SIC - Resolución 7404 de 2025

Página 1 de 19

RESOLUCIÓN NÚMERO 7404 DE 2025

(24 de febrero de 2025)

“Por la cual se resuelve un recurso”

Radicación 24-212229

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución N. º 28909 del 31 de mayo de 2024 , la Dirección de Investigaciones de Protección de Datos Personales resolvió ordenar a la sociedad EPS SURAMERICANA S.A., con NIT 800.088.702-2, en su calidad de Responsable del Tratamiento de Datos Personales, que realizara la inscripción en el Registro Nacional de Bases de Datos - RNBD, de las bases de datos que contengan información personal cuyo Tratamiento automatizado o manual sea realizado por la entidad.

SEGUNDO: Que la Resolución N.º 28909 del 31 de mayo de 2024 le fue notificada personalmente al representante legal de la sociedad EPS SURAMERICANA S.A. el 6 de junio de 2024 , de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio bajo radicado 24-212229- -6 del 8 de julio de 2024.

TERCERO: Que mediante escrito radicado bajo número 24-212229- -5 el 19 de

Comercio bajo radicado 24-212229- -6 del 8 de julio de 2024.

TERCERO: Que mediante escrito radicado bajo número 24-212229- -5 el 19 de junio de 2024 , la sociedad EPS SURAMERICANA S.A. , a través de su representante legal , interpuso recurso de reposición y en subsidio apelación contra la Resolución No. 28909 del 31 de mayo de 2024 , a través del cual

manifestó que:

1. La sociedad aclara que la “EPS SURAMERICANA S.A. se encuentra registrada en calidad de Encargada del Tratamiento de SURAMERICANA S.A., entidad que figura como Responsable de las bases de datos, de acuerdo con lo establecido en la política de tratamiento, conforme a las autorizaciones que se han recolectado de parte de clientes, colaboradores y proveedores.”1.

Debido a lo anterior la sociedad indica que “las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no confundir al consumidor, se adoptó un único Responsable ante el cual pueda dirigirse” 2.

2. La sociedad cita lo que considera un caso similar, mediante el radicado 191300803, y sostiene que en ese caso la Dirección acogió los argumentos de la aseguradora SEGUROS DE VIDA SURAMERICANA SA. y archivo la

actuación por cuanto:

“se precedió a revisar el Registro Nacional de Bases de Datos, donde se pudo constatar que la sociedad Seguros de Vida S.A., identificada con NIT 890903790, en calidad de encargado de 14 bases de datos de

1 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 1.

pudo constatar que la sociedad Seguros de Vida S.A., identificada con NIT 890903790, en calidad de encargado de 14 bases de datos de

1 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 1. 2 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 2. 3 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 1.

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 7404 DE 2025

“Por la cual se resuelve un recurso”

Página 2 de 19

Suramericana S.A., realizó la respectiva inscripción de sus bases de datos en el Registro Nacional de Bases de Datos RNBD satisfactoriamente” 4

3. Así, la sociedad recalca que “se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las compañías por ella controladas son Encargadas ”5, y que “ se firmó un contrato de transmisión de datos personales entre Suramericana SA

(responsable) y cada una de LAS COMPAÑÍAS (encargadas). Esto es informado a los Titulares tanto en la Política de Protección de Datos Personales, como en las autorizaciones que les son so licitadas previo al Tratamiento” 6.

4. La sociedad des taca la normativa internacional, e indica que en los numerales 36 y 37 de las consideraciones del Reglamento General de Protección de Datos Pe rsonales (RGPD) europeo se prevé la figura de una compañía controlante como responsable del tratamiento , y se establece la posibilidad de designar un único delegado de protección de datos para todo

Protección de Datos Pe rsonales (RGPD) europeo se prevé la figura de una compañía controlante como responsable del tratamiento , y se establece la posibilidad de designar un único delegado de protección de datos para todo un grupo empresarial7.

5. La sociedad para sustentar sus argumentos aportó con el escrito del recurso

los siguientes documentos:

 Comunicado emitido por la Coordinadora Grupo De Trabajo De Investigaciones Administrativas de la Superintendencia de Industria y Comercio de fecha de 25 de agosto de 2020 bajo radicado 19-130080- - 108.  Política de Protección de Datos Personales de Suramericana S.A. 9  Manual de Protección de Datos Personales de Suramericana S.A. 10  Certificado de Existencia y Representación Legal de EPS SURAMERICANA S.A. 11.

6. Por último, la recurrente solicita que “se reponga la decisión proferida en la Resolución 28909 de 2024, en el sentido de archivar la actuación contra EPS SURAMERICANA S.A.S. ”12. Subsidiariamente la sociedad implora que se conceda el recurso de apelación”13.

CUARTO: Que, mediante Resolución N.º 53627 del 16 de septiembre de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió dentro del trámite del recurso abrir un periodo probatorio por un término de DIEZ (10) días hábiles y decretar de oficio la práctica de la siguiente prueba:

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

• Ordenar a la sociedad EPS SURAMERICANA S.A., con el NIT. 800.088.702 - 2,

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

• Ordenar a la sociedad EPS SURAMERICANA S.A., con el NIT. 800.088.702 - 2, que informe y allegue con destino al expediente de la referencia 24 - 212229 lo

siguiente:

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de

las siguientes bases de datos:

• Los empleados y sus hojas de vida • La nómina • Los accionistas • La junta directiva • Los revisores fiscales

4 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 2. 5 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 2. 6 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 3. 7 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 2. 8 Expediente Digital 24-212229. Consecutivo número 5. Página 3. 9 Expediente Digital 24-212229. Consecutivo número 5. Página 5. 10 Expediente Digital 24-212229. Consecutivo número 5. Página 4. 11 Expediente Digital 24-212229. Consecutivo número 5. Página 6. 12 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 3. 13 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 3.RESOLUCIÓN NÚMERO 7404 DE 2025

“Por la cual se resuelve un recurso”

Página 3 de 19

• Los prestadores de servicios • Los contratitas

“Por la cual se resuelve un recurso”

Página 3 de 19

• Los prestadores de servicios • Los contratitas • Los proveedores • Los afiliados • Los usuarios • Los clientes • Los datos clínicos • Las historias clínicas • Los registros de vacunación covid-19 • El directorio médico • El portal de los funcionarios • El portal de los afiliados • La atención de PQRS • Los registros de atención hospitalaria • Los registros de atención hospitalaria en urgencias • Los registros de gestión ambulatoria • Los registros de las jornadas de promoción y prevención • Los registros biométricos de seguridad • Los archivos de video vigilancia.

2. Informe las medidas de seguridad implementadas sobre las bases anteriormente descritas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

3. Adjunte los formatos, contratos, formularios y demás documentos mediante los cuales recolecta los datos personales de las bases de datos anteriormente descritas.

4. Bajo el entendido que las bases de datos anteriormente descritas fueron registradas por SURAMERICANA S.A. en calidad de Responsable de la información en el RNBD, indique la ubicación de cada una de las bases de datos respecto del registro realizado.

5. Indique si no cuenta con el registro de alguna de las bases de datos antes relacionadas en el RNBD. Por favor informe la razón de ello o si la base de datos se encuentra vinculada a otra.

6. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

7. Adjunte el formato de las cláusulas de confidencialidad firmadas con los

6. Indique las bases de datos respecto de las cuales aparece como encargado del tratamiento de la sociedad SURAMERICANA S.A. en el RNBD.

7. Adjunte el formato de las cláusulas de confidencialidad firmadas con los trabajadores, colaboradores y demás personal para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.

8. Adjunte el contrato de transmisión de datos personales firmado entre

SURAMERICANA S.A. (Responsable) y EPS SURAMERICANA S.A.

(Encargado).” 14.

QUINTO: Que la Resolución N. º 53627 del 16 de septiembre de 2024 le fue comunicada al representante legal de la sociedad EPS SURAMERICANA S.A. el 16 de septiembre de 2024 , de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio bajo radicado 24-212229- -10 del 20 de septiembre de 2024.

SEXTO: Que mediante escrito radicado bajo número 24-212229- -11 el 30 de septiembre de 2024, la sociedad EPS SURAMERICANA S.A. , a través de su representante legal, dio respuesta a los requerimientos de información realizados mediante Resolución N.º 53627 del 16 de septiembre de 2024.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la

La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la

14 Resolución No. 53627 del 16 de septiembre de 2024. Folios 3 a 5.RESOLUCIÓN NÚMERO 7404 DE 2025

“Por la cual se resuelve un recurso”

Página 4 de 19

vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

OCTAVO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones:

Frente a los argumentos prese ntados por la recurrente se encuentra que l os mismos se concretan en dos aspectos, a saber: (i) La calidad de Encargado del tratamiento de los datos personales de los Titulares (ii) las pretensiones.

8.1 Frente a la calidad del Encargado del tratamiento de los datos personales de los Titulares

La Ley 1581 de 2012 en su artículo 25 define el Registro Nacional de Bases de datos (RNBD) como un directorio público de las bases de datos sujetas a Tratamiento que operan en el país; frente a esto la norma indica que:

Ley 1581 de 2012

Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El

Ley 1581 de 2012

Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos.

Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los re sponsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.

Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento.

Por su parte, el literal a) del artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado a su vez por el artículo 1 del Decreto 090 del 18 de enero de 2018, establece que las sociedades y entidades sin ánimo de lucro, cuyos activos totales superen las 100.000 UVT tienen la obligación d e realizar el registro de sus bases de datos en el Registro Nacional de Bases de datos:

Decreto 090 de 2018

“Artículo 1. Modifíquese el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así:

“Artículo 1. Modifíquese el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así:

Artículo 2.2.2.26.1.2. Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características:

a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT). b) Personas jurídicas de naturaleza pública."

Como se evidencia, la normativa establece dos requisitos que debe cumplir una sociedad para estar obligada a registrar sus bases de datos en el Registro Nacional de Bases de Datos. Estos son: contar con activos totales superiores a 100.000 UVT y ser Responsable del tratamiento. Por lo tanto, este DespachoRESOLUCIÓN NÚMERO 7404 DE 2025

“Por la cual se resuelve un recurso”

Página 5 de 19

considera pertinente analizar estos requisitos para determinar si le son aplicables a la recurrente.

En primer lugar, la norma establece que las sociedades con activos superiores a 100.000 UVT tienen la obligación de registrar sus bases de datos en el RNBD. Para el año 2023 la DIAN estableció que una UVT equivalía a CUARENTA Y DOS MIL CUATRO CIENTOS DOCE PESOS ($ 42.412) 15, por lo que 100.000 UVT

Para el año 2023 la DIAN estableció que una UVT equivalía a CUARENTA Y DOS MIL CUATRO CIENTOS DOCE PESOS ($ 42.412) 15, por lo que 100.000 UVT

corresponderían a CUATRO MIL DOSCIENTOS CUARENTA Y UN MIL LONES

DOSCIENTOS MIL PESOS M/CTE ($ 4.241.200.000).

Frente a esto , de acuerdo a la información reportada por la sociedad en el Registro Único Empresarial y Social , para el año 2023 la sociedad contaba con un activo total de $2.092.020.441.713, como se observa a continuación:

Captura de imagen No. 1. Tomada del Registro Único Empresarial y Social (RUES) – información correspondiente a la sociedad EPS SURAMERICANA S.A., identificada con NIT. 800.088.702-2.

Por lo tanto, resulta claro que la sociedad EPS SURAMERICANA S.A. para la vigencia de 2023, si contaba con activos superiores a las 100.000 UVT, toda vez que la suma reportada equivale a 49.326.144,5 UVT.

En ese sentido, este Despacho considera que la recurrente cumple con el primer requisito que establece la norma respecto a los sujetos obligados a realizar la inscripción de sus bases de datos en el RNBD.

Segundo, en el presente caso, la normativa establece que los Responsables del tratamiento son los sujetos obligados a registrar sus base s de datos en el Registro Nacional de Bases de Datos (RNBD). Por ende, es necesario acreditar la calidad de Responsable para determinar si la sociedad EPS SURAMERICANA S.A. está efectivamente obligada a realizar dicho registro. En este sentido,

Registro Nacional de Bases de Datos (RNBD). Por ende, es necesario acreditar la calidad de Responsable para determinar si la sociedad EPS SURAMERICANA S.A. está efectivamente obligada a realizar dicho registro. En este sentido, resulta pertinente señalar que la Ley 1581 de 2012 dispone que el tratamiento de datos personales puede llevarse a cabo en calidad de Responsa ble o Encargado del tratamiento.

15 DIAN. Resolución N°. 1264 de noviembre 18 de 2022. Artículo 1. Valor De La Unidad De Valor Tributario (UVT). Fijar en cuarenta y dos mil cuatrocientos doce pesos ($42.412) el valor de la Unidad de Valor Tributario (UVT) que regirá durante el año 2023.RESOLUCIÓN NÚMERO 7404 DE 2025

“Por la cual se resuelve un recurso”

Página 6 de 19

De acuerdo con la Ley 1581 de 2012, las definiciones de cada uno son las siguientes:

Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por:

(…)

d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

En ese sentido, se denota que el Respo nsable del tratamiento es el sujeto que decide respecto del tratamiento que se le va a impartir a los datos personales de los Titulares, y el Encargado es quien realiza el tratamiento por cuenta de

Tratamiento de los datos;

En ese sentido, se denota que el Respo nsable del tratamiento es el sujeto que decide respecto del tratamiento que se le va a impartir a los datos personales de los Titulares, y el Encargado es quien realiza el tratamiento por cuenta de este. Lo anterior implica que el Responsable del tratamien to es la persona que tiene autonomía en la toma de decisiones sobre el tratamiento de datos, mientras que el Encargado actúa bajo las directrices del Responsable, y e ste último debe supervisar y garantizar que el Encargado cumpla con las instrucciones y las medidas de seguridad establecidas.

Frente a esto, la sociedad en el escrito del recurso aclaró que “las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no confundir al consumidor, se adoptó un único Responsab le ante el cual pueda dirigirse” 16 , e indicó que “se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las compañías por ella controladas son Encargadas”17. Además la sociedad enfatizó que “se firmó un contrato de transmisión de datos personales entre Suramericana SA (responsable) y cada una de LAS COMPAÑÍAS (encargadas)”18.

Para sustentar lo anterior , la sociedad ap orta con el escrito del recurso los siguientes documentos:

 Comunicado emitido por la Coordinadora del Grupo d e Trabajo d e Investigaciones Administrativas de la Superintendencia de Industria y Comercio de fecha de 25 de agosto de 202019.

 Política de Protección de Datos Personales de Suramericana S.A. 20

 Manual de Protección de Datos Personales de Suramericana S.A.

Comercio de fecha de 25 de agosto de 202019.

 Política de Protección de Datos Personales de Suramericana S.A. 20

 Manual de Protección de Datos Personales de Suramericana S.A.

 Certificado de Existencia y Representación Legal de la sociedad EPS SURAMERICANA S.A. 21, en el cual se evidencia lo siguiente:

16 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 2. 17 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 2. 18 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 3. 19 Expediente Digital 24-212229. Consecutivo número 5. Página 3. 20 Expediente Digital 24-212229. Consecutivo número 5. Página 5. 21 Expediente Digital 24-212229. Consecutivo número 5. Página 6.RESOLUCIÓN NÚMERO 7404 DE 2025

“Por la cual se resuelve un recurso”

Página 7 de 19

(…)

(…)

(…)

Captura de imagen No. 2. Tomada de los anexos aportados por la recurrente con el escrito del recurso. Obrante en el expediente digital, consecutivo número 5, página 6, folios 21 a 24.

De acuerdo con los documentos aportados, este Despacho constata que, en efecto, existe el grupo empresarial SURA, cuya sociedad matriz es GRUPO DE INVERSIONES SURAMERICANA S.A., la cual ejerce control directo sobre la

De acuerdo con los documentos aportados, este Despacho constata que, en efecto, existe el grupo empresarial SURA, cuya sociedad matriz es GRUPO DE INVERSIONES SURAMERICANA S.A., la cual ejerce control directo sobre la sociedad SURAMERICANA S.A., así mismo, se evidencia que la sociedad EPS SURAMERICANA S.A. es una de las sociedades subordinadas del grupo empresarial y está bajo el control indirecto de la matriz a través de la sociedad

SURAMERICANA S.A.

Debido a lo anterior, la recurrente sostiene que SURAMERICANA S.A. actúa en condición de Responsable del tratamiento y EPS SURAMERICANA S.A. actúa en condición de Encargada del tratamiento. Asimismo, para sustentar el argumento, la sociedad trae a colación la normativa internacional, en concreto, el Reglamento General de Protección de Datos Personales (RGPD) europeo , en el cual en los numerales 36 y 37 de las consideraciones se prevé la figura de una compañía controlante como responsable del tratamiento, y se establece la posibilidad de designar un único delegado de protección de datos para todo un grupo empresarial22.

En primer lugar, este Despacho se permite aclarar que el reglamento europeo no es aplicable en el territorio colombiano. La existencia de un grupo empresarial conformado por una sociedad matriz y sociedades subordinadas no implica intrínsecamente la existencia de un único Responsable del tratamiento. Cada sociedad, en el desarrollo de sus actividades económicas como unidad independiente, podrá gestionar bases de datos propias sobre las cua les toma decisiones, sin injerencia de la sociedad matriz.

intrínsecamente la existencia de un único Responsable del tratamiento. Cada sociedad, en el desarrollo de sus actividades económicas como unidad independiente, podrá gestionar bases de datos propias sobre las cua les toma decisiones, sin injerencia de la sociedad matriz.

22 Expediente Digital 24-212229. Consecutivo número 5. Página 2, folio 2.RESOLUCIÓN NÚMERO 7404 DE 2025

“Por la cual se resuelve un recurso”

Página 8 de 19

Como bien lo argumenta el recurrente , es posible que la sociedad controlante actué como Responsable del tratamiento respecto de algunas bases de datos, por cuanto esta sociedad es la que establece las directrices del grupo empresarial y en ese sentido tiene autonomía en la toma de decisiones.

No obstante lo anterior, en el desarrollo de sus actividades económicas, la EPS SURAMERICANA S.A., como unidad económica independiente, puede tener bases de datos propias , sobre las cuales toma decisiones, sin injerencia de la sociedad SURAMERICANA S.A., como por ejemplo las bases de datos relativas las historias clínicas, al área de recursos humano s, la junta directiva de la sociedad, sus representantes legales y judiciales, apoderados, etc.

En relación con lo anterior, es pertinente resaltar lo establecido en la Ley 222 de 1995, cuyo inciso 2 del artículo 28 dispone:

“Se entenderá que existe unidad de propósito y dirección cuando la existencia y actividades de todas las entidades persigan la consecución de un objetivo determinado por la matriz o controlante en virtud de la dirección que ejerce sobre el conjunto, sin pe rjuicio del desarrollo individual del objeto social o actividad de cada una de ellas.” Subraya y Negrilla por fuera del texto original

determinado por la matriz o controlante en virtud de la dirección que ejerce sobre el conjunto, sin pe rjuicio del desarrollo individual del objeto social o actividad de cada una de ellas.” Subraya y Negrilla por fuera del texto original

Como se puede observar, la norma establece que, aunque en un grupo empresarial existe una sociedad controlante que ejerc e la dirección, cada sociedad desarrolla individualmente su objeto social o su actividad económica.

En consecuencia, en el marco del desarrollo de su actividad económica, la EPS SURAMERICANA S.A. decidirá sobre el tratamiento de algunas bases de datos y, por lo tanto, adquiere la calidad de Responsable del tratamiento, aun cuando actúe en calidad de responsable de los datos de un (1) sólo titular de información.

Cabe destacar que el hecho de que una sociedad a ctúe como Encargada del tratamiento en algunas bases de datos de otra sociedad, no la limita para actuar como Responsable del tratamiento de sus propias bases de datos. En efecto, una sociedad puede ostentar ambos roles, siempre y cuando no se trate de la misma base de datos.

Así, se resalta que este Despacho no pretende intervenir en las decisiones que como grupo empresarial se hayan tomado con el objetivo de mantener unidad de marca en el mercado, lo cual puede incidir en el diseño de una única política de tratamiento para el grupo empresarial. Sin embargo, esto no puede conllevar a que en todo el grupo empresarial , solo una sociedad actué en calidad de responsable de TODAS las bases de datos, pues como se ha visto, todas las sociedades individualmente, también realizan actividades de responsables del tratamiento.

En el presente caso, es preciso señalar que las bases de datos relacionadas con la Junta Directiva constituyen información de carácter exclusivo y reservado de

sociedades individualmente, también realizan actividades de responsables del tratamiento.

En el presente caso, es preciso señalar que las bases de datos relacionadas con la Junta Directiva constituyen información de carácter exclusivo y reservado de la sociedad a la que pertenecen. En efecto, la Junta Directiva de una EPS, como Suramericana, tiene asignadas funciones propias y decisorias que resultan esenciales para el adecuado funcionamiento de la entidad. Entre estas se destacan: velar por la sostenibilidad financiera, gar antizar la calidad y oportunidad en la prestación de los servicios a sus afiliados y asegurar el cumplimiento de la normativa vigente, en particular la relacionada con el sector salud y la protección de datos personales. De igual forma, le corresponde definir y orientar la planeación estratégica, supervisar la gestión de la alta dirección y adoptar políticas de gobierno corporativo que promuevan la transparencia, eficiencia y buen gobierno en todas sus operaciones. Por lo tanto, la Junta Directiva ejerce fa cultades exclusivas que son inherentes a su rol y a los intereses de la sociedad a la cual pertenece, motivo por el cual la sociedad debería actuar como Responsable de estas bases de datos.RESOLUCIÓN NÚMERO 7404 DE 2025

“Por la cual se resuelve un recurso”

Página 9 de 19

Por otra parte, la recurrente en su argumentación también cita lo que considera un caso similar, el radicado 19-13008023, y sostiene que en ese caso la Dirección acogió los argumentos de la aseguradora SEGUROS DE VIDA SURAMERICANA.SA. y archivo la actuación por cuanto:

“se precedió a revisar el Registro Nacional de Bases de Datos, donde se pudo

acogió los argumentos de la aseguradora SEGUROS DE VIDA SURAMERICANA.SA. y archivo la actuación por cuanto:

“se precedió a revisar el Registro Nacional de Bases de Datos, donde se pudo constatar que la sociedad Seguros de Vida S.A., identificada con NIT 890903790, en calidad de encargado de 14 bases de datos de Suramericana S.A., realizó la respectiva inscripción de sus bases de datos en el Registro Nacional de Bases de Datos RNBD satisfactoriamente” 24

Al respecto, es importante enfatizar que el hecho de que una sociedad esté registrada en el RNBD en calidad de Encargada del tratamiento de otra sociedad no la exime de su responsabilidad de registrar las base s de datos respecto de las cuales actúa en calidad de Responsable del tratamiento.

Como ya se ha analizado, el hecho de que el grupo empresarial haya determinado adoptar una única política de tratamiento de información no implica que solo una de las empresas sea la Responsable del tratamiento y las otras Encargadas del tratamiento de la totalidad de las bases de datos. Por lo tanto, cada sociedad, de forma independiente, debe determinar sobre qué bases actúa en calidad de Responsable del tratamiento, realizar el correspondiente registro en el RNBD y cargar las políticas adoptadas.

En el presente caso, para dilucidar lo expuesto por la recurrente respecto a la situación de control y los argumentos planteados, este Despacho, mediante Resolución N.º 53627 del 16 de septiembre de 2024, resolvió, en el marco del trámite del recurso, abrir un periodo probatorio de DIEZ (10) días hábiles y decretar de oficio la práctica de la siguiente prueba:

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

trámite del recurso, abrir un periodo probatorio de DIEZ (10) días hábiles y decretar de oficio la práctica de la siguiente prueba:

“ARTÍCULO 2. DECRETAR de oficio las siguientes pruebas:

• Ordenar a la sociedad EPS SURAMERICANA S.A., con el NIT. 800.088.702 - 2, que informe y allegu e con destino al expediente de la referencia 24 - 212229 lo

siguiente:

1. Informe cómo recolecta, almacena, usa, circula y suprime la información de

las siguientes bases de datos:

• Los empleados y sus hojas de vida • La nómina • Los accionistas • La junta directiva • Los revisores fiscales • Los prestadores de servicios • Los contratitas • Los proveedores • Los afiliados • Los usuarios • Los clientes • Los datos clínicos • Las historias clínicas • Los registros de vacunación covid-19 • El directorio médico • El portal de los funcionarios • El portal de los afiliados • La atención de PQRS • Los registros de atención hospitalaria • Los registros de atención hospitalaria en urgencias • Los registros de gestión ambulatoria • Los registros de las jornadas de promoción y prevención • Los registros biom