SIC - Resolucion RE4548-2025 de 2025

Página 1 de 23

RESOLUCIÓN NÚMERO 4548 DE 2025

(13 de febrero de 2025)

“Por la cual se impone una sanción y se imparten ordenes administrativas”

Radicación 23-192831

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales (a) y (b) del artículo 21 de la Ley 1581 de 2012, y el numeral (4) artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución 24778 del 20 de mayo de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió abrir investigación administrativa y, en consecuencia, formular pliego de cargos contra la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2, por la

presunta contravención de lo dispuesto en:

1. El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y

1. El literal d) del artículo 17 en concordancia con lo señalado en el literal

precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y

1. El literal d) del artículo 17 en concordancia con lo señalado en el literal g) del artículo 4, el artículo 5 de la Ley 1581 de 2012 , y en el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.

Que, esta Superintendencia tuvo conocimiento de la denuncia interpuesta por el señor A1, por intermedio de su apoderada la Doctora SIRIS MACHADO PELÁEZ, mediante comunicación obrante en el expediente bajo el radicado 23192831-0 del 24 de abril de 2023, por la comisión de unos hechos presuntamente infractores de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. S.O.S , identificada con Nit 805.001.157 -2, en adelante LA INVESTIGADA. De la comunicación recibida se extrajeron los siguientes supuestos fácticos: 1.1 Expuso la apoderada especial del denunciante que “ En marzo del 2022 el señor (…) estaba en proceso de cambiar el origen de su patología de túnel carpiano de contingencia común a una profesional.

En consecuencia a lo anterior, la ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS solicitó al empleador de mi poderdante, la empresa ALUMINA S.A, que les enviara todo el historial laboral del señor (…),

OCCIDENTAL DE SALUD S A SOS solicitó al empleador de mi poderdante, la empresa ALUMINA S.A, que les enviara todo el historial laboral del señor (…),

1 Con el propósito de garantizar el derecho a la intimidad del denunciante se anonimizará su identidad.

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 4548 DE 2025

“Por la cual se impone una sanción y se imparten ordenes administrativas”

Página 2 de 23

incluyendo horas extras, certificación de cargo, entre otros documentos, para llevar a cabo el estudio del origen de la patología del túnel carpiano.

ALUMINA S.A envió a ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS toda la información solicitada en lo que respecta a las jornadas y actividades laborales de mi poderdante, para que esta realice el estudio de la patología de su túnel carp iano y poder así determinar su origen como laboral”.

1.2 Continuó, señalando que “ La entidad PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS realizó los estudios correspondientes, sin embargo se extralimitó y envió la historia clínica completa del señor (…) a cuatro (4) altos directivos de la empresa ALUMINA S.A sin discriminar ningún dato y SIN EL CONSENTIMIENTO de mi poderdante.

La historia clínica incluía datos sensibles y de reserva del señor (…), como su diagnóstico de VIH positivo, información que no estaba obligado a reportar a su empleador ni a ninguno de sus directivos.

Al enterarse que divulgaron ese dato sensible, mi poderdante envío el día 8 de

diagnóstico de VIH positivo, información que no estaba obligado a reportar a su empleador ni a ninguno de sus directivos.

Al enterarse que divulgaron ese dato sensible, mi poderdante envío el día 8 de marzo de 2022 un email al correo oficial de notificaciones judiciales de ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS pidiendo la explicación del error. Como respuesta se limitaron a decirle “que tomaran los correctivos pertinentes”, sin embargo, aceptando de manera tácita las irregularidades y tratamientos no autorizados de mis datos sensibles”

1.3 En el mismo sentido, anotó que “ Mi poderdante insistió nuevamente y en reiteradas ocasiones a través de correos electrónicos dirigidos a ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS para obtener respuesta por la vulneración cometida, no obstante, el 12 de abril de 2022 nuevamente esta entidad se limitó a responder que ya le habían contestado el derecho de petición inicial, donde expresaban que:

“una vez revisado el caso se evidenció un error al realizar la notificación de calificación de origen, la cual incluía la historia clínica del paciente. De igual manera se informó que se aplicaron los correctivos necesarios para evitar que en el futuro un suceso como este vuelva a ocurrir” (ver prueba documental: respuesta de derecho de petición obtenida el 12/04/22) Conforme a lo expuesto, la entidad nuevamente manifiesta su negligencia en las medidas de seguridad de la información y el suministro no autorizado de mis datos sensibles, causándome agravios en mi estado de salud físico y mental. Mi poderdante se empeñó en obtener una respuesta más completa acerca del

medidas de seguridad de la información y el suministro no autorizado de mis datos sensibles, causándome agravios en mi estado de salud físico y mental. Mi poderdante se empeñó en obtener una respuesta más completa acerca del daño causado y se dirigió a la oficina de la ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS sede las Américas. La secretaria que lo atendió respondió de manera poco diligente y descortés de manera verbal "no se desgaste, lo leído, leído esta", generándose una vulneración absoluta de los datos personales sensibles de mi poderdante.” 1.4 Finalmente, sostuvo que “ Como consecuencia de la vulneración de su intimidad, privacidad y sus datos sensibles, el señor (…) tuvo que solicitar ayuda psicológica, psiquiátrica y de trabajo social; teniendo que asistir tres (3) veces por semana durante más de dos (2) meses a dichos acompañamientos. Esto se debió a que sufrió una crisis emocional con episodios prolongados y graves de depresión, ansiedad, dolor y sufrimiento debido a la divulgación de su diagnóstico, que generó miradas “acusatorias y de lá stima” por parte de sus compañeros de trabajo. Como consecuencia de lo anterior, a través de comunicado del 28 de marzo de 2022 la empresa ALUMINA S.A decidió cambiar al señor (…) de área de trabajo, alegando que él “no se integraba bien con sus compañeros y que ponía barreras en sus relaciones con los demás.” La divulgación no autorizada por parte de ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS, la cual ha sido aceptada en todasRESOLUCIÓN NÚMERO 4548 DE 2025

en sus relaciones con los demás.” La divulgación no autorizada por parte de ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS, la cual ha sido aceptada en todasRESOLUCIÓN NÚMERO 4548 DE 2025

“Por la cual se impone una sanción y se imparten ordenes administrativas”

Página 3 de 23

las respuestas emitidas por dicha entidad, ha generado un deterioro significativo en la calidad de vida de mi representado, toda vez que se han generado actos de discriminación e imposibilidad de sentirse cómodo en el ejercicio de sus actividades personales y laborales”.

SEGUNDO: Que la Resolución 24778 del 20 de mayo de 2024 le fue notificada mediante Aviso 8764 del 29 de mayo de 2024 a HERNEY BORREO HINCAPIÉ, en representación de la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, según consta en la certificación expedida por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 23-192831-28 del 04 de junio de 2024.

Así mismo, el referido acto administrativo le fue comunicado a la denunciante dentro de la presente actuación administrativa.

TERCERO: Que, dentro del término concedido para el efecto, la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS , por medio de su apoderado especial JUAN MARTÍN ARANGO MEDINA, presentó los descargos, 2 así como las pruebas que pretende hacer valer en la presente investigación administrativa, mediante los cuales

manifestó lo siguiente:

3.1 En primer término, el apoderado especial de la sociedad investigada

MEDINA, presentó los descargos, 2 así como las pruebas que pretende hacer valer en la presente investigación administrativa, mediante los cuales manifestó lo siguiente:

3.1 En primer término, el apoderado especial de la sociedad investigada informó al Despacho que “ De conformidad con lo previsto en el literal f) del artículo 24 de la Ley 1581 de 2012, SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S ., reconoce y acepta de manera expresa la comisión de las infracciones endilgadas, y solicita sean considerados los siguientes argumentos como criterio para graduar, con efectos de atenuación, la eventual sanción a imponer por parte de su Dirección. SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, re conoce y acepta de manera expresa que realizó conductas violatorias de la Ley 1581 de 2012, entre ellas, (i) compartir los datos personales de un titular, a un tercero no autorizado y (ii) no contar con medidas y controles suficientes de seguridad para la circulación de la información que registra y almacena en sus sistemas de información sobre la historia clínica de sus usuarios”.

3.2 A continuación, expresó frente al primer cargo formulado por esta Dirección que “es preciso señalar que SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S como responsable del tratamiento de datos personales y en calidad de Entidad Promotora de Salud a la que se encuentra afiliado el denunciante (…), cuenta con autorización para el uso de sus datos personales, de conformidad con sus deberes dentro del Sistem a General de Seguridad Social en Salud, según formato “Actualización de datos básicos” suscrito el 11 de octubre de 2019 por el señor (…), por el cual autorizó el tratamiento de sus datos personales. Por

deberes dentro del Sistem a General de Seguridad Social en Salud, según formato “Actualización de datos básicos” suscrito el 11 de octubre de 2019 por el señor (…), por el cual autorizó el tratamiento de sus datos personales. Por ello, para llevar a cabo el proceso de calificación del origen de las enfermedades del usuario, la EPS tuvo acceso a su historia clínica y se efectuaron las comunicaciones definidas dentro del referido trámite a la AFP, ARL, empleador y usuario.

Sin embargo, en particular, para la circulación de la historia clínica del denunciante, la EPS no contaba con autorización y, por error humano, el Auxiliar de Medicina del Trabajo encargado de la actividad al interior de nuestra entidad, durante la notific ación accidentalmente compartió la Historia Clínica del afiliado a la empresa ALUMINA S.A, empleadora del denunciante.

De esta manera, SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S reconoce y acepta que incumplió sus deberes en cuanto a disponer autorización previa, expresa e informada del titular para el tratamiento de sus datos personales, pero en particular, para la circulación de la historia clínica ante terceros no autorizados – no para otros datos personales – toda vez que el titular no autorizó de manera expresa este tratamiento para compartir los mismos ante terceros no autorizados, como su empleador”.

2 Actuación obrante en el expediente digital bajo el radicado 23-192831-30 del 20 de junio de 2024.RESOLUCIÓN NÚMERO 4548 DE 2025

“Por la cual se impone una sanción y se imparten ordenes administrativas”

Página 4 de 23

3.3 Respecto al segundo cargo formulado a su representada, expresó que “(…)

“Por la cual se impone una sanción y se imparten ordenes administrativas”

Página 4 de 23

3.3 Respecto al segundo cargo formulado a su representada, expresó que “(…) SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S para el suministro de información del titular a terceros, tiene implementadas medidas para garantizar la seguridad, el acceso y circulación restringida de los datos personales, especialmente los de naturaleza sensible como las historias clínicas, debidamen te documentados, y además, dispone de un modelo de infraestructura como servicio (IaaS) en una nube híbrida de IBM, conformada con cargas de trabajo alojadas en IBM Cloud y cargas de trabajo alojadas en el Data Center de IBM Celta, los cuales cuentan con t odas las certificaciones exigidas para un Data Center de este tipo de servicios. El Sistema Integral de Información en Salud - SIIS, con el cual se procesó la información del señor (…) por parte del proceso de Medicina del Trabajo, es una aplicación web qu e opera en un servidor dentro de nuestro modelo de Infraestructura como Servicio (IAAS), el servidor que usa este Sistema de Información no se encuentra expuesto a internet, por lo tanto solo puede ser consumido por usuarios que se encuentren conectados a la red interna de la EPS. Sin embargo, al presentarse el incidente objeto de la presente investigación, se constató, las medidas técnicas, humanas y administrativas de seguridad para garantizar que terceros no autorizados por su titular pudieran acceder a esta, implementadas por la EPS, son insuficientes y no minimizan los errores humanos que se pueden presentar en el proceso.

De esta manera, SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, reconoce y acepta que dichas medidas deben ser mejoradas con controles de monitoreo,

pueden presentar en el proceso.

De esta manera, SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, reconoce y acepta que dichas medidas deben ser mejoradas con controles de monitoreo, ajustes de acceso más restrictivo en cuanto a los procedimientos de envío, e incluir validaciones previas al envío para minimizar los errores humanos tales como los pres entados en la denuncia, como a bien lo consideró el acta de análisis técnico de expedientes, rendido por una de las ingenieras adscritas a su Dirección”.

3.4 De otra parte, se refirió a la aplicación de los criterios para dosificar la sanción contenidos en el artículo 24 de la Ley 1581 de 2012, expresando que “(…) dentro del caso particular, no se presenta un daño efectivo a los intereses jurídicos de los usuarios o del usuario denunciante, toda vez que más allá de la denuncia del señor (…), dicho impase no fue utilizado para fines diferentes que notificar la calificación de origen a la Administradora de Riesgos Laborales - ARL- , Administradora de Fondo de Pensiones – AFP-, trabajador y empleador, quienes son las partes interesadas, con los documentos y pruebas que establece el artículo 30 del Decreto 1352 de 2013, por lo que si bien, se reconoce la infracción representó una amenaza para el bien jurídico protegido, no se produjo una lesión efectiva al mismo.

No obstante lo anterior, resulta relevante señalar que en el presente caso si bien se puso en peligro el derecho fundamental de habeas data del denunciante cuyos datos obran en custodia de SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, no se materializó un daño al realizar tratamiento, pues la EPS dispone de un manual interno de seguridad o política de seguridad debidamente

cuyos datos obran en custodia de SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, no se materializó un daño al realizar tratamiento, pues la EPS dispone de un manual interno de seguridad o política de seguridad debidamente documentada y, además reportó el incidente de seguridad en el Registro Nacional de Bases de Datos (RNBD). En este sentido, queda comprobado que, no se constituye una vulneración directa del derecho fundamental de habeas data del titular cuyos datos personales fueron tratados, en la medida en que existe documentación referente a políticas de seguridad, procedimientos y procesos establecidos, qu e cumplen de manera integral con el principio de seguridad en el tratamiento de los mismos.

Es importante precisar cómo se señaló con anterioridad, que si bien SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S tiene implementadas medidas para garantizar la seguridad, el acceso y circulación restringida de los datos personales, reconoce estos deben ser mejorados para minimizar los errores humanos tales como los presentados, por lo cual se informa a su Dirección, se está trabajando en la creación de un documento interno que englobe todas las medidas, políticas y procedimientos de seguridad establecidos, con el fin de cumplir íntegramente con el principio de seguridad, implementando tantoRESOLUCIÓN NÚMERO 4548 DE 2025

“Por la cual se impone una sanción y se imparten ordenes administrativas”

Página 5 de 23

medidas técnicas, humanas y administrativas que sean necesarias para garantizar la protección de los datos personales, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

De igual manera, como se reconoció, al compartirse la historia clínica del señor

garantizar la protección de los datos personales, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

De igual manera, como se reconoció, al compartirse la historia clínica del señor (…), que contenía datos personales sensibles, a un tercero no autorizado como su empleador, ALUMINA S.A, esta acción conllevó a la configuración de un incidente de seguridad, y en consecuencia, SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S reportó dicho incidente en el Registro Nacional de Bases de Datos (RNBD), si bien, no dentro de los quince (15) días hábiles siguientes al momento en que se detectó, como lo establece el numeral 2 .1 del artículo segundo del Título V de la Circular Única de la Superintendencia de Industria y Comercio, si al momento de presentación de estos descargos”.

3.5 En el mismo sentido, argumenta que “ SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S no obtuvo un beneficio económico, no hubo reincidencia en la comisión de la infracción, ha facilitado las pruebas y no ha obstruido la investigación.

Es necesario destacar que los criterios de graduación mencionados deben ser exclusivamente considerados como agravantes en la imposición de la sanción, sin embargo, solo resulta aplicable el criterio atenuante establecido en el literal f), por cuanto hay r econocimiento de los hechos e infracciones. Por lo tanto, procede la inaplicabilidad de los mencionados criterios.

(…)

SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S reconoce que la Ley 1581 de 2012 otorga a los datos sensibles una naturaleza especial, ya que pueden

procede la inaplicabilidad de los mencionados criterios.

(…)

SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S reconoce que la Ley 1581 de 2012 otorga a los datos sensibles una naturaleza especial, ya que pueden afectar la intimidad de los Titulares o causarles discriminación si son utilizados de forma indebida. Por ello, en su calidad de Responsable del Tratamiento debe adoptar controles, medidas, procedimientos y/o políticas de seguridad necesarias para evitar su adulteración, pérdida, uso, consulta o acceso no autorizado o fraudulento, las cuales deben ser directamente proporcionales a la naturaleza de estos datos, por lo cual, se informa a su Dirección, la EPS se encuentra trabajando en las siguientes acciones correctivas:

1. Medidas necesarias, útiles y efectivas para garantizar que, en el Tratamiento de la información de los Titulares, en particular los datos de naturaleza sensible, en especial en temas de salud, se garanticen los principios de acceso y circulación restringid a y de seguridad, de manera que se evite la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de estos datos por parte de terceros.
2. Adopción de un manual interno que contenga las políticas y procedimientos de seguridad para prevenir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales que están sujetos a su Tratamiento.

Al configurarse la aceptación de la conducta de manera completa, se da el presupuesto que exige el allanamiento, acerca de que el mismo sea expreso y abarque la totalidad de las conductas cometidas. Como las conductas antes mencionadas, son expresamente aceptadas por SERVICIO OCCIDENTAL DE

presupuesto que exige el allanamiento, acerca de que el mismo sea expreso y abarque la totalidad de las conductas cometidas. Como las conductas antes mencionadas, son expresamente aceptadas por SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, antes de la aplicación de la sanción, y además se está trabajando en acciones correctivas sin mediar ordenes previas por parte de su Dirección, se habilita la posibilidad de aplicar el atenuante y, por ende, de dosificar el monto de la sanción a sus mínimos”.

3.6 Concluye su escrito solicitando al Despacho “ (…) el monto de la sanción sea proporcional a la vulneración y el incumplimiento de los deberes en cita, dado que, si bien se reconoce una falta de diligencia en el cumplimiento de nuestros deberes y responsabilidades en materia de protección de datos personales, el monto de la sanción debe considerar diversos factores como:RESOLUCIÓN NÚMERO 4548 DE 2025

“Por la cual se impone una sanción y se imparten ordenes administrativas”

Página 6 de 23

1. El tamaño de la empresa. 2) Los ingresos operacionales. 3) El patrimonio. 4) La información financiera de la sociedad. 5) La magnitud de la infracción. 6) La duración de la misma en el tiempo. 7) La cantidad de titulares afectados. 8) Los deberes incumplidos.

Por lo tanto, solicitamos se evalué al momento de imponer la sanción, en congruencia con los principios de proporcionalidad y razonabilidad, que la misma resulte disuasoria pero no confiscatoria, poniendo de presente que SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S de conformidad con la

congruencia con los principios de proporcionalidad y razonabilidad, que la misma resulte disuasoria pero no confiscatoria, poniendo de presente que SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S de conformidad con la Resolución No 2024100000003061 -6 del 10 de abril de 2024 emitida por la Superintendencia Nacional de Salud, se encuentra en proceso de intervención forzosa para administrar, y sus condiciones financieras y de solvencia, en cuanto a indicadores de Capital Mínimo, Patrimonio Adecuado y Reserva Técnica vienen presentando desde el año 2015, incumplimientos conforme a los requerimientos exigidos en la normatividad vigente, y la imposición de una sanción cuantiosa o desmesurada podría afectar la operatividad de la empresa, y la prestación de los servicios de salud a nuestra población afiliada, poniendo en riesgo los derechos fundamentales al acceso a la salud de los usuarios, al trabajo de nuestros colaboradores y a la libertad de empresa”.

CUARTO: Que mediante Resolución 77175 del 06 de diciembre de 2024 la Dirección de Investigaciones de Protección de Datos Personales resolvió incorporar y tener como prueba, las obrantes a la fecha en el expediente 23192831 con el valor probatorio que les corresponda.

4.1 Pruebas recaudadas por esta Dirección:

4.1.1 Copia de la denuncia, junto con sus respectivos anexos, en contra de la sociedad investigada, obrante bajo el radicado 23-192831-0 del 24 de abril de 2023.

4.1.2 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad ENTIDAD

sociedad investigada, obrante bajo el radicado 23-192831-0 del 24 de abril de 2023.

4.1.2 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS , obrante bajo el radicado 23-192831-7 del 27 de julio de 2023.

4.1.3 Respuesta al requerimiento de información entregada por la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, obrante bajo el radicado 23-192831-10 del 11 de agosto de 2023.

4.1.4 Informe de análisis técnico de expedientes de la Delegatura para la Protección de Datos Personales, obrante bajo el radicado 23-192831-13 del 09 de noviembre de 2023.

4.2 Pruebas aportadas por la sociedad investigada

4.2.1 Pruebas aportadas junto con el escrito de descargos

4.2.1.1 Copia de la Resolución 2024100000003061 -6del 10-04-2024 “por la cual se ordena la toma de posesión inmediata de bienes, haberes y negocios y la intervención forzosa administrativa para administrar la Eps Servicio Occidental de Salud S.O.S. identificada con Nit 805.001.157-2”.

4.2.1.2 Copia de la autorización otorgada por el denunciante para el tratamiento de sus datos personales.

4.2.1.3 Imagen captada del Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio.RESOLUCIÓN NÚMERO 4548 DE 2025

tratamiento de sus datos personales.

4.2.1.3 Imagen captada del Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio.RESOLUCIÓN NÚMERO 4548 DE 2025

“Por la cual se impone una sanción y se imparten ordenes administrativas”

Página 7 de 23

En el referido acto administrativo se le corrió traslado a la sociedad investigada por el término de 10 (diez) días hábiles para que rindiera los respectivos alegatos de conclusión.

QUINTO: Que la Resolución 77175 del 06 de diciembre de 2024 le fue comunicada a JUAN MARTÍN ARANGO MEDINA , en calidad de apoderado especial de la sociedad investigada, el 06 de diciembre de 2024, según consta en la certificación expedida por la Secretaría General Ad -Hoc de esta Superintendencia, obrante bajo el radicado 23 -192831-37 del 09 de diciembre de 2024. 5.1 Que mediante escrito radicado bajo el número 23 -192831-38 del 13 de diciembre de 2024, la sociedad investigada por medio de su apoderado presentó sus respectivos alegatos de conclusión, por medio de los cuales reiteró lo expresado en su escrito de descargos. 5.2 Que mediante escrito radicado bajo el número 23-192831-40 del 14 de enero de 2025, el Doctor JUAN MARTÍN ARANGO MEDINA, puso en conocimiento de esta Superintendencia la renuncia al poder especial que le fuera conferido para representar los intereses de la sociedad investigada en la presente actuación administrativa. 5.3 Que mediante escrito radicado bajo el número 23-192831-42 del 29 de enero

de esta Superintendencia la renuncia al poder especial que le fuera conferido para representar los intereses de la sociedad investigada en la presente actuación administrativa. 5.3 Que mediante escrito radicado bajo el número 23-192831-42 del 29 de enero de 2025, la Doctora CAROL SOFIA OSORIO PORTILLA aportó al Despacho el poder especial conferido por la sociedad investigada y solicitó copia del expediente. Sin embargo, se destaca que la sociedad investigada ha tenido acceso a la totalidad del expediente desde el mes de mayo de 2024, razón por la cual no se concederán accesos adicionales.

SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

SÉPTIMO: Análisis del caso

7.1 Adecuación típica

La Corte Constitucional mediante Sentencia C -748 de 2011 3, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y

18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…)

el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y

18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato. (…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

3 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P. Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación.RESOLUCIÓN NÚMERO 4548 DE 2025

“Por la cual se impone una sanción y se imparten ordenes administrativas”

Página 8 de 23

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la vulneración de lo consagrado en

-El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y

ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y

-El literal d) del artículo 17 en concordancia con lo señalado en el literal g) del artículo 4, el artículo 5 de la Ley 1581 de 2012, y en el artículo 2.2.2.25.6.1 del Decreto Único regla