SIC - Resolución 9381 de 2026

Página 1 de 22

RESOLUCIÓN NÚMERO 9381 DE 2026

(12 de febrero de 2026)

“Por la cual se impone una sanción administrativa”

Radicación 25-232950

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución N. º 73807 del 21 de octubre de 2022 1, expedida por esta Dirección a través del Grupo de Investigación de Protección de Datos Personales, se ordenó al SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS, con Nit. 890.305.912-1, lo siguiente:

“ARTÍCULO SEGUNDO: ORDENAR al SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS, cumplir con las siguientes instrucciones:

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar los mecanismos pertinentes para desarrollar a cabalidad el principio de responsabilidad demostrada, implementando para el efecto medidas útiles, pertinentes, verificables y aplicables según lo señalado líneas atrás.

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS

el principio de responsabilidad demostrada, implementando para el efecto medidas útiles, pertinentes, verificables y aplicables según lo señalado líneas atrás.

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá recolectar la autorización de Titulares de quienes no se encuentren afiliadas a la organización o respecto de las cuales no mantengan contactos regulares por razón de su finalidad.

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar una Política de Tratamiento de la Información, que este alineada con el contenido mínimo señalado en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar y desarrollar un manual de procedimiento para la atención de consultas y reclamos.

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar y desarrollar un manual de procedimientos, controles y mecanismos de seguridad para velar por la seguridad de los datos que trata; dicho manual deberá contener, como mínimo las medidas técnicas implementadas por la organización, las medidas administrativas y las medidas humanas, más aún cuando las bases de datos que administra contienen datos sensibles. Dicho manual deberá contener, como mínimo las medidas técnicas implementadas por la organización, las medidas administrativas y las medidas humanas.

1 25-232950, Consecutivo 0. Página 2. Folio 1 a 30

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 9381 DE 2026

humanas.

1 25-232950, Consecutivo 0. Página 2. Folio 1 a 30

VERSIÓN ÚNICARESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 2 de 22

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar y desarrollar un manual del llamado ciclo del dato; manual que deberá contener, al menos, los siguientes aspectos:

• El método de recolección de la información; - La forma de almacenamiento de la información; - Los múltiples usos que puede tener la información dependiendo de la(s) finalidad(es) especificadas por la empresa; - La forma en que la información circula al interior de la empresa y/o si la misma es remitida a un Encargado para su Tratamiento - La forma de supresión y disposición final de la información.”

SEGUNDO: Que, el SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS , con Nit. 890.305.912 -1, tenía la obligación de acreditar el cumplimiento de las órdenes dadas en la Resolución N.º 73807 del 21 de octubre de 2022, remitiendo a esta Superintendencia una certificación suscrita por el representante legal, en donde se a creditara que se habían implementado las medidas ordenadas como se indicó en el parágrafo primero del artículo segundo

así:

“PARÁGRAFO PRIMERO: El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá́ cumplir lo ordenado en esta resolución dentro de los

así:

“PARÁGRAFO PRIMERO: El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá́ cumplir lo ordenado en esta resolución dentro de los 90 días hábiles siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO: Para demostrar el cumplimiento, se deber á́ remitir a esta Dirección una certificación suscrita por el representante legal de la sociedad, mediante la cual acredite que se han implementado las medidas ordenadas, sin perjuicio de que las misma puedan ser ve rificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.”

TERCERO: Que, vencido el término establecido en el parágrafo primero del artículo segundo de la Resolución N. º 73807 del 21 de octubre de 2022, el SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS , con Nit. 890.305.912-1 no acreditó el cumplimiento de las órdenes impartidas por este Despacho.

CUARTO: Que mediante Resolución N.º 35543 del 11 de junio de 2025 la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa contra el SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS (en adelante, “la investigada”), con Nit. 890.305.912-1, por la presunta violación de las normas sobre protección de datos personales, consagradas en particular en literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del art ículo 21 de la Ley 1581 de 2012.

datos personales, consagradas en particular en literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del art ículo 21 de la Ley 1581 de 2012.

En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.

QUINTO: Que la Resolución N.º 35543 del 11 de junio de 2025 , se notificó mediante aviso N .° 17351 al SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS el 20 de junio de 2025, de conformidad con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia con radicación 25-232950- -6 del 20 de junio de 2025.

SEXTO: Que, por conducto de su representante legal , la investigada encontrándose dentro del término establecido para el efecto, mediante comunicación radicada bajo el número No. 25 -232950- -7del 10 de julio de 2025 dio respuesta a la formulación de cargos informando lo siguiente:

6.1 Manifiesta que por dificultades internas y falta de acompañamiento técnico no se cumplió en su totalidad con la orden den tro del término establecido, sinRESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 3 de 22

embargo, el sindicato resalta que está comprometido con la protección de los datos personales y ha implementado las medidas ordenadas en la Resolución

“Por la cual se impone una sanción administrativa”

Página 3 de 22

embargo, el sindicato resalta que está comprometido con la protección de los datos personales y ha implementado las medidas ordenadas en la Resolución No. 73807 del 21 de octubre de 2022.2

Para acreditar el cumplimiento de las órdenes impartidas mediante la Resolución No. 73807 del 21 de octubre de 2022 , el sindicato aportó, entre otros, los siguientes documentos:

• Política de tratamiento de datos personales.3 - Formato de autorización para el tratamiento de datos personales.4 - Manual de atención de consultas y reclamos.5 - Manual de seguridad de la información.6 - Manual del ciclo de vida de los datos personales.7 - Carta de remisión a la Superintendencia de Industria y Comercio.8 - Certificación suscrita por el representante legal de la investigada para acreditar el cumplimiento de la orden impartida en la Resolución 73807 del 21 de octubre de 2022.9 - Respuesta a la Resolución N.º 35543 del 11 de junio de 2025 por parte de la investigada.10

SÉPTIMO: Que mediante Resolución N.º 86502 del 24 de octubre de 2025, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 25-232950, consecutivos 0 a 7, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Así pues, este Despacho incorporó las siguientes pruebas:

corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Así pues, este Despacho incorporó las siguientes pruebas:

7.1 Resolución N.º 73807 del 21 de octubre de 2022.11 7.2 Comunicación de la Resolución N.º 73807 del 21 de octubre de 202212. 7.3 Citación para notificación de la Resolución N.º 73807 del 21 de octubre de 2022 al representante legal de la investigada.13 7.4 Acuse correo electrónico certificado con radicado 20-270347—34.14 7.5 Certificado de comunicación electrónica Email certificado, Identificador del certificado: E88004224-S15 7.6 Resolución N.º 73807 del 21 de octubre de 2022.16 7.7 Acuse correo electrónico certificado con radicado 20-270347—35.17 7.8 Certificado de comunicación electrónica Email certificado, Identificador del certificado: E88004216-S18 7.9 Notificación por aviso de la Resolución N.º 73807 del 21 de octubre de 2022 con radicado 20-270347- -36.19 7.10 Acuse correo electrónico certificado con radicado 20-270347—37.20 7.11 Certificado de comunicación electrónica Email certificado, Identificador del certificado: E88617687-S21

2 25-232950. Consecutivo 7. Página 26 3 25-232950. Consecutivo 7. Página 11,12 4 25-232950. Consecutivo 7. Página 13 5 25-232950. Consecutivo 7. Página 14,15,16

3 25-232950. Consecutivo 7. Página 11,12 4 25-232950. Consecutivo 7. Página 13 5 25-232950. Consecutivo 7. Página 14,15,16 6 25-232950. Consecutivo 7. Página 17,18,19 7 25-232950. Consecutivo 7. Página 20, 21,22 8 25-232950. Consecutivo 7. Página 23,24 9 25-232950. Consecutivo 7. Página 25 10 25-232950. Consecutivo 7. Página 26 11 25-232950. Consecutivo 0. Página 2. Folio 1 a 30 12 25-232950. Consecutivo 0. Página 2. Folio 1 a 31 13 25-232950. Consecutivo 0. Página 2. Folio 32 14 25-232950. Consecutivo 0. Página 2. Folio 33 15 25-232950. Consecutivo 0. Página 2. Folio 34 a 35 16 25-232950. Consecutivo 0. Página 2. Folio 36 a 7 17 25-232950. Consecutivo 0. Página 3. Folio 1 18 25-232950. Consecutivo 0. Página 3. Folio 2 a 5 19 25-232950. Consecutivo 0. Página 3. Folio 6 20 25-232950. Consecutivo 0. Página 3. Folio 7 21 25-232950. Consecutivo 0. Página 3. Folio 8 a 9RESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 4 de 22

21 25-232950. Consecutivo 0. Página 3. Folio 8 a 9RESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 4 de 22

7.12 Resolución N.º 73807 del 21 de octubre de 2022.22 7.13 Certificado de notificación Resolución N.º 73807 del 21 de octubre de 2022 expedido por la Secretaria General AD -HOC con radicado 20270347- -38.23 7.14 Descargos presentados el 10 de julio de 2025 con radicado 25-232950- - 00007, acompañado de los siguientes documentos:24

7.14.1 Balance general a 31 de diciembre de 2022.25 7.14.2 Estado de Resultados a 31 de diciembre de 2022.26 7.14.3 Balance general a 31 de diciembre de 2023.27 7.14.4 Estado de Resultados a 31 de diciembre de 2023.28 7.14.5 Balance general a 31 de diciembre de 2024.29 7.14.6 Estado de Resultados a 31 de diciembre de 2024.30 7.14.7 Política de tratamiento de datos personales. 31 7.14.8 Formato de autorización para el tratamiento de datos personales.32 7.14.9 Manual de atención de consultas y reclamos. 33 7.14.10 Manual de seguridad de la información.34 7.14.11 Manual del ciclo de vida de los datos personales. 35 7.14.12 Carta de remisión a la Superintendencia de Industria y Comercio.36 7.14.13 Certificación suscrita por el representante legal de la investigada para acreditar el cumplimiento de la orden impartida en la

7.14.12 Carta de remisión a la Superintendencia de Industria y Comercio.36 7.14.13 Certificación suscrita por el representante legal de la investigada para acreditar el cumplimiento de la orden impartida en la Resolución 73807 del 21 de octubre de 2022.37 7.14.14 Respuesta a la Resolución N.° 35543 del 11 de junio de 2025 por parte de la investigada.38

OCTAVO: Que, vencido el término otorgado para presentar alegatos de conclusión, la investigada guardó silencio.

NOVENO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso

10.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 39, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la

22 25-232950. Consecutivo 0. Página 3. Folio 10 a 69 23 25-232950. Consecutivo 0. Página 3. Folio 72 24 25-232950. Consecutivo 7 25 25-232950. Consecutivo 7. Página 2

23 25-232950. Consecutivo 0. Página 3. Folio 72 24 25-232950. Consecutivo 7 25 25-232950. Consecutivo 7. Página 2 26 25-232950. Consecutivo 7. Página 3, 4 27 25-232950. Consecutivo 7. Página 5 28 25-232950. Consecutivo 7. Página 6,7 29 25-232950. Consecutivo 7. Página 8 30 25-232950. Consecutivo 7. Página 9,10 31 25-232950. Consecutivo 7. Página 11,12 32 25-232950. Consecutivo 7. Página 13 33 25-232950. Consecutivo 7. Página 14,15,16 34 25-232950. Consecutivo 7. Página 17,18,19 35 25-232950. Consecutivo 7. Página 20, 21,22 36 25-232950. Consecutivo 7. Página 23,24 37 25-232950. Consecutivo 7. Página 25 38 25-232950. Consecutivo 7. Página 26 39 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 5 de 22

medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley , esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan

medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley , esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la Ley 1581 de 2012.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho aducidas por la investigada en el escrito de descargos, así como el conjunto de pruebas allegadas al expediente.

10.2 Valoración probatoria y conclusiones

10.2.1 Respecto del deber que la investigada ostenta en su calidad de Responsable del Tratamiento de la información contemplado

El literal o) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental

10.2.1 Respecto del deber que la investigada ostenta en su calidad de Responsable del Tratamiento de la información contemplado

El literal o) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, respecto al deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y

Comercio:

“Artículo 17. Deberes de los Responsables del Tratamiento . Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”

Sobre el particular, es necesario resaltar que los aspectos relacionados al presente cargo obedecen a la obligación que tienen los Responsables de la información, de atender oportunamente los requerimientos impartidos por esta Superintendencia, ello, en virtud de la facultad de vigilancia otorgada por la Ley 1581 de 2012, la cual establece lo siguiente:

“Artículo 19. Autoridad de Protección de Datos . La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimien tos previstos en la presente ley.”

Al respecto, la Corte Constitucional al realizar el control de constitucionalidad previo del proyecto de Ley que culminó con la expedición de la Ley 1581 de 2012 mediante sentencia C-748 del 6 de octubre de 2011, estableció que frente a las funciones de vigilancia de esta Superintendencia lo siguiente:

previo del proyecto de Ley que culminó con la expedición de la Ley 1581 de 2012 mediante sentencia C-748 del 6 de octubre de 2011, estableció que frente a las funciones de vigilancia de esta Superintendencia lo siguiente:

“(…) Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales. Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándaresRESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 6 de 22

internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.

Además, debe afirmarse que, tal como lo estableció la Corte en la Sentencia C1011 de 2008, la naturaleza de las facultades atribuidas a la Superintendencia –a través de la Delegatura -, “caen dentro del ámbito de las funciones de policía administrativa que corresponden a esos órganos técnicos adscritos al ejecutivo (Art. 115 C.P.), en tanto expresión de la potestad de dirección e intervención del Estado en la economía (Art.334), y de intervención reforzada del Gobierno en las actividades financiera, bursátiles y aseguradoras (Art. 335 C.P.).”

De igual manera, con la expedición del Decreto 4886 del 2011 modificado por el Decreto 92 de 2022, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la

De igual manera, con la expedición del Decreto 4886 del 2011 modificado por el Decreto 92 de 2022, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución, en este caso p articular, en la Ley 1581 de 2012, al respecto traemos a colación los numerales del artículo 17 del Decreto 4886 de 2011:

“Artículo 17. Funciones de la Dirección de Investigaciones de Protección de Datos Personales. Son funciones de la Dirección de Investigaciones de Protección de

Datos Personales:

(…)

2. Ejercer la supervisión de las órdenes o instrucciones impartidas por la Superintendencia de Industria y Comercio en materia de protección de datos personales.

3. Administrar el Registro Nacional de Bases de Datos, emitir las órdenes y los actos necesarios para su administración y funcionamiento, así como y disponer de su libre consulta.

(…)

8. Verificar el cumplimiento de las decisiones proferidas, en el curso de las investigaciones o actuaciones administrativas adelantadas de oficio o a petición de parle. (…)”.

En el caso objeto de estudio, la Dirección de Investigación de Protección de Datos Personales, a través del Grupo de Investigación de Protección de Datos Personales, y en el marco de la actuación administrativa adelantada bajo el radicado N.º 20-270347, profirió la Resolución N.º 73807 del 21 de octubre de 2022, mediante la cual ordenó al SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS lo siguiente40:

“ARTÍCULO SEGUNDO: ORDENAR al SINDICATO DE TRABAJADORES DEL

2022, mediante la cual ordenó al SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS lo siguiente40:

“ARTÍCULO SEGUNDO: ORDENAR al SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS, cumplir con las siguientes instrucciones:

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar los mecanismos pertinentes para desarrollar a cabalidad el principio de responsabilidad demostrada, implementando para el efecto medidas útiles, pertinentes, verificables y aplicables según lo señalado líneas atrás.

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá recolectar la autorización de Titulares de quienes no se encuentren afiliadas a la organización o respecto de las cuales no mantengan contactos regulares por razón de su finalidad.

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar una Política de Tratamiento de la Información, que este alineada con el contenido mínimo señalado en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

40 25-232950. Consecutivo 0. Página 2. Folio 28 y 29RESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 7 de 22

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar y desarrollar un manual de procedimiento para la atención de consultas y reclamos.

Página 7 de 22

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar y desarrollar un manual de procedimiento para la atención de consultas y reclamos.

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar y desarrollar un manual de procedimientos, controles y mecanismos de seguridad para velar por la seguridad de los datos que trata; dicho manual deberá contener, como mínimo las medidas técnicas implementadas por la organización, las medidas administrativas y las medidas humanas, más aún cuando las bases de datos que administra contienen datos sensibles. Dicho manual deberá contener, como mínimo las medidas técnicas implementadas por la organización, las medidas administrativas y las medidas humanas.

• El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá implementar y desarrollar un manual del llamado ciclo del dato; manual que deberá contener, al menos, los siguientes aspectos:

• El método de recolección de la información; - La forma de almacenamiento de la información; - Los múltiples usos que puede tener la información dependiendo de la(s) finalidad(es) especificadas por la empresa; - La forma en que la información circula al interior de la empresa y/o si la misma es remitida a un Encargado para su Tratamiento - La forma de supresión y disposición final de la información.”

La Resolución N. º 73807 del 21 de octubre de 2022 fue notificada a la investigada mediante Aviso N. º 29242 el día 2 de noviembre de 2022 , según consta en la certificación expedida por Secretaría General AD -HOC de esta

investigada mediante Aviso N. º 29242 el día 2 de noviembre de 2022 , según consta en la certificación expedida por Secretaría General AD -HOC de esta Superintendencia bajo radicado No. 20-270347- -38 de fecha de 2 de noviembre de 202241, como se evidencia a continuación:

Con base en lo anterior, se tiene que el término que tenía la investigada para interponer los recursos de Ley vencía el 18 de noviembre del 2022, pero no se presentaron recursos, de modo que la Resolución en cuestión quedó en firme a partir del 21 de noviembre del 2022.

Así las cosas, dado que el mencionado acto administrativo otorgaba un plazo de noventa (90) días , a partir de la ejecutoria del acto administrativo para dar cumplimiento a las órdenes impartidas y aportar una certificación suscrita por el representante legal que acreditara la implementación de las medidas ordenadas por esta Dirección, se concluye que el sindicato tenía plazo hasta el 22 de febrero de 2023 para demostrar el cumplimiento.

No obstante, ante la falta de acreditación de cumplimiento de las órdenes impartidas, la Dirección de Investigaciones de Protección de Datos Personales

41 25-232950. Consecutivo 0. Página 3. Folio 72RESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 8 de 22

de esta Superintendencia, mediante Resolución N.° 35543 del 11 de junio de 2025, procedió a formular pliego de cargos en contra de la investigada, por la

Página 8 de 22

de esta Superintendencia, mediante Resolución N.° 35543 del 11 de junio de 2025, procedió a formular pliego de cargos en contra de la investigada, por la presunta infracción de lo previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f ) del artículo 21 de la misma norma , toda vez que “la investigada guardó silencio y no acreditó dentro del término legal el cumplimiento de las órdenes administrativas impartidas en la Resolución No. 73807 del 21 de octubre de 2022”42

Al respecto , el 10 de julio de 2025 la investigada allegó a través de su representante legal, escrito de descargos bajo consecutivo N.° 25-232950- -7, argumentando que por dificultades internas y falta de acompañamiento técnico no se cumplió en su totalidad con la orden dentro del término establecido . Sin embargo, el sindicato resalta que está comprometido con la protección de los datos personales y ha implementado las medidas ordenadas en la Resolución No. 73807 del 21 de octubre de 2022.43

Para acreditar el cumplimiento de las órdenes impartidas mediante la Resolución No. 73807 del 21 de octubre de 2022, el sindicato aportó, entre otros, los siguientes documentos:

• Política de tratamiento de datos personales44:

• Formato de autorización para el tratamiento de datos personales45:

42 Resolución N.° 35543 del 11 de junio de 2025. Folio 4. 43 25-232950. Consecutivo 7. Página 26

• Formato de autorización para el tratamiento de datos personales45:

42 Resolución N.° 35543 del 11 de junio de 2025. Folio 4. 43 25-232950. Consecutivo 7. Página 26 44 25-232950. Consecutivo 7. Página 11, 12 45 25-232950. Consecutivo 7. Página 13RESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 9 de 22

• Manual de consultas y reclamos46:

• Manual de seguridad de la información47:

• Manual de ciclo de vida de los datos personales48:

46 25-232950. Consecutivo 7. Página 14, 15, 16 47 25-232950. Consecutivo 7. Página 17, 18, 19 48 25-232950. Consecutivo 7. Página 20, 21, 22RESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 10 de 22

• Certificación de acreditación del cumplimiento de la orden impartida en la Resolución 73807 del 21 de octubre de 2022 suscrita por el representante

legal de la investigada49:

Por lo anterior, este Despacho evidencia que el SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS ha venido implementando y fortaleciendo de manera progresiva sus mecanismos para garantizar la protección adecuada de los datos personales de los Titulares bajo

TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS ha venido implementando y fortaleciendo de manera progresiva sus mecanismos para garantizar la protección adecuada de los datos personales de los Titulares bajo su responsabilidad y tratamiento, y el cumplimiento del Régimen de Protección de Datos Personales.

No obstante, este Despacho resalta que el análisis desarrollado en esta instancia no versa únicamente sobre la idoneidad o existencia de los mecanismos internos de cumplimiento ordenados , sino que también abarca la verificación formal y oportuna de su acreditación ante el ente de Control.

Frente a esto, este Despacho enfatiza que la obligación de acreditar el cumplimiento de lo ordenado no constituye un requisito meramente formal, sino una parte integral de lo ordenado, en tanto permite a esta Autoridad verificar de manera efectiva la implementación de las medidas exigidas. Así, se destaca que la remisión de la certificación de cumplimiento hacía parte de lo ordenado en la Resolución N. ° 73807 del 21 de octubre de 2022, como se evidencia a continuación:

“PARÁGRAFO PRIMERO: El SINDICATO DE TRABAJADORES DEL HOSPITAL SAN JUAN DE DIOS deberá́ cumplir lo ordenado en esta resolución dentro de los 90 días hábiles siguientes a la ejecutoria del presente acto administrativo.

PARÁGRAFO SEGUNDO: Para demostrar el cumplimiento, se deber á́ remitir a esta Dirección una certificación suscrita por el representante legal de la sociedad,

49 25-232950. Consecutivo 7. Página 25RESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 11 de 22

49 25-232950. Consecutivo 7. Página 25RESOLUCIÓN NÚMERO 9381 DE 2026

“Por la cual se impone una sanción administrativa”

Página 11 de 22

mediante la cual acredite que se han implementado las medidas ordenadas, sin perjuicio de que las misma puedan ser verificadas con posterioridad por parte d