SIC - Resolución 35251 de 2025

Página 1 de 12

RESOLUCIÓN NÚMERO ________35251_________ DE 2025

(10 de junio 2025)

“Por la cual se resuelve un recurso de apelación”

Radicado 24-212229

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que el 15 de mayo de 2024, la Dirección de investigaciones de protección de datos personales (en adelante la Dirección) mediante oficio No. 24-212229-0, le solicitó al Grupo de Trabajo de investigaciones administrativas iniciar una actuación en contra de la sociedad EPS SURAMERICANA S.A., al evidenciar que, pese a ser sujeto obligado, no realizó el registro de sus bases de datos en el Registro Nacional de Bases de Datos - RNBD.

SEGUNDO. Que la Dirección consideró que la sociedad a pesar de cumplir con los requisitos establecidos en el literal a) del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado a su vez por el artículo 1 del Decreto 090 del 18 de enero de 2018, omitió registrar sus bases de datos en el Registro Nacional de Bases de Dat os dentro de los plazos establecidos. Por tanto, mediante la Resolución No. 28909 del 31 de mayo de 2024 decidió impartirle la siguiente orden preventiva:

Bases de Dat os dentro de los plazos establecidos. Por tanto, mediante la Resolución No. 28909 del 31 de mayo de 2024 decidió impartirle la siguiente orden preventiva:

“ARTÍCULO 1: ORDENAR a EPS SURAMERICANA S.A., identificada con NIT 800.088.702-2, en su calidad de Responsable del Tratamiento de Datos Personales, que realice la inscripción en el Registro Nacional de Bases de DatosRNBD de las bases de datos que contengan información person al cuyo Tratamiento automatizado o manual sea realizado por esa entidad.

PARÁGRAFO PRIMERO: EPS SURAMERICANA S.A., deberá cumplir lo ordenado en esta resolución en el término de UN (1) mes, siguiente a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO: EPS SURAMERICANA S.A , deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) días hábiles siguientes a la expiración del plazo previsto en el parágrafo anterior.”

TERCERO. Que, encontrándose dentro del término de Ley, la sociedad EPS SURAMERICANA S.A., (en adelante la RECURRENTE), mediante escrito radicado con el número 24-212229-5 de fecha 19 de junio de 2024, a través de su representante legal , presentó recurso de reposición y en subsidio de apelación1 en contra de la decisión contenida en la Resolución No. 28909 del 31 de mayo de 2024.

Solicitó la revocatoria de la orden impartida, alegando que la sociedad no actúa como responsable, sino como encargado del tratamiento de los datos personales, siendo SURAMERICANA S.A. quien ostenta la calidad de

de mayo de 2024.

Solicitó la revocatoria de la orden impartida, alegando que la sociedad no actúa como responsable, sino como encargado del tratamiento de los datos personales, siendo SURAMERICANA S.A. quien ostenta la calidad de

1 La Resolución No. 28909 del 31 de mayo de 2024, fue notificada personalmente la RECURRENTE, el 6 de junio de 2024.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO _________35251________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 2 de 12

responsable dentro del grupo empresarial. Señaló que existen precedentes con otras empresas del grupo SURA (como Seguros de Vida Suramericana SA), en donde la Superintendencia asumió dicha estructura operativa mediante radicado 19-130080.

Indicó que esta figura busca ofrecer transparencia al titular de los datos, facilitar su interacción con un único interlocutor y se encuentra amparada por políticas internas, contratos de transmisión y avisos de privacidad que la comunican. Finalmente agregó que s i bien la legislación colombiana no contempla expresamente la posibilidad de que una empresa controlante sea la única responsable frente a sus controlados, tampoco lo prohíbe, y señaló para respaldar su dicho lo establecido en el RGPD europeo.

CUARTO. Que la Dirección, mediante Resolución No. 53627 del 16 de septiembre de 2024, durante el trámite del recurso de reposición, decretó de oficio la práctica de las siguientes pruebas:

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

• Ordenar a la sociedad EPS SURAMERICANA S.A., con el NIT.

oficio la práctica de las siguientes pruebas:

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

• Ordenar a la sociedad EPS SURAMERICANA S.A., con el NIT. 800.088.7022, que informe y allegue con destino al expediente

de la referencia 24-212229 lo siguiente:

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos: • Los empleados y sus hojas de vida • La nómina • Los accionistas • La junta directiva • Los revisores fiscales • Los prestadores de servicios • Los contratistas • Los proveedores • Los afiliados • Los usuarios • Los clientes • Los datos clínicos • Las historias clínicas • Los registros de vacunación covid-19 • El directorio médico • El portal de los funcionarios • El portal de los afiliados • La atención de PQRS • Los registros de atención hospitalaria • Los registros de atención hospitalaria en urgencias • Los registros de gestión ambulatoria • Los registros de las jornadas de promoción y prevención • Los registros biométricos de seguridad • Los archivos de video vigilancia.

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas.

4. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de

las bases de datos anteriormente descritas.

4. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

5. Indique si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD. Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra.

6. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.RESOLUCIÓN NÚMERO _________35251________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 3 de 12

7. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

8. Adjunte el contrato de transmisión de datos personales firmado entre SURAMERICANA S.A. (Responsable) y EPS SURAMERICANA

S.A. (Encargado).”

QUINTO. Que la sociedad recurrente otorgó respuesta mediante comunicación radicado 24-212229-11 del 30 de septiembre de 2024.

A continuación, se presenta una síntesis de las respuestas de la sociedad a cada una de las solicitudes formuladas por la Dirección:

información requerida Respuesta

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos: • Los empleados y sus hojas de vida • La nómina

información requerida Respuesta

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos: • Los empleados y sus hojas de vida • La nómina • Los accionistas • La junta directiva • Los revisores fiscales • Los prestadores de servicios • Los contratistas • Los proveedores • Los afiliados • Los usuarios • Los clientes • Los datos clínicos • Las historias clínicas • Los registros de vacunación covid-19 • El directorio médico • El portal de los funcionarios • El portal de los afiliados • La atención de PQRS • Los registros de atención hospitalaria • Los registros de atención hospitalaria en urgencias • Los registros de gestión ambulatoria • Los registros de las jornadas de promoción y prevención • Los registros biométricos de seguridad • Los archivos de video vigilancia.

Señaló que SURAMERICANA S.A. ha definido un ciclo de vida del dato con seis etapas: recopilación, almacenamiento, uso, gestión, protección y borrado. Este proceso se gestiona de forma centralizada a través de agrupadores tecnológicos, conformados por plata formas y sistemas de información que permiten administrar los datos personales de manera eficiente y conforme a las normas de protección de datos.

Para clientes/afiliados, la gestión se realiza mediante un Modelo Único de Cliente (MDC), que centraliza los datos sin importar su fuente de ingreso. Para empleados y proveedores, el tratamiento se realiza desde los sistemas de las áreas responsables.

Etapas destacadas del ciclo de vida del dato: Captura: La información ingresa por múltiples

centraliza los datos sin importar su fuente de ingreso. Para empleados y proveedores, el tratamiento se realiza desde los sistemas de las áreas responsables.

Etapas destacadas del ciclo de vida del dato: Captura: La información ingresa por múltiples canales y se canaliza al MDC, asegurando calidad y cumplimiento normativo.

Almacenamiento: Se realiza en una base de datos centralizada y segura, evitando duplicidades y garantizando integridad mediante encriptación y controles de acceso.

Uso: El acceso a los datos es controlado y se limita a los fines autorizados, como prestación de servicios, gestión laboral o cumplimiento de obligaciones legales.

Gestión: Los dato s son actualizados constantemente y pueden ser compartidos con terceros autorizados bajo estrictas condiciones de legalidad y confidencialidad.

Protección: Se aplican medidas técnicas y organizativas, como encriptación, controles por roles, auditorías y políticas de respaldo.

Supresión: Los datos se eliminan conforme a los plazos legales, usando métodos seguros que impiden su recuperación no autorizada.

Finalmente, se adjuntan tres documentos específicos que detallan el ciclo de vida del dato para clientes, empleados y proveedores.RESOLUCIÓN NÚMERO _________35251________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 4 de 12

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La compañía ha adoptado un robusto conjunto de medidas técnicas, organizativas y administrativas

sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La compañía ha adoptado un robusto conjunto de medidas técnicas, organizativas y administrativas para prevenir la adulteración, pérdida, acceso, uso o consulta no autorizada o fraudulenta de la información personal, entre las cuales destaca: Medidas técnic as: (Controles de acceso y segregación de funciones, Cifrado de datos en tránsito y en reposo, Logs de auditoría y trazabilidad, Separación de ambientes (desarrollo, prueba y producción), Firewall perimetral y de centro de cómputo, junto con un centro de c ómputo alterno, Cifrado de información confidencial y certificados digitales para servicios transaccionales, VPN para acceso remoto y sistemas antimalware en puntos finales, Control de fuga de información y Sistema centralizado de autenticación y autorizac ión. Medidas organizativas y administrativas: Políticas de seguridad de la información, ciberseguridad y protección de datos personales, Procedimientos documentados, Capacitación constante, Auditorías de seguridad periódicas, Sistema SOC (Security Operatio ns Center) para detección y respuesta a incidentes, Sistema de backup continuo, política de recuperación de información y Póliza de riesgos cibernéticos.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas.

Adjuntó: FORMULARIO ÚNICO DE AFILIACIÓN Y REGISTRO DE NOVEDADES AL SISTEMA GENERAL DE SEGURIDAD SOCIAL en salud de la EPS y medicina prepagada suramericana s.a.,

FORMULARIO PARA LA IDENTIFICACIÓN DE

Adjuntó: FORMULARIO ÚNICO DE AFILIACIÓN Y REGISTRO DE NOVEDADES AL SISTEMA GENERAL DE SEGURIDAD SOCIAL en salud de la EPS y medicina prepagada suramericana s.a.,

FORMULARIO PARA LA IDENTIFICACIÓN DE PARTES RELACIONADAS Y CONFLICTOS DE INTERÉS, formulario campos magneto (sic) empleados, formulario PQRS, formulario Ariba y campos SAP, minuta contrato laboral.

Asimismo, indicó que para la recolección de datos personales utiliza los siguientes mecanismos:

1. Empleados: Plataformas utilizadas: Magneto

(selección) y SuccessFactor (gestión laboral).

Autorización: Se otorga al postularse en Magneto y al firmar el contrato laboral.

2. Accionistas y Revisores Fiscales: No se recolectan datos personales, ya que son personas jurídicas.

3. Miembros de Junta Directiva: Formulario de vinculación, que incluye declaración de conflicto de intereses y autorización para tratamien to de datos.

4. Proveedores, contratistas y prestadores de servicios (personas naturales): Plataforma utilizada: ARIBA.

5. Afiliados, usuarios, clientes (Sistema de Seguridad Social en Salud): Formularios físicos en puntos de atención y plataforma del Sistema de

Afiliación Transaccional (SAT).

6. Atención de PQRS: Formulario web.

7. Datos clínicos y sensibles (salud): Formulario de afiliación y aplicativos clínicos (historias clínicas electrónicas, registros hospitalarios, vacunación, etc.).

8. Directorio médico: Datos recolectados a través de los sistemas ya mencionados (empleados y proveedores).

9. Portal de funcionarios: Administra la

clínicas electrónicas, registros hospitalarios, vacunación, etc.).

8. Directorio médico: Datos recolectados a través de los sistemas ya mencionados (empleados y proveedores).

9. Portal de funcionarios: Administra la información de empleados capturada por SuccessFactor, la autorización se incluye en el contrato laboral.

10. Videovigilancia: Cámaras en instalaciones con señalización visible.

11. Datos biométricos: Autorización expresa y escrita en el contrato laboral.

4. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

Indicó las siguientes 24 bases de datos:RESOLUCIÓN NÚMERO _________35251________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 5 de 12

5. Indique si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD.

Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra. Afirmó que todas las bases de datos mencionadas se encuentran debidamente registradas en el RNBD.

6. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

Señaló que EPS SURAMERICA S.A. ha sido designado como Encargado de las siguientes bases de datos registradas por SURAMERICANA

S.A. en el RNBD: ◦ Comercial EPS ◦ Servicio y Operación de Salud

◦ CRM

◦ GESTIÓN LEGAL

designado como Encargado de las siguientes bases de datos registradas por SURAMERICANA

S.A. en el RNBD: ◦ Comercial EPS ◦ Servicio y Operación de Salud

◦ CRM

◦ GESTIÓN LEGAL

◦ PROVEEDORES

◦ Talento Humano ◦ Historia Clínica Digital ◦ Historia Clínica física ◦ Gestión Documental e Información Física ◦ Gestión Documental e Información Digital ◦ Secretaría general ◦ Video vigilancia
Línea Ética

7. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

Indicó que en los contratos laborales suscritos con los empleados se ha estipulado en la Cláusula Novena, que dice lo siguiente:

“EL EMPLEADO, se obliga a guardar absoluta reserva sobre toda la información que adquiera o conozca directa o indirectamente de LA EMPRESA, clientes, usuarios, proveedores, aliados, contratistas, superiores, compañeros de trabajo (aún en sus relaciones personales) y empleados y/o contratistas de las demás compañías con las que el empleador tenga relación y se obliga a no utilizar é sta fuera de la Empresa, a no comunicarlo a terceros, en especial pero sin limitarse a, los secretos profesionales, industriales, comerciales y tecnológicos de la empresa, como software, operaciones, desarrollos de sistemas, análisis, estudios, bases de datos, diseños, dibujos, sistemas de cálculos, entre otros, o de aquella información de

industriales, comerciales y tecnológicos de la empresa, como software, operaciones, desarrollos de sistemas, análisis, estudios, bases de datos, diseños, dibujos, sistemas de cálculos, entre otros, o de aquella información de naturaleza reservada. Esta obligación de no revelar la información confidencial estará vigente durante el término del contrato e inclusive después de finalizada la relación laboral, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la ley. L a obligación de no revelar la información confidencial estará vigente durante el término del contrato, y diez (10) años posteriores a su terminación. La violación de esta obligación durante la vigencia del contrato constituye falta grave que da lugar a la terminación del contrato de trabajo La violación de esta obligación durante la vigencia del contrato constituye falta grave que da lugar a la terminación del contrato de trabajo con justa causa, aún por la primera vez. Finalizado el contrato de trabajo, da lugar al pago de la indemnización de los perjuicios que cause a

LA EMPRESA.

EL EMPLEADO acepta que la información de carácter confidencial incluye, pero no se limita aRESOLUCIÓN NÚMERO _________35251________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 6 de 12

toda la información de la compañía y/o de cualquiera de sus clientes y/o potenciales clientes, usuarios y/o potenciales usuarios, como la relacionada con cifras, los comprobantes contables, pagos, planes, negocios, procedimientos, datos personales y de salud, estrategias (incluidas las publicitarias), y

clientes, usuarios y/o potenciales usuarios, como la relacionada con cifras, los comprobantes contables, pagos, planes, negocios, procedimientos, datos personales y de salud, estrategias (incluidas las publicitarias), y políticas. Se presume como violación del compromiso de confidencialidad y por ende un incumplimiento del presente acuerdo, cualquier utilización o divulgación de la información confidencial con la intención de obtener un provecho personal, directa o indire ctamente, lo cual incluy e la utilización de la información confidencial en la realización de trabajos o la prestación de servicios a personas naturales o jurídicas que desarrollen actividades similares o conexas al objeto social de LA EMPRESA.

EL EMPLEADO se obliga a devolver toda la información confidencial a la terminación del contrato de trabajo como documentos, archivos, informes, etc.

PARAGRAFO: Queda prohibido manipular, poner en conocimiento de terceros, divulgar, utilizar, extraer, almacenar o compartir la historia clínica, datos clínicos y similares de los usuarios del empleador o de las empresas con las que éste tenga relación. Así mismo, está prohibido ingresar a la historia clínica información ficticia o inexacta sobre el estado de salud del paciente, fa miliar, amigos, compañeros de trabajo, colegas, con el fin de obtener para ellos: tratamientos, incapacidades, ayudas diagnósticas, remisiones, exención de cuotas moderadoras y/o copagos. EL EMPLEADO no debe consignar en la historia clínica información no veraz o sin haber realizado previamente una evaluación clínica del paciente, y debe evitar utilizar la opción copiar - pegar información en la historia clínica.”

EMPLEADO no debe consignar en la historia clínica información no veraz o sin haber realizado previamente una evaluación clínica del paciente, y debe evitar utilizar la opción copiar - pegar información en la historia clínica.”

8. Adjunte el contrato de transmisión de datos personales firmado entre SURAMERICANA S.A.

(Responsable) y EPS SURAMERICANA S.A. (Encargado).” Señaló que adjuntó copia del contrato suscrito con Suramericana S.A., en el cual se establece el rol que tendrá tal sociedad en calidad de responsable del tratamiento, como controlante directa, y EPS SURAMERICANA S.A. como encargado del tratamiento , sin embargo, en el expediente no obra el mencionado documento.

SEXTO. Que la Dirección, mediante Resolución No. 7404 del 24 de febrero de 2025, resolvió el recurso de reposición interpuesto confirmando en todas sus partes la Resolución No. 28909 del 31 de mayo de 2024. Lo anterior, al concluir que cada sociedad que actúe como responsable del tratamiento de datos personales debe registrar sus bases de datos en el RNBD, incluso si también actúa como encargada para otra entidad. La pertenencia a un grupo empresarial no exime de esta obligación, ya que cada sociedad es autónoma en el manejo de sus datos. Por lo tanto, EPS SURAMERICANA S.A., cumple con los requisitos legales para registrar sus bases de datos ante el RNBD.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 , del artículo 16 del

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 , del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022).

7.1. Sobre la calidad de responsable del tratamiento de datos y la obligación de registrar las bases de datos en el RNBD

La Ley 1581 de 2012, en su artículo 25, define el Registro Nacional de Bases de datos como un directorio público de las bases de datos sujetas a Tratamiento que operan en el país; así:

“Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consu lta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a laRESOLUCIÓN NÚMERO _________35251________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 7 de 12

Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.”

A su vez, el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, dispone que las

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.”

A su vez, el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, dispone que las sociedades y entidades sin ánimo de lucro cuyos activos totales superen las 100.000 UVT están obligadas a registrar sus bases de datos en el Registro Nacional de Bases de Datos (R NBD). Asimismo, el artículo 2.2.2.26.3.1 del Decreto Único Reglamentario 1074 de 2015, establece que la obligación de efectuar el registro recae sobre los Responsables del Tratamiento.

De esta manera, la normativa exige el cumplimiento de dos requisitos para que una sociedad esté obligada a registrar sus bases de datos en el RNBD: (i) ser responsable del Tratamiento y (ii) contar con activos totales que excedan las 100.000 UVT.

El artículo 3 de la Ley 1581 de 2012 define como responsable del tratamiento a la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos. A su vez, define como encargado a quien realice el tratamiento de datos por cuenta del responsable.

Esta distinción ha sido desarrollada jurisprudencialmente por la Corte Constitucional en la Sentencia C-748 de 2011, que precisó:

“Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el

personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmentelos fines y medios del tratamiento. Usualmente, (…) el responsable es el propietario de la base de datos[193]; sin embargo, (…) la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis.

(…)

Así, por ejemplo, será responsable del dato el hospital que crea la historia clínica de su paciente, la universidad o las instituciones educativas en relación con los datos de sus alumnos, pues estos determinan la finalidad (en razón de su objeto que, puede estar señalado en una ley o por el giro normal de la actividad que se desarrolla) para la recolección de los datos, así como la forma en que los datos serán procesados, almacenados, circulados, etc.”

La Corte también advirtió que:

“(…) no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad. [196] (…) corresponderá a la autoridad competente (…) examinar la posición que ocupa cada agente en el tratamiento del dato, en especi al, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad[197].

lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad[197].

Finalmente, como ejemplifica la Directiva referida –ejemplos que la Sala considera también son aplicables a nuestro caso, el responsable del tratamiento puede surgir: (i) cuando en el cumplimiento de una determinada función, se impone la recolección de datos, por ejemplo, en el caso de l a seguridad social; la directiva en comento denomina esta situación competencia legal explícita; (ii) cuando en el ámbito propio de la actividad se produce el tratamiento, se trata del caso de los empleadores frente a sus trabajadores, lo que se denomina competencia jurídica implícita; y (iii) cuando sin existir las competencias anteriores, se tiene laRESOLUCIÓN NÚMERO _________35251________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 8 de 12

capacidad de determinación, hecho que se denomina capacidad de influencia de hecho.

(…) En esa línea, lo importante para una verdadera garantía del derecho al habeas data, es que se pueda establecer de manera clara la responsabilidad de cada sujeto o agente en el evento en que el titular del dato decida ejercer sus derechos. Cuando dicha determinación no exista o resulte difícil llegar a ella, las autoridades correspondientes habrán de presumir la responsabilidad solidaria de todos, aspecto éste sobre el que guarda silencio el proyecto de ley y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta[199].” (resaltado fuera del texto)

el que guarda silencio el proyecto de ley y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta[199].” (resaltado fuera del texto)

En definitiva, el responsable del tratamiento de datos puede determinarse a partir de: (i) una competencia legal explícita, cuando una función impone la recolección y tratamiento de los datos; (ii) una competencia jurídica implícita, cuando el tratamiento de los datos es inherente a la actividad desarrollada; y (iii) la capacidad de influencia de hecho, cuando, sin mediar competencia legal o jurídica expresa, existe la posibilidad real de decidir sobre el tratamiento de datos personales. Asimismo, el rol de responsable del tratamiento puede ser asumido por una o por varias personas, que pueden t ener “varios grados de responsabilidad” en función de la gestión de la información personal sobre la que deciden ya las finalidades, ya los medios del tratamiento. Cuando no sea posible identificar de manera clara al responsable entre varias personas que en asocio decidan sobre el tratamiento , las autoridades deberán presumir la responsabilidad solidaria de todos los agentes como posibles responsables, para garantizar la protección efectiva de los derechos consagrados en el artículo 15 de la Constitución.

Frente a este caso, p ara esta Delegatura no existe duda de l a condición de Responsable del tratamiento de datos personales de la EPS SURAMERICANA S.A. Esto es así en virtud de los siguientes argumentos.

En primer lugar, EPS