SIC - Resolución 64942 de 2025

Página 1 de 15

RESOLUCIÓN NÚMERO 64942 DE 2025

(29 de agosto de 2025)

“Por la cual se resuelve un recurso de apelación”

Radicado 24-212216

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que el 15 de mayo de 2024, la Dirección de investigaciones de protección de datos personales (en adelante la Dirección) mediante oficio No. 24-212216-0, le solicitó al Grupo de Trabajo de investigaciones administrativas iniciar una actuación en contra de la sociedad SEGUROS GENERALES SURAMERICANA S.A., al evidenciar que, pese a ser sujeto obligado, no realizó el registro de sus bases de datos en el Registro Nacional de Bases de DatosRNBD.

SEGUNDO. Que la Dirección consideró que la sociedad cumple con los requisitos establecidos en el literal a) del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado a su vez por el artículo 1 del Decreto 090 del 18 de enero de 2018, por lo que, al ser un suje to obligado, omitió registrar sus bases de datos en el Registro Nacional de Bases de Datos dentro de los plazos establecidos. Por lo tanto, se encontró procedente impartir una orden preventiva mediante la

por lo que, al ser un suje to obligado, omitió registrar sus bases de datos en el Registro Nacional de Bases de Datos dentro de los plazos establecidos. Por lo tanto, se encontró procedente impartir una orden preventiva mediante la Resolución No. 28826 del 31 de mayo de 2024, de la siguiente manera:

“ARTÍCULO 1: ORDENAR a SEGUROS GENERALES SURAMERICANA S.A, identificada con NIT 890.903.407 -9, en su calidad de Responsable del Tratamiento de Datos Personales, que realice la inscripción en el Registro Nacional de Bases de Datos - RNBD de las bases de datos que contengan información personal cuyo Tratamiento automatizado o manual sea realizado por esa entidad.

PARÁGRAFO PRIMERO : SEGUROS GENERALES SURAMERICANA S.A, deberá cumplir lo ordenado en esta resolución en el término de UN (1) mes, siguiente a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO : SEGUROS GENERALES SURAMERICANA S.A, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) días hábiles siguientes a la expiración del plazo previsto en el parágrafo anterior.”

TERCERO. Que, encontrándose dentro del término de Ley, la sociedad SEGUROS GENERALES SURAMERICANA S.A. , (en adelante la RECURRENTE), mediante escrito radicado con el número 24-212216-6 de fecha 19 de junio de 2024 , a través de su representante legal, presentó recursos de reposición y apelación1 en contra de la decisión contenida en la Resolución No. 28826 del 31 de mayo de 2024.

19 de junio de 2024 , a través de su representante legal, presentó recursos de reposición y apelación1 en contra de la decisión contenida en la Resolución No. 28826 del 31 de mayo de 2024.

1 La Resolución No. 28826 del 31 de mayo de 2024, fue notificada por aviso la RECURRENTE, el 13 de junio de 2024.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 64942 DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 2 de 15

Solicitó la revocatoria de la orden impartida, argumentando que, previamente, mediante el radicado No. 19 -130078-4, la Dirección le había requerido información en relación con el deber de registro en el RNBD. En respuesta, la sociedad indicó que no había realizado dicho registro, toda vez que no actúa como responsable del tratamiento, sino como encargado, siendo SURAMERICANA S.A. quien ostenta la calidad de responsable dentro del grupo empresarial. Señaló, además, que el responsable realizó el registro en el RNBD de las bases de datos respecto de las cuales SEGUROS GENERALES SURAMERICANA S.A. actúa únicamente como encargado del tratamiento. Aportó copia de la Política de Tratamiento de Datos Personales y el Manual de Políticas y Procedimientos para la Protección de Datos Personales.

Tras hacer el recuento de la información suministrada, indicó que la Dirección concluyó que SEGUROS GENERALES SURAMERICANA S.A. figura en el Registro Nacional de Bases de Datos como encargado del tratamiento de las bases de datos de SURAMERICANA S.A., razón por la cual se decidió archivar

concluyó que SEGUROS GENERALES SURAMERICANA S.A. figura en el Registro Nacional de Bases de Datos como encargado del tratamiento de las bases de datos de SURAMERICANA S.A., razón por la cual se decidió archivar el expediente, al no encontrarse mérito para imponer una orden o iniciar una actuación administrativa sancionatoria.

Afirmó que, desde la decisión de archivo de la Dirección, no se han producido cambios recientes en la estructura societaria de SURAMERICANA S.A. , sociedad que ejerce el control directo o indirecto de las compañías del Grupo SURA en Colombia, incluida SEGUROS GENERALES SURAMERICANA S.A., y que actúa como responsable del tratamiento de datos personales.

La Política y el Manual de Protección de Datos Personales establecen un único correo protecciondedatos@suramericana.com.co para que los titulares presenten sus consultas y reclamos a cualquier empresa del grupo. Esto facilita el trámite oportuno y es más transparente para los titulares, quienes a menudo no diferencian entre las distintas compañías y, por utilizar una marca común, prefieren un solo canal de atención.

Afirmó que contar con un único responsable para el grupo empresarial busca brindar mayor transparencia al titular de los datos, simplificar la interacción con un solo interlocutor y evitar confusiones. Aunque la figura de una sociedad controlante como responsable del tratamiento no está expresamente regulada en la Ley 1581 de 2012, se fundamenta en referencias del RGPD europeo y se respalda mediante contratos de transmisión de datos.

CUARTO. Que la Dirección, mediante Resolución 70733 del 20 de noviembre de 2024, decretó de oficio, la práctica de las siguientes pruebas dentro del trámite del recurso de reposición:

CUARTO. Que la Dirección, mediante Resolución 70733 del 20 de noviembre de 2024, decretó de oficio, la práctica de las siguientes pruebas dentro del trámite del recurso de reposición:

“Ordenar a la sociedad SEGUROS GENERALES SURAMERICANA S.A. identificada con NIT 890.903.407 -9 que informe y allegue con destino al expediente 24-212216 lo siguiente:

1 Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos: a) Los empleados y sus hojas de vida b) La nómina c) Los accionistas d) La junta directiva e) Los revisores fiscales f) Los prestadores de servicios g) Las contratitas h) Los proveedores i) Los usuarios j) Los clientes k) Los datos clínicos l) Las historias clínicas m) Los registros de vacunación covid-19 n) La atención de PQRS o) Los registros biométricos de seguridad p) Los archivos de video vigilancia.RESOLUCIÓN NÚMERO 64942 DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 3 de 15

2 Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

3 Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas.

4 Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la

mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas.

4 Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

5 Indique si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD. Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra.

6 Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

7 Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

8 Adjunte el contrato de transmisión de datos personales firmado entre

SURAMERICANA S.A. (Responsable) y SEGUROS GENERALES

SURAMERICANA S.A. (Encargado)..”

QUINTO. Que la sociedad recurrente otorgó respuesta mediante comunicaciones radicados 24-212216-12 y 24-212216-13 de diciembre de 2024.

A continuación, se presenta una síntesis de las respuestas de la sociedad a cada una de las solicitudes formuladas por la Dirección:

información requerida Respuesta 1 Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos: a) Los empleados y sus hojas de vida b) La nómina c) Los accionistas d) La junta directiva

1 Informe cómo recolecta, almacena, usa, circula y suprime la información de las siguientes bases de datos: a) Los empleados y sus hojas de vida b) La nómina c) Los accionistas d) La junta directiva e) Los revisores fiscales f) Los prestadores de servicios g) Las contratitas h) Los proveedores i) Los usuarios j) Los clientes k) Los datos clínicos l) Las historias clínicas m) Los registros de vacunación covid-19 n) La atención de PQRS o) Los registros biométricos de seguridad p) Los archivos de video vigilancia. SURAMERICANA S.A. ha definido un ciclo de vida del dato con seis etapas: recopilación, almacenamiento, uso, gestión, protección y borrado. Este proceso se gestiona de forma centralizada a través de agrupadores tecnológicos, conformados por plataformas y sistemas de información que permiten administrar los datos personales de manera eficiente y conforme a las normas de protección de datos.

Para clientes/afiliados, la gestión se realiza mediante un Modelo Único de Cliente (MDC), que centraliza los datos sin importar su fuente de ingreso. Para empleados y proveedores, el tratamiento se realiza desde los sistemas de las áreas responsables. Etapas destacadas del ciclo de vida del dato: Captura: La información ingresa por múltiples canales y se canaliza al MDC, asegurando calidad y cumplimiento normativo.

Almacenamiento: Se realiza en una base de datos centralizada y segura, evitando duplicidades y garantizando integridad mediante encriptación y controles de acceso.

Uso: El acceso a los datos es controlado y se

y cumplimiento normativo.

Almacenamiento: Se realiza en una base de datos centralizada y segura, evitando duplicidades y garantizando integridad mediante encriptación y controles de acceso.

Uso: El acceso a los datos es controlado y se limita a los fines autorizados, como prestación de servicios, gestión laboral o cumplimiento de obligaciones legales.

Gestión: Los datos son actualizados constantemente y pueden ser compartidos con terceros autorizados bajo estrictas condiciones de legalidad y confidencialidad.

Protección: Se aplican medidas técnicas y organizativas, como encriptación, controles por roles, auditorías y políticas de respaldo.

Supresión: Los datos se eliminan conforme a los plazos legales, usando métodos seguros que impiden su recuperación no autorizada.RESOLUCIÓN NÚMERO 64942 DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 4 de 15

Finalmente, se adjuntan tres documentos específicos que detallan el ciclo de vida del dato para clientes, empleados y proveedores. 2 Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Describe las principales medidas que ha adoptado, técnicas, organizativas y administrativas, para prevenir la adulteración, pérdida, acceso, uso o consulta no autorizada o fraudulenta de la información personal, entre las cuales destaca: Medidas técnicas: ( Controles de acceso y segregación de funciones, Cifrado de datos en tránsito y en reposo, Logs de auditoría y trazabilidad, Separación de ambientes (desarrollo, prueba y producción), Firewall

cuales destaca: Medidas técnicas: ( Controles de acceso y segregación de funciones, Cifrado de datos en tránsito y en reposo, Logs de auditoría y trazabilidad, Separación de ambientes (desarrollo, prueba y producción), Firewall perimetral y de centro de cómputo, junto con un centro de cómp uto alterno, Cifrado de información confidencial y certificados digitales para servicios transaccionales, VPN para acceso remoto y sistemas antimalware en puntos finales, Control de fuga de información y Sistema centralizado de autenticación y autorización. Medidas organizativas y administrativas: Políticas de seguridad de la información, ciberseguridad y protección de datos personales, Procedimientos documentados, Capacitación constante, Auditorías de seguridad periódicas, Sistema SOC (Security Operations Ce nter) para detección y respuesta a incidentes, Sistema de backup continuo, política de recuperación de información y Póliza de riesgos cibernéticos. 3 Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas. La sociedad indicó que tiene los siguientes mecanismos para recolectar datos personales según el tipo de titular: • Empleados: Usa la plataforma Magneto para la selección y SuccessFactor para la gestión laboral; la autorización se otorga al postularse y al firmar el contrato laboral (se adjuntan minutas y campos capturados). • Accionistas: No capturan datos personales, ya que todos son personas jurídicas. • Miembros de junta directiva: Recolectan datos a través de formularios, como la declaración de conflictos de interés, que incluye la autorización para el tratamiento

• Accionistas: No capturan datos personales, ya que todos son personas jurídicas. • Miembros de junta directiva: Recolectan datos a través de formularios, como la declaración de conflictos de interés, que incluye la autorización para el tratamiento

(se adjunta formulario). • Prestadores, contratistas y proveedores: Los datos se capturan mediante la plataforma Ariba para proveedores personas naturales, quienes autorizan su tratamiento al inscribirse (se adjuntan campos capturados y cláusula). • Usuarios y clientes: La información se captura a través de formularios para la adquisición de productos o servicios, donde se incluye la autorización para el tratamiento. • Atención de PQRS: Los datos se capturan mediante un formulario en la web que incluye la autorización para el tratamiento (se adjunta Excel con campos y cláusula). • Datos de salud: Los datos clínicos y demás información sensible se recolectan y tratan en el marco de las pólizas de salud y de vida, con la autorización expresa del asegurado y conforme a la normatividad legal y sectorial. • Directorio médico: la información que hace referencia a los médicos que prestan servicios para la EPS es capturada a través de los aplicativos de empleados y proveedores mencionados anteriormente. • Portal de funcionarios: La información es capturada a través de SuccessFactor, con la autorización firmada en el contrato laboral. • Videovigilancia: Las imágenes se capturan para fines de seguridad, informando a los titulares mediante avisos visibles. • Datos biométricos: Los datos biométricos de empleados se capturan para garantizar la seguridad, con autorización expresa en el contrato laboral (se adjunta minuta que

para fines de seguridad, informando a los titulares mediante avisos visibles. • Datos biométricos: Los datos biométricos de empleados se capturan para garantizar la seguridad, con autorización expresa en el contrato laboral (se adjunta minuta que incluye la cláusula).RESOLUCIÓN NÚMERO 64942 DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 5 de 15

4. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

5. Indique si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD.

Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra. Afirmó que todas las bases de datos mencionadas se encuentran debidamente registradas en el RNBD.

6. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

Señaló que Seguros Generales SURA ha sido designado como Encargado de las siguientes bases de datos registradas por SURAMERICANA S.A. en el RNBD: • Asesoría y Venta. • CRM. • Expedición y suscripción de seguros. • Gestión documental e información digital.

• Gestión Documental e Información Física.
• Gestión Legal.
• Línea Ética.
• Proveedores.
• Reaseguros.
• Secretaría General.
• Siniestros.
• Videovigilancia.

• Gestión Documental e Información Física.
• Gestión Legal.
• Línea Ética.
• Proveedores.
• Reaseguros.
• Secretaría General.
• Siniestros.
• Videovigilancia.
• Talento Humano.

7. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

Indicó que en los contratos laborales suscritos con los empleados se ha estipulado en la Cláusula Novena, que dice lo siguiente:

“EL EMPLEADO, se obliga a guardar absoluta reserva sobre toda la información que adquiera o conozca directa o indirectamente de LA EMPRESA, clientes, usuarios, proveedores, aliados, contratistas, superiores, compañeros de trabajo (aún en sus relaciones personales) y empleados y/o contratistas de las demás compañías con las que el empleador tenga relación y se obliga a no utilizar é sta fuera de la Empresa, a no comunicarlo a terceros, en especial pero sin limitarse a, los secretos profesionales, industriales, comerciales y tecnológicos de la empresa, como software, operaciones, desarrollos de sistemas, análisis, estudios, bases de datos, diseños, dibujos, sistemas de cálculos, entre otros, o de aquella información de naturaleza reservada. Esta obligación de n o revelar la información confidencial estará vigente durante el término del contrato e inclusive después de finalizada la relación laboral, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo

revelar la información confidencial estará vigente durante el término del contrato e inclusive después de finalizada la relación laboral, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las ac tividades autorizadas en la ley. La obligación de no revelar la información confidencial estará vigente durante el término del contrato, y diez (10) años posteriores a su terminación. La violación de esta obligación durante la vigencia del contrato constit uye falta grave que da lugar a la terminación del contrato de trabajo La violación de esta obligación durante la vigencia del contrato constituye falta grave que da lugar a la terminación del contrato de trabajo con justa causa, aún por la primera vez. Finalizado el contrato de trabajo, da lugar al pago de la indemnización de los perjuicios que cause a

LA EMPRESA.RESOLUCIÓN NÚMERO 64942 DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 6 de 15

EL EMPLEADO acepta que la información de carácter confidencial incluye, pero no se limita a toda la información de la compañía y/o de cualquiera de sus clientes y/o potenciales clientes, usuarios y/o potenciales usuarios, como la relacionada con cifras, los comprobantes contables, pagos, planes, negocios, procedimientos, datos personales y de salud, estrategias (incluidas las publicitarias), y políticas. Se presume como violación del compromiso de confidencialidad y por ende un incumplimiento del presente a cuerdo, cualquier utilización o divulgación de la información confidencial con la intención de obtener un provecho personal, directa o indirectamente, lo

políticas. Se presume como violación del compromiso de confidencialidad y por ende un incumplimiento del presente a cuerdo, cualquier utilización o divulgación de la información confidencial con la intención de obtener un provecho personal, directa o indirectamente, lo cual incluye la utilización de la información confidencial en la realización de trabajos o la prestación de servicios a personas naturales o jurídicas que desarrollen actividades similares o conexas al objeto social de LA EMPRESA.

EL EMPLEADO se obliga a devolver toda la información confidencial a la terminación del contrato de trabajo como documentos, archivos, informes, etc.

PARAGRAFO: Queda prohibido manipular, poner en conocimiento de terceros, divulgar, utilizar, extraer, almacenar o compartir la historia clínica, datos clínicos y similares de los usuarios del empleador o de las empresas con las que éste tenga relación. Así mismo, está prohibido ingresar a la historia clínica información ficticia o inexacta sobre el estado de salud del paciente, familiar, amigos, compañeros de trabajo, colegas, con el fin de obtener para ellos: tratamientos, incapacidades, ayudas diagnóstica s, remisiones, exención de cuotas moderadoras y/o copagos. EL EMPLEADO no debe consignar en la historia clínica información no veraz o sin haber realizado previamente una evaluación clínica del paciente, y debe evitar utilizar la opción copiar - pegar información en la historia clínica.”

8. Adjunte el contrato de transmisión de datos personales firmado entre SURAMERICANA S.A.

(Responsable) y SEGUROS GENERALES SURAMERICANA S.A. (Encargado).” Señaló que adjuntó copia del contrato suscrito

8. Adjunte el contrato de transmisión de datos personales firmado entre SURAMERICANA S.A.

(Responsable) y SEGUROS GENERALES SURAMERICANA S.A. (Encargado).” Señaló que adjuntó copia del contrato suscrito con Suramericana S.A., en el cual se establece el rol que tendrá tal sociedad en calidad de responsable del tratamiento, como controlante directa, y SEGUROS GENERALES SURAMERICANA S.A. como encargado del tratamiento , sin embargo, omitió allegar el contrato de transmisión de datos suscrito entre SEGUROS

GENERALES SURAMERICANA S.A. y

SURAMERICANA S.A.

SEXTO. Que la Dirección, mediante Resolución No. 44519 del 16 de julio de 2025, resolvió el recurso de reposición interpuesto confirmando en todas sus partes la Resolución No. 28826 del 31 de mayo de 2024. Lo anterior, al concluir que el hecho de estar registrado como encargado en el RNBD no exime a una sociedad del deber de registrar las bases de datos sobre las que actúa como responsable. Para la Dirección del hecho de pertenecer a un grupo empresarial no s e sigue automáticamente que haya un único respons able, pues cada sociedad es independiente y debe registrar sus propias bases de datos.

Asimismo, la Dirección recordó el deber de contar con un contrato de transmisión de datos personales entre el responsable y el encargado para garantizar la protección de los datos. Finalmente, c oncluyó que SEGUROS GENERALES SURAMERICANA S.A. cumple con los criterios para registrar sus bases de datos en el RNBD, ya que tiene activos superiores a 100.000 UVT y actúa como responsable del tratamiento.

SURAMERICANA S.A. cumple con los criterios para registrar sus bases de datos en el RNBD, ya que tiene activos superiores a 100.000 UVT y actúa como responsable del tratamiento.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 , del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022).

7.1. Sobre la decisión de archivo en el radicado 19-130078RESOLUCIÓN NÚMERO 64942 DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 7 de 15

En ejercicio de las facultades conferidas a esta Delegatura en materia de inspección, vigilancia y control de los sujetos obligados dentro del Régimen de Protección de Datos Personales , particularmente en lo relacionado con la administración del Registro Nacional de Bases de Datos, la Dirección procedió a requerir de oficio a SEGUROS GENERALES SURAMERICANA S.A., mediante la comunicación identificada con el radicado No. 19-130078-0 del 10 de junio de 2019, lo siguiente:

“1. Exponga las razones por las cuales no llevó a cabo el proceso de inscripción de sus bases de datos en el Registro Nacional de Bases de Datos

– RNBD.

2. Sírvase remitir con destino a esta Dirección copia de la Política de

Tratamiento de Datos Personales.

3. Sírvase remitir con destino a esta Dirección copia del manual de Políticas de Seguridad.

– RNBD.

2. Sírvase remitir con destino a esta Dirección copia de la Política de

Tratamiento de Datos Personales.

3. Sírvase remitir con destino a esta Dirección copia del manual de Políticas de Seguridad.

4. Sírvase remitir con destino a esta Dirección copia del manual de procedimientos implementados por la organización para la atención de consultas y reclamos.

5. Sírvase remitir con destino a esta Dirección copia del manual de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información.

6. Señale a este Despacho cuáles son los mecanismos utilizados o las fuentes a través de las cuales recolecta los datos de los Titulares almacenados en sus bases de datos.”

Al respecto, la sociedad otorgó respuesta mediante comunicación de radicado 19-130078-2 del 7 de septiembre de 2020, indicando lo siguiente:RESOLUCIÓN NÚMERO 64942 DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 8 de 15

Una vez revisada la respuesta otorgada por la sociedad , la Dirección de Protección de Datos Personales decidió archivar el requerimiento inicial formulado a SEGUROS GENERALES SURAMERICANA S.A. , señalando lo siguiente:

De lo expuesto es claro que este archivo obedeció únicamente a la ausencia de mérito para iniciar actuaciones en ese momento, pero de ninguna manera implicó que la Superintendencia renunciara a su competencia de vigilancia y control o que se extinguiera su potestad de adoptar, en el futuro, medid as preventivas o correctivas.

mérito para iniciar actuaciones en ese momento, pero de ninguna manera implicó que la Superintendencia renunciara a su competencia de vigilancia y control o que se extinguiera su potestad de adoptar, en el futuro, medid as preventivas o correctivas.

De igual forma, debe recordarse que las decisiones de archivo , especialmente aquellas adoptadas en fase de requerimiento preliminar , no comportan un pronunciamiento de fondo, ni definitivo sobre un asunto de derecho, no modifican la situación jurídica de l os vigilados , no define n ni le confiere n derechos y, sobre todo, no implican el agotamiento de la competencia de la autoridad de control.

Es necesario aclarar que en la decisión de archivo en el radicado 19-130078 no se evaluó ni se tomó una decisión de fondo respecto de la eventual calidad de responsable del tratamiento de datos personales por parte de la sociedad. Pues ese no era, ni fue el alcance de esa decisión de archivo. Como tampoco seRESOLUCIÓN NÚMERO 64942 DE 2025

“Por la cual se resuelve un recurso de apelación”

Página 9 de 15

declaró, por ejemplo, la inexistencia de infracción normativa alguna. Entonces, la Dirección se limitó a verificar el registro de las bases de datos en el Registro Nacional de Bases de Datos (RNBD) y visto esto, se procedió a archivar el asunto.

Esta Delegatura constata en consecuencia que , para entonces, la Dirección no adoptó un acto administrativo definitivo que agota se el debate jurídico o que configurase una suerte de “cosa juzgada administrativa”. Tampoco advierte esta Delegatura que a partir de la notificación de dicha decisión de archivo se consolidara una situación jurídica inmodificable a favor de la sociedad.

configurase una suerte de “cosa juzgada administrativa”. Tampoco advierte esta Delegatura que a partir de la notificación de dicha decisión de archivo se consolidara una situación jurídica inmodificable a favor de la sociedad.

Por el contrario, la Delegatura quiere ser muy clara en afirmar que en estos eventos se conservan íntegras las facultades de vigilancia y control. Especialmente cuando, como ahora en el caso bajo estudio , s e advierte n elementos, nuevos o no, que a juicio de la entidad ameritan un análisis de fondo sobre la calidad que ostenta la sociedad como responsable del tratamiento de datos personales y sobre el eventual cumplimiento de las obligaciones derivadas de dicha calidad.

Aunque la sociedad insiste en que no ha habido cambios desde 2020 y que por tanto debe mantenerse el archivo, lo cierto es que independientemente de ello, en esta nueva actuación, en ejercicio pleno de sus competencias de vigilancia y control, la Dirección decidió analizar de fondo la calidad de la sociedad ahora Recurrente, ya como encargada, ya como responsable del tratamiento de datos personales, situación que no sucedió en la precitada oportunidad. Y lo h izo, entre otros, con el fin de garantizar la protección de los derechos de los titulares. La Delegatura no ve impedimento legal alguno para esto.

En conclusión, esta Delegatura estima que la decisión de archivo adoptada en 2020 no constituye un impedimento jurídico para que la Dirección, en ejercicio de sus competencias, pueda adelantar las actuaciones de verificación, vigilancia y control que resulten necesarias para garantizar el derecho fundamental a la protección de datos personales.

7.2. Sobre la calidad d