SIC - Resolucion RE3869-2026 de 2025

Página 1 de 17

RESOLUCIÓN NÚMERO ________3869_________ DE 2026

(21 de enero 2026)

“Por la cual se resuelve un recurso de apelación”

Radicado 22-373421

EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que, el 21 de septiembre de 2022 , el señor XXXXXXXX XXXXX presentó ante esta Superintendencia , mediante radicado 22-373421-0, una denuncia en contra de la s sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A . (en adelante CERID) identificada con NIT 900.067.963-0 y COOMEVA MEDICINA PREPAGADA S.A. (en adelante COOMEVA), identificada con NIT 805.009.741-0, por la presunta vulneración de su derecho fundamental al habeas data. Las mencionadas sociedades enviaron un correo electrónico a 438 direcciones, entre ellas la del denunciante, sin ningún tipo de restricción y permitiendo el acceso no autorizado a dicha información por parte de terceros.

SEGUNDO. Que, con ocasión de la denuncia presentada , la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección),

permitiendo el acceso no autorizado a dicha información por parte de terceros.

SEGUNDO. Que, con ocasión de la denuncia presentada , la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 63622 del 19 de octubre de 2023, decidió abrir una investigación administrativa y formular cargos , a las dos sociedades, por la presunta vulneración de lo dispuesto e n el literal d) del artículo 17 de la Ley 1581 de 2012 , en concordancia con lo señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.

TERCERO. Que la Dirección estableció, con fundamento en las pruebas recaudadas dentro de la actuación, que la sociedad CERID mediante el mensaje masivo denunciado permitió la exposición de las direcciones de correo electrónico de todos los titulares destinatarios desconociendo el deber de conservar la información bajo medidas de seguridad técnicas, humanas y administrativas para impedir el acceso por parte de terceros no autorizados.

Asimismo, que la sociedad COOMEVA compartió una base de datos con la sociedad CERID, sin hacer las previsiones pertinentes dirigidas a otorgar la seguridad y confidencialidad necesarias a los registros contenidos en ella. Por lo anterior, mediante Resolución No. 50027 del 28 de julio de 2025, resolvió:

“ARTÍCULO 1: IMPONER una sanción pecuniaria a las sociedades CENTRO

ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO

DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A. - identificada con Nit

“ARTÍCULO 1: IMPONER una sanción pecuniaria a las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A. - identificada con Nit 900.067.963-0 de CINCUENTA (50) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CINCO MIL OCHOCIENTOS (5.800) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a SESENTA Y SIETE MILLONES MIL SEISCIENTOS PESOS M/CTE (67.001.600); y COOMEVA MEDICINA PREPAGADA S.A., identificada con N it 805.009.741 -0 de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a CUATRO MIL SEISCIENTOS CUARENTA (4.640) Unidades

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO _________3869________ DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 2 de 17

de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CINCUENTA Y TRES MILLONES SEISCIENTOS UN MIL DOSCIENTOS OCHENTA PESOS M/CTE (53.601.280) , por la vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.

(…)

el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.

(…)

ARTÍCULO 2: ORDENAR a la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. - CERID S.A.- identificada con Nit 900.067.963-0:

-Documentar y realizar un programa de capacitaciones periódicas a sus trabajadores en relación con el cumplimento de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015; en particular, los asuntos concernientes a la seguridad de la información, de acuerdo con la labor desempeñada y conforme a la naturaleza del dato objeto de tratamiento.

-Implementar un procedimiento que contenga controles para el envío de correos electrónicos masivos, de manera que impida su acceso no autorizado por parte de terceros. La presente orden deberá ser cumplida por la sociedad dentro del término de sesenta (60) días hábiles, siguientes a la ejecutoria de la presente decisión.”

CUARTO. Que, dentro del término legal establecido para el efecto, el 1 de agosto de 2025, CERID, a través de su apoderado, interpuso recurso de reposición y, en subsidio , de apelación1 contra la decisión contenida en la Resolución No. 50027 del 28 de julio de 2025 , mediante escrito radicado con el número 22373421-46. Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos:

• Respecto de la imposibilidad de aplicar la presunción de

373421-46. Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos:

• Respecto de la imposibilidad de aplicar la presunción de solidaridad en calidad de responsables. La sociedad recurrente señaló que su objeto social o actividad económica corresponde a la prestación de servicios de diagnóstico médico por imágenes y en desarrollo de su objeto, mantiene una relación comercial y contractual con COOMEVA a través de la cual se prestan dichos servicios.

En el contrato de prestación de servicios asistenciales No. MP -CA-0702011 suscrito entre CERID y COOMEVA, que se anexó como prueba y obra en el expediente, establece en la cláusula primera relacionada con el objeto que “ En virtud del presente contrato, EL CONTRATISTA o PRESTADOR se obliga para con Coomeva Medicina Prepagada S.A., a prestar los servicios IMÁGENES DIAGNÓSTICAS, con racionalidad técnico – científica a los usuarios de los programas de Medicina Prepagada S.A., los servicios asistenciales, médic os, quirúrgicos y hospitalarios que se requieran, de conformidad con las coberturas, cláusulas y términos contenidos en los contratos de prestación de servicios celebrados entre los usuarios y Coomeva Medicina Prepagada S.A., cuyo texto forma parte integrante de este contrato …”.

Señaló que “ la práctica de la mamografía, objetivo de la campaña, fue promocionado por CERID S.A. y COOMEVA MEDICINA PREPAGADA S.A. como examen de prevención y detección a tiempo del cáncer de mama en mujeres” y que los resultados de los exámenes realizados por CERID con ocasión de la campaña, fueron resguardados y protegidos sin que terceros

como examen de prevención y detección a tiempo del cáncer de mama en mujeres” y que los resultados de los exámenes realizados por CERID con ocasión de la campaña, fueron resguardados y protegidos sin que terceros tuvieran acceso a la información.

Destacó que en la cláusula segunda se encuentra la definición de usuario en los siguientes términos: “Es toda persona natural debidamente inscrita por el contratante y aceptada por Coomeva Medicina Prepagada S.A. dentro de un plan y programa específicos”; en la cláusula tercera se dice que CERID como “EL CONTRATISTA o PRESTADOR” sólo prestará “ los servicios objeto de este contrato, a los usuarios que hayan celebrado

1 La Resolución No. 50027 del 28 de julio de 2025 , fue notificada electrónicamente CERID el 28 de julio de 2025.RESOLUCIÓN NÚMERO _________3869________ DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 3 de 17

contrato con Coomeva Medicina Prepagada S.A. que se identifique como tal, mediante su carné de afiliación y documento de identidad, previa validación de sus derechos ante Coomeva Medicina Prepagada S.A… ”; y en el numeral 10 de la cláusula cuarta que corresponde a las obligaciones a cargo de CERID se establece “Acatar y dar cumplimiento a los procedimientos que para la prestación de servicios defina Coomeva Medicina Prepagada S.A., a través de comunicaciones y promulgación de directrices, los cuales hacen parte integrante del presente contrato”.

Señaló que en la autorización para el tratamiento de datos personales que se encuentra en el contrato de medicina prepagada, el cual se aportó el

directrices, los cuales hacen parte integrante del presente contrato”.

Señaló que en la autorización para el tratamiento de datos personales que se encuentra en el contrato de medicina prepagada, el cual se aportó el del denunciante, se establece: “Uso y tratamiento de datos: que mis datos personales sean objeto de tratamiento para las siguientes finalidades: 2.1. Datos personales: a) Compartir todos mis datos, soportes y los que llegare a suministrar con ocasión de mi vinculación comercial con Coomeva Medicina Prepagada S.A., los cuales podrán ser cedidos a otras entidades con las cuales se tengan alianzas o acuerdos comerciales. b) Realizar campañas de identificació n en procesos instituciona les de Coomeva Medicina Prepagada S.A. o de marketing (promoción de productos y servicios), envío de información comercial por cualquier medio conocido o que llegase a conocerse… 2.2.) Datos sensibles (información biométrica y estado de salud): que los dato s sensibles, incluidos los biométricos y los referentes a mi estado de salud, sean objeto de tratamiento para las siguientes finalidades. a) Recolectar e incluir mis huellas dactilares y cualquier otro dato de tipo biométrico que sean susceptibles de tratamiento en la Base de Datos administrada por Coomeva Medicina Prepagada S.A… b). Transmitir o transferir mis huellas dactilares y cualquier otro dato personal…d) Realizar el tratamiento de mis datos personales incluidos los datos de carácter sensible durante el tiempo que dure la relación jurídica con Coomeva Medicina Prepagada S.A…”

Por lo anterior, concluye que t omando como referencia el contrato de prestación de servicios asistenciales No. MP -CA-070-2011 suscrito entre

tiempo que dure la relación jurídica con Coomeva Medicina Prepagada S.A…”

Por lo anterior, concluye que t omando como referencia el contrato de prestación de servicios asistenciales No. MP -CA-070-2011 suscrito entre CERID y COOMEVA, la autorización para el tratamiento de datos personales del contrato de medicina prepagada y las definiciones del artículo 3 de la Ley 1581 de 2012 se tiene que no ostenta la condición de responsable del tratamiento.

Afirmó que COOMEVA decide sobre la base de datos y lo hace como responsable, mientras que CERID hace el tratamiento de la información o de la base de datos de acuerdo con lo que indique COOMEVA.

Destacó apartes de la sentencia C -748 de 2011 sobre la presunción de solidaridad y como los roles de responsable y encargado tienen responsabilidad concurrente en el tratamiento de datos personales, pero dependiendo de sus compromisos y obligaciones, resaltando que el deber del responsable es el de t ener la autorización del titular mientras que la del encargado es cerciorarse de que el responsable cuenta con la autorización.

Reiteró que COOMEVA autorizó a CERID el tratamiento de la información con el fin de prestar los servicios de imágenes diagnósticas, entre otros, como consecuencia de la relación comercial entre COOMEVA y CERID como encargado.

Aclaró que si bien el otrosí del 2 de noviembre de 2022 al contrato de prestación de servicios asistenciales No. MP-CA-070-2011 del 1 de mayo de 2017, que obra como prueba en el expediente, fue suscrito con posterioridad al inicio de la investigación administrativa, en el mismo se estipuló que COOMEVA es responsable del tratamiento. Este documento

de 2017, que obra como prueba en el expediente, fue suscrito con posterioridad al inicio de la investigación administrativa, en el mismo se estipuló que COOMEVA es responsable del tratamiento. Este documento materializó “la gestión y la administración que ya desarrollaba COOMEVA MEDICINA PREPAGADA S.A. como responsable desde la firma del contratoRESOLUCIÓN NÚMERO _________3869________ DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 4 de 17

de prestación de servicios y la que ejecutaba CERID S.A. como encargada”.

Afirmó que “en el correo electrónico de fecha 13 de septiembre de 2022 que obra en el expediente, encontrará el Despacho la instrucción de COOMEVA MEDICINA PREPAGADA S.A. a CERID S.A. sobre la práctica de la mamografía así como la constancia de envío de la base de datos”.

• Respecto del deber de conservar la información bajo las medidas de seguridad necesarias. Indicó que teniendo claro que CERID es el encargado, se tiene que mediante el correo electrónico de fecha 13 de septiembre de 2022, se encuentra la instrucción de COOMEVA a CERID sobre la práctica de la mamografía, así como la constancia de envío de la base de datos.

Señaló que, teniendo en cuenta que los titulares de la información autorizaron previamente a COOMEVA el tratamiento de su información y consecuentemente a CERID para la prestación de servicios de diagnóstico médico por imágenes, “ se coordinó por COOMEVA” en el mes de septiembre de 2022 la actividad de “mailing” o correo directo a través del cual se promoviera la asistencia de pacientes para la toma de

médico por imágenes, “ se coordinó por COOMEVA” en el mes de septiembre de 2022 la actividad de “mailing” o correo directo a través del cual se promoviera la asistencia de pacientes para la toma de mamografías para la detección temprana del cáncer.

Por lo anterior, en el mes de septiembre de 2022 se recibió correo electrónico de COOMEVA dirigido al área de Gerencia Comercial y Mercadeo de CERID cuyo asunto correspondió a “Programa TAMIZAJE CA de Mama Coomeva MP” en donde se anexa la ruta del programa a desarrollar que conjuntamente fue denominado “ES TIEMPO DE CUIDAR

TU SALUD”.

Para llevar a cabo el plan o programa CERID tuvo acceso a la base de datos “Mamografías CERID, MPFT_138_DETECCION _TEMPRANA _CA.XLSX, Formato Solicitud ST CMP Mamografías .XLSX, Mamografías CERID Septiembre 2022” de COOMEVA, de acuerdo con el Instructivo Para Plan De Mercadeo Campañas Con Bases De Datos Externas que se anexó con el requerimiento, por lo que la Gerencia Comercial y Mercadeo de CERID era la encargada de velar por el cumplimiento del instructivo y adicionalmente, es el área responsable (internamente de CERID) del tratamiento y manejo de la información que constituye la base de datos entregada por COOMEVA.

Señaló que contrató el servicio de mantenimiento preventivo y correctivo de sistemas No. TI -04-2022 e informó que tiene implementados los siguientes documentos: (i) instructivos para abrir agenda, para asignación de citas, para ingresar paciente y para plan de mercadeo campañas con bases de datos externas; (ii) procedimiento de seguridad de equipos,

siguientes documentos: (i) instructivos para abrir agenda, para asignación de citas, para ingresar paciente y para plan de mercadeo campañas con bases de datos externas; (ii) procedimiento de seguridad de equipos, usuarios, aplicaciones e información.

Finalmente, señaló que acatará las órdenes impartidas en la Resolución No. 50027 del 28 de julio de 2025.

QUINTO. Que, dentro de l término legal establecido para el efecto , el 20 de agosto de 2025 , COOMEVA, a través de su apoderado , interpuso recurso de reposición y, en subsidio, de apelación 2 contra la decisión contenida en la Resolución No. 50027 del 28 de julio de 2025, mediante escrito radicado con el número 22-373421-50. Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos:

• Falsa motivación al persistir en una apreciación incorrecta sobre el rol en el que actúa cada uno de los investigados. Señaló que la Dirección insiste en aplicar una presunción de solidaridad entre los investigados a raíz de lo ocurrido con el envío del correo electrónico del

2 La Resolución No. 50027 del 28 de julio de 2025, fue notificada por aviso COOMEVA el 6 de agosto de 2025.RESOLUCIÓN NÚMERO _________3869________ DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 5 de 17

17 de septiembre de 2022, pretermitiendo las pruebas que demuestran que COOMEVA actuaba como responsable del tratamiento y CERID como encargado.

En su análisis, la Dirección sostuvo que no encontró evidencia que

17 de septiembre de 2022, pretermitiendo las pruebas que demuestran que COOMEVA actuaba como responsable del tratamiento y CERID como encargado.

En su análisis, la Dirección sostuvo que no encontró evidencia que acreditara la existencia de instrucciones impartidas por COOMEVA a CERID respecto del uso de la base de datos de correos electrónicos de los usuarios que lo constituyera como encargado del tratamiento, lo que, a su parecer, la condujo a una conclusión que no se ajusta a la realidad fáctica ni normativa del caso. De acuerdo con las evidencias obrantes en el expediente, afirmó que la relación jurídica entre COOMEVA y CERID frente a los hechos objeto de investigación es inequívoca: CERID ostentaba la calidad de encargado y COOMEVA la de responsable. Para llegar a esta conclusión , manifestó que bastaba con que la Dirección se remitiera a las siguientes pruebas documentales: (i) el Contrato de Prestación de Servicios Asistenciales N° MP -CA-0702011; (ii) su respectivo Otrosí suscrito el 2 de noviembre de 2022, en los que se indica expresamente que CERID actuaba como encargado del tratamiento de Coomeva; (iii) la respuesta dada por COOMEVA el 19 de julio de 2023 al requerimiento de información de la Dirección, en la cual, antes incluso de iniciarse la investigación, se informó a la Dirección el rol de cada agente; y (iv) las instrucciones impartidas por COOMEVA a CERID, verificables en el correo electrónico remitido por la señora MILENA GARCÍA (funcionaria de COOMEVA) a CERID el 13 de septiembre de 2022.

Destacó que “es deber de la autoridad competente examinar

en el correo electrónico remitido por la señora MILENA GARCÍA (funcionaria de COOMEVA) a CERID el 13 de septiembre de 2022.

Destacó que “es deber de la autoridad competente examinar cuidadosamente la posición que cada agente ocupa en el marco del tratamiento de datos, para efectos de asignar responsabilidades y eventuales sanciones ” y que a la SIC, le correspondía analizar con detenimiento las pruebas allegadas, particularmente las mencionadas, con las cuales hubiera podido confirmar lo que se le ha indicado en reiteradas ocasiones sobre el rol de cada uno de los investigados en el tratamiento de la información.

Por lo que afirmó que a l asumir sin justificación, y sin examinar no solo las evidencias contractuales sino las comunicaciones con instrucciones de tratamiento de información que COOMEVA le dirigió a CERID el 13 de septiembre de 2022, que ambos agentes del tratamiento ostentaban la calidad de responsables y derivar de dicha premisa la decisión sancionatoria, la Dirección incurrió en una indebida o falsa motivación del acto administrativo cuestionado, afectando de manera directa su validez conforme a lo prev isto en el artículo 137 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (“CPACA”).

• Contradicción de la resolución de sanción por haber asimilado a ambos investigados como responsables del tratamiento, pero haber sancionado a COOMEVA por el actuar de un tercero. La sociedad indicó que resulta abiertamente contradictorio que la Dirección negara que CERID ostentara la calidad de encargado de COOMEVA, pero a la vez reprochara a esta última haber “circulado” información a un

sociedad indicó que resulta abiertamente contradictorio que la Dirección negara que CERID ostentara la calidad de encargado de COOMEVA, pero a la vez reprochara a esta última haber “circulado” información a un tercero sin adoptar las medidas óptimas de seguridad y sin impartir las instrucciones pertinentes para el uso de la info rmación por parte de ese tercero; esto es, a alguien que únicamente, con base en unas instrucciones, podría haber tratado la información por cuenta de COOMEVA, en calidad de encargado.

En otros términos, señaló que la Dirección trató a ambas compañías como responsables para fundamentar el reproche en relación con el manejo de la comunicación del 17 de septiembre de 2022, pero implícitamente reconoció a CERID como encargado y a COOMEVA como responsable, con el fin de generar un nexo causal que vinculara a esta última como supuesto sujeto activo de la conducta. Es decir, terminó conectando la actuación de CERID con la de COOMEVA bajo una premisa que solo tendría explicación si se admite que CERID sí era encargado delRESOLUCIÓN NÚMERO _________3869________ DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 6 de 17

tratamiento de la información respecto de la cual COOMEVA era responsable.

En consecuencia, indicó que “ si la decisión hubiese sido coherente en la identificación del rol desempeñado por las partes investigadas —incluso bajo el supuesto (hipotético) de que ambas actuaban como Responsables, sin perjuicio de la imprecisión fáctica ya advertida—, la Dirección no habría

identificación del rol desempeñado por las partes investigadas —incluso bajo el supuesto (hipotético) de que ambas actuaban como Responsables, sin perjuicio de la imprecisión fáctica ya advertida—, la Dirección no habría podido reprochar en Coomeva las actuaciones de un tercero (Cerid), quien en tal escenario sería también Responsable y frente al cual Coomeva no tendría el deber de impartir instrucciones, justamente porque no actuaría como su Encargado .” Por lo qu e, a su parecer, la Dirección terminó contradiciéndose al imputar a COOMEVA la falta de instrucciones y de adopción de medidas de seguridad respecto de la información “circulada” a un tercero o “aliado comercial” —según sus propios términos—, lo que en sí mismo implica reconocer la existencia de una relación responsable– encargado.

Asimismo, señaló que, “ si ambos agentes del tratamiento hubiesen sido considerados responsables, no existe fundamento jurídico para trasladar a COOMEVA las consecuencias de los actos ejecutados por otro responsable que, conforme a la ley, tiene autonomía para decidir sobre las finalidades y medios del tratamiento de la información personal, y frente al cual COOMEVA carecía de cualquier incidencia. Bajo ese entendido, CERID habría actuado de manera independiente, y no en asocio con Coomeva, lo cual excluye t oda posibilidad de extender responsabilidad a esta última”.

• Ausencia de aplicación integral de los criterios de razonabilidad y proporcionalidad de la sanción impuesta a COOMEVA. La sociedad señaló que la Dirección impuso la sanción ignorando la ausencia de beneficio económico a raíz de la conducta investigada y la finalidad

proporcionalidad de la sanción impuesta a COOMEVA. La sociedad señaló que la Dirección impuso la sanción ignorando la ausencia de beneficio económico a raíz de la conducta investigada y la finalidad preventiva y de protección del derecho fundamental a la salud que motivó la comunicación del 17 de septiembr e de 2022. Destacó que no se trató de una comunicación de carácter comercial ni motivada por un interés de lucro, sino de un mensaje con fines preventivos, orientado a incentivar la adopción de medidas de autocuidado y de prácticas de autoexamen por parte de los usuarios del sistema de salud.

Indicó que no es jurídicamente equiparable , ni en intensidad ni en significación, el reproche derivado de un tratamiento de datos personales con fines comerciales y lucrativos, frente a aquel vinculado a una actividad de prevención y bienestar, en beneficio directo de los usuarios y de la salud pública.

Afirmó que la Dirección optó por ignorar este contexto, pues, a su parecer, de haberse valorado adecuadamente la finalidad legítima que motivó el correo objeto de investigación, la consecuencia jurídica habría sido distinta: “una exoneración acompañada de advertencias o de órdenes de no repetición (al no existir un ánimo de lucro ni un agravio concreto), o en su defecto, un reproche notoriamente menos severo al que finalmente fue impuesto”.

Finalmente, señaló que l o que la Dirección calificó como una infracción atribuible a Coomeva carecía de significatividad suficiente y no produjo daño efectivo ni generó un riesgo desproporcionado frente a los bienes jurídicos protegidos por la ley y la Constitución.

atribuible a Coomeva carecía de significatividad suficiente y no produjo daño efectivo ni generó un riesgo desproporcionado frente a los bienes jurídicos protegidos por la ley y la Constitución.

• Inaplicación injustificada del criterio de graduación en materia sancionatoria contenido en el literal f) del artículo 24 de la Ley 1581 de 2012. Señaló que, si bien la Dirección reconoció la ausencia de beneficio económico en la conducta investigada, aspecto que resalta la sociedad de gran relevancia para valorar la razonabilidad y significatividad del reproche, omitió examinar la aplicabilidad, del literal f ) del mismo artículo, relativo a la aceptación de la comisión de la conducta.RESOLUCIÓN NÚMERO _________3869________ DE 2026

“Por la cual se resuelve un recurso de apelación”

Página 7 de 17

Señaló que, actuando con transparencia frente a la Dirección, ejerció su legítimo derecho de defensa sin dejar de reconocer la existencia de un error involuntario atribuible a su aliado en la prestación de servicios , quien, insiste, actuaba en calidad de encargado del tratamiento de datos, conforme a la ley. Sin embargo, aun cuando la propia Dirección reconoció dicha circunstancia, no le otorgó efecto alguno bajo el marco del literal f) del artículo 24.

Desde la presentación de los descargos, y en el escrito de alegatos de conclusión aceptó expresamente que la conducta objeto de investigación tuvo origen en un error involuntario, lo cual equivale a la aceptación de los hechos que la Dirección posteriormente calificó como infracción.

SEXTO. Que l a Dirección, mediante la Resolución No. 99866 del 28 de

tuvo origen en un error involuntario, lo cual equivale a la aceptación de los hechos que la Dirección posteriormente calificó como infracción.

SEXTO. Que l a Dirección, mediante la Resolución No. 99866 del 28 de noviembre de 2025, resolvió el recurso de reposición interpuesto, confirmando lo dispuesto en la Resolución No. 50027 del 28 de julio de 2025.

En su decisión, concluyó que los argumentos expuestos por CERID no están llamados a prosperar en la medida en que se demostró que del contrato de prestación de servicios y demás documentos obrantes en el expediente no es posible concluir que existe un encargo para el tratamiento de los datos personales (direcciones de correo electrónico) destinatarias de la comunicación sobre la cual se sustentó la sanción impuesta. Para la Dirección, el otrosí al contrato de servicios asistenciales N° MP -CA-070-2011 fue su scrito con posterioridad a los hechos que se investigan, y por tanto carece de efectos retroactivos.

De otro lado, frente a los argumentos expuestos por COOMEVA, esta indicó que se divulgó de manera negligente información personal de terceros, omitiendo ejercer los controles de seguridad necesarios para evitar que terceros no autorizados accedieran a ella, configurándose así una infracción al régimen de protección de datos. Señaló además que no resulta procedente la aplicación de la atenuante de la sanción, dado que la sociedad aceptó la comisión de la conducta realizada por CERID; sin embargo, dicha atenuación solo es aplicable cuando la manifestación proviene de la persona natural o jurídica a quien se le atribuye la infracción, y no de un tercero.

conducta realizada por CERID; sin embargo, dicha atenuación solo es aplicable cuando la manifestación proviene de la persona natural o jurídica a quien se le atribuye la infracción, y no de un tercero.

SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, d e conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022)

7.1. Respecto del recurso presentado por CERID

La Dirección concluyó , en la decisión de primera instancia , que no existían elementos suficientes para acreditar la calidad de encargado por parte de CERID y, en consecuencia, aplicó la presunción de solidaridad como responsable del tratamiento por la divulgación no autorizada de datos personales a través de un correo electrónico enviado sin copia oculta a 438 destinatarios. Esta Delegatura no comparte dicha apreciación.

Del examen integral del material probatorio obrante en el expediente se advierte que sí existen elementos suficientes para determinar que CERID actuó en el marco de una relación de encargo para el tratamiento, bajo instrucciones de COOMEVA, quien ostenta(ba) para el caso la calidad de responsable del tratamiento.

En efecto, el Contrato de Prestación de Servicios Asistenciales No. MP-CA-0702011 suscrito desde el 1 de mayo de 2011 entre COOMEVA y CERID establece de manera expresa que COOMEVA define los procedimientos y lineamientos para la prestación de los servicios, los cuales deben ser observados por CERIDRESOLUCIÓN NÚMERO _________3869________ DE 2026

de manera expresa que COOMEVA define los procedimientos y lineamientos para la prestación de los servicios, los cuales deben ser observados por CERIDRESOLUCIÓN NÚMERO _________3869________ DE 2026

“Por la cual se resue