconformidad que ameritan la modificación, aclaración o revocación del acto administrativo impugnado, razón por la que se echan de menos elementos adicionales a los ya debatidos en el curso de la investigación. Frente a este escenario, basta con remitirse al artículo NOVENO, parte considerativa de la Resolución 50027 del 28 de julio de 2025, para constatar que esta Dirección ya realizó el estudio de la tesis propuesta por la investigada y de las piezas probatorias que la acompañan, así como la conclusión obtenida.

8.1.3 Respecto a las pretensiones de la sociedad CERID S.A.

Al respecto, solicitó la recurrente que:

1. “(…) se le solicita muy respetuosamente a la DIRECCIÓN DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES se disminuya la sanción de CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. teniendo en cuenta su condición de encargado del tratamiento.

2. Se le solicita muy respetuosamente al Despacho que se tenga en cuenta la difícil situación que se encuentra solventando actualmente el sector salud, toda vez que la actividad económica de CENTRO ESPECIALIZADO

EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO

la difícil situación que se encuentra solventando actualmente el sector salud, toda vez que la actividad económica de CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. se encuentra estrechamente relacionado con dicho sector y que en la fecha no ha obtenido las utilidades anheladas”.

Conforme a lo descrito, a juicio de la Dirección de Investigaciones de Protección de Datos Personales no se desvirtuó el fundamento de la conducta atribuida a la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. en relación con la trasgresión de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015, motivo por el que no es procedente acceder a la solicitud de modificar las consideraciones de la decisión de instancia en punto del rol que desempeña la sociedad recurrente. En igual sentido, es pertinente destacar que en ausencia de material probatorio que demuestre una desproporción entre la multa impuesta y la situación financiera de la sociedad recurrente, no se evidenciaRESOLUCIÓN NÚMERO 99866 DE 2025

“Por la cual se resuelve un recurso”

Página 6 de 13

mérito para modificar el monto inicialmente calculado, por lo que este se mantendrá incólume.

8.2 Frente a los argumentos del recurso interpuesto por la sociedad

COOMEVA MEDICINA PREPAGADA S.A. COOMEVA S.A.

mantendrá incólume.

8.2 Frente a los argumentos del recurso interpuesto por la sociedad

COOMEVA MEDICINA PREPAGADA S.A. COOMEVA S.A.

8.2.1 De la presunta falsa motivación de la Resolución 50027 del 28 de julio de 2025

Alega el recurrente que esta Dirección incurrió en falsa motivación al sustentar la sanción impuesta, por cuanto asignó la calidad de Responsable del tratamiento a ambas sociedades investigadas. En tal sentido, señala que “ De acuerdo con las evidencias obrantes en el expediente, la relación jurídica entre Coomeva y Cerid frente a los hechos objeto de investigación es inequívoca: Cerid ostentaba la calidad de Encargado y Coomeva la de Responsable. Para llegar a esta conclusión bastaba con que la Dirección se remitiera a las siguientes pruebas documentales: (i) el Contrato de Prestación de Servicios Asistenciales N° MPCA-0702011; (ii) su respectivo Otrosí suscrito el 2 de noviembre de 2022, en los que se indica expresamente que Cerid actuaba como Encargado del Tratamiento de Coomeva; (iii) la respuesta dada por Coomeva el 19 de julio (22373421-9-0) al requerimiento de información de la Dirección del 7 de julio de 2023 (22-373421-7-0), en la cual, antes incluso de iniciarse la investigación, se informó a la Dirección el rol de cada agente; y (iv) las instrucciones impartidas por Coomeva a Cerid, verificables en el correo electrónico remitido por Milena García (funcionaria de Coomeva) a Cerid el 13 de septiembre de 2022”.

Sin embargo, esas afirmaciones desconocen ampliamente las consideraciones

por Coomeva a Cerid, verificables en el correo electrónico remitido por Milena García (funcionaria de Coomeva) a Cerid el 13 de septiembre de 2022”.

Sin embargo, esas afirmaciones desconocen ampliamente las consideraciones sentadas en la Resolución recurrida, pues en ella puede fácilmente apreciarse que esta Dirección sí estudió el contenido y alcance de cada una de las piezas probatorias enlistadas por el representante de la sociedad COOMEVA, asignando el correspondiente valor probatorio. Ahora, es claro que el hecho mismo de que la consecuencia de dicha valoración no haya resultado favorable a los intereses de la recurrente, no implica que se hubiere configurado una falsa motivación que amerite nulitar los efectos jurídicos del acto administrativo.

En tal sentido, para los fines de este recurso se traerá a colación lo expuesto en la decisión impugnada:

(i) El Contrato de Prestación de Servicios Asistenciales N° MP-CA-0702011:

“Por otro lado, sugiere el Doctor David Toro que esta Superintendencia debe “escudriñar” el contrato de prestación de servicios asistenciales persona jurídica MP-CA-070-2011 datado del año 2011, a fin de evidenciar la subordinación por parte de CERID a su p oderdante que derive en la concurrencia de los presupuestos para fungir como Encargado del tratamiento de datos personales. Postura que no se ajusta al análisis realizado por la Honorable Corte Constitucional respecto a las definiciones entregadas por la L ey 1581 de 2012, literales d) y e) del artículo 3°, así:

d) Encargado del Tratamiento: Persona natural o jurídica, pública o

Constitucional respecto a las definiciones entregadas por la L ey 1581 de 2012, literales d) y e) del artículo 3°, así:

d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

Sobre esto, el alto Tribunal estableció mediante Sentencia C-748 de 2011, que: “El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza elRESOLUCIÓN NÚMERO 99866 DE 2025

“Por la cual se resuelve un recurso”

Página 7 de 13

tratamiento de datos personales por cuenta del responsable del tratamiento. Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos

(…)

El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos . También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación,

indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable. (se destaca)

Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente - los fines y medios del tratamiento. Usualmente, (…) el responsable es el propietario de la base de datos; sin embargo, (…) la definic ión del proyecto de ley es amplia y no se restringe a dicha hipótesis.

(…)

Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una –el responsablele señala a la otra –el encargado - como quiere el procesamiento de unos determinados datos . En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados.

(…)

También es necesario precisar, como lo señala la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en

(…)

También es necesario precisar, como lo señala la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad. En ese orden de ideas, corresponderá a la autoridad competente de asegurar la vigilancia, control y garantía del dato personal, examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad.”

Bajo estas consideraciones, se insiste en que más allá de la existencia de un vínculo contractual (de carácter comercial) entre ambas sociedades, no obra pieza probatoria alguna que exhiba un acuerdo expreso, previo al acaecimiento de la conducta, sobre el cual la sociedad CERID hubiere recibido unas directrices por parte de COOMEVA respecto a las condiciones en que debía llevar a cabo el tratamiento (almacenamiento, uso, circulación y supresión) de la información que le iba a ser transmitida en el marco de la prestación de los servicios contratados.

Es preciso entonces, destacar que el correo electrónico de fecha 13 de septiembre de 20226, aportado a la investigación, tan solo da cuenta de las especificaciones comerciales para la realización de los procedimientos médicos, pero no imparte pautas para el manejo de la información, motivo por el cual seRESOLUCIÓN NÚMERO 99866 DE 2025

especificaciones comerciales para la realización de los procedimientos médicos, pero no imparte pautas para el manejo de la información, motivo por el cual seRESOLUCIÓN NÚMERO 99866 DE 2025

“Por la cual se resuelve un recurso”

Página 8 de 13

ratifica la posición solidaria de Responsable entre las dos sociedades investigadas”3.

1. Su respectivo Otrosí suscrito el 2 de noviembre de 2022, en los que se indica expresamente que Cerid actuaba como Encargado del Tratamiento de

Coomeva.

“Respecto a esto, se observó de una parte, que la sociedad CERID aportó copia del denominado “otrosí al contrato de prestación de servicios asistenciales persona jurídica NO. MP-CA-070-2011” documento que, se advierte, no incl