SIC - Resolución 39769 de 2025

Página 1 de 13

RESOLUCIÓN NÚMERO ________39769_________ DE 2025

(26 de junio 2025)

“Por la cual se resuelve un recurso de apelación”

Radicado 24-212232

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que el 15 de mayo de 2024, la Dirección de investigaciones de protección de datos personales (en adelante la Dirección) mediante oficio No. 24-212232-0, le solicitó al Grupo de Trabajo de investigaciones administrativas iniciar una actuación en contra de la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S. , al evidenciar que, pese a ser sujeto obligado, no realizó el registro de sus bases de datos en el Registro Nacional de Bases de Datos - RNBD.

SEGUNDO. Que la Dirección consideró que la sociedad cumple con los requisitos establecidos en el literal a) del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado a su vez por el artículo 1 del Decreto 090 del 18 de enero de 2018, por lo que, al ser un suje to obligado, omitió registrar sus bases de datos en el Registro Nacional de Bases de Datos dentro de los plazos establecidos. Por lo tanto, se encontró procedente impartir una orden preventiva mediante la

por lo que, al ser un suje to obligado, omitió registrar sus bases de datos en el Registro Nacional de Bases de Datos dentro de los plazos establecidos. Por lo tanto, se encontró procedente impartir una orden preventiva mediante la Resolución 28911 del 31 de mayo de 2024, de la siguiente manera:

“ARTÍCULO 1: ORDENAR a SERVICIOS GENERALES SURAMERICANA S.A.S., identificada con NIT 811.036.875-5, en su calidad de Responsable del Tratamiento de Datos Personales, que realice la inscripción en el Registro Nacional de Bases de Datos - RNBD de las bases de datos que contengan información personal cuyo Tratamiento automatizado o manual sea realizado por esa entidad.

PARÁGRAFO PRIMERO: SERVICIOS GENERALES SURAMERICANA S.A.S., deberá cumplir lo ordenado en esta resolución en el término de UN (1) mes, siguiente a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO : SERVICIOS GENERALES SURAMERICANA S.A.S., deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) días hábiles siguientes a la expiración del plazo previsto en el parágrafo anterior.”

TERCERO. Que, encontrándose dentro del término de Ley, la sociedad SERVICIOS GENERALES SURAMERICANA S.A.S. , (en adelante la RECURRENTE), mediante escrito radicado con el número 24-212232-5 de fecha 19 de junio de 2024 , a través de su representante legal, presentó recursos de reposición y apelación1 en contra de la decisión contenida en la Resolución 28911 del 31 de mayo de 2024.

19 de junio de 2024 , a través de su representante legal, presentó recursos de reposición y apelación1 en contra de la decisión contenida en la Resolución 28911 del 31 de mayo de 2024.

1 La Resolución 28911 del 31 de mayo de 2024, fue notificada personalmente la RECURRENTE, el 6 de junio de 2024.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO ________39769_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 2 de 13

Solicitó la revocatoria de la orden impartida, alegando que la sociedad no actúa como responsable, sino como encargado del tratamiento de los datos personales, siendo SURAMERICANA S.A. quien ostenta la calidad de responsable dentro del grupo empresarial. Señaló que existen precedentes con otras empresas del grupo SURA (como Seguros de Vida Suramericana SA), en donde la Superintendencia asumió dicha estructura operativa mediante radicado 19-130080.

Afirmó que, desde la decisión de archivo de la Dirección, no se han producido cambios recientes en la estructura societaria de SURAMERICANA S.A. , sociedad que ejerce el control directo o indirecto de las compañías del Grupo SURA en Colombia, incluida SERVICIOS GENERALES SURAMERICANA S.A.S., y que actúa como responsable del tratamiento de datos personales.

La Política y el Manual de Protección de Datos Personales establecen un único correo protecciondedatos@suramericana.com.co para que los titulares presenten sus consultas y reclamos a cualquier empresa del grupo. Esto facilita el trámite oportuno y es más transparente para los titulares, quienes a menudo

correo protecciondedatos@suramericana.com.co para que los titulares presenten sus consultas y reclamos a cualquier empresa del grupo. Esto facilita el trámite oportuno y es más transparente para los titulares, quienes a menudo no diferencian entre las distintas compañías y, por utilizar una marca común, prefieren un solo canal de atención.

Afirmó que contar con un único responsable para el grupo empresarial busca brindar mayor transparencia al titular de los datos, simplificar la interacción con un solo interlocutor y evitar confusiones. Aunque la figura de una sociedad controlante como responsable del tratamiento no está expresamente regulada en la Ley 1581 de 2012, se fundamenta en referencias del RGPD europeo y se respalda mediante contratos de transmisión de datos.

CUARTO. Que la Dirección, mediante Resolución 56920 del 27 de septiembre de 2024 , decretó de oficio, la práctica de las siguientes pruebas dentro del trámite del recurso de reposición:

“1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos:

• Los empleados y sus hojas de vida • La nómina • Los accionistas • La junta directiva • Los revisores fiscales • Los representantes legales y apoderados • Los prestadores de servicios • Los contratistas • Los proveedores • Los clientes • Los inversionistas • Los beneficiarios de préstamos o créditos • Los Titulares otorgantes de los títulos valores • Los Titulares Personas Naturales de las inversiones en bienes muebles e inmuebles • Los Titulares a quien se les presta la atención de PQRS • Los archivos de video vigilancia

2. Informe las medidas de seguridad implementadas sobre las bases

• Los Titulares Personas Naturales de las inversiones en bienes muebles e inmuebles • Los Titulares a quien se les presta la atención de PQRS • Los archivos de video vigilancia

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta el consentimiento informado para el Tratamiento de datos.

4. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas o de acuerdo con la denominación que le haya dado el Responsable y/o encargado del tratamiento.

5. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de laRESOLUCIÓN NÚMERO ________39769_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 3 de 13

información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

6. Si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD. Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra o con otra denominación.

7. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

8. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración,

encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

8. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

9. Adjunte el contrato de transmisión de datos personales firmado entre

SURAMERICANA S.A. (Responsable) y SERVICIOS GENERALES

SURAMERICANA S.A.S. (Encargado).”

QUINTO. Que la sociedad recurrente otorgó respuesta mediante comunicación radicado 24-212232-11 del 11 de octubre de 2024.

A continuación, se presenta una síntesis de las respuestas de la sociedad a cada una de las solicitudes formuladas por la Dirección:

información requerida Respuesta

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos: • Los empleados y sus hojas de vida • La nómina • Los accionistas • La junta directiva • Los revisores fiscales • Los representantes legales y apoderados • Los prestadores de servicios • Los contratistas • Los proveedores • Los clientes • Los inversionistas • Los beneficiarios de préstamos o créditos • Los Titulares otorgantes de los títulos valores • Los Titulares Personas Naturales de las inversiones en bienes muebles e inmuebles • Los Titulares a quien se les presta la atención de PQRS • Los archivos de video vigilancia SURAMERICANA S.A. ha definido un ciclo de vida del dato con seis etapas: recopilación, almacenamiento, uso, gestión, protección y

• Los Titulares a quien se les presta la atención de PQRS • Los archivos de video vigilancia SURAMERICANA S.A. ha definido un ciclo de vida del dato con seis etapas: recopilación, almacenamiento, uso, gestión, protección y borrado. Este proceso se gestiona de forma centralizada a través de agrupadores tecnológicos, conformados por plataformas y sistemas de información que permiten administrar los datos personales de manera eficiente y conforme a las normas de protección de datos.

Para clientes/afiliados, la gestión se realiza mediante un Modelo Único de Cliente (MDC), que centraliza los datos sin importar su fuente de ingreso. Para empleados y proveedores, el tratamiento se realiza desde los sistemas de las áreas responsables. Etapas destacadas del ciclo de vida del dato: Captura: La información ingresa por múltiples canales y se canaliza al MDC, asegurando calidad y cumplimiento normativo.

Almacenamiento: Se realiza en una base de datos centralizada y segura, evitando duplicidades y garantizando integridad mediante encriptación y controles de acceso.

Uso: El acceso a los datos es controlado y se limita a los fines autorizados, como prestación de servicios, gestión laboral o cumplimiento de obligaciones legales.

Gestión: Los datos son actualizados constantemente y pueden ser compartidos con terceros autorizados bajo estrictas condiciones de legalidad y confidencialidad.

Protección: Se aplican medidas técnicas y organizativas, como encriptación, controles por roles, auditorías y políticas de respaldo.

Supresión: Los datos se eliminan conforme a los plazos legales, usando métodos seguros que impiden su recuperación no autorizada.

organizativas, como encriptación, controles por roles, auditorías y políticas de respaldo.

Supresión: Los datos se eliminan conforme a los plazos legales, usando métodos seguros que impiden su recuperación no autorizada.

Finalmente, se adjuntan tres documentos específicos que detallan el ciclo de vida del dato para clientes, empleados y proveedores.RESOLUCIÓN NÚMERO ________39769_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 4 de 13

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Describe las principales medidas que ha adoptado, técnicas, organizativas y administrativas, para prevenir la adulteración, pérdida, acceso, uso o consulta no autorizada o fraudulenta de la información personal, entre las cuales destaca: Medidas técnicas: ( Controles de acceso y segregación de funciones, Cifrado de datos en tránsito y en reposo, Logs de auditoría y trazabilidad, Separación de ambientes (desarrollo, prueba y producción), Firewall perimetral y de centro de cómputo, junto con un centro de cómp uto alterno, Cifrado de información confidencial y certificados digitales para servicios transaccionales, VPN para acceso remoto y sistemas antimalware en puntos finales, Control de fuga de información y Sistema centralizado de autenticación y autorización. Medidas organizativas y administrativas: Políticas de seguridad de la información, ciberseguridad y protección de datos personales, Procedimientos documentados, Capacitación constante, Auditorías de seguridad periódicas, Sistema SOC

centralizado de autenticación y autorización. Medidas organizativas y administrativas: Políticas de seguridad de la información, ciberseguridad y protección de datos personales, Procedimientos documentados, Capacitación constante, Auditorías de seguridad periódicas, Sistema SOC (Security Operations Ce nter) para detección y respuesta a incidentes, Sistema de backup continuo, política de recuperación de información y Póliza de riesgos cibernéticos.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta el consentimiento informado para el Tratamiento de datos La sociedad indicó que tiene los siguientes mecanismos para recolectar datos personales según el tipo de titular: • Empleados: A través de la plataforma Magneto durante el proceso de selección, donde los candidatos otorgan su autorización mediante la aceptación de las políticas de tratamiento; y posteriormente, una vez contratados, mediante la plataforma SuccessFactor y el contrato laboral que incluye la autorización. • Revisores fiscales: Indicó que el servicio es prestado por una firma (EY), por lo que no captura ni trata datos personales de estos. • Miembros de junta directiva: Mediante formularios de vinculación que incluyen la autorización para el tratamiento de datos personales. • Representantes legales y apoderados: Los empleados otorgan autorización en su contrato laboral y, en el caso de apoderados externos, la autorización es capturada al momento de su vinculación como proveedores. • Prestadores de servicios, contratistas y proveedores: A través de la plataforma ARIBA, donde las personas naturales autorizan el tratamiento de sus datos al momento de su inscripción como proveedores.

momento de su vinculación como proveedores. • Prestadores de servicios, contratistas y proveedores: A través de la plataforma ARIBA, donde las personas naturales autorizan el tratamiento de sus datos al momento de su inscripción como proveedores. • Clientes y beneficiarios de préstamos o créditos: La Compañía no captura directamente los datos; estos son recolectados por otras empresas del grupo (Seguros de Vida Suramericana S.A. o Seguros Generales Suramericana S.A.) que ya cuentan con la autorización respectiva. • Inversionistas y titulares de títulos valores: Precisó que no se capturan datos de inversionistas externos y que los titulares de títulos valores se incluyen en la categoría de clientes. • PQRS: Mediante un formulario web que incluye la solicitud de autorización para el tratamiento de datos, cuya finalidad es gestionar las quejas y reclamos. • Videovigilancia: Informó que se captan imágenes con fines de seguridad en las instalaciones y que las áreas están debidamente señalizadas conforme a la normativa vigente.RESOLUCIÓN NÚMERO ________39769_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 5 de 13

4. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas o de acuerdo con la denominación que le haya dado el Responsable y/o encargado del tratamiento.

Adjuntó los siguientes documentos: Ciclo de Vida de la Información del PROVEEDOR; Ciclo de Vida de la Información Clientes; Ciclo de Vida de la

haya dado el Responsable y/o encargado del tratamiento. Adjuntó los siguientes documentos: Ciclo de Vida de la Información del PROVEEDOR; Ciclo de Vida de la Información Clientes; Ciclo de Vida de la información del PROVEEDOR; Manual de Políticas y procedimientos para PDP; MINUTA CONTRATO LABORAL; Política Privacidad Protección de Datos; Política Seguridad Información y Ciberseg ; Campos_Success F Magneto empleados; Declaración conflictos junta directiva; Formulario ARIBA y campos SAP y Formulario PQRS.

5. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

6. Si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD. Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra o con otra denominación.

Afirmó que todas las bases de datos mencionadas se encuentran debidamente registradas en el RNBD.

7. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

Señaló que Seguros de Vida SURA ha sido designado como Encargado de las siguientes bases de datos registradas por SURAMERICANA

S.A. en el RNBD:

• CRM
• Gestión Legal
• Proveedores • Talento Humano • Expedición y Suscripción de seguros
• Gestión Documental e Información Física • Gestión Documental e Información Digital • Secretaría general

S.A. en el RNBD:

• CRM
• Gestión Legal
• Proveedores • Talento Humano • Expedición y Suscripción de seguros
• Gestión Documental e Información Física • Gestión Documental e Información Digital • Secretaría general
• Videovigilancia

8. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

Indicó que en los contratos laborales suscritos con los empleados se ha estipulado en la Cláusula Novena, que dice lo siguiente:

“EL EMPLEADO, se obliga a guardar absoluta reserva sobre toda la información que adquiera o conozca directa o indirectamente de LA EMPRESA, clientes, usuarios, proveedores, aliados, contratistas, superiores, compañeros de trabajo (aún en sus relaciones personales) y empleados y/o contratistas de las demás compañías con las que el empleador tenga relación y se obliga a no utilizar é sta fuera de la Empresa, a no comunicarlo a terceros, en especial pero sin limitarse a, los secretos profesionales, industriales, comerciales y tecnológicos de la empresa, como software, operaciones, desarrollos de sistemas, análisis, estudios, bases de datos, diseños, dibujos, sistemas de cálculos, entre otros, o de aquella información de naturaleza reservada. Esta obligación de no revelar la información confidencial estará vigente durante el término del contrato e inclusive después de finalizada la relación laboral, pudiendo sólo realizar suministro o comunicación de datos

naturaleza reservada. Esta obligación de no revelar la información confidencial estará vigente durante el término del contrato e inclusive después de finalizada la relación laboral, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la ley. La obligación de no revelar la información confidencial estará vigente durante el término del contrato, y diez (10) años posteriores a su terminación. La violación de esta obligación durante la vigencia del contrato constituye falta grave que da lugar a la terminación del contrato de trabajo La violación de esta obligación durante la vigencia del contrato constituye falta grave que da lugar a la terminación del contrato de trabajo con justa causa, aún por la primera vez. Finalizado el contrato de trabajo, da lugar al pago de la indemnización de los perjuicios que cause a

LA EMPRESA.RESOLUCIÓN NÚMERO ________39769_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 6 de 13

EL EMPLEADO acepta que la información de carácter confidencial incluye, pero no se limita a toda la información de la compañía y/o de cualquiera de sus clientes y/o potenciales clientes, usuarios y/o potenciales usuarios, como la relacionada con cifras, los comprobantes contables, pagos, planes, negocios, procedimientos, datos personales y de salud, estrategias (incluidas las publicitarias), y políticas. Se presume como violación del compromiso de confidencialidad y por ende un incumplimiento del presente acuerdo, cualquier utilización o divulgación de la información confidencial con la intención de obtener un

estrategias (incluidas las publicitarias), y políticas. Se presume como violación del compromiso de confidencialidad y por ende un incumplimiento del presente acuerdo, cualquier utilización o divulgación de la información confidencial con la intención de obtener un provecho personal, directa o indire ctamente, lo cual incluye la utilización de la información confidencial en la realización de trabajos o l a prestación de servicios a personas naturales o jurídicas que desarrollen actividades similares o conexas al objeto social de LA EMPRESA.

EL EMPLEADO se obliga a devolver toda la información confidencial a la terminación del contrato de trabajo como documentos, archivos, informes, etc.

PARAGRAFO: Queda prohibido manipular, poner en conocimiento de terceros, divulgar, utilizar, extraer, almacenar o compartir la historia clínica, datos clínicos y similares de los usuarios del empleador o de las empresas con las que éste tenga relación. Así mismo, está prohibido ingresar a la historia clínica información ficticia o inexacta sobre el estado de salud del paciente, familiar, amigos, compañeros de trabajo, colegas, con el fin de obtener para ellos: tratamientos, incapacidades, ayudas diagnóstica s, remisiones, exención de cuotas moderadoras y/o copagos. EL EMPLEADO no debe consignar en la historia clínica información no veraz o sin haber realizado previamente una evaluación clínica del paciente, y debe evitar utilizar la opción copiar - pegar información en la historia clínica.”

9. Adjunte el contrato de transmisión de datos personales firmado entre SURAMERICANA S.A.

(Responsable) y SERVICIOS GENERALES SURAMERICANA S.A.S. (Encargado).”

información en la historia clínica.”

9. Adjunte el contrato de transmisión de datos personales firmado entre SURAMERICANA S.A.

(Responsable) y SERVICIOS GENERALES SURAMERICANA S.A.S. (Encargado).” Señaló que adjuntó copia del contrato suscrito con Suramericana S.A., en el cual se establece el rol que tendrá tal sociedad en calidad de responsable del tratamiento, como controlante directa, y SERVICIOS GENERALES SURAMERICANA S.A.S. como encargado del tratamiento, sin embargo, aportó el documento sólo hasta el 2 3 de abril de 2025 mediante comunicación radicado 24-212232-20.

SEXTO. Que la Dirección, mediante Resolución 11976 del 11 de marzo de 2025, resolvió el recurso de reposición interpuesto confirmando en todas sus partes la Resolución 28911 del 31 de mayo de 2024. Lo anterior, al concluir que el hecho de estar registrado como encargado en el RNBD no exime a una sociedad de l deber de registrar las bases de datos sobre las que actúa como responsable. Para la Dirección del hecho de p ertenecer a un grupo empresarial no s e sigue automáticamente que haya un único responsable, pues cada sociedad es independiente y debe registrar sus propias bases de datos.

Asimismo, la Dirección recordó el deber de contar con un contrato de transmisión de datos personales entre el responsable y el encargado para garantizar la protección de los datos. Finalmente, concluyó que SERVICIOS GENERALES SURAMERICANA S.A.S. cumple con los criterios para registrar sus bases de datos en el RNBD, ya que tiene activos superiores a 100.000 UVT y actúa como responsable del tratamiento.

SURAMERICANA S.A.S. cumple con los criterios para registrar sus bases de datos en el RNBD, ya que tiene activos superiores a 100.000 UVT y actúa como responsable del tratamiento.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 , del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022).

7.1. Sobre la decisión de archivo en el radicado 19-130080RESOLUCIÓN NÚMERO ________39769_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 7 de 13

En relación con la decisión proferida en 2020 bajo el radicado 19-130080, en un caso que involucró a la sociedad Seguros de Vida S.A., empresa distinta a SERVICIOS GENERALES SURAMERICANA S.A.S. y citada por la recurrente como precedente a su favor, es preciso señalar que las decisiones administrativas se adoptan caso por caso y, por tanto, no tienen fuerza de precedente.

No obstante lo anterior, y precisando que dicha decisión no es vinculante para la recurrente , en tanto corresponde a una empresa distinta que, si bien pertenece al mismo grupo empresarial, es una persona jurídica independiente, es necesario aclarar que en la actuación radicada bajo el número 19 -134160, que finalizó con un archivo, no se analizó de fondo ni se determinó la calidad de Seguros de Vida S.A. como responsable del tratamiento de datos personales.

es necesario aclarar que en la actuación radicada bajo el número 19 -134160, que finalizó con un archivo, no se analizó de fondo ni se determinó la calidad de Seguros de Vida S.A. como responsable del tratamiento de datos personales. Por el contrario, dicho trámite se limitó a verificar el registro de sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), sin que se emitiera pronunciamiento alguno respecto a la existencia o inexistencia de infracciones a la normatividad en materia de protección de datos.

En ese orden, las decisiones de archivo , especialmente aquellas adoptadas en etapas preliminares, no constituyen un pronunciamiento de fondo, ni configuran situación jurídica consolidada, agotamiento de la competencia o cosa juzgada administrativa. Por el contrario, la Superintendencia conserva íntegras sus facultades legales de vigilancia y control para adelantar, en cualquier momento, las verificaciones que estime necesarias, ya sea respecto a la calidad de responsable o encargado del tratamiento, o al cu mplimiento efectivo de las obligaciones previstas en la Ley 1581 de 2012.

En este punto, resulta pertinente destacar que, si bien la sociedad recurrente sostiene que la situación empresarial del grupo permanece inalterada desde 2020 y que, por ello, debería archivarse la presente investigación, es necesario precisar que esta actuación se adelanta frente a una entidad distinta a la que fue objeto del archivo anterior. Además, su objetivo es determinar la calidad de la sociedad como responsable o encargada del tratamiento de datos personales, asunto que no fue analizado ni resuelto en la actuación precedente.

En ese orden, la presente actuación busca garantizar la debida protección de los derechos fundamentales de los titulares y no encuentra impedimento legal

la sociedad como responsable o encargada del tratamiento de datos personales, asunto que no fue analizado ni resuelto en la actuación precedente.

En ese orden, la presente actuación busca garantizar la debida protección de los derechos fundamentales de los titulares y no encuentra impedimento legal alguno en decisiones de archivo previas que, además de corresponder a una sociedad diferente, carecen de efecto vinculante o definitivo para este caso.

7.2. Sobre la calidad de responsable del tratamiento de datos y la obligación de registrar las bases de datos en el RNBD

La Ley 1581 de 2012, en su artículo 25, define el Registro Nacional de Bases de datos como un directorio público de las bases de datos sujetas a Tratamiento que operan en el país; así:

“Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consu lta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.”

A su vez, el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, dispone que las sociedades y entidades sin ánimo de lucro cuyos activos totales superen las 100.000 UVT están obligadas a registrar sus bases de datos en el Registro

sociedades y entidades sin ánimo de lucro cuyos activos totales superen las 100.000 UVT están obligadas a registrar sus bases de datos en el Registro Nacional de Bases de Datos (R NBD). Asimismo, el artículo 2.2.2.26.3.1 del Decreto Único Reglamentario 1074 de 2015, establece que la obligación de efectuar el registro recae sobre los Responsables del Tratamiento.RESOLUCIÓN NÚMERO ________39769_________ DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 8 de 13

De esta manera, la normativa exige el cumplimiento de dos requisitos para que una sociedad esté obligada a registrar sus bases de datos en el RNBD: (i) ser responsable del Tratamiento y (ii) contar con activos totales que excedan las 100.000 UVT.

El artículo 3 de la Ley 1581 de 2012 define como responsable del tratamiento a la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos. A su vez, define como encargado a quien realice el tratamiento de datos por cuenta del respo