(21 de enero 2026) “Por la cual se resuelve un recurso de apelación” Radicado 22-373421 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que, el 21 de septiembre de 2022, el señor XXXXXXXX XXXXX presentó ante esta Superintendencia, mediante radicado 22-373421-0, una denuncia en contra de las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. (en adelante CERID) identificada con NIT 900.067.963-0 y COOMEVA MEDICINA PREPAGADA S.A. (en adelante COOMEVA), identificada con NIT 805.009.741-0, por la presunta vulneración de su derecho fundamental al habeas data.
Las mencionadas sociedades enviaron un correo electrónico a 438 direcciones, entre ellas la del denunciante, sin ningún tipo de restricción y permitiendo el acceso no autorizado a dicha información por parte de terceros.
SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 63622 del 19 de octubre de 2023, decidió abrir una investigación administrativa y formular cargos, a las dos sociedades, por la presunta vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.
TERCERO. Que la Dirección estableció, con fundamento en las pruebas recaudadas dentro de la actuación, que la sociedad CERID mediante el mensaje masivo denunciado permitió la exposición de las direcciones de correo electrónico de todos los titulares destinatarios desconociendo el deber de conservar la información bajo medidas de seguridad técnicas, humanas y administrativas para impedir el acceso por parte de terceros no autorizados.
Asimismo, que la sociedad COOMEVA compartió una base de datos con la sociedad CERID, sin hacer las previsiones pertinentes dirigidas a otorgar la seguridad y confidencialidad necesarias a los registros contenidos en ella. Por lo anterior, mediante Resolución No. 50027 del 28 de julio de 2025, resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.- identificada con Nit 900.067.963-0 de CINCUENTA (50) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a CINCO MIL OCHOCIENTOS (5.800) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a SESENTA Y SIETE MILLONES MIL SEISCIENTOS PESOS M/CTE (67.001.600); y COOMEVA MEDICINA PREPAGADA S.A., identificada con Nit 805.009.741-0 de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a CUATRO MIL SEISCIENTOS CUARENTA (4.640) Unidades “Por la cual se resuelve un recurso de apelación” de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CINCUENTA Y TRES MILLONES SEISCIENTOS UN MIL DOSCIENTOS OCHENTA PESOS M/CTE (53.601.280), por la vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.
(…)
ARTÍCULO 2: ORDENAR a la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. - CERID S.A.- identificada con Nit 900.067.963-0: -Documentar y realizar un programa de capacitaciones periódicas a sus trabajadores en relación con el cumplimento de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015; en particular, los asuntos concernientes a la seguridad de la información, de acuerdo con la labor desempeñada y conforme a la naturaleza del dato objeto de tratamiento. -Implementar un procedimiento que contenga controles para el envío de correos electrónicos masivos, de manera que impida su acceso no autorizado por parte de terceros.
La presente orden deberá ser cumplida por la sociedad dentro del término de sesenta (60) días hábiles, siguientes a la ejecutoria de la presente decisión.”
CUARTO. Que, dentro del término legal establecido para el efecto, el 1 de agosto de 2025, CERID, a través de su apoderado, interpuso recurso de reposición y, en subsidio, de apelación1 contra la decisión contenida en la Resolución No. 50027 del 28 de julio de 2025, mediante escrito radicado con el número 22373421-46. Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: • Respecto de la imposibilidad de aplicar la presunción de solidaridad en calidad de responsables.
La sociedad recurrente señaló que su objeto social o actividad económica corresponde a la prestación de servicios de diagnóstico médico por imágenes y en desarrollo de su objeto, mantiene una relación comercial y contractual con COOMEVA a través de la cual se prestan dichos servicios. En el contrato de prestación de servicios asistenciales No. MP-CA-0702011 suscrito entre CERID y COOMEVA, que se anexó como prueba y obra en el expediente, establece en la cláusula primera relacionada con el objeto que “En virtud del presente contrato, EL CONTRATISTA o PRESTADOR se obliga para con Coomeva Medicina Prepagada S.A., a prestar los servicios IMÁGENES DIAGNÓSTICAS, con racionalidad técnico – científica a los usuarios de los programas de Medicina Prepagada S.A., los servicios asistenciales, médicos, quirúrgicos y hospitalarios que se requieran, de conformidad con las coberturas, cláusulas y términos contenidos en los contratos de prestación de servicios celebrados entre los usuarios y Coomeva Medicina Prepagada S.A., cuyo texto forma parte integrante de este contrato …”.
Señaló que “la práctica de la mamografía, objetivo de la campaña, fue promocionado por CERID S.A. y COOMEVA MEDICINA PREPAGADA S.A. como examen de prevención y detección a tiempo del cáncer de mama en mujeres” y que los resultados de los exámenes realizados por CERID con ocasión de la campaña, fueron resguardados y protegidos sin que terceros tuvieran acceso a la información. Destacó que en la cláusula segunda se encuentra la definición de usuario en los siguientes términos: “Es toda persona natural debidamente inscrita por el contratante y aceptada por Coomeva Medicina Prepagada S.A. dentro de un plan y programa específicos”; en la cláusula tercera se dice que CERID como “EL CONTRATISTA o PRESTADOR” sólo prestará “los servicios objeto de este contrato, a los usuarios que hayan celebrado La Resolución No. 50027 del 28 de julio de 2025, fue notificada electrónicamente CERID el 28 de julio de 2025.
“Por la cual se resuelve un recurso de apelación” contrato con Coomeva Medicina Prepagada S.A. que se identifique como tal, mediante su carné de afiliación y documento de identidad, previa validación de sus derechos ante Coomeva Medicina Prepagada S.A…”; y en el numeral 10 de la cláusula cuarta que corresponde a las obligaciones a cargo de CERID se establece “Acatar y dar cumplimiento a los procedimientos que para la prestación de servicios defina Coomeva Medicina Prepagada S.A., a través de comunicaciones y promulgación de directrices, los cuales hacen parte integrante del presente contrato”.
Señaló que en la autorización para el tratamiento de datos personales que se encuentra en el contrato de medicina prepagada, el cual se aportó el del denunciante, se establece: “Uso y tratamiento de datos: que mis datos personales sean objeto de tratamiento para las siguientes finalidades: 2.1. Datos personales: a) Compartir todos mis datos, soportes y los que llegare a suministrar con ocasión de mi vinculación comercial con Coomeva Medicina Prepagada S.A., los cuales podrán ser cedidos a otras entidades con las cuales se tengan alianzas o acuerdos comerciales. b) Realizar campañas de identificación en procesos institucionales de Coomeva Medicina Prepagada S.A. o de marketing (promoción de productos y servicios), envío de información comercial por cualquier medio conocido o que llegase a conocerse… 2.2.) Datos sensibles (información biométrica y estado de salud): que los datos sensibles, incluidos los biométricos y los referentes a mi estado de salud, sean objeto de tratamiento para las siguientes finalidades. a) Recolectar e incluir mis huellas dactilares y cualquier otro dato de tipo biométrico que sean susceptibles de tratamiento en la Base de Datos administrada por Coomeva Medicina Prepagada S.A… b).
Transmitir o transferir mis huellas dactilares y cualquier otro dato personal…d) Realizar el tratamiento de mis datos personales incluidos los datos de carácter sensible durante el tiempo que dure la relación jurídica con Coomeva Medicina Prepagada S.A…” Por lo anterior, concluye que tomando como referencia el contrato de prestación de servicios asistenciales No. MP-CA-070-2011 suscrito entre CERID y COOMEVA, la autorización para el tratamiento de datos personales del contrato de medicina prepagada y las definiciones del artículo 3 de la Ley 1581 de 2012 se tiene que no ostenta la condición de responsable del tratamiento.
Afirmó que COOMEVA decide sobre la base de datos y lo hace como responsable, mientras que CERID hace el tratamiento de la información o de la base de datos de acuerdo con lo que indique COOMEVA. Destacó apartes de la sentencia C-748 de 2011 sobre la presunción de solidaridad y como los roles de responsable y encargado tienen responsabilidad concurrente en el tratamiento de datos personales, pero dependiendo de sus compromisos y obligaciones, resaltando que el deber del responsable es el de tener la autorización del titular mientras que la del encargado es cerciorarse de que el responsable cuenta con la autorización. Reiteró que COOMEVA autorizó a CERID el tratamiento de la información con el fin de prestar los servicios de imágenes diagnósticas, entre otros, como consecuencia de la relación comercial entre COOMEVA y CERID como encargado.
Aclaró que si bien el otrosí del 2 de noviembre de 2022 al contrato de prestación de servicios asistenciales No. MP-CA-070-2011 del 1 de mayo de 2017, que obra como prueba en el expediente, fue suscrito con posterioridad al inicio de la investigación administrativa, en el mismo se estipuló que COOMEVA es responsable del tratamiento. Este documento materializó “la gestión y la administración que ya desarrollaba COOMEVA MEDICINA PREPAGADA S.A. como responsable desde la firma del contrato “Por la cual se resuelve un recurso de apelación” de prestación de servicios y la que ejecutaba CERID S.A. como encargada”.
Afirmó que “en el correo electrónico de fecha 13 de septiembre de 2022 que obra en el expediente, encontrará el Despacho la instrucción de COOMEVA MEDICINA PREPAGADA S.A. a CERID S.A. sobre la práctica de la mamografía así como la constancia de envío de la base de datos”. • Respecto del deber de conservar la información bajo las medidas de seguridad necesarias.
Indicó que teniendo claro que CERID es el encargado, se tiene que mediante el correo electrónico de fecha 13 de septiembre de 2022, se encuentra la instrucción de COOMEVA a CERID sobre la práctica de la mamografía, así como la constancia de envío de la base de datos. Señaló que, teniendo en cuenta que los titulares de la información autorizaron previamente a COOMEVA el tratamiento de su información y consecuentemente a CERID para la prestación de servicios de diagnóstico médico por imágenes, “se coordinó por COOMEVA” en el mes de septiembre de 2022 la actividad de “mailing” o correo directo a través del cual se promoviera la asistencia de pacientes para la toma de mamografías para la detección temprana del cáncer.
Por lo anterior, en el mes de septiembre de 2022 se recibió correo electrónico de COOMEVA dirigido al área de Gerencia Comercial y Mercadeo de CERID cuyo asunto correspondió a “Programa TAMIZAJE CA de Mama Coomeva MP” en donde se anexa la ruta del programa a desarrollar que conjuntamente fue denominado “ES TIEMPO DE CUIDAR TU SALUD”. Para llevar a cabo el plan o programa CERID tuvo acceso a la base de datos “Mamografías CERID, MPFT_138_DETECCION _TEMPRANA _CA.XLSX, Formato Solicitud ST CMP Mamografías.XLSX, Mamografías CERID Septiembre 2022” de COOMEVA, de acuerdo con el Instructivo Para Plan De Mercadeo Campañas Con Bases De Datos Externas que se anexó con el requerimiento, por lo que la Gerencia Comercial y Mercadeo de CERID era la encargada de velar por el cumplimiento del instructivo y adicionalmente, es el área responsable (internamente de CERID) del tratamiento y manejo de la información que constituye la base de datos entregada por COOMEVA.
Señaló que contrató el servicio de mantenimiento preventivo y correctivo de sistemas No. TI-04-2022 e informó que tiene implementados los siguientes documentos: (i) instructivos para abrir agenda, para asignación de citas, para ingresar paciente y para plan de mercadeo campañas con bases de datos externas; (ii) procedimiento de seguridad de equipos, usuarios, aplicaciones e información. Finalmente, señaló que acatará las órdenes impartidas en la Resolución No. 50027 del 28 de julio de 2025.
QUINTO. Que, dentro del término legal establecido para el efecto, el 20 de agosto de 2025, COOMEVA, a través de su apoderado, interpuso recurso de reposición y, en subsidio, de apelación2 contra la decisión contenida en la Resolución No. 50027 del 28 de julio de 2025, mediante escrito radicado con el número 22-373421-50. Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: • Falsa motivación al persistir en una apreciación incorrecta sobre el rol en el que actúa cada uno de los investigados.
Señaló que la Dirección insiste en aplicar una presunción de solidaridad entre los investigados a raíz de lo ocurrido con el envío del correo electrónico del La Resolución No. 50027 del 28 de julio de 2025, fue notificada por aviso COOMEVA el 6 de agosto de 2025. “Por la cual se resuelve un recurso de apelación” 17 de septiembre de 2022, pretermitiendo las pruebas que demuestran que COOMEVA actuaba como responsable del tratamiento y CERID como encargado.
En su análisis, la Dirección sostuvo que no encontró evidencia que acreditara la existencia de instrucciones impartidas por COOMEVA a CERID respecto del uso de la base de datos de correos electrónicos de los usuarios que lo constituyera como encargado del tratamiento, lo que, a su parecer, la condujo a una conclusión que no se ajusta a la realidad fáctica ni normativa del caso.
De acuerdo con las evidencias obrantes en el expediente, afirmó que la relación jurídica entre COOMEVA y CERID frente a los hechos objeto de investigación es inequívoca: CERID ostentaba la calidad de encargado y COOMEVA la de responsable. Para llegar a esta conclusión, manifestó que bastaba con que la Dirección se remitiera a las siguientes pruebas documentales: (i) el Contrato de Prestación de Servicios Asistenciales N° MP-CA-070- 2011;
(ii) su respectivo Otrosí suscrito el 2 de noviembre de 2022, en los que se indica expresamente que CERID actuaba como encargado del tratamiento de Coomeva; (iii) la respuesta dada por COOMEVA el 19 de julio de 2023 al requerimiento de información de la Dirección, en la cual, antes incluso de iniciarse la investigación, se informó a la Dirección el rol de cada agente; y (iv) las instrucciones impartidas por COOMEVA a CERID, verificables en el correo electrónico remitido por la señora MILENA GARCÍA (funcionaria de COOMEVA) a CERID el 13 de septiembre de 2022.
Destacó que “es deber de la autoridad competente examinar cuidadosamente la posición que cada agente ocupa en el marco del tratamiento de datos, para efectos de asignar responsabilidades y eventuales sanciones” y que a la SIC, le correspondía analizar con detenimiento las pruebas allegadas, particularmente las mencionadas, con las cuales hubiera podido confirmar lo que se le ha indicado en reiteradas ocasiones sobre el rol de cada uno de los investigados en el tratamiento de la información. Por lo que afirmó que al asumir sin justificación, y sin examinar no solo las evidencias contractuales sino las comunicaciones con instrucciones de tratamiento de información que COOMEVA le dirigió a CERID el 13 de septiembre de 2022, que ambos agentes del tratamiento ostentaban la calidad de responsables y derivar de dicha premisa la decisión sancionatoria, la Dirección incurrió en una indebida o falsa motivación del acto administrativo cuestionado, afectando de manera directa su validez conforme a lo previsto en el artículo 137 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (“CPACA”). • Contradicción de la resolución de sanción por haber asimilado a ambos investigados como responsables del tratamiento, pero haber sancionado a COOMEVA por el actuar de un tercero. La sociedad indicó que resulta abiertamente contradictorio que la Dirección negara que CERID ostentara la calidad de encargado de COOMEVA, pero a la vez reprochara a esta última haber “circulado” información a un tercero sin adoptar las medidas óptimas de seguridad y sin impartir las instrucciones pertinentes para el uso de la información por parte de ese tercero; esto es, a alguien que únicamente, con base en unas instrucciones, podría haber tratado la información por cuenta de COOMEVA, en calidad de encargado.
En otros términos, señaló que la Dirección trató a ambas compañías como responsables para fundamentar el reproche en relación con el manejo de la comunicación del 17 de septiembre de 2022, pero implícitamente reconoció a CERID como encargado y a COOMEVA como responsable, con el fin de generar un nexo causal que vinculara a esta última como supuesto sujeto activo de la conducta.
Es decir, terminó conectando la actuación de CERID con la de COOMEVA bajo una premisa que solo tendría explicación si se admite que CERID sí era encargado del “Por la cual se resuelve un recurso de apelación” tratamiento de la información respecto de la cual COOMEVA era responsable. En consecuencia, indicó que “si la decisión hubiese sido coherente en la identificación del rol desempeñado por las partes investigadas —incluso bajo el supuesto (hipotético) de que ambas actuaban como Responsables, sin perjuicio de la imprecisión fáctica ya advertida—, la Dirección no habría podido reprochar en Coomeva las actuaciones de un tercero (Cerid), quien en tal escenario sería también Responsable y frente al cual Coomeva no tendría el deber de impartir instrucciones, justamente porque no actuaría como su Encargado.” Por lo que, a su parecer, la Dirección terminó contradiciéndose al imputar a COOMEVA la falta de instrucciones y de adopción de medidas de seguridad respecto de la información “circulada” a un tercero o “aliado comercial” —según sus propios términos—, lo que en sí mismo implica reconocer la existencia de una relación responsable– encargado.
Asimismo, señaló que, “si ambos agentes del tratamiento hubiesen sido considerados responsables, no existe fundamento jurídico para trasladar a COOMEVA las consecuencias de los actos ejecutados por otro responsable que, conforme a la ley, tiene autonomía para decidir sobre las finalidades y medios del tratamiento de la información personal, y frente al cual COOMEVA carecía de cualquier incidencia. Bajo ese entendido, CERID habría actuado de manera independiente, y no en asocio con Coomeva, lo cual excluye toda posibilidad de extender responsabilidad a esta última”. • Ausencia de aplicación integral de los criterios de razonabilidad y proporcionalidad de la sanción impuesta a COOMEVA.
La sociedad señaló que la Dirección impuso la sanción ignorando la ausencia de beneficio económico a raíz de la conducta investigada y la finalidad preventiva y de protección del derecho fundamental a la salud que motivó la comunicación del 17 de septiembre de 2022. Destacó que no se trató de una comunicación de carácter comercial ni motivada por un interés de lucro, sino de un mensaje con fines preventivos, orientado a incentivar la adopción de medidas de autocuidado y de prácticas de autoexamen por parte de los usuarios del sistema de salud.
Indicó que no es jurídicamente equiparable, ni en intensidad ni en significación, el reproche derivado de un tratamiento de datos personales con fines comerciales y lucrativos, frente a aquel vinculado a una actividad de prevención y bienestar, en beneficio directo de los usuarios y de la salud pública. Afirmó que la Dirección optó por ignorar este contexto, pues, a su parecer, de haberse valorado adecuadamente la finalidad legítima que motivó el correo objeto de investigación, la consecuencia jurídica habría sido distinta: “una exoneración acompañada de advertencias o de órdenes de no repetición (al no existir un ánimo de lucro ni un agravio concreto), o en su defecto, un reproche notoriamente menos severo al que finalmente fue impuesto”.
Finalmente, señaló que lo que la Dirección calificó como una infracción atribuible a Coomeva carecía de significatividad suficiente y no produjo daño efectivo ni generó un riesgo desproporcionado frente a los bienes jurídicos protegidos por la ley y la Constitución. • Inaplicación injustificada del criterio de graduación en materia sancionatoria contenido en el literal f) del artículo 24 de la Ley 1581 de 2012.
Señaló que, si bien la Dirección reconoció la ausencia de beneficio económico en la conducta investigada, aspecto que resalta la sociedad de gran relevancia para valorar la razonabilidad y significatividad del reproche, omitió examinar la aplicabilidad, del literal f) del mismo artículo, relativo a la aceptación de la comisión de la conducta.
“Por la cual se resuelve un recurso de apelación” Señaló que, actuando con transparencia frente a la Dirección, ejerció su legítimo derecho de defensa sin dejar de reconocer la existencia de un error involuntario atribuible a su aliado en la prestación de servicios, quien, insiste, actuaba en calidad de encargado del tratamiento de datos, conforme a la ley.
Sin embargo, aun cuando la propia Dirección reconoció dicha circunstancia, no le otorgó efecto alguno bajo el marco del literal f) del artículo 24. Desde la presentación de los descargos, y en el escrito de alegatos de conclusión aceptó expresamente que la conducta objeto de investigación tuvo origen en un error involuntario, lo cual equivale a la aceptación de los hechos que la Dirección posteriormente calificó como infracción.
SEXTO. Que la Dirección, mediante la Resolución No. 99866 del 28 de noviembre de 2025, resolvió el recurso de reposición interpuesto, confirmando lo dispuesto en la Resolución No. 50027 del 28 de julio de 2025. En su decisión, concluyó que los argumentos expuestos por CERID no están llamados a prosperar en la medida en que se demostró que del contrato de prestación de servicios y demás documentos obrantes en el expediente no es posible concluir que existe un encargo para el tratamiento de los datos personales (direcciones de correo electrónico) destinatarias de la comunicación sobre la cual se sustentó la sanción impuesta.
Para la Dirección, el otrosí al contrato de servicios asistenciales N° MP-CA-070-2011 fue suscrito con posterioridad a los hechos que se investigan, y por tanto carece de efectos retroactivos. De otro lado, frente a los argumentos expuestos por COOMEVA, esta indicó que se divulgó de manera negligente información personal de terceros, omitiendo ejercer los controles de seguridad necesarios para evitar que terceros no autorizados accedieran a ella, configurándose así una infracción al régimen de protección de datos.
Señaló además que no resulta procedente la aplicación de la atenuante de la sanción, dado que la sociedad aceptó la comisión de la conducta realizada por CERID; sin embargo, dicha atenuación solo es aplicable cuando la manifestación proviene de la persona natural o jurídica a quien se le atribuye la infracción, y no de un tercero.
SÉPTIMO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8 del artículo 16 del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 92 de 2022) 7.1. Respecto del recurso presentado por CERID La Dirección concluyó, en la decisión de primera instancia, que no existían elementos suficientes para acreditar la calidad de encargado por parte de CERID y, en consecuencia, aplicó la presunción de solidaridad como responsable del tratamiento por la divulgación no autorizada de datos personales a través de un correo electrónico enviado sin copia oculta a 438 destinatarios.
Esta Delegatura no comparte dicha apreciación. Del examen integral del material probatorio obrante en el expediente se advierte que sí existen elementos suficientes para determinar que CERID actuó en el marco de una relación de encargo para el tratamiento, bajo instrucciones de COOMEVA, quien ostenta(ba) para el caso la calidad de responsable del tratamiento.
En efecto, el Contrato de Prestación de Servicios Asistenciales No. MP-CA-0702011 suscrito desde el 1 de mayo de 2011 entre COOMEVA y CERID establece de manera expresa que COOMEVA define los procedimientos y lineamientos para la prestación de los servicios, los cuales deben ser observados por CERID “Por la cual se resuelve un recurso de apelación” en su calidad de “Prestador” o “Contratista”.
En dicho instrumento contractual no se evidencia que CERID defina o controle la finalidad, uso o administración de la base de datos de usuarios; por el contrario, COOMEVA conserva la gestión y decisión sobre los datos de sus afiliados, tal como se desprende de las cláusulas primera, segunda, tercera y cuarta del contrato3. Aunado a lo anterior, la autorización para el tratamiento de datos personales que otorgan los usuarios en el marco del contrato de medicina prepagada indica claramente que es COOMEVA quien obtiene la autorización del titular, quien puede compartir y transferir los datos con entidades aliadas, y quien determina las finalidades del tratamiento.
Esta circunstancia se ajusta a la definición de responsable del tratamiento del artículo 3 de la Ley 1581 de 2012. Obran además en el expediente, correo electrónico del 13 de septiembre de 2022, mediante el cual COOMEVA imparte instrucciones específicas a CERID respecto de la campaña de tamizaje para detección temprana de cáncer de mama, así como la entrega de la base de datos utilizada en dicha campaña4: A partir del análisis del correo aportado, es posible identificar varios elementos que permiten demostrar que sí existieron instrucciones operativas impartidas por COOMEVA a CERID en el marco de la campaña de tamizaje de cáncer de mama.
Aunque el mensaje no se configure como un contrato formal de encargo, su contenido evidencia lineamientos concretos sobre la forma en que CERID debía ejecutar actividades relacionadas con el tratamiento de datos personales y el contacto con los usuarios, lo que refleja una dirección funcional y operativa por parte de COOMEVA. En primer lugar, el correo incluye el envío de múltiples documentos esenciales para la ejecución de la campaña, tales como la ruta del programa, la base de Radicado 22-373421-10 página 9 folios 1 al 12. 4 Radicado 22-373421-3 página 7.
“Por la cual se resuelve un recurso de apelación” datos, la infografía del programa y varios formatos operativos. La remisión de estos insumos constituye, en sí misma, una instrucción sobre cómo debía desarrollarse el proceso, pues CERID recibe los materiales indispensables para proceder con la programación, contacto y seguimiento de los usuarios, lo cual supone una orientación directa sobre sus actividades.
Adicionalmente, el mensaje establece instrucciones claras sobre los tiempos y periodicidad en los que CERID debía remitir información a COOMEVA, al señalar que determinados documentos debían enviarse “los 4 primeros días de cada mes”. Esta definición de plazos no es una simple comunicación informativa, sino una directriz operativa que regula la manera en que CERID debía organizar y ejecutar las actividades asignadas.
El correo también contiene instrucciones específicas sobre el manejo de los resultados obtenidos durante la campaña. Se indica que, ante un resultado alterado, CERID debía reportarlo inmediatamente a funcionarios específicos de COOMEVA y, en caso de requerirse un estudio adicional, debía anexar solicitud médica y reporte clínico para su trámite.
Estas orientaciones delimitan con precisión los pasos que CERID debía seguir, a quién reportar y qué documentos debía adjuntar, demostrando un ejercicio de dirección y control por parte de COOMEVA. Asimismo, se establecen lineamientos sobre la prestación misma del servicio a los usuarios, tales como que las mamografías no generan costo, que no se cobra cupón de pago y que no se requiere autorización mediante IVR.
Estas instrucciones inciden directamente en la manera en que CERID debía interactuar con los titulares, lo que constituye otra forma de orientación operativa. Finalmente, el correo señala que COOMEVA envía un listado en formato de solicitud para que CERID genere las órdenes de servicio, indicando incluso los días ideales para su envío. Esto refuerza la existencia de instrucciones detalladas sobre la gestión administrativa que debía ejecutar CERID, demostrando que sus actuaciones estaban articuladas a lineamientos precisos impartidos por COOMEVA.
En conjunto, estos elementos, para este Despacho, evidencian que CERID no actuaba de forma autónoma, sino siguiendo instrucciones concretas, reiteradas y funcionales impartidas por COOMEVA, incluidas actividades que implicaban el uso y manejo de los datos personales suministrados. De igual forma, obra en el expediente el otrosí suscrito el 2 de noviembre de 2022, que, aunque haya sido suscrito posteriormente al inicio de la actuación administrativa, documenta y formaliza la estructura de tratamiento responsable–encargado que ya se ejecutaba en la relación contractual desde años anteriores, precisando que COOMEVA es el responsable del tratamiento y CERID el encargado5.
(…) 5 Radicado 22-373421-10 página 8 folios 1 al 5. “Por la cual se resuelve un recurso de apelación” (…)” El conjunto de estos elementos evidencia que CERID no actuó de manera autónoma ni definió finalidades propias respecto de los datos; por el contrario, el uso de la base de datos y el envío del correo que originó la denuncia se realizaron en cumplimiento de las instrucciones impartidas directamente por COOMEVA, dentro de los límites de la relación comercial vigente.
Asimismo, no obra prueba de que CERID hubiera tratado los datos para una finalidad distinta a aquella definida por el responsable. En consecuencia, este Despacho considera acreditado que CERID actuó como encargado del tratamiento, de conformidad con los artículos 3 y 18 de la Ley 1581 de 2012. Por esta razón, no resulta jurídicamente procedente predicar responsabilidad en calidad de responsable del tratamiento ni aplicar la presunción de solidaridad prevista en la sentencia C-748 de 2011, dado que la actuación de CERID se circunscribió al marco funcional y jurídico del encargo.
Razón por la cual esta Delegatura revocará la sanción pecuniaria impuesta contra CERID. Este Despacho destaca que, aun cuando se revoca la sanción pecuniaria impuesta en primera instancia por haber sido atribuida a CERID en calidad de responsable del tratamiento (rol que no le corresponde conforme al acervo probatorio, al acreditarse su condición de encargado), las órdenes impartidas en el artículo 2 de la decisión recurrida serán confirmadas.
Tales órdenes están orientadas a fortalecer las medidas de seguridad en el tratamiento de datos personales y a prevenir la ocurrencia de hechos como los que dieron lugar a la actuación administrativa. Tales órdenes, relativas: (i) a la implementación de un programa de capacitaciones periódicas en materia de protección de datos personales y seguridad de la información, y (ii) al establecimiento de controles para el envío de correos electrónicos masivos que eviten accesos no autorizados, se ajustan plenamente al deber de seguridad previsto tanto en el literal d) del artículo 17 de la Ley 1581 de 2012 para los responsables del tratamiento, como en el literal b) del artículo 18 de la misma Ley para los encargados, por lo que resultan exigibles y proporcionadas en función de los riesgos evidenciados en el caso concreto.
Es necesario precisar que la revocatoria de la sanción impuesta a CERID no se fundamenta en la inexistencia de un incumplimiento de los deberes en materia de protección de datos personales, ni implica que los hechos denunciados e investigados carezcan de gravedad o de consecuencias. La revocatoria tiene como único fundamento la garantía plena del debido proceso y de los derechos de la sociedad investigada, toda vez que desde la etapa de formulación de cargos se le imputó la conducta en calidad de responsable del tratamiento, cuando las pruebas permiten concluir que dicha calidad no le correspondía y que, en realidad, actuaba y actuó como encargado.
Esta imprecisión en la imputación afecta la validez de la sanción, lo que lleva a esta Delegatura a dejarla sin efectos. “Por la cual se resuelve un recurso de apelación” No obstante, aclarado el error en la calificación jurídica atribuida a CERID, ello no desvirtúa que efectivamente ocurrió un incumplimiento de los deberes propios del régimen de protección de datos personales.
Las evidencias recaudadas demuestran que se permitió el acceso no autorizado a los datos personales, en particular, direcciones de correo electrónico, de 438 titulares, lo cual desconoce principios y deberes como la seguridad y la confidencialidad. El hecho de que se deba corregir la imputación no elimina ni reduce la gravedad de la conducta, ni el deber de adoptar medidas correctivas.
En ese sentido, aunque la sanción se revoca exclusivamente por razones formales relacionadas con la correcta atribución de roles y responsabilidades, se mantienen plenamente vigentes las órdenes impartidas. Ello obedece a que sí existió una infracción al ordenamiento jurídico que exige la implementación de controles, protocolos y acciones concretas para evitar que situaciones como la aquí analizada se repitan.
La magnitud de la vulneración y el número de titulares afectados obligan a reforzar las medidas de seguridad, revisar los procesos de transmisión y acceso a la información y asegurar que cualquier tratamiento futuro se ejecute con total sujeción a la Ley 1581 de 2012 y sus decretos reglamentarios. En conclusión, la revocatoria de la sanción no constituye una absolución ni una negación de la afectación ocurrida; se trata de un ajuste necesario para preservar las garantías procesales.
Las órdenes se mantendrán porque la vulneración existió, fue significativa y demanda acciones inmediatas y efectivas para asegurar que hechos similares no vuelvan a ocurrir. 7.2. Respecto del recurso presentado por COOMEVA 7.2.1. Argumento sobre supuesta falsa motivación en la determinación de roles y de contradicción entre las sanciones Si bien es cierto que en primera instancia la Dirección consideró a CERID como responsable, lo cual podría llevar a una falsa motivación o una contradicción entre las sanciones, esta Autoridad, en sede de apelación, modifica dicha valoración y reconoce que CERID ostenta inequívocamente la calidad de encargado del tratamiento, tal como se desprende del contrato, su otrosí, la respuesta inicial de COOMEVA y las instrucciones impartidas el 13 de septiembre de 2022.
Una vez corregida esta situación, los argumentos presentados por la sociedad para solicitar a su vez la revocatoria de la sanción que pesa sobre ella, pierden fundamento. Sobre este punto, es necesario aclarar, adicionalmente, que la revocatoria de la sanción pecuniaria que se le impuso a CERID no tiene incidencia sobre la sanción impuesta a COOMEVA, pues la infracción endilgada a COOMEVA corresponde exclusivamente a su deber propio de responsable, consistente en: • • • Garantizar que la información personal bajo su custodia sea tratada con medidas adecuadas de seguridad;
Supervisar, instruir y verificar que el encargado implemente controles suficientes para evitar accesos o divulgaciones no autorizadas; Adoptar medidas técnicas y administrativas que minimicen el riesgo de incidentes derivados del tratamiento por parte del encargado. Por lo anterior, es claro que la infracción sancionada no depende de la calificación jurídica de CERID, sino de la conducta propia de COOMEVA al entregar la base de datos sin incluir las instrucciones y las medidas de seguridad necesarias para haber impedido la afectación del derecho fundamental a la protección de datos personales de un conjunto significativo de titulares, incumplimiento que subsiste aun reconociéndose la calidad de encargado del aliado.
“Por la cual se resuelve un recurso de apelación” El principio de seguridad, consagrado en el literal g) del artículo 4 de la Ley 1581 de 2012, impone a responsables y encargados la obligación de tratar los datos personales “con las medidas técnicas, humanas y administrativas necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.
Ese mandato se concreta, para los responsables, en el literal d) del artículo 17, que exige “conservar la información bajo las condiciones de seguridad” adecuadas. La garantía de seguridad incluye controlar quiénes pueden acceder a los datos. Por lo tanto, el artículo 13 de la misma ley limita el suministro de información personal a tres sujetos: (i) el titular, sus causahabientes o representantes;
(ii) autoridades públicas en ejercicio de sus funciones o por orden judicial; y (iii) terceros autorizados por el propio titular o por la ley. Cualquier filtración fuera de ese círculo configura una violación del principio de acceso y circulación restringida (artículo 4 literal. f). Sobre este punto, la Corte Constitucional ha reiterado, en la sentencia C-748 de 2011, que los datos no públicos sólo pueden circular si existen todas las garantías de seguridad y confidencialidad; de lo contrario, el responsable y el encargado responderán por los perjuicios que se causen6.
Asimismo, la Corte, sobre el deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012, precisó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechosintimidad y habeas data-del titular del dato personal.
Específicamente se dispone que son deberes de esta parte de la relación: (…) (iii)Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuere de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.
Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento-literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares-literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.” (Negrilla original) A su vez, el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 precisa que los responsables deben adoptar medidas que respondan al riesgo asociado al tipo de dato y a las características del tratamiento, así como al nivel de desarrollo y disponibilidad de las tecnologías razonablemente aplicables para garantizar la seguridad de la información. Por tanto, el responsable está obligado no solo a implementar sus propios controles, sino también a exigir y verificar de manera adecuada las condiciones de seguridad que emplea el encargado del tratamiento, asegurándose de que estos cumplan estándares acordes con los riesgos del tratamiento y las buenas prácticas vigentes en la materia.
En el presente caso, quedó acreditado que COOMEVA, en su calidad de responsable del tratamiento, compartió la base de datos denominada “Mamografías CERID”, con su aliado CERID, sin implementar medidas suficientes para garantizar la seguridad, confidencialidad y uso autorizado de los registros. Dicha omisión permitió que la información personal pudiera ser divulgada a terceros no autorizados, como efectivamente ocurrió, debido a la ausencia de controles adecuados en la entrega, supervisión y tratamiento de la base de datos suministrada al encargado.
Se debe aclarar que la conducta sancionada a COOMEVA no recae específicamente sobre el envío del correo, sino sobre el incumplimiento del 6 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Considerando 2.6.5.2.7 “Por la cual se resuelve un recurso de apelación” deber de seguridad al momento de compartir la base de datos con el encargado sin controles adecuados. 1.
El incidente del correo reveló la materialización del riesgo que COOMEVA debía prever y controlar. No es la base del reproche, sino la evidencia de la insuficiencia de las medidas adoptadas. 2. Aun cuando COOMEVA no haya ejecutado directamente el envío del correo, ello no la exonera de responsabilidad, porque la Ley 1581 impone a los responsables un deber de protección reforzado respecto de los encargados a quienes confían datos personales. 3.
Reconocer a CERID como encargado, refuerza la responsabilidad de COOMEVA, pues la Ley 1581 de 2012 obliga al responsable a impartir instrucciones detalladas, supervisar el uso de la información y garantizar el cumplimiento de las medidas de seguridad respecto de los datos personales. En virtud de lo expuesto, es claro que la responsabilidad atribuida a COOMEVA no deriva del envío del correo masivo en sí mismo, sino del incumplimiento de sus deberes como responsable del tratamiento al compartir la base de datos “Mamografías CERID” sin adoptar medidas de seguridad suficientes.
La filtración ocurrida constituye la materialización del riesgo que debía ser previsto y gestionado, lo cual pone de manifiesto la ausencia de controles adecuados en la entrega, supervisión y tratamiento de la información por parte del encargado. Además, el reconocimiento de CERID como encargado no atenúa, sino que refuerza la obligación de COOMEVA de impartir instrucciones claras, verificar su cumplimiento y garantizar que los datos personales se administraran bajo estándares adecuados de seguridad.
En suma, la vulneración evidenciada es consecuencia directa de la omisión de COOMEVA en el cumplimiento del deber de protección que la Ley 1581 de 2012 impone a los responsables frente a los encargados a quienes confían información personal. Por estas razones esta Delegatura confirmará la sanción pecuniaria impuesta a COOMEVA en calidad de responsable. 7.2.2.
Respecto de la proporcionalidad y razonabilidad de la sanción Conforme al literal a) del artículo 24 de la Ley 1581 de 2012, basta con que la conducta desplegada “ponga en peligro los intereses jurídicos tutelados” por la ley para que proceda la imposición de una sanción. En este caso, se determinó que el comportamiento de COOMEVA no solo materializó un riesgo, sino que efectivamente afectó el derecho fundamental de los titulares y evidenció la puesta en riesgo del derecho de titulares indeterminados.
En ejercicio del “margen de discrecionalidad conferido por la Ley 1581 de 2012”, la autoridad valoró los criterios del artículo 24 para graduar la sanción. Se consideraron aspectos como la naturaleza de los datos vulnerados, la dimensión del daño o peligro a los intereses jurídicos protegidos, el tamaño de la empresa, su situación financiera y los deberes incumplidos.
Adicionalmente, se indicó que la sanción impuesta fue calculada de forma proporcional, con base en el patrimonio y capacidad económica de la sociedad, garantizando así que tuviera efecto disuasorio. Es importante resaltar que la vulneración del derecho fundamental a la protección de datos personales no se limita a afectar los derechos de un titular en particular, o como ocurrió en este caso de 438 titulares, sino que trasciende, al poner en riesgo los derechos de un número indeterminado de personas.
En esa medida, el daño o el peligro de afectación a los intereses tutelados no se circunscribe al afectado plenamente identificado, se extiende a los titulares cuyos datos podrían verse comprometidos en circunstancias semejantes. De esta forma, la infracción adquiere una dimensión colectiva que refuerza la necesidad de medidas correctivas y preventivas.
“Por la cual se resuelve un recurso de apelación” La conducta atribuida a la sociedad reviste una especial gravedad, en la medida en que, ostentando la calidad de responsable del tratamiento, tenía el deber jurídico reforzado de garantizar que los datos personales de sus clientes fueran compartidos únicamente bajo condiciones estrictas de seguridad.
Este deber, establecido en la Ley 1581 de 2012 y en sus normas reglamentarias, exige que todo responsable adopte medidas técnicas, humanas y administrativas suficientes para impedir accesos no autorizados, divulgaciones indebidas y usos no permitidos de la información personal. No obstante, la sociedad decidió transferir una base de datos completa a un tercero sin exigir, documentar ni verificar previamente que contara con protocolos de seguridad para la manipulación de la información confiada.
La materialización del riesgo confirma la severidad de la omisión. Como consecuencia directa de la falta de medidas adecuadas, las direcciones de correo electrónico de 438 titulares fueron divulgadas a terceros no autorizados, permitiendo que cada destinatario del mensaje conociera los datos personales de los demás usuarios incluidos en el envío. Este incidente constituye una vulneración manifiesta de la confidencialidad de decenas de personas, quienes confiaron sus datos a la sociedad bajo la expectativa legítima de que serían tratados con el nivel de protección exigido por la normativa vigente.
La exposición masiva de información personal no solo quebranta esa confianza, sino que los expone a riesgos concretos, como suplantación, uso indebido de la información, recepción de comunicaciones no deseadas o potenciales ataques dirigidos. Adicionalmente, se destaca que, aunque el mensaje enviado no tuviera una finalidad estrictamente comercial sino orientada al cuidado y la salud pública, la negligencia en el cumplimiento de los deberes por parte de la sociedad, en su calidad de responsable del tratamiento, reviste especial gravedad.
Esto es así porque se trata de una relación contractual en la que se gestionan datos personales potencialmente sensibles, por referirse a información de salud, y que abarcan a un número significativo de titulares, los usuarios de la prepagada. En este contexto, la sanción impuesta resulta plenamente proporcional y justificada. Asimismo, se precisa que la naturaleza del mensaje o su finalidad no exime del deber de seguridad ni atenúa la gravedad de haber compartido una base de datos sin las medidas adecuadas para garantizar su protección. Por el contrario, la exposición de datos personales incrementa la necesidad de adoptar controles estrictos.
En consecuencia, una sanción de menor entidad sería insuficiente frente a la magnitud de la vulneración y no cumpliría con los principios de necesidad y proporcionalidad que rigen la potestad sancionatoria, ni con el propósito preventivo de desincentivar futuros incumplimientos. Finalmente, es importante resaltar que la sanción impuesta se ajusta a los límites establecidos en el artículo 23 de la Ley 1581 de 2012, ya que se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales vigentes.
En efecto, la sanción equivale al 1.88% del umbral máximo permitido. De tal forma que no solo cumple con los parámetros legales, sino que también es proporcional y acorde con la capacidad económica de COOMEVA. 7.2.3. Respecto de la presunta aceptación de la infracción y la solicitud de aplicación del atenuante del literal f) de la Ley 1581 de 2012 Pese a que COOMEVA sostiene que aceptó la ocurrencia del hecho involuntario y que, por tanto, la Dirección debió aplicar el atenuante relativo a la aceptación de la comisión de la conducta, se debe aclarar que el atenuante establecido en el literal f) del artículo 24 de la Ley 1581 de 2012 se configura exclusivamente cuando el investigado acepta su propia conducta infractora, no la de un tercero. “Por la cual se resuelve un recurso de apelación” En el expediente consta que COOMEVA aceptó que hubo un error del encargado al enviar el correo sin copia oculta, pero no aceptó haber incumplido su deber como responsable de garantizar la seguridad de los datos al momento de compartirlos con el encargado.
El núcleo de la infracción impuesta a COOMEVA es su omisión en adoptar medidas adecuadas de seguridad, y esa conducta no fue aceptada expresamente por la sociedad. Por tanto, no se cumplen los presupuestos para la aplicación del atenuante del literal f).
OCTAVO. Conclusiones. • Del análisis del expediente se concluye que CERID actuó como encargado y no como responsable, pues ejecutó la campaña bajo instrucciones directas de COOMEVA; por ello, no procede mantener una sanción pecuniaria basada en la presunción de solidaridad aplicable solo a responsables, razón por la cual se revoca para garantizar el debido proceso. • La revocatoria de la sanción a CERID no elimina la vulneración acreditada: hubo un acceso no autorizado a los datos de 438 titulares, afectando principios de seguridad y confidencialidad.
Por ello, y para prevenir riesgos y evitar repetición de hechos similares, se confirman las órdenes de primera instancia orientadas a reforzar medidas de seguridad, capacitar al personal y establecer controles para el envío de comunicaciones masivas. • La corrección del rol jurídico de CERID no afecta la sanción a COOMEVA, porque la infracción atribuida a esta última corresponde exclusivamente a sus deberes propios como responsable del tratamiento: asegurar la información, instruir y supervisar al encargado, y verificar que existan medidas suficientes para evitar accesos o divulgaciones no autorizadas.
La responsabilidad sancionada surge de la entrega de la base de datos sin controles adecuados, no del rol en que actuó CERID ni del envío del correo sin las precauciones necesarias. • La calidad de encargado reconocida a CERID refuerza y no desvirtúa la responsabilidad de COOMEVA, pues la Ley 1581 de 2012 impone al responsable la obligación de exigir, controlar y garantizar que el encargado implemente medidas de seguridad acordes al riesgo.
La filtración evidencia la materialización del riesgo que COOMEVA debía prever y gestionar, confirmando que incumplió sus deberes esenciales al compartir la base de datos “Mamografías CERID” sin salvaguardas suficientes. • Se comprobó que COOMEVA incumplió su deber de seguridad establecido en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con lo señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015, al entregar una base de datos sin controles adecuados; por ello, la sanción —ajustada a los criterios del artículo 24 y dentro de los límites del artículo 23 de la Ley 1581 de 2012— resulta proporcional y acorde con la gravedad de la omisión y la capacidad económica de la sociedad. • El atenuante del literal f) del artículo 24 de la Ley 1581 de 2012 no procede porque exige que el investigado acepte su propia conducta infractora, y en este caso COOMEVA solo reconoció el error del encargado al enviar el correo, mas no su incumplimiento como responsable al no adoptar medidas de seguridad adecuadas al compartir la base de datos; por ello, no se configura la aceptación expresa del comportamiento que constituye la infracción que se le atribuye.
“Por la cual se resuelve un recurso de apelación” • La multa impuesta a COOMEVA MEDICINA PREPAGADA S.A. COOMEVA S.A.- ($53.601.280), corresponde al 1.88% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). • La sanción impuesta fue determinada con base en una valoración individual del caso, dentro del marco legal y de manera proporcional a la gravedad de la conducta, la naturaleza de los datos comprometidos y a la capacidad económica de la sociedad, sin que los argumentos de COOMEVA desvirtúen la legalidad ni la razonabilidad de la medida adoptada. • La sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, es adecuada al tipo de falta y a su magnitud, redunda en la garantía efectiva del derecho fundamental al habeas data de titulares identificados o identificables y sirve al propósito de generar un efecto disuasorio que evite la repetición de la infracción por este o por cualquier responsable o encargado del tratamiento de datos personales.
De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Delegatura procederá a modificar la Resolución No. 50027 del 28 de julio de 2025 por lo que, en mérito de lo expuesto, RESUELVE:
ARTÍCULO
1. MODIFICAR PARCIALMENTE la Resolución No. 50027 del 28 de julio de 2025, en el sentido de REVOCAR la sanción pecuniaria impuesta al CENTRO ESPECIALIZADO EN RADIOLOGÍA E INVERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A., CERID S.A. La sanción pecuniaria impuesta a COOMEVA MEDICINA PREPAGADA S.A., se confirma. En virtud de lo anterior, el ARTÍCULO 1 de la Resolución No. 50027 del 28 de julio de 2025, quedará así: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COOMEVA MEDICINA PREPAGADA S.A., identificada con Nit 805.009.741-0 de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a CUATRO MIL SEISCIENTOS CUARENTA (4.640) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CINCUENTA Y TRES MILLONES SEISCIENTOS UN MIL DOSCIENTOS OCHENTA PESOS M/CTE (53.601.280), por la vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.”
ARTÍCULO 2. CONFIRMAR en sus demás partes la Resolución 50027 del 28 de julio de 2025, de conformidad con lo establecido en la parte motiva de la presente Resolución.
ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente Resolución a CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A., CERID S.A. identificada con el Nit. 900.067.963-0 y a COOMEVA MEDICINA PREPAGADA S.A., identificada con el Nit. 805.009.741-0, a través de su Representante Legal, entregándoles copia de la misma e informándoles que contra ella no procede recurso alguno.
ARTÍCULO 4. COMUNICAR la presente decisión a XXXXXXXX XXXXX, identificado con cédula de extranjería No. xxx.xxx. “Por la cual se resuelve un recurso de apelación”
ARTÍCULO 5. INFORMAR el contenido de la presente Resolución a la Dirección de investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C.,21 de enero 2026. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. Firmado digitalmente JUAN CARLOS JUAN CARLOS por UPEGUI MEJIA UPEGUI MEJIA Fecha: 2026.01.21 11:06:48 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU