SIC - Resolución 36579 de 2025

Página 1 de 17

RESOLUCIÓN NÚMERO ________36579_________ DE 2025

(13 de junio 2025)

“Por la cual se resuelve un recurso de apelación”

Radicado 24-65009

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que el 13 de febrero de 2024, la Dirección de investigaciones de protección de datos personales (en adelante la Dirección) mediante oficio No. 24-65009-0, le solicitó al Grupo de Trabajo de investigaciones administrativas iniciar una actuación en contra de la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S , al evidenciar que, pese a ser sujeto obligado, no realizó el registro de sus bases de datos en el Registro Nacional de Bases de Datos - RNBD.

SEGUNDO. Que la Dirección consideró que la sociedad cumple con los requisitos establecidos en el literal a) del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado a su vez por el artículo 1 del Decreto 090 del 18 de enero de 2018, por lo que, al ser un suje to obligado, omitió registrar sus bases de datos en el Registro Nacional de Bases de Datos dentro de los plazos establecidos. Por lo tanto, se encontró procedente impartir una orden preventiva mediante la

por lo que, al ser un suje to obligado, omitió registrar sus bases de datos en el Registro Nacional de Bases de Datos dentro de los plazos establecidos. Por lo tanto, se encontró procedente impartir una orden preventiva mediante la Resolución No. 6069 del 28 de febrero de 2024, de la siguiente manera:

“ARTÍCULO 1: ORDENAR a SERVICIOS DE SALUD IPS SURAMERICANA S.A.S, identificada con NIT 811.007.832-5, en su calidad de Responsable del Tratamiento de Datos Personales, que realice la inscripción en el Registro Nacional de Bases de Datos - RNBD de las bases de datos que contengan información personal cuyo Tratamiento automatizado o manual sea realizado por esa entidad.

PARÁGRAFO PRIMERO: SERVICIOS DE SALUD IPS SURAMERICANA S.A.S, deberá cumplir lo ordenado en esta resolución en el término de UN (1) mes, siguiente a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO: EPS SURAMERICANA S.A , deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) días hábiles siguientes a la expiración del plazo previsto en el parágrafo anterior.”

TERCERO. Que, encontrándose dentro del término de Ley, la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S , (en adelante la RECURRENTE), mediante escrito radicado con el número 24-65009-7 de fecha 14 de marzo de 2024, a través de su representante legal, presentó recursos de reposición y apelación1 en contra de la decisión contenida en la Resolución No. 6069 del 28 de febrero de 2024.

14 de marzo de 2024, a través de su representante legal, presentó recursos de reposición y apelación1 en contra de la decisión contenida en la Resolución No. 6069 del 28 de febrero de 2024.

1 La Resolución No. 6069 del 28 de febrero de 2024, fue notificada personalmente la RECURRENTE, el 11 de marzo de 2024.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO ________36579_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 2 de 17

Solicitó la revocatoria de la orden impartida, argumentando que, previamente, mediante el radicado No. 19-134160, la Dirección le había requerido información en relación con el deber de registro en el RNBD. En respuesta, la sociedad indicó que no había realizado dicho registro, toda vez que no actúa como responsable del tratamiento, sino como encargado, siendo SURAMERICANA S.A. quien ostenta la calidad de responsable dentro del grupo empresarial. Señaló, además, que el responsable realizó el registro en el RNBD de las 11 bases de datos respecto de las cuales SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. actúa únicamente como encargado del tratamiento. Aportó copia de la Política de Tratamiento de Datos Personales, la Política de Seguridad y Ciberseguridad, así como del Manual de Políticas y Procedimientos para la Protección de Datos Personales.

Por otra parte, manifestó que la Dirección, mediante comunicado de 2 de marzo de 2020, concluyó que SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. figura en el Registro Nacional de Bases de Datos como encargado del tratamiento

Personales.

Por otra parte, manifestó que la Dirección, mediante comunicado de 2 de marzo de 2020, concluyó que SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. figura en el Registro Nacional de Bases de Datos como encargado del tratamiento de las bases de datos de SURAMERICANA S.A., razón por la cual se decidió archivar el expediente, al no encontrarse mérito para imponer una orden o iniciar una actuación administrativa sancionatoria.

Indicó que, desde la decisión de archivo de la Dirección, no se han producido cambios recientes en la estructura societaria de SURAMERICANA S.A. , sociedad que ejerce el control directo o indirecto de las compañías del Grupo SURA en Colombia, incluida SERVICIOS DE SALUD IPS SURAMERICANA S.A.S., y que actúa como responsable del tratamiento de datos personales.

Afirmó que contar con un único responsable para el grupo empresarial busca brindar mayor transparencia al titular de los datos, simplificar la interacción con un solo interlocutor y evitar confusiones. Aunque la figura de una sociedad controlante como responsable del tratamiento no está expresamente regulada en la Ley 1581 de 2012, se fundamenta en referencias del RGPD europeo y se respalda mediante contratos de transmisión de datos.

CUARTO. Que la Dirección, mediante Resolución No. 73077 del 26 de noviembre de 2024, decretó de oficio, la práctica de las siguientes pruebas dentro del trámite del recurso de reposición:

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

• Ordenar a la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S, con el NIT. 811.007.832-5, que informe y allegue con destino

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

• Ordenar a la sociedad SERVICIOS DE SALUD IPS SURAMERICANA S.A.S, con el NIT. 811.007.832-5, que informe y allegue con destino al expediente de la referencia 24-65009 lo siguiente:

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos: • Los empleados y sus hojas de vida • La nómina • Los accionistas • La junta directiva • Los revisores fiscales • Los prestadores de servicios • Los contratistas • Los proveedores • Los afiliados • Los usuarios • Los clientes • Los datos clínicos • Las historias clínicas • Los registros de vacunación covid-19 • El directorio médico • El portal de los funcionarios • El portal de los afiliados • La atención de PQRS • Los registros de atención hospitalaria • Los registros de atención hospitalaria en urgencias • Los registros de gestión ambulatoria • Los registros de las jornadas de promoción y prevención • Los registros biométricos de seguridadRESOLUCIÓN NÚMERO ________36579_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 3 de 17

• Los archivos de video vigilancia.

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas.

pérdida, consulta, uso o acceso no autorizado o fraudulento.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas.

4. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

5. Indique si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD. Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra.

6. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

7. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

8. Adjunte el contrato de transmisión de datos personales firmado

entre SURAMERICANA S.A. (Responsable) y SERVICIOS DE SALUD

IPS SURAMERICANA S.A.S (Encargado).”

QUINTO. Que la sociedad recurrente otorgó respuesta mediante comunicación radicado 24-65009-12 del 9 de diciembre de 2024.

A continuación, se presenta una síntesis de las respuestas de la sociedad a cada una de las solicitudes formuladas por la Dirección:

información requerida Respuesta

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de

datos:

una de las solicitudes formuladas por la Dirección:

información requerida Respuesta

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos: • Los empleados y sus hojas de vida • La nómina • Los accionistas • La junta directiva • Los revisores fiscales • Los prestadores de servicios • Los contratistas • Los proveedores • Los afiliados • Los usuarios • Los clientes • Los datos clínicos • Las historias clínicas • Los registros de vacunación covid-19 • El directorio médico • El portal de los funcionarios • El portal de los afiliados • La atención de PQRS • Los registros de atención hospitalaria • Los registros de atención hospitalaria en urgencias • Los registros de gestión ambulatoria • Los registros de las jornadas de promoción y prevención • Los registros biométricos de seguridad • Los archivos de video vigilancia.

SURAMERICANA S.A. ha definido un ciclo de vida del dato con seis etapas: recopilación, almacenamiento, uso, gestión, protección y borrado. Este proceso se gestiona de forma centralizada a través de agrupadores tecnológicos, conformados por plataformas y sistemas de información que permiten administrar los datos personales de manera eficiente y conforme a las normas de protección de datos.

Para clientes/afiliados, la gestión se realiza mediante un Modelo Único de Cliente (MDC), que centraliza los datos sin importar su fuente de ingreso. Para empleados y proveedores, el tratamiento se realiza desde los sistemas de las áreas responsables. Etapas destacadas del ciclo de vida del dato: Captura: La información ingresa por múltiples

centraliza los datos sin importar su fuente de ingreso. Para empleados y proveedores, el tratamiento se realiza desde los sistemas de las áreas responsables. Etapas destacadas del ciclo de vida del dato: Captura: La información ingresa por múltiples canales y se canaliza al MDC, asegurando calidad y cumplimiento normativo.

Almacenamiento: Se realiza en una base de datos centralizada y segura, evitando duplicidades y garantizando integridad mediante encriptación y controles de acceso.

Uso: El acceso a los datos es controlado y se limita a los fines autorizados, como prestación de servicios, gestión laboral o cumplimiento de obligaciones legales.

Gestión: Los datos son actualizados constantemente y pueden ser compartidos con terceros autorizados bajo estrictas condiciones de legalidad y confidencialidad.

Protección: Se aplican medidas técnicas y organizativas, como encriptación, controles por roles, auditorías y políticas de respaldo.

Supresión: Los datos se eliminan conforme a los plazos legales, usando métodos seguros que impiden su recuperación no autorizada.RESOLUCIÓN NÚMERO ________36579_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 4 de 17

Finalmente, se adjuntan tres documentos específicos que detallan el ciclo de vida del dato para clientes, empleados y proveedores.

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Describe las principales medidas que ha adoptado, técnicas, organizativas y administrativas, para prevenir la adulteración,

sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Describe las principales medidas que ha adoptado, técnicas, organizativas y administrativas, para prevenir la adulteración, pérdida, acceso, uso o consulta no autorizada o fraudulenta de la información personal, entre las cuales destaca: Medidas técnicas: ( Controles de acceso y segregación de funciones, Cifrado de datos en tránsito y en reposo, Logs de auditoría y trazabilidad, Separación de ambientes (desarrollo, prueba y producción), Firewall perimetral y de centro de cómputo, junto con un centro de cómp uto alterno, Cifrado de información confidencial y certificados digitales para servicios transaccionales, VPN para acceso remoto y sistemas antimalware en puntos finales, Control de fuga de información y Sistema centralizado de autenticación y autorización. Medidas organizativas y administrativas: Políticas de seguridad de la información, ciberseguridad y protección de datos personales, Procedimientos documentados, Capacitación constante, Auditorías de seguridad periódicas, Sistema SOC (Security Operations Ce nter) para detección y respuesta a incidentes, Sistema de backup continuo, política de recuperación de información y Póliza de riesgos cibernéticos.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas.

Adjuntó: firma clientes seguros de vida, minuta contrato laboral, formulario Ariba y campos SAP, formulario PQRS, Campos Succes Magento, Declaración conflictos de inter és junta directiva, formulario único de afiliación EPS Sura. Asimismo,

Adjuntó: firma clientes seguros de vida, minuta contrato laboral, formulario Ariba y campos SAP, formulario PQRS, Campos Succes Magento, Declaración conflictos de inter és junta directiva, formulario único de afiliación EPS Sura. Asimismo, indicó que para la recolección de datos personales

utiliza los siguientes mecanismos:

1. Empleados: Plataformas utilizadas: Magneto

(selección) y SuccessFactor (gestión laboral).

Autorización: Se otorga al postularse en Magneto y al firmar el contrato laboral.

2. Accionistas y Revisores Fiscales: No se recolectan datos personales, ya que son personas jurídicas.

3. Miembros de Junta Directiva: Formulario de vinculación, que incluye declaración de conflicto de intereses y autorización para tratamiento de datos.

4. Proveedores, contratistas y prestadores de servicios (personas naturales): Plataforma utilizada: ARIBA.

5. Pacientes atendidos IPS Sura: Formularios de vinculación por seguros o EPS.

6. Atención de PQRS: Formulario web.

7. Datos clínicos y sensibles (salud): Formulario de afiliación y aplicativos clínicos (historias clínicas electrónicas, registros hospitalarios, vacunación, etc.).

8. Directorio médico: Datos recolectados a través de los sistemas ya mencionados (empleados y proveedores).

9. Portal de funcionarios: Administra la información de empleados capturada por SuccessFactor, la autorización se incluye en el contrato laboral.

10. Videovigilancia: Cámaras en instalaciones con señalización visible.

11. Datos biométricos: Autorización expresa y escrita en el contrato laboral.

SuccessFactor, la autorización se incluye en el contrato laboral.

10. Videovigilancia: Cámaras en instalaciones con señalización visible.

11. Datos biométricos: Autorización expresa y escrita en el contrato laboral.

4. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

Indicó las siguientes 24 bases de datos:RESOLUCIÓN NÚMERO ________36579_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 5 de 17

5. Indique si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD.

Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra. Afirmó que todas las bases de datos mencionadas se encuentran debidamente registradas en el RNBD.

6. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

Señaló que IPS Sura ha sido designado como Encargado de las siguientes bases de datos registradas por SURAMERICANA S.A. en el RNBD: ◦ Servicio y Operación de Salud ◦ Historia Clínica Digital ◦ Comercial EPS ◦ Gestión del prestador ◦ Ayudas diagnósticas ◦ Historia Clínica física ◦ Gestión Legal ◦ Proveedores ◦ Talento Humano ◦ Gestión Documental e Información Física ◦ Gestión Documental e Información Digital ◦ Secretaría general

◦ Historia Clínica física ◦ Gestión Legal ◦ Proveedores ◦ Talento Humano ◦ Gestión Documental e Información Física ◦ Gestión Documental e Información Digital ◦ Secretaría general ◦ Videovigilancia

7. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

Indicó que en los contratos laborales suscritos con los empleados se ha estipulado en la Cláusula Novena, que dice lo siguiente:

“EL EMPLEADO, se obliga a guardar absoluta reserva sobre toda la información que adquiera o conozca directa o indirectamente de LA EMPRESA, clientes, usuarios, proveedores, aliados, contratistas, superiores, compañeros de trabajo (aún en sus relaciones personales) y empleados y/o contratistas de las demás compañías con las que el empleador tenga relación y se obliga a no utilizar é sta fuera de la Empresa, a no comunicarlo a terceros, en especial pero sin limitarse a, los secretos profesionales, industriales, comerciales y tecnológicos de la empresa, como software, operaciones, desarrollos de sistemas, análisis, estudios, bases de datos, diseños, dibujos, sistemas de cálculos, entre otros, o de aquella información de naturaleza reservada. Esta obligación de n o revelar la información confidencial estará vigente durante el término del contrato e inclusive después de finalizada la relación laboral, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo

revelar la información confidencial estará vigente durante el término del contrato e inclusive después de finalizada la relación laboral, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las ac tividades autorizadas en la ley. La obligación de no revelar la información confidencial estará vigente durante el término del contrato, y diez (10) años posteriores a su terminación. La violación de esta obligación durante la vigencia del contrato constit uye falta grave que da lugar a la terminación del contrato de trabajo La violación de esta obligación durante la vigencia del contrato constituye falta grave que da lugar a la terminación del contrato de trabajo con justa causa, aún por la primera vez. Finalizado el contrato de trabajo, da lugar al pago de la indemnización de los perjuicios que cause a

LA EMPRESA.

EL EMPLEADO acepta que la información de carácter confidencial incluye, pero no se limita a toda la información de la compañía y/o deRESOLUCIÓN NÚMERO ________36579_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 6 de 17

cualquiera de sus clientes y/o potenciales clientes, usuarios y/o potenciales usuarios, como la relacionada con cifras, los comprobantes contables, pagos, planes, negocios, procedimientos, datos personales y de salud, estrategias (incluidas las publicitarias), y políticas. Se presume como violación del compromiso de confidencialidad y por ende un incumplimiento del presente acuerdo, cualquier utilización o divulgación de la información confidencial con la intención de obtener un provecho personal, directa o indire ctamente, lo

políticas. Se presume como violación del compromiso de confidencialidad y por ende un incumplimiento del presente acuerdo, cualquier utilización o divulgación de la información confidencial con la intención de obtener un provecho personal, directa o indire ctamente, lo cual incluye la utilización de la información confidencial en la realización de trabajos o la prestación de servicios a personas naturales o jurídicas que desarrollen activida des similares o conexas al objeto social de LA EMPRESA.

EL EMPLEADO se obliga a devolver toda la información confidencial a la terminación del contrato de trabajo como documentos, archivos, informes, etc.

PARAGRAFO: Queda prohibido manipular, poner en conocimiento de terceros, divulgar, utilizar, extraer, almacenar o compartir la historia clínica, datos clínicos y similares de los usuarios del empleador o de las empresas con las que éste tenga relación. Así mismo, está prohibido ingresar a la historia clínica información ficticia o inexacta sobre el estado de salud del paciente, familiar, amigos, compañeros de trabajo, colegas, con el fin de obtener para ellos: tratamientos, incapacidades, ayudas diagnóstica s, remisiones, exención de cuotas moderadoras y/o copagos. EL EMPLEADO no debe consignar en la historia clínica información no veraz o sin haber realizado previamente una evaluación clínica del paciente, y debe evitar utilizar la opción copiar - pegar información en la historia clínica.”

8. Adjunte el contrato de transmisión de datos personales firmado entre SURAMERICANA S.A.

(Responsable) y SERVICIOS DE SALUD IPS SURAMERICANA S.A.S (Encargado).” Señaló que adjuntó copia del contrato suscrito

8. Adjunte el contrato de transmisión de datos personales firmado entre SURAMERICANA S.A.

(Responsable) y SERVICIOS DE SALUD IPS SURAMERICANA S.A.S (Encargado).” Señaló que adjuntó copia del contrato suscrito con Suramericana S.A., en el cual se establece el rol que tendrá tal sociedad en calidad de responsable del tratamiento, como controlante directa, y SERVICIOS DE SALUD IPS SURAMERICANA S.A.S como encargado del tratamiento, sin embargo, aportó el documento sólo hasta el 24 de abril de 2025 mediante comunicación radicado 24-65009-20.

SEXTO. Que la Dirección, mediante Resolución No. 17231 del 2 de abril de 2025, resolvió el recurso de reposición interpuesto confirmando en todas sus partes la Resolución No. 6069 del 28 de febrero de 2024 . Lo anterior, al concluir que el hecho de estar registrado como encargado en el RNBD no exime a una sociedad del deber de registrar las bases de datos sobre las que actúa como responsable. Para la Dirección del hecho de p ertenecer a un grupo empresarial no se sigue automáticamente que haya un único responsable, pues cada sociedad es independiente y debe registrar sus propias bases de datos. Asimismo, la Dirección recordó el deber de contar con un contrato de transmisión de datos personales entre el responsable y el encargado para garantizar la protección de los datos. Finalmente, c oncluyó que SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. cumple con los criterios para registrar sus bases de datos en el RNBD, ya que tiene activos superiores a 100.000 UVT y actúa como responsable del tratamiento.

SÉPTIMO. Que la Delegatura para la protección de datos personales es

datos en el RNBD, ya que tiene activos superiores a 100.000 UVT y actúa como responsable del tratamiento.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 , del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022).

7.1. Sobre la decisión de archivo en el radicado 19-134160

En ejercicio de las facultades conferidas a esta Delegatura en materia de inspección, vigilancia y control de los sujetos obligados dentro del Régimen de Protección de Datos Personales , particularmente en lo relacionado con la administración del Registro Nacional de Bases de Datos, la Dirección procedió aRESOLUCIÓN NÚMERO ________36579_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 7 de 17

requerir de oficio a SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. , mediante la comunicación identificada con el radicado No. 19-134160-0 del 14 de junio de 2019, lo siguiente:

“1. Exponga las razones por las cuales no llevó a cabo el proceso de inscripción de sus bases de datos en el Registro Nacional de Bases de Datos

– RNBD.

2. Sírvase remitir con destino a esta Dirección copia de la Política de

Tratamiento de Datos Personales.

3. Sírvase remitir con destino a esta Dirección copia del manual de Políticas de Seguridad.

4. Sírvase remitir con destino a esta Dirección copia del manual de

Tratamiento de Datos Personales.

3. Sírvase remitir con destino a esta Dirección copia del manual de Políticas de Seguridad.

4. Sírvase remitir con destino a esta Dirección copia del manual de procedimientos implementados por la organización para la atención de consultas y reclamos.

5. Sírvase remitir con destino a esta Dirección copia del manual de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información.

6. Señale a este Despacho cuáles son los mecanismos utilizados o las fuentes a través de las cuales recolecta los datos de los Titulares almacenados en sus bases de datos.”

Al respecto, la sociedad otorgó respuesta mediante comunicación de radicado 19-134160-3 del 13 de agosto de 2019, indicando lo siguiente:

Una vez revisada la respuesta otorgada por la sociedad , la Dirección de Protección de Datos Personales decidió archivar el requerimiento inicial formulado a SERVICIOS DE SALUD IPS SURAMERICANA S.A.S., señalando lo siguiente:RESOLUCIÓN NÚMERO ________36579_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 8 de 17

De lo expuesto es claro que la decisión de archivar el requerimiento inicial formulado a SERVICIOS DE SALUD IPS SURAMERICANA S.A.S. se fundamentó en la constatación de que las bases de datos de marras estaban registradas en el Registro Nacional de Bases de Datos (RNBD) y que, con base en ello, en su momento, no se encontró mérito para imponer correctivos o iniciar una investigación. Sin embargo, se dejó expresamente señalado lo siguiente:

registradas en el Registro Nacional de Bases de Datos (RNBD) y que, con base en ello, en su momento, no se encontró mérito para imponer correctivos o iniciar una investigación. Sin embargo, se dejó expresamente señalado lo siguiente:

“De acuerdo con la información recolectada, esta Dirección decide archivar el presente expediente, ya que no se encuentra mérito para impartir una orden o iniciar una actuación administrativa sancionatoria. Sin embargo, lo anterior no se puede entender como una limitante a la potestad de investigación, vigilancia y control que tiene esta Superintendencia con respecto al derecho fundamental a la protección de datos personales de los titulares de los datos tratados por SERVICIOS DE SALUD IPS SURAM ERICANA S.A.S., con base en la Ley 1581 de 2012." (resaltado fuera del texto)RESOLUCIÓN NÚMERO ________36579_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 9 de 17

Por lo anterior, es claro que este archivo obedeció únicamente a la ausencia de mérito para iniciar actuaciones en ese momento, pero de ninguna manera implicó que la Superintendencia renunciara a su competencia de vigilancia y control o que se extinguiera su potestad de adoptar, en el futuro, medid as preventivas o correctivas.

De igual forma, debe recordarse que las decisiones de archivo , especialmente aquellas adoptadas en fase de requerimiento preliminar , no comportan un pronunciamiento de fondo, ni definitivo sobre un asunto de derecho, no modifican la situación jurídica de l os vigilados , no define n ni le confiere n derechos y, sobre todo, no implican el agotamiento de la competencia de la autoridad de control.

pronunciamiento de fondo, ni definitivo sobre un asunto de derecho, no modifican la situación jurídica de l os vigilados , no define n ni le confiere n derechos y, sobre todo, no implican el agotamiento de la competencia de la autoridad de control.

Respecto de lo manifestado por la sociedad recurrente en cuanto a que, “si una situación ya fue evaluada y resuelta sin encontrar infracción normativa, no es coherente ni legalmente válido reabrir el caso para emitir una nueva decisión contradictoria sobre los mismos hechos, salvo que existan circunstancias nuevas o desconocidas que lo justifiquen ”, es necesario aclarar que en la decisión de archivo en el radicado 19 -134160 la eventual calidad de responsable del tratamiento de datos personales por parte de la sociedad, no fue objeto de evaluación ni de resolución. Pues ese no era, ni fue el alcance de esa decisión de archivo. Como tampoco se declaró, por ejemplo, la inexistencia de infracción normativa alguna. Entonces, la Dirección se limitó a verificar el registro de las bases de datos en el Registro Nacional de Bases de Datos (RNBD) y visto esto, se procedió a archivar el asunto.

Esta Delegatura constata en consecuencia que para entonces la Dirección no adoptó un acto administrativo definitivo que agota se el debate jurídico o que configurase una suerte de “cosa juzgada administrativa”. Tampoco advierte esta Delegatura que a partir de la notificación de dicha decisión de archivo se consolidara una situación jurídica inmodificable a favor de la sociedad.

Por el contrario, la D