SIC - Resolucion RE22302-2025 de 2025

Página 1 de 27

RESOLUCIÓN NÚMERO 22302 DE 2025

(23 de abril de 2025)

“Por la cual se impone una sanción administrativa”

Radicación 22-339565

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante denuncia interpuesta ante esta Superintendencia con número de radicado 22 -339565-0 del 29 de agosto de 2022, el señor XXXXXXX. XXXXXXXX. XXXXXXx XXX, identificado con cédula de ciudadanía número X.XXX.XXX.XX. y en calidad de “Investigador Judicial y Criminalístico, perteneciente a la División de Tareas Estratégicas de la Oficina de Investigación Judicial & Defensorial” 1, informó que, presuntamente las sociedades EPS SURAMERICANA S.A. y CLÍNICA CASTELLANA S.A.S. remitieron mensajes de texto y realizaron llamadas telefónicas al número telefónico XXx XXx XXXx perteneciente al Titular XXXXX. XXXXXX XXXXXX XXXXXXXXXX. , identificado con cédula de ciudadanía número X.XXX.XXX.XX..

Dentro de dichos mensajes y llamadas telefónicas que las sociedades enviaron y compartieron al número telefónico XXx XXx XXXx se encontraba información relacionada con la programación de citas médicas de terceros, quienes no tenían

Dentro de dichos mensajes y llamadas telefónicas que las sociedades enviaron y compartieron al número telefónico XXx XXx XXXx se encontraba información relacionada con la programación de citas médicas de terceros, quienes no tenían vínculo alguno con el Titular.

1.1. El señor XXXXXXX. XXXXXXXX. XXXXXXx XXX anexó, entre otros, los siguientes documentos: (i) comunicación remitida por el Titular XXXXX. XXXXXX XXXXXX XXXXXXXXX. ante esta Superintendencia a través del número de radicado 22 -150975-0 del 18 de abril de 2022; (ii) mensajes enviados al número telefónico XXx XXx XXXx por parte de las sociedades EPS SURAMERICANA S.A., CLÍNICA CASTELLANA S.A.S. y NEUROFIC LTDA durante el mes de julio de 2022, a través de la aplicación de mensajería instantánea WhatsApp; (iii) historial de llamadas telefónicas realizadas presuntamente por CLÍNICA CASTELLANA S.A.S. al número telefónico XXx XXx XXXx durante los años 2021 y 2022; (iv) mensajes de texto enviados al número telefónico XXx XXx XXXx por parte de la sociedad EPS SURAMERICANA S.A. a través del número corto xxxxxx. durante los meses de junio, julio y agosto de 2022; y (v) copia del reclamo interpuesto el 20 de mayo de 2022 por el Titular XXXXX. XXXXXX XXXXXX XXXXXXXXXX. ante CLÍNICA CASTELLANA S.A.S., por medio del cual se quejó por el tratamiento indebido a sus datos personales por parte de esta clínica y EPS SURAMERICANA S.A. al remitirle al número telefónico XXx XXx XXXx información de terceros.

tratamiento indebido a sus datos personales por parte de esta clínica y EPS SURAMERICANA S.A. al remitirle al número telefónico XXx XXx XXXx información de terceros.

1 Expediente digital 22-339565. Consecutivo número 0. Página 2, folio 2.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 22302 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 27

SEGUNDO: Que, con el fin de recolectar información y ampliar las circunstancias de modo, tiempo y lugar de los hechos descritos en la denuncia interpuesta por el señor XXXXXXX. XXXXXXXX. XXXXXXx XX, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, llevó a cabo

las siguientes actuaciones:

2.1. Oficio con número de radicado 22-339565-5 del 09 de noviembre de 2022, mediante el cual, este Despacho requirió a la sociedad EPS SURAMERICANA S.A. para que, suministrara respuesta a los siguientes interrogantes:

“(…)

1. Respecto del Titular XXXXX. XXXXXX XXXXXX XXXXXXXXXX. , C.C.

X.XXX.XXX.XX.:

1.1 ¿Tiene algún tipo de relación contractual y/o comercial con el/la Titular XXXXX. XXXXXX XXXXXX XXXXXXXXX.? En caso afirmativo remita copia del documento y/o contrato mediante el cual se acredite su respuesta.

1.2 ¿Cuenta con la autorización expresa, previa e informada del Titular XXXXX. XXXXXX XXXXXX X XXXXXXXX. para la recolección y Tratamiento de sus datos personales? En caso afirmativo, allegue copia de la prueba de dicha autorización.

1. XXXXXX XXXXXX X XXXXXXXX. para la recolección y Tratamiento de sus datos personales? En caso afirmativo, allegue copia de la prueba de dicha autorización.

1.3 ¿Informó al Titular XXXXX. XXXXXX XXXXXX X XXXXXXXX. las finalidades de la recolección de sus datos y los derechos que le asisten como consecuencia de la autorización otorgada? En caso afirmativo, allegue prueba de su respuesta.

1.4 ¿Ha recibido comunicaciones, derechos de petición, consultas y/o reclamos, verbales y/o escritos, por parte del Titular XXXXX. XXXXXX XXXXXX X XXXXXXXX., en razón del Tratamiento de sus datos personales? En caso afirmativo, allegue copia de estos y sus respuestas; en caso de haber sido verbales, documéntelos para efecto de la presente solicitud.

1.5 ¿Ha transmitido o trasferido datos personales, en particular sensibles y/o biométricos, del Titular XXXXX. XXXXXX XXXXXX XXXXXXXxXX., en razón del Tratamiento de sus datos personales? En caso afirmativo, allegue copia de estos y sus respuestas; en caso de haber sido verbales, documéntelos para efecto de la presente solicitud.

1.6 ¿Cómo recolectó el número celular XXxXXxXXXx, de propiedad del Titular XXXXX. XXXXXX XXXXXX X XXXXXXXX. identificado con cédula de ciudadanía número X.XXX.XXX.XX.? Acredite su respuesta.

2. Respecto del cumplimiento del Régimen General de Protección de Datos Personales establecido en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015 (Capitulo 25), informe:

2. Respecto del cumplimiento del Régimen General de Protección de Datos Personales establecido en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015 (Capitulo 25), informe:

2.1 Informe y acredite sobre el mecanismo para la recolección de los datos personales que obran en sus bases de datos, y enuncie los tipos de datos puntuales con los que cuenta.

2.2 ¿Cuenta con la autorización expresa, previa e informada de cada uno de los Titulares cuyos datos se encuentran almacenados en sus bases de datos? Acredite su respuesta.

2.3 ¿Informa a cada uno de los Titulares cuyos datos se encuentran contenidos en sus bases de datos, acerca de las finalidades de la recolección de sus datos y los derechos que le asisten en virtud de la autorización otorgada? En caso afirmativo, allegue prueb a de su respuesta.

2.4 ¿Ha recibido comunicaciones, derechos de petición, consultas y/o reclamos, verbales y/o escritos, por parte de los Titulares cuyos datosRESOLUCIÓN NÚMERO 22302 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 27

se encuentran contenidos en sus bases de datos? En caso afirmativo, informe sobre los mismos, indicando nombre del Titular solicitante, número de identificación, fecha de la consulta y/o reclamo, resumen del motivo, fecha de entrega de respuesta a Titular, y resumen de la respuesta.

2.5 ¿Actúa en calidad de Responsable o Encargado, del Tratamiento, de los datos personales de Titulares contenidos en sus bases de datos? Explique detalladamente la forma en la cual realiza el Tratamiento de

respuesta.

2.5 ¿Actúa en calidad de Responsable o Encargado, del Tratamiento, de los datos personales de Titulares contenidos en sus bases de datos? Explique detalladamente la forma en la cual realiza el Tratamiento de los datos de los Titulares.

2.6 ¿Ha celebrado o suscrito contratos, acuerdos y/o convenciones de Transferencia de Datos, por medio de los cuales, en consecuencia, haya recibido o entregado datos personales de Titulares? En caso ser afirmativa la respuesta, remita copia de los contratos, acuerdos, convenciones y/o documentos relacionados que soporten la(s) referida(s) operación(es).

2.7 Aporte copia del Manual de procedimientos implementado al interior de la sociedad para la recolección, almacenamiento, uso circulación y supresión de la información, vigente a la fecha de la respuesta al presente requerimiento.

2.8 Aporte copia del Manual de procedimientos implementado al interior de la sociedad para la atención de consultas y reclamos de los Titulares de la información, vigente a la fecha de la respuesta al presente requerimiento.

2.9 Remita copia de la(s) Políticas(s) de Tratamiento implementadas por la sociedad, para el manejo de datos personales, vigente(s) a la fecha de la respuesta al presente requerimiento.

2.10 Remita copia de la Política de Seguridad de la información desarrollada e implementada por la Entidad, en relación con la conservación de la información y los datos personales de los Titulares, a fin de impedir su adulteración, pérdida, consulta, uso o acc eso no autorizado o fraudulento. (…)”2.

2.1.1. Que, el oficio con número de radicado 22 -339565-5 del día 09 de

adulteración, pérdida, consulta, uso o acc eso no autorizado o fraudulento. (…)”2.

2.1.1. Que, el oficio con número de radicado 22 -339565-5 del día 09 de noviembre de 2022, fue remitido a la dirección electrónica notificacionesjudiciales@suramericana.com.co (registrada para efectos de notificación judicial dentro del Certificado de Existencia y Representación Legal de la sociedad expedido por la Cámara de Comercio de Medellín),

Captura Núm. 1. Anexo referente al Certificado de Existencia y Representación Legal de la sociedad EPS SURAMERICANA S.A. expedido por la Cámara de Comercio de Medellín.

2 Expediente digital 22-339565. Consecutivo número 5. Página 2, Folios 1 a 3.RESOLUCIÓN NÚMERO 22302 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 27

No obstante, cumplido el término de DIEZ (10) días concedido, no se observó en el expediente que, la sociedad EPS SURAMERICANA S.A. haya suministrado respuesta al requerimiento efectuado.

Captura Núm. 2. Anexo referente al soporte de envío del oficio con número de radicado 22-339565-5 del 09 de septiembre de 2022, expedido por LLEIDA S.A.S.

2.2. Oficio con número de radicado 22 -339565-9 del 29 de mayo de 2023, mediante el cual este Despacho requirió por segunda vez a la sociedad EPS SURAMERICANA S.A., reiterando las mismas preguntas realizadas

2.2. Oficio con número de radicado 22 -339565-9 del 29 de mayo de 2023, mediante el cual este Despacho requirió por segunda vez a la sociedad EPS SURAMERICANA S.A., reiterando las mismas preguntas realizadas por este Despacho dentro del oficio descrito en el numeral 2.1.

2.2.1. Que, el oficio con número de radicado 22-339565-9 del día 29 de mayo de 2023, fue remitido a la dirección electrónica notificacionesjudiciales@suramericana.com.co (registrada para efectos de notificación judicial dentro del Certificado de Existencia y Representación Legal de la sociedad expedido por la Cámara de Comercio de Medellín), y que, cumplido el término de DIEZ (10) días concedido, no se observó en el expediente que la sociedad EPS SURAMERICANA S.A. haya suministrado respuesta al requerimiento efectuado.

(ESPACIO EN BLANCO)RESOLUCIÓN NÚMERO 22302 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 27

Captura Núm. 3. Anexo referente al soporte de envío del oficio con número de radicado 22-339565-9 del 29 de mayo de 2023, expedido por la empresa de correos SERVICIOS POSTALES NACIONALES S.A.S.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 16 de mayo de 2024, se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 24264

recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 16 de mayo de 2024, se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 24264 por medio de la cual, se formuló cargos en contra de la sociedad EPS SURAMERICANA S.A., con Nit. 800.088.702-2, por la presunta infracción de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención.

CUARTO: Que, la Resolución N.° 24264 de 16 de mayo de 2024 le fue notificada a la investigada mediante aviso N.° 8498 el 28 de mayo de 2024 ; de acuerdo con la certificación expedida por la Secretaría General AD -HOC de esta Superintendencia bajo radicado N.º 22-339565- -18 de fecha de 4 de junio de

2024.

QUINTO: Que la sociedad EPS SURAMERICANA S.A. presentó escrito de descargos el 19 de junio de 2024 mediante radicado N.° 22-339565- -19,

indicando lo siguiente:

Frente cargo único la sociedad indicó que:

“Frente al cargo formulado manifestamos la aceptación expresa de la infracción ya que, al revisar nuestro sistema de información efectivamente se encontró el registro de los dos (2) requerimientos, sin embargo, en su momento no se dio respuesta a la SIC sin o que se procedió desde el área encargada a contactar al Titular para verificar si se presentaba alguna dificultad resolverla. Esta actuación permite un acercamiento con el Titular y la solución de sus inquietudes, no

respuesta a la SIC sin o que se procedió desde el área encargada a contactar al Titular para verificar si se presentaba alguna dificultad resolverla. Esta actuación permite un acercamiento con el Titular y la solución de sus inquietudes, no obstante, por error humano en el proceso, no se contestó a la entidad.RESOLUCIÓN NÚMERO 22302 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 27

Para evitar que situaciones similares se presente, se tomaron correctivos en la Compañía estableciendo que este tipo de requerimientos de autoridades deben dirigirse a la Gerencia de Cumplimiento quien articulará la respuesta por parte de un equipo experto. Esta Directriz se actualizó en el Manual de Protección de Datos Personales, el cual se adjunta al presente escrito como prueba de la corrección administrativa realizada”.3

Además, la sociedad indicó “en el marco del deber que le asiste a la Compañía de cumplir con los requerimientos realizados por el supervisor, a continuación, se da respuesta a cada una de las solicitudes realizadas en los requerimientos (…), frente a los cuales (como ya se indicó) no se dio respuesta oportuna por un error interno de nuestra compañía ”4. En consecuencia, la sociedad procedió a dar respuesta a los requerimientos realizados por este Despacho5.

SEXTO: Que mediante Resolución N.º 75206 de 29 de noviembre de 2024, este Despacho determinó que contaba con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las siguientes pruebas obrantes en el expediente digital radicado 22-339565, con el valor probatorio correspondiente:

para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las siguientes pruebas obrantes en el expediente digital radicado 22-339565, con el valor probatorio correspondiente:

6.1. Denuncia interpuesta por el titular con radicación 22-339565- -00 del 26 de agosto de 2022 junto con sus anexos:

6.1.1. Solicitud de Protección al Consumidor de fecha 18 de abril del año

2022 ante la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO.

6.1.2. Copia Políticas y Procedimientos para el Tratamiento de Datos Personales de la CLÍNICA CASTELLANA S.A.S.

6.1.3. Copia de las imágenes de las Solicitudes realizadas por el titular.

6.1.4. Copia de las i mágenes de los mensajes de texto – mensajes de WhatsApp – llamadas telefónicas – confirmación de citas médicas, de terceros remitidos al celular del titular.

6.1.5. Denuncia interpuesta por el titular ante EPS SURAMERICANA S.A. mediante correo electrónico del 20 de mayo de 2023.

6.2. Requerimiento de información con radicación 22 -339565- -5 del 09 de noviembre de 2022.

6.3. Acuse de correo electrónico certificado con radicación 22-339565- -7 del 09 de noviembre de 2022.

6.4. Segundo requerimiento de información con radicación 22-339565- -9 del 29 de mayo de 2023.

6.5. Acuse de correo electrónico certificado con radicación 22-339565- -10 del 29 de mayo de 2023.

6.4. Segundo requerimiento de información con radicación 22-339565- -9 del 29 de mayo de 2023.

6.5. Acuse de correo electrónico certificado con radicación 22-339565- -10 del 29 de mayo de 2023.

6.6. Escrito de descargo s con radicación 22 -339565- -19 del 20 de junio de 2024 junto con los siguientes anexos:

6.6.1. Vinculación EPS SURA_2019.

6.6.2. Anexo 1 _formulario de vinculación _EPS SURA.

6.6.3. Formulario_reporte de novedades_EPS SURA

3 Expediente digital 22-339565. Consecutivo 19. Página 3. Folio 1. 4 Expediente digital 22-339565. Consecutivo 19. Página 3. Folio 2. 5 Expediente digital 22-339565. Consecutivo 19. Página 3. Folios 2 a 8.RESOLUCIÓN NÚMERO 22302 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 27

6.6.4. Manual de Políticas y Procedimientos para PDP.

6.6.5. POLITICA GENERAL DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD - 20231026_V03_Politica Seg y Ciber - EPS

Suramericana S.A.

SÉPTIMO: Que, la Resolución N.º 75206 de 29 de noviembre de 2024 le fue comunicada el día 2 de diciembre de 2024 al Re presentante Legal de la investigada; de acuerdo con la certificación expedida por la Secretaría General

SÉPTIMO: Que, la Resolución N.º 75206 de 29 de noviembre de 2024 le fue comunicada el día 2 de diciembre de 2024 al Re presentante Legal de la investigada; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 22-339565- -23 de fecha de 3 de diciembre de 2024.

OCTAVO: Que transcurrido el término de diez (10) días hábiles concedido en la Resolución N.º 75206 de 29 de noviembre de 2024 la sociedad EPS SURAMERICANA S.A. no presentó escrito alegatos de conclusión.

NOVENO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso

10.1 Adecuación típica

La Corte Constitucional mediante sentencia C -748 de 2011 6, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables

en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el conjunto de pruebas obrantes en el expediente.

6 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño.

Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 22302 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 27

10.2 Consideraciones Preliminares: Frente a la calidad de Responsable del tratamiento

Este Despacho en los requerimientos realizados a la sociedad EPS SURAMERICANA S.A., solicitó, entre otras cosas, dar respuesta a las siguientes preguntas:

“2.5 ¿Actúa en calidad de Responsable o Encargado, del Tratamiento, de los datos personales de Titulares contenidos en sus bases de datos? Explique detalladamente la forma en la cual realiza el Tratamiento de los datos de los Titulares.

2.6 ¿Ha celebrado o suscrito contratos, acuerdos y/o convenciones de Transferencia de Datos, por medio de los cuales, en consecuencia, haya recibido o entregado datos personales de Titulares? En caso ser afirmativa la respuesta, remita copia de los contratos, acue rdos, convenciones y/o documentos relacionados que soporten la(s) referida(s) operación(es).” 7

Debido a la falta de respuesta, este Despacho en la Resolución N.° 24264 de 16 de mayo de 2024 “Por la cual se inicia una investigación administrativa y se formulan cargos”, en el numeral tercero estableció:

“TERCERO: Que, el literal e) del artículo 3° de la Ley 1581 de 2012 define al Responsable del Tratamiento como “(p)ersona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de dato y/o el Tratamiento de los datos”.

Responsable del Tratamiento como “(p)ersona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de dato y/o el Tratamiento de los datos”.

Teniendo en cuenta lo informado por el Titular XXXXX. XXXXXX XXXXXX XXXXXX sobre la presunta afiliación con la sociedad EPS SURAMERICANA S.A., la cual originó la entrega de los datos personales del Titular a esta sociedad, se tendrá, entonces que, la sociedad EPS SURAMERICANA S.A. actuó en calidad de Responsable del Tratamiento de los datos personales del Titular XXXXX. XXXXXX

XXXXXX XXXXXXXXX..”8

No obstante en el escrito de descargos la sociedad dio respuesta a los interrogantes planteados informando:

“2.5. (…) Para el caso de EPS SURA, s e actúa en calidad d e Encargado de SURAMERICANA S.A. sociedad que se encuentra inscrita ante el Registro Nacional de Base de Datos en calidad de Responsable.

Valga resaltar que, de acuerdo con l a estructu ra societaria, Suramericana SA. controla de manera directa o indirecta a las compañías de Sura Colombia tal como ocurre con EPS SURA. Por tal motivo, se ha determ inado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las compañías por ella controladas son Encargadas. Lo ant erior parte del hecho de querer suministrar l a mayor transparencia posible al Titular y fa cilitarle su interacción con un solo interlocutor, ya que todas las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no con fundir al consumidor, se adoptó un único Responsable ante el cual pueda dirigirse.

interacción con un solo interlocutor, ya que todas las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no con fundir al consumidor, se adoptó un único Responsable ante el cual pueda dirigirse.

Incluso, tal como se encuentra en l a Política de Protección de Datos Personales y en el Manual de Protección de Datos Personales, existe un único correo para recibir las quejas de los Titulares sobre el accionar de cualquiera de las compañías, este es protecciondedatos@suramericana.com.co, de modo que los Titulares puedan enviar sus consultas y reclamos allí y obtengan un trámite oportuno. En muchos casos l as personas no logran diferenciar l as competen cias y acciones entre distintas entidades, por ejemplo, es común que no diferencien entre una IPS y una EPS, y muchas veces han ma nifestado que independiente de la compañía se comunican con SURA Por lo anterior, y sumado a que somos un grupo empresarial y utilizamos una misma marca, consideramos que sería más transparente y fácil para los Titulares tener un solo interlocutor qu e pueda resolver las consultas y reclamos que presenten.

7 Expediente digital 22-339565. Consecutivo número 5. Página 2, Folio 2. 8 Resolución N.° 24264 de 16 de mayo de 2024. Folio 5.RESOLUCIÓN NÚMERO 22302 DE 2025

“Por la cual se impone una sanción administrativa”

Página 9 de 27

Valga resaltar que l a figura de una compañía controlante como responsable del tratamiento no está expresamente regulada en la Ley 1581 de 2012, pero tampoco es ajena al contexto internacional, toda vez que aparece descrita esta posibilidad

Página 9 de 27

Valga resaltar que l a figura de una compañía controlante como responsable del tratamiento no está expresamente regulada en la Ley 1581 de 2012, pero tampoco es ajena al contexto internacional, toda vez que aparece descrita esta posibilidad en los numerales 36 y 37 de Las consideraciones del Reglamento General de Protección de Datos Personales (RGPD) europeo, en et cual incluso se menciona en el artículo 37 la posibilidad de designar un único delegado de protección de datos para todo el grupo empresarial.

En ese orden de ideas, si bien el RGPD europeo no es aplicable a Suramericana SA ni a las compañías de SURA Colombia, se toma como contexto ante el vacío que existe en la regulación colombiana, donde esta figura no aparece expresamente regulada y en esa medida tampoco se encuentra prohibida. Así, se definió un único responsable para la organización, y se firmó un contrato de transmisión de datos personales entre Suramericana SA (responsable) y cada una de LAS COMPAÑÍAS (encargadas). Esto es informado a los Titulares tanto en la Política de Protección de Datos Personales, como en las autorizaciones que les son solicitadas previo al Tratamiento.

2.6. (…) EPS SURA, actuando en calidad de Encargado de los Datos Personales de los Titulares, no realiza transferencia de datos personales, es el Responsable de los datos, Suramericana SA., quien lleva a cabo dichas acciones.” 9

Por lo anterior, antes de continuar con la presente investigación corresponde a esta Despacho determinar si la sociedad EPS SURAMERICANA S.A. actúa en calidad de encargada del tratamiento.

En este sentido, resulta pertinente señalar que la Ley 1581 de 2012 dispone que

esta Despacho determinar si la sociedad EPS SURAMERICANA S.A. actúa en calidad de encargada del tratamiento.

En este sentido, resulta pertinente señalar que la Ley 1581 de 2012 dispone que el tratamiento de datos personales puede llevarse a cabo en calidad de Responsable o Encargado del tratamiento.

De acuerdo con la Ley 1581 de 2012, las definiciones de cada uno son las siguientes:

Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por:

(…)

d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

En ese sentido, se denota que el Responsable del tratamiento es el sujeto que decide respecto del tratamiento que se le va a impartir a los datos personales de los Titulares, y el Encargado es quien realiza el tratamiento por cuenta de este. Lo anterior implica que el Responsable del tratamiento es la persona que tiene autonomía en la toma de decisiones sobre el tratamiento de datos, mientras que el Encargado actúa bajo las directrices del Responsable, y e ste último debe supervisar y garantizar que el Encar gado cumpla con las instrucciones y las medidas de seguridad establecidas.

La sociedad en su escrito de descargos sostiene que SURAMERICANA S.A. actúa en condición de Responsable del tratamiento y EPS SURAMERICANA S.A. actúa en condición de Encargada del tratamiento. Para sustentar lo anterior,

La sociedad en su escrito de descargos sostiene que SURAMERICANA S.A. actúa en condición de Responsable del tratamiento y EPS SURAMERICANA S.A. actúa en condición de Encargada del tratamiento. Para sustentar lo anterior, la sociedad trae a colación la normativa internacional, en concreto, el Reglamento General de Protección de Datos Personales (RGPD) europeo , en el cual en los numerales 36 y 37 de las consideraciones de dicha disposición, se prevé la figura de una compañía controlante como responsable del tratamiento, y se establece la posibilidad de designar un único delegado de protección de datos para todo un grupo empresarial.

9 Expediente digital 22-339565. Consecutivo número 19. Página 3, Folios 6 a 7.RESOLUCIÓN NÚMERO 22302 DE 2025

“Por la cual se impone una sanción administrativa”

Página 10 de 27

Al respecto, este Despacho se permite aclarar que el reglamento europeo no es aplicable en el territorio colombiano. La existencia de un grupo empresarial conformado por una sociedad matriz y sociedades subordinadas no implica intrínsecamente la existencia de un único Responsable del tratamiento. Cada sociedad, en el desarrollo de sus actividades económicas como unidad independiente, puede gestionar bases de datos propias sobre las cuales toma decisiones, sin injerencia de la sociedad matriz.

Además, aunque la sociedad sostiene que SURAMERICANA S.A. actúa en condición de Responsable del tratamiento y EPS SURAMERICANA S.A. actúa en condición de Encargada del tratamiento , este Despacho evidencia que la sociedad omitió allegar el contr