SIC - Resolucion RE64940-2025 de 2025

Página 1 de 24

RESOLUCIÓN NÚMERO 64940 DE 2025

(29 de agosto de 2025)

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Radicación: 23-159904

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS

PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM, (en adelante “la investigada”), identificada con Nit. 900.262.398-4, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por la señora XXXXX

XXXXXXXXXXX:

1.1 La Titular señala que se compartieron datos sensibles como diplomas y cédulas de más de 10 participantes de forma masiva mediante correo electrónico el 19 de diciembre de 2022.1

1.2 Informa que presentó dos reclamos y no recibió respuesta. 2

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: el literal b) del

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma, el 27 de septiembre de 2024, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 56941 por medio de la cual se formuló un (1) cargo a la

FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM, identificada con Nit. 900.262.398-4

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

De la misma manera, esta actuación fue comunicada al denunciante.

TERCERO: Que la investigada fue notificada electrónicamente de la Resolución N.º 56941 del 27 de septiembre de 2024 el 2 de octubre de 2024 de acuerdo con la certificación expedida por la Secretaria General AD -HOC de esta

1 Expediente digital, consecutivo 0, página 1 2 Expediente digital, consecutivo 0, página 1

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 2 de 24

Superintendencia, disponible en el consecutivo 23-159904- -15 del

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 2 de 24

Superintendencia, disponible en el consecutivo 23-159904- -15 del expediente.

CUARTO: Que mediante escrito radicado el día 23 de octubre de 2024 con radicado 23 -159904- -00016 la apoderada de la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM., encontrándose dentro del término establecido para el efecto, dio respuesta a la formulación de cargos informando

lo siguiente:

4.1 Indicó que los documentos compartidos en el correo electrónico corresponden a constancias de asistencia al curso:

“Estrategia Educativa acompañando al Cuidador” y los datos que contienen son: “(…) el nombre de la persona que asisti ó al curso, el número de cédula, el nombre del curso, el nombre de la institución que emite el diploma, las firmas de los responsables del curso y la fecha.”3

4.2 Informó que los datos personales compartidos son públicos y no requieren autorización para ser divulgados con terceros4.

4.3 También aclara que el correo enviado el 19 de diciembre de 2022 se envió de forma controlada únicamente a doce personas, que fueron quienes asistieron al curso, y no se divulgaron datos semiprivados como lo son los correos de los destinatarios. 5

4.4 La investigada acepta la infracción del cargo formulado y solicita que se tenga en cuenta el literal f) del artículo 24 de la Ley 1581 de 2012.6

4.5 Informa que la investigada cuenta con una Política de Tratamiento de

4.4 La investigada acepta la infracción del cargo formulado y solicita que se tenga en cuenta el literal f) del artículo 24 de la Ley 1581 de 2012.6

4.5 Informa que la investigada cuenta con una Política de Tratamiento de Datos Personales implementada mediante el Acuerdo N° 5 de 2018, así mismo, que se encuentra inscrita en el Registro Nacional de Bases de Datos.7

4.6 Solicita que se tengan en cuenta las serias dificultades económicas por las que ha atravesado la investigada.8

4.7 Solicita que se tenga en cuenta la naturaleza pública de los datos y que es la primera vez que la investigada es objeto de este tipo de investigación y solicita que se le imponga una sanción pedagógica. 9

4.8 Solicita que se preserve la confidencialidad y reserva de la información financiera que se remite junto con el escrito de descargos. 10

QUINTO: Que mediante Resolución N.º 14095 del 21 de marzo de 202511, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 23-159904, consecutivos 0 a 16, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Las pruebas son las siguientes:

3 Expediente digital, consecutivo 16, página 2, folio 2 4 Expediente digital, consecutivo 16, página 2, folio 2 5 Expediente digital, consecutivo 16, página 2, folio 3 6 Expediente digital, consecutivo 16, página 2, folio 3

4 Expediente digital, consecutivo 16, página 2, folio 2 5 Expediente digital, consecutivo 16, página 2, folio 3 6 Expediente digital, consecutivo 16, página 2, folio 3 7 Expediente digital, consecutivo 16, página 2, folio 3, 4 88 Expediente digital, consecutivo 16, página 2, folio 5,6 9 Expediente digital, consecutivo 16, página 2, folio 6 10 Expediente digital, consecutivo 16, página 2, folio 6 11 Resolución No. 14095 del 21 de marzo de 2025 obrante en el expediente digital 23-159904RESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 3 de 24

5.1 Certificado expedido a la señora XXXXXXXXXXXXX por la

FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.12

5.2 Certificado expedido a la señora XXXXXXXXXXXXXXXXX XXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM –

UNICAFAM.13

5.3 Certificado expedido a la señora XXXXXXXXXXXXXX por la

FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.14

5.4 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.15

5.5 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXX XXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM –

UNICAFAM.16

5.6 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXX XXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM –

UNICAFAM.17

XXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM –

UNICAFAM.16

5.6 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXX XXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM –

UNICAFAM.17

5.7 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.18

5.8 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXXX por

la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.19

5.9 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXX XXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM –

UNICAFAM.20

5.10 Certificado expedido a la señora XXXXXXXXXXXXXXXXXX XXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM –

UNICAFAM.21

5.11 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.22

5.12 Certificado expedido a la señora XXXXXXXXXXXXXXXX por la

FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.23

5.13 Certificado expedido a la señora XXXXXXXXXXXXXXXX por la

FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.24

5.14 Correo electrónico enviado por l a FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM del 19 de diciembre de 2022 con los certificados de los titulares que asistieron al curso. 25

12 Expediente digital, consecutivo 0, página 2 13 Expediente digital, consecutivo 0, página 3 14 Expediente digital, consecutivo 0, página 4 15 Expediente digital, consecutivo 0, página 5

12 Expediente digital, consecutivo 0, página 2 13 Expediente digital, consecutivo 0, página 3 14 Expediente digital, consecutivo 0, página 4 15 Expediente digital, consecutivo 0, página 5 16 Expediente digital, consecutivo 0, página 6 17 Expediente digital, consecutivo 0, página 7 18 Expediente digital, consecutivo 0, página 8 19 Expediente digital, consecutivo 0, página 9 20 Expediente digital, consecutivo 0, página 10 21 Expediente digital, consecutivo 0, página 11 22 Expediente digital, consecutivo 0, página 12 23 Expediente digital, consecutivo 0, página 13 24 Expediente digital, consecutivo 0, página 13 25 Expediente digital, consecutivo 0, página 14RESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 4 de 24

5.15 Queja de la titular enviada a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM el 19 de diciembre de 2022. 26

5.16 Queja de la titular enviada a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM el 10 de enero de 2023.27

5.17 Queja de la señora XXXXXXXXXXXXXXX radicada ante esta Superintendencia el 31 de marzo de 2023 con radicado 23-159904- - 00000.28

5.18 Requerimiento a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM del 25 de septiembre de 2023 con radicado 23-159904- -4.29

5.19 Comunicación dirigida a la señora XXXXXXXXXXXXXXXXXXX en el

UNICAFAM del 25 de septiembre de 2023 con radicado 23-159904- -4.29

5.19 Comunicación dirigida a la señora XXXXXXXXXXXXXXXXXXX en el que se le informa el inicio de una averiguación preliminar con radicado 23-159904- -5 del 25 de septiembre de 2023.30

5.20 Respuesta al requerimiento de esta Superintendencia por parte de la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM del 6 de octubre de 2023 con radicado 23-159904- -00007. 31

5.21 Política de tratamiento de datos personales de la FUNDACIÓN

UNIVERSITARIA CAFAM – UNICAFAM. 32

5.22 Escrito de descargos del 23 de octubre de 2024 con radicado 23159904- -00016. 33

5.22.1 Poder especial otorgado a CAVELIER ABOGADOS S.A.S. por la

FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM. 34

5.22.2 Estados financieros de 2020, 2021, 2022 y 2023 la FUNDACIÓN

UNIVERSITARIA CAFAM – UNICAFAM. 35

SEXTO: Que dentro del plazo otorgado por la Resolución N.º 14095 del 21 de marzo de 2025, la sociedad investigada mediante comunicado del 4 de abril de 2025 con radicado 23-159904-23, presentó alegatos de conclusión reiterando lo señalado en los descargos.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le

señalado en los descargos.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio

El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso

8.1 Adecuación típica

26 Expediente digital, consecutivo 0, página 14 27 Expediente digital, consecutivo 0, página 15 28 Expediente digital, consecutivo 0, página 17 29 Expediente digital, consecutivo 4 30 Expediente digital, consecutivo 5 31 Expediente digital, consecutivo 7 32 Expediente digital, consecutivo 7, página 4 33 Expediente digital, consecutivo 16 34 Expediente digital, consecutivo 16, página 2, folio 7 y 8 35 Expediente digital, consecutivo 16, página 2, 10 al 174RESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 5 de 24

La Corte Constitucional mediante sentencia C -748 de 2011 36, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio:

“En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación

generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que:

(i) El artículo 18 de la Ley 1581 de 2012 establece los deberes que les asisten a los Encargados del Tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente.

8.2 Valoración probatoria y conclusiones

las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente.

8.2 Valoración probatoria y conclusiones

8.2.1 Respecto del deber de conservar la información personal bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento

Este deber se deriva del literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la citada Ley, que preceptúan lo siguiente:

Ley 1581 de 2012

“Artículo 18. Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad:

(…)

b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)

36 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).RESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 6 de 24

Artículo 4°. Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

Página 6 de 24

Artículo 4°. Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios:

(…)

f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;

g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas , humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

h) Principio de confidencialidad: Todas las personas que intervengan en el Trata miento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.

las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.

Frente a este deber la Corte Constitucional en sentencia C -748 de 2011 señaló́:

“2.6.5.2.7. Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupa ciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” [240], a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las r edes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. Así, por ejemplo, en materia de redes sociales, empieza a presentarse una preocupación de establecer medidas de protección reforzadas, en razón al manejo de datos reservados. En elRESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 7 de 24

año 2009, el Grupo de Trabajo Sobre Protección de Datos de la Unión Europea señaló que en los Servicios de Redes Sociales” o “SRS debe protegerse la información del perfil en el usuario mediante el establecimiento de “parámetros por defecto respetuosos de la intimidad y gratuitos que limiten el acceso a los contactos elegidos”.[241]

Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.

(…)

(iii) Adoptar las medidas para garantizar la seguridad del dato , a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato. Por tanto, el responsable está obligado a exigir y controlar las

fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato. Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad qu e está empleando el encargado del tratamiento -literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titularesliteral n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.”

En este sentido, esta Dirección encontró de manera preliminar que , la investigada remitió un correo electrónico con copia oculta a los participantes, incluyendo el email XXXXXXXXXXXXXXXXXXX perteneciente a la Titular que presenta la denuncia, en el que adjuntó los certificados de todos los participantes del curso “ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADOR”, también se evidencia que la investigada reconoció que si compartió información personal de la Titular y de todos los participantes sin su autorización, argumentando que se trató de datos de carácter público, entre los que se encuentran: el nombre completo tanto de los participantes como de la Directora de la Escuela de Enfermería y la Gerente de Salud de Famisanar y el número de cédula de cada asistente al curso.

En consecuencia, este Despacho encontró preliminarmente que, la investigada compartió los datos personales de la titular con terceros no autorizados, por lo tanto, presuntamente no cumplió con el deber de conservar la información bajo las condiciones de seguridad, ni implementó las medidas idóneas, para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

tanto, presuntamente no cumplió con el deber de conservar la información bajo las condiciones de seguridad, ni implementó las medidas idóneas, para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente:

 Correo Electrónico del 19 de diciembre de 2022 con asunto “CERTIFICADOS ACOMPAÑANDO AL CUIDADOR GRUPO 14” enviado desde el correo electrónico educacióncontinuada@unicafam.edu.co con copia al correo electrónico XXXXXXXXXXXXXXXXXXXXXXXX, en el que se encuentran anexos todos los certificados de participación en el mencionado curso de 12 titulares, el cual fue enviado al correo electrónico de la titular XXXXXXXXXXXXXXXXXXXX.37

37 Expediente digital, consecutivo 0, página 33RESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 8 de 24

 Reclamación presentada por la titular ante la investigada mediante correo electrónico del 19 de diciembre de 202238:

 Reclamación presentada por la titular ante la investigada mediante correo electrónico del 10 de enero 202339:

 Reclamación presentada por la titular ante la investigada mediante correo electrónico del 10 de enero 202339:

38 Expediente digital, consecutivo 0, página 31 39 Expediente digital, consecutivo 0, página 32RESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 9 de 24

 Certificado de participación en el curso “ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADOR” de la señora XXXXXXXXXXXXXX

XXXXX40:

 Respuesta de la investigada al requerimiento efectuado por este Despacho del 6 de octubre de 2023 en la que informa lo siguiente41:

“2. En virtud del artículo 9 de la Ley 1581 de 2012, informen si cuentan con autorización para el tratamiento de los datos personales de los titulares que participaron en la "ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADO" llevada a cabo del 19 de septiembre al 24 de octubre de 2022, e indiquen si esta contemplaba la posibilidad de compartir estos, con terceros. Acrediten su respuesta.

Sí. En cumplimiento del Artículo 9 de la Ley 1581 de 2012 y de acuerdo al contrato de prestación de servicios LG -2032 firmado entre EPS

de compartir estos, con terceros. Acrediten su respuesta.

Sí. En cumplimiento del Artículo 9 de la Ley 1581 de 2012 y de acuerdo al contrato de prestación de servicios LG -2032 firmado entre EPS Famisanar SAS y la Fundación Universitaria Cafam -UNICAFAM, la cláusula décima sexta, titulada “Uso de datos personales", establece lo siguiente: “Por la suscripción del presente contrato, FAMISANAR, en calidad de cliente corporativo del CONTRATISTA, declara que los datos personales de los usuarios han sido objeto de autorización previa por parte de aquellos a la persona natural o jurídica que, en calidad de cliente y responsable de la información, suministrará dicha información al CONTRATISTA en calidad de encargado. Por lo tanto, FAMISANAR se compromete a mantener indemne al CONTRATISTA y sus autorizadas,

40 Expediente digital, consecutivo 0, página 2 41 Expediente digital, consecutivo 7, página 2, folio 2RESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 10 de 24

filiales y/o subordinadas de cualquier reclamación que los titulares de los datos personales suministrados realicen.”

Se aclara que la autorización aportada por la investigada en la respuesta al requerimiento no da el consentimiento para compartir los datos personales de los titulares por medio de correo electrónico.

Al respecto, es importante recordar que el principio de acceso y circulación restringida establece claramente que el tratamiento de los datos, se sujeta a los límites que se derivan de la naturaleza de los mismos, y que el Tratamiento sólo

Al respecto, es importante recordar que el principio de acceso y circulación restringida establece claramente que el tratamiento de los datos, se sujeta a los límites que se derivan de la naturaleza de los mismos, y que el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o p or las personas previstas en la Ley 1581 de 2011, ahora bien, en este caso se hizo tratamiento de datos personales públicos para certificar que los titulares asistieron a un curso impartido por la investigada, razón por la cual, se convierten en datos de naturaleza privada toda vez que la finalidad para la cual fueron tratados, solo es de interés del titular.

De manera que, el hecho de que se traten datos personales de naturaleza pública no faculta a los Responsables ni Encargados para circular esta infor mación de forma deliberada y sin consentimiento previo del titular, puesto que el uso indebido puede vulnerar el derecho fundamental de habeas data y permitir que personas no autorizadas accedan a información de su esfera privada.

Pues bien, el nombre y el número de cédula son datos públicos, no obstante, en el presente caso, el hecho de conocer por parte de terceros que un titular realizó el curso “ ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADOR ”, los convierte automáticamente en datos privados, por lo cual, la investigada no podía compartirlos sin autorización previa de la titular, en tanto que el conjunto de datos contenidos en dicha certificación hacen que la información sea de naturaleza privada.

Sobre la definición de este tipo de datos la Ley dice lo siguiente:

Ley 1266 de 2008

ARTÍCULO 3°. Definiciones. Para los efectos de la presente ley, se entiende por:

“(…)

Sobre la definición de este tipo de datos la Ley dice lo siguiente:

Ley 1266 de 2008

ARTÍCULO 3°. Definiciones. Para los efectos de la presente ley, se entiende por:

“(…)

e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales p ueden ser públicos, semiprivados o privados;

(…)

h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.”

En este sentido, se concluye que los datos expuestos en el correo electrónico enviado el 19 de diciembre de 2022 por la investigada, eran datos privados, para lo cual se requería la autorización expresa de la titular.

De igual manera, el principio el principio de acceso y circulación restringida dice que los datos personales “no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares oRESOLUCIÓN NÚMERO 64940 DE 2025

“Por la cual se impone una sanción y se imparten órdenes administrativas”

Página 11 de 24

terceros autorizados conforme a la presente ley ”; 42sin embargo, en este caso los datos fueron difundidos masivamente en un correo electrónico que se envió a todos los asistentes al curso, compartiendo sus datos personales contenidos

Página 11 de 24

terceros autorizados conforme a la presente ley ”; 42sin embargo, en este caso los datos fueron difundidos masivamente en un correo electrónico que se envió a todos los asistentes al curso, compartiendo sus datos personales contenidos en los certificados, lo cual demuestra que no se implementaron medidas de seguridad que controlaran que el acceso a la información se permitiera únicamente a los titulares,