(28 de noviembre de 2025) “Por la cual se resuelve un recurso” Radicación 22-373421 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y,
CONSIDERANDO
PRIMERO: Que, mediante comunicación obrante bajo el radicado 22-3734210-0 del 21 de septiembre de 2022, el señor XXXXXXXXXXXXXX puso en conocimiento de esta Superintendencia, la comisión de unos hechos presuntamente infractores de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A., en adelante, CERID identificada con Nit 900.067.963-0 y COOMEVA MEDICINA PREPAGADA S.A. -COOMEVA S.A.-, en adelante COOMEVA, identificada con Nit 805.009.741-0, consideradas individualmente, LA INVESTIGADA.
De la comunicación recibida se extrajeron los siguientes supuestos fácticos: 1.1 Se evidencia en las piezas probatorias allegadas por el denunciante que el día 17 de septiembre de 2022, desde la dirección de correo electrónico info@ceridsa.com fue remitida una comunicación bajo el asunto “CERID Y COOMEVA MP TE INVITA A REALIZARTE TU MAMOGRAFÍA” a 438 cuentas de correo electrónico, sin ningún tipo de restricción y permitiendo el acceso no autorizado a dicha información por parte de terceros.
SEGUNDO: Que, la Constitución Política de Colombia artículo 15 exige que en la recolección, tratamiento y circulación de datos personales se respeten la libertad y demás garantías consagradas en nuestro ordenamiento jurídico. El término Tratamiento se refiere a “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”1.
TERCERO: Que, la Ley 1581 de 2012 “Por la cual se dictan disposiciones generales para la protección de datos personales” “tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma” 2.
Ley 1581 de 2012, artículo 3, literal g). Ley 1581 de 2012, artículo 1. “Por la cual se resuelve un recurso”
CUARTO: Que, el Decreto Único Reglamentario 1074 de 2015 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”, en su Capítulo 25 “Reglamenta parcialmente la Ley 1581 de 2012”.
QUINTO: Que mediante Resolución 50027 del 28 de julio de 2025, la Dirección de Investigaciones de Protección de Datos Personales resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.- identificada con Nit 900.067.963-0 de CINCUENTA (50) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a CINCO MIL OCHOCIENTOS (5.800) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a SESENTA Y SIETE MILLONES MIL SEISCIENTOS PESOS M/CTE (67.001.600); y COOMEVA MEDICINA PREPAGADA S.A., identificada con Nit 805.009.741-0 de CUARENTA (40) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a CUATRO MIL SEISCIENTOS CUARENTA (4.640) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CINCUENTA Y TRES MILLONES SEISCIENTOS UN MIL DOSCIENTOS OCHENTA PESOS M/CTE (53.601.280)24, por la vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015”.
SEXTO: Que la Resolución 50027 del 28 de julio de 2025 se notificó mediante Aviso 23672 del 06 de agosto de 2025 a DAVID TORO OCHOA, en representación de la sociedad COOMEVA MEDICINA PREPAGADA S.A., y electrónicamente el 28 de julio de 2025 a CARLOS ENRIQUE ANGARITA ANGARITA, en representación de la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.-, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-37342149 del 11 de agosto de 2025.
SÉPTIMO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 22-373421-46 del 01 de agosto de 2025, la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.-, por medio de su apoderado especial, interpuso recurso de reposición y en subsidio apelación contra la Resolución 50027 del 28 de julio de 2025.
A su vez, mediante escrito radicado bajo el número 22-373421-50 del 21 de agosto de 2025, la sociedad COOMEVA MEDICINA PREPAGADA S.A., por intermedio de su apoderado especial, presentó recurso de reposición y en subsidio apelación contra la Resolución 50027 del 28 de julio de 2025.
OCTAVO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 de la Ley 1437 de 2011, Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente, este Despacho hará las siguientes consideraciones: 8.1 Frente a los argumentos del recurso interpuesto por la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. -CERID S.A.8.1.1 De la presunción de responsabilidad solidaria entre las sociedades investigadas Al respecto, expresó la recurrente que “No es posible aplicar la presunción de solidaridad en calidad de responsables del tratamiento: “Por la cual se resuelve un recurso” De acuerdo con el certificado de existencia y representación legal de CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. que obra en el expediente, se tiene que su objeto social o actividad económica corresponde a la prestación de servicios de diagnóstico médico por imágenes1; en desarrollo de su objeto, CERID S.A. mantiene una relación comercial y contractual con COOMEVA MEDICINA PREPAGADA S.A. a través de la cual se prestan dichos servicios.
En el contrato de prestación de servicios asistenciales No. MP-CA-070-2011 suscrito entre CERID S.A. y COOMEVA MEDICINA PREPAGADA S.A., que se anexó como prueba y obra en el expediente, se dice en la cláusula primera relacionada con el objeto que “En virtud del presente contrato, EL CONTRATISTA o PRESTADOR se obliga para con Coomeva Medicina Prepagada S.A., a prestar los servicios IMÁGENES DIAGNÓSTICAS, con racionalidad técnico – científica a los usuarios de los programas de Medicina Prepagada S.A., los servicios asistenciales, médicos, quirúrgicos y hospitalarios que se requieran, de conformidad con las coberturas, cláusulas y términos contenidos en los contratos de prestación de servicios celebrados entre los usuarios y Coomeva Medicina Prepagada S.A., cuyo texto forma parte integrante de este contrato y que EL CONTRATISTA O PRESTADOR declara conocer y aceptar…” (Negrilla y resaltado del memorialista).
La práctica de la mamografía, objetivo de la campaña, fue promocionado por CERID S.A. y COOMEVA MEDICINA PREPAGADA S.A. como examen de prevención y detección a tiempo del cáncer de mama en mujeres, no obstante, dicha campaña no excluía la posibilidad de hacerse efectiva en hombres, razón por la cual el quejoso tuvo acceso a la información en la que se indicó, que prevenir, detectar y controlar el cáncer de mama es la mejor alternativa.
Sobre los exámenes realizados por CERID S.A. con ocasión de la campaña, se reitera al Despacho que los resultados fueron resguardados y protegidos sin que terceros tuvieran acceso a la información; en la página web de CERID S.A. los pacientes pueden acceder a su información incorporando un usuario y contraseña, lo que genera una mayor confiabilidad y seguridad en los procedimientos a cargo de CERID S.A. En la cláusula segunda se encuentra la definición de usuario en los siguientes términos: “Es toda persona natural debidamente inscrita por el contratante y aceptada por Coomeva Medicina Prepagada S.A. dentro de un plan y programa específicos” y en la cláusula tercera se dice que CERID S.A. como “EL CONTRATISTA o PRESTADOR” sólo prestará “los servicios objeto de este contrato, a los usuarios que hayan celebrado contrato con Coomeva Medicina Prepagada S.A. que se identifique como tal, mediante su carné de afiliación y documento de identidad, previa validación de sus derechos ante Coomeva Medicina Prepagada S.A…” En el numeral 10 de la cláusula cuarta que corresponde a las obligaciones a cargo de CERID S.A. se dice “Acatar y dar cumplimiento a los procedimientos que para la prestación de servicios defina Coomeva Medicina Prepagada S.A., a través de comunicaciones y promulgación de directrices, los cuales hacen parte integrante del presente contrato”.
En la autorización para el tratamiento de datos personales que se arrimó al expediente por CERID S.A., del contrato de medicina prepagada y específicamente del denunciante, se dice en el numeral 2) lo siguiente: “Uso y tratamiento de datos: que mis datos personales sean objeto de tratamiento para las siguientes finalidades: 2.1. Datos personales: a) Compartir todos mis datos, soportes y los que llegare a suministrar con ocasión de mi vinculación comercial con Coomeva Medicina Prepagada S.A., los cuales podrán ser cedidos a otras entidades con las cuales se tengan alianzas o acuerdos comerciales. b) Realizar campañas de identificación en procesos institucionaes (sic) de Coomeva Medicina Prepagada S.A. o de marketing (promoción de productos y servicios), “Por la cual se resuelve un recurso” envío de información comercial por cualquier medio conocido o que llegase a conocerse… 2.2.) Datos sensibles (información biométrica y estado de salud): que los datos sensibles, incluidos los biómetricos (sic) y los referentes a mi estado de salud, sean objeto de tratamiento para las siguientes finalidades. a) Recolectar e incluir mis huellas dactilares y cualquier otro dato de tipo biométrico que sean susceptibles de tratamiento en la Base de Datos administrada por Coomeva Medicina Prepagada S.A… b).
Transmitir o transferir mis huellas dactilares y cualquier otro dato personal…d) Realizar el tratamiento de mis datos personales incluidos los datos de carácter sensible durante el tiempo que dure la relación jurídica con Coomeva Medicina Prepagada S.A…” El artículo 3 de la Ley 1581 de 2012 define al encargado, en el literal d) como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento” y en el literal e), se define al responsable como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.
Tomando como referencia el el (sic) contrato de prestación de servicios asistenciales No. MP-CA-070-2011 suscrito entre CERID S.A. y COOMEVA MEDICINA PREPAGADA S.A., la la (sic) autorización para el tratamiento de datos personales del contrato de medicina prepagada y las definiciones de que trata el artículo 3 de la Ley 1581 de 2012, se tiene que contrario a lo indicado por el Despacho en la Resolución No. 50027 del 28 de julio de 2025, CERID S.A. no ostenta la condición de responsable del tratamiento para que se aplique la presunción de solidaridad entre las personas jurídicas que integran la parte investigada.
Téngase en cuenta por el Despacho que como se indica en la autorización para el tratamiento de datos personales del contrato de medicina prepagada, COOMEVA MEDICINA PREPAGADA S.A. es la administradora de la base de datos de los usuarios que suscribieron el referido contrato, por lo que COOMEVA MEDICINA PREPAGADA S.A. decide sobre la base de datos y lo hace como responsable, mientras que CERID S.A. hace el tratamiento de la información o de la base de datos de acuerdo con lo que indique COOMEVA MEDICINA PREPAGADA S.A., esto es, lo hace como encargada”.
Frente a lo expresado, es pertinente recordar en primer lugar que, de acuerdo con lo previsto por el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el recurso interpuesto debe sustentarse con expresión concreta de los motivos de inconformidad. En tal sentido, esta Dirección solamente hará referencia a aquellos argumentos que cumplan con el referido presupuesto procesal.
Dicho esto, se observa que el recurrente trae nuevamente a colación el contrato MP-CA-070-2011 suscrito entre las sociedades investigadas y se refiere a la “autorización para el tratamiento de datos personales”, presuntamente contenida en él, pero no exhibe ni precisa cuál es la cláusula aludida, limitando su exposición a señalar que “COOMEVA MEDICINA PREPAGADA S.A. es la administradora de la base de datos de los usuarios que suscribieron el referido contrato, por lo que COOMEVA MEDICINA PREPAGADA S.A. decide sobre la base de datos y lo hace como responsable, mientras que CERID S.A. hace el tratamiento de la información o de la base de datos de acuerdo con lo que indique COOMEVA MEDICINA PREPAGADA S.A., esto es, lo hace como encargada”.
De otra parte, el recurrente lleva a cabo una suerte de valoración conjunta entre la cláusula primera del contrato en cita y la política de tratamiento de datos personales del Grupo Empresarial Coomeva con el fin de avizorar que los usuarios, es decir los titulares, autorizaron y de alguna manera asignaron el rol de responsable del tratamiento a COOMEVA MEDICINA PREPAGADA S.A., “Por la cual se resuelve un recurso” quien además administra la base de datos y, asimismo designó a su poderdante como Encargada del tratamiento.
Sin embargo, dicha conclusión no es de recibo para esta autoridad por cuanto el análisis probatorio frente al contrato de prestación de servicios fue sentado en el acto administrativo que se recurre, cuando se señaló sobre ese respecto que el referido documento no da cuenta de la realización de un encargo para el tratamiento de los datos personales (direcciones de correo electrónico) destinatarias de la comunicación sobre la cual se sustentó la sanción impuesta.
En ese sentido, el soporte del recurso frente a los elementos para concluir el papel que desempeñan las investigadas en el tratamiento de los datos personales, no se ajusta a los parámetros legales y constitucionales aplicados a la presente actuación administrativa. Ahora bien, teniendo como referente que el otrosí al contrato de servicios asistenciales N° MP-CA-070-2011 fue suscrito con posterioridad a los hechos que se investigan, y por tanto carece de efectos retroactivos, esto es, hacia el pasado, tampoco posee la vocación de acreditar acuerdos previos a la ocurrencia de la conducta reprochada por el Despacho frente a las particularidades que rodean los hechos materia de investigación. 8.1.2 Del deber de conservar la información bajo medidas de seguridad para evitar su pérdida, consulta o acceso no autorizado.
En este punto, advierte igualmente el Despacho que el representante de la sociedad CERID S.A. soporta el recurso interpuesto en aquellos argumentos expresados por medio de sus descargos y alegatos de conclusión, sin especificar cuáles son los yerros o motivos de inconformidad que ameritan la modificación, aclaración o revocación del acto administrativo impugnado, razón por la que se echan de menos elementos adicionales a los ya debatidos en el curso de la investigación. Frente a este escenario, basta con remitirse al artículo NOVENO, parte considerativa de la Resolución 50027 del 28 de julio de 2025, para constatar que esta Dirección ya realizó el estudio de la tesis propuesta por la investigada y de las piezas probatorias que la acompañan, así como la conclusión obtenida. 8.1.3 Respecto a las pretensiones de la sociedad CERID S.A. Al respecto, solicitó la recurrente que: 1.
“(…) se le solicita muy respetuosamente a la DIRECCIÓN DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES se disminuya la sanción de CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. teniendo en cuenta su condición de encargado del tratamiento. 2. Se le solicita muy respetuosamente al Despacho que se tenga en cuenta la difícil situación que se encuentra solventando actualmente el sector salud, toda vez que la actividad económica de CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. se encuentra estrechamente relacionado con dicho sector y que en la fecha no ha obtenido las utilidades anheladas”.
Conforme a lo descrito, a juicio de la Dirección de Investigaciones de Protección de Datos Personales no se desvirtuó el fundamento de la conducta atribuida a la sociedad CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. en relación con la trasgresión de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con los señalado en el literal g) del artículo 4 ibidem y el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015, motivo por el que no es procedente acceder a la solicitud de modificar las consideraciones de la decisión de instancia en punto del rol que desempeña la sociedad recurrente.
En igual sentido, es pertinente destacar que en ausencia de material probatorio que demuestre una desproporción entre la multa impuesta y la situación financiera de la sociedad recurrente, no se evidencia “Por la cual se resuelve un recurso” mérito para modificar el monto inicialmente calculado, por lo que este se mantendrá incólume. 8.2 Frente a los argumentos del recurso interpuesto por la sociedad COOMEVA MEDICINA PREPAGADA S.A. COOMEVA S.A. 8.2.1 De la presunta falsa motivación de la Resolución 50027 del 28 de julio de 2025 Alega el recurrente que esta Dirección incurrió en falsa motivación al sustentar la sanción impuesta, por cuanto asignó la calidad de Responsable del tratamiento a ambas sociedades investigadas.
En tal sentido, señala que “De acuerdo con las evidencias obrantes en el expediente, la relación jurídica entre Coomeva y Cerid frente a los hechos objeto de investigación es inequívoca: Cerid ostentaba la calidad de Encargado y Coomeva la de Responsable. Para llegar a esta conclusión bastaba con que la Dirección se remitiera a las siguientes pruebas documentales: (i) el Contrato de Prestación de Servicios Asistenciales N° MPCA-070- 2011;
(ii) su respectivo Otrosí suscrito el 2 de noviembre de 2022, en los que se indica expresamente que Cerid actuaba como Encargado del Tratamiento de Coomeva; (iii) la respuesta dada por Coomeva el 19 de julio (22373421-9-0) al requerimiento de información de la Dirección del 7 de julio de 2023 (22-373421-7-0), en la cual, antes incluso de iniciarse la investigación, se informó a la Dirección el rol de cada agente; y (iv) las instrucciones impartidas por Coomeva a Cerid, verificables en el correo electrónico remitido por Milena García (funcionaria de Coomeva) a Cerid el 13 de septiembre de 2022”.
Sin embargo, esas afirmaciones desconocen ampliamente las consideraciones sentadas en la Resolución recurrida, pues en ella puede fácilmente apreciarse que esta Dirección sí estudió el contenido y alcance de cada una de las piezas probatorias enlistadas por el representante de la sociedad COOMEVA, asignando el correspondiente valor probatorio.
Ahora, es claro que el hecho mismo de que la consecuencia de dicha valoración no haya resultado favorable a los intereses de la recurrente, no implica que se hubiere configurado una falsa motivación que amerite nulitar los efectos jurídicos del acto administrativo. En tal sentido, para los fines de este recurso se traerá a colación lo expuesto en la decisión impugnada: (i) El Contrato de Prestación de Servicios Asistenciales N° MP-CA-0702011: “Por otro lado, sugiere el Doctor David Toro que esta Superintendencia debe “escudriñar” el contrato de prestación de servicios asistenciales persona jurídica MP-CA-070-2011 datado del año 2011, a fin de evidenciar la subordinación por parte de CERID a su poderdante que derive en la concurrencia de los presupuestos para fungir como Encargado del tratamiento de datos personales.
Postura que no se ajusta al análisis realizado por la Honorable Corte Constitucional respecto a las definiciones entregadas por la Ley 1581 de 2012, literales d) y e) del artículo 3°, así: d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;
Sobre esto, el alto Tribunal estableció mediante Sentencia C-748 de 2011, que: “El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el “Por la cual se resuelve un recurso” tratamiento de datos personales por cuenta del responsable del tratamiento.
Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos (…) El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos.
También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc. Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable.
(se destaca) Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente- los fines y medios del tratamiento.
Usualmente, (…) el responsable es el propietario de la base de datos; sin embargo, (…) la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis. (…) Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una –el responsable- le señala a la otra –el encargado- como quiere el procesamiento de unos determinados datos.
En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados. (…) También es necesario precisar, como lo señala la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad.
En ese orden de ideas, corresponderá a la autoridad competente de asegurar la vigilancia, control y garantía del dato personal, examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad.” Bajo estas consideraciones, se insiste en que más allá de la existencia de un vínculo contractual (de carácter comercial) entre ambas sociedades, no obra pieza probatoria alguna que exhiba un acuerdo expreso, previo al acaecimiento de la conducta, sobre el cual la sociedad CERID hubiere recibido unas directrices por parte de COOMEVA respecto a las condiciones en que debía llevar a cabo el tratamiento (almacenamiento, uso, circulación y supresión) de la información que le iba a ser transmitida en el marco de la prestación de los servicios contratados.
Es preciso entonces, destacar que el correo electrónico de fecha 13 de septiembre de 20226, aportado a la investigación, tan solo da cuenta de las especificaciones comerciales para la realización de los procedimientos médicos, pero no imparte pautas para el manejo de la información, motivo por el cual se “Por la cual se resuelve un recurso” ratifica la posición solidaria de Responsable entre las dos sociedades investigadas”3. ii) Su respectivo Otrosí suscrito el 2 de noviembre de 2022, en los que se indica expresamente que Cerid actuaba como Encargado del Tratamiento de Coomeva.
“Respecto a esto, se observó de una parte, que la sociedad CERID aportó copia del denominado “otrosí al contrato de prestación de servicios asistenciales persona jurídica NO. MP-CA-070-2011” documento que, se advierte, no incluyó previsiones respecto a los lineamientos para el manejo de la base de datos arriba citada; y de otra que, el anexo del mismo título allegado por COOMEVA, si bien contiene algunas consideraciones relacionadas con los respectivos roles en torno a la seguridad de los datos personales, tiene como fecha de suscripción 02 de noviembre de 20224”; quedando claro en el mismo acto que dicho instrumento jurídico es posterior a la ocurrencia de los hechos que se investigan. iii) Las instrucciones impartidas por Coomeva a Cerid, verificables en el correo electrónico remitido por Milena García (funcionaria de Coomeva) a Cerid el 13 de septiembre de 2022.
Al punto, consideró el Despacho que “(…) el correo electrónico de fecha 13 de septiembre de 2022, aportado a la investigación, tan solo da cuenta de las especificaciones comerciales para la realización de los procedimientos médicos, pero no imparte pautas para el manejo de la información, motivo por el cual se ratifica la posición solidaria de Responsable entre las dos sociedades investigadas”5. iv) La respuesta dada por Coomeva el 19 de julio (22-373421-9-0) al requerimiento de información de la Dirección del 7 de julio de 2023 (22-373421-7-0), en la cual, antes incluso de iniciarse la investigación, se informó a la Dirección el rol de cada agente.
En torno a este argumento es necesario reiterar que las simples aseveraciones hechas por los sujetos obligados al cumplimiento de la Ley 1581 de 2012, no otorgan certeza a la autoridad en relación con la concurrencia de los presupuestos para asignar el rol de Responsable o de Encargado del tratamiento de los datos, pues en todo caso estas deben encontrarse debidamente soportadas en material probatorio que así lo acredite.
En esa medida, tal como se expuso en la decisión recurrida, las sociedades investigadas no demostraron con suficiencia el rol que se atribuyen frente a la información personal que administran. 8.2.1 De la presunta contradicción en el sustento de la decisión. Expresa el recurrente que “A juicio de la Dirección, ni Cerid ni Coomeva aportaron evidencias suficientes que desvirtuaran la presunción de que ambos agentes actuaban como Responsables del Tratamiento de la información contenida en las direcciones de correo electrónico utilizadas en el mensaje del 17 de septiembre de 2022.
Con base en lo anterior, la Dirección sustentó la sanción en el hecho de que dicho mensaje fue remitido sin las previsiones necesarias para impedir la exposición de las direcciones de correo electrónico de todos los titulares destinatarios, concluyendo que Cerid y Coomeva “desconocieron el deber que les asiste de conservar la información personal bajo medidas de seguridad técnicas, humanas y administrativas para evitar su consulta no autorizada por parte de terceros”.
Es comprensible que la determinación citada se haya dirigido frente a Cerid, en tanto fue el remitente directo del correo objeto de Resolución 50027 del 28 de julio de 2025, folio 6. ídem 5 Resolución 50027 del 28 de julio de 2025, folio 8. “Por la cual se resuelve un recurso” investigación. Sin embargo, lo que resulta abiertamente contradictorio es que la Dirección negara que Cerid ostentara la calidad de Encargado de Coomeva, pero a la vez reprochara a esta última haber “circulado” información a un tercero sin adoptar las medidas óptimas de seguridad y sin impartir las instrucciones pertinentes para el uso de la información por parte de ese tercero; esto es, a alguien que únicamente, con base a unas instrucciones, podría haber tratado la información por cuenta de Coomeva, en calidad de Encargado.
En otros términos, la Dirección trató a ambas compañías como Responsables para fundamentar el reproche en relación con el manejo de la comunicación del 17 de septiembre de 2022 —en la que se habrían expuesto correos electrónicos de titulares—, pero implícitamente reconoció a Cerid como Encargado y a Coomeva como Responsable, con el fin de generar un nexo causal que vinculara a esta última como supuesto sujeto activo de la conducta.
Es decir, terminó conectando la actuación de Cerid con la de Coomeva bajo una premisa que solo tendría explicación si se admite que Cerid sí era Encargado del Tratamiento de la información respecto de la cual Coomeva era Responsable. Si la decisión hubiese sido coherente en la identificación del rol desempeñado por las partes investigadas —incluso bajo el supuesto (hipotético) de que ambas actuaban como Responsables, sin perjuicio de la imprecisión fáctica ya advertida—, la Dirección no habría podido reprochar en Coomeva las actuaciones de un tercero (Cerid), quien en tal escenario sería también Responsable y frente al cual Coomeva no tendría el deber de impartir instrucciones, justamente porque no actuaría como su Encargado.
Esta disparidad entre la presunción aplicada por la Dirección y el reproche formulado a Coomeva pone en evidencia un problema grave de motivación del acto sancionatorio. En efecto, para sostener el entendimiento de que ambos investigados eran Responsables —y no Responsable y Encargado—, la Dirección terminó contradiciéndose al imputar a Coomeva la falta de instrucciones y de adopción de medidas de seguridad respecto de la información “circulada” a un tercero o “aliado comercial” —según sus propios términos—, lo que en sí mismo implica reconocer la 4 existencia de una relación Responsable–Encargado, la misma que negó en su análisis jurídico del vínculo entre las partes”.
En relación con lo anterior, resulta imperioso hacer las siguientes precisiones: La Ley 1581 de 2012 en su artículo 3 define al Responsable del tratamiento de datos como aquella “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”. En la presente causa, se determinó a partir de una presunción establecida por la Corte Constitucional en la Sentencia C-748 de 2011, que las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNÓSTICO Y TERAPÉUTICO S.A. CERID S.A. Y COOMEVA MEDICINA PREPAGADA S.A. actúan como corresponsables del tratamiento respecto a la base de datos “Mamografías CERID, MPFT_138_DETECCION _TEMPRANA _CA.XLSX, Formato Solicitud ST CMP Mamografías.XLSX, Mamografías CERID Septiembre 2022”, acerca de la cual se observó, contiene datos personales de carácter privado como teléfono fijo, número de celular, dirección de residencia y correo electrónico6 de 623 titulares.
Así las cosas, a efectos de delimitar las acciones que enmarcan la conducta trasgresora por parte de cada uno de los sujetos intervinientes, es necesario tener en cuenta el flujo de la información respecto de la cual ambas sociedades tenían la facultad de decidir sus fines. De ese modo, quedó acreditado que la base de datos fue construida directamente por COOMEVA S.A., quien a su vez la compartió, el 13 de septiembre de 2022, con CERID S.A. a fin de realizar una campaña publicitaria, pero omitiendo ejercer controles de seguridad para evitar que terceros no autorizados por su respectivo titular la conocieran.
Prueba obrante en el expediente digital bajo el radicado 22-37341-28 del 15 de noviembre de 2023. “Por la cual se resuelve un recurso” En ese contexto, contrario a lo que manifiesta el recurrente esta Dirección no reprocha la ausencia de una delegación, de instrucciones o directrices frente al uso y finalidad a la que sería sometida la información, lo que en esencia sí constituiría un encargo, sino de procedimientos y controles en el suministro de esos datos personales a otro responsable (transferencia de datos), de modo que se conserve bajo medidas idóneas que impidan el acceso por terceros no autorizados.
De aceptarse una tesis distinta, nos encontraríamos ante un escenario en el cual los Responsables del tratamiento pueden compartir los datos personales a su cargo con cualquiera de las empresas con quienes sostenga vínculos comerciales, sin que les sea exigible tener el mínimo grado de diligencia frente a la seguridad de esos registros. Es así como, para el Despacho no resulta admisible que el representante de la sociedad COOMEVA pretenda que el accionar de su prohijada pase inadvertido, en tanto que no ejecutó de manera directa la conducta que a la postre fuera objeto de sanción, pues si bien no lo hizo, tampoco demostró en el plenario que remitió la base de datos bajo unos estándares de seguridad básicos como clave de acceso, un medio de trasmisión cifrado o protección de posibles modificaciones o reproducciones; sin dejar de lado que compartió información no relevante de cara a la actividad a desarrollarse, véase por ejemplo la dirección física del titular. 8.2.3 De la aplicación de los criterios de dosificación de la sanción pecuniaria Sobre el particular, expresó el recurrente que “en este caso, la investigación se originó en el envío de un correo electrónico remitido en el marco de una campaña preventiva en salud contra el cáncer de seno (enfermedad que ataca tanto a hombres como mujeres).
Es preciso subrayar este hecho: no se trató de una comunicación de carácter comercial ni motivada por un interés de lucro, sino de un mensaje con fines preventivos, orientado a incentivar la adopción de medidas de autocuidado y de prácticas de autoexamen por parte de los usuarios del sistema de salud. Tal circunstancia resulta determinante para el examen de razonabilidad y proporcionalidad en el uso de la facultad sancionatoria.
No es jurídicamente equiparable —ni en intensidad ni en significación— el reproche derivado de un tratamiento de datos personales con fines comerciales y lucrativos, frente a aquel vinculado a una actividad de prevención y bienestar, en beneficio directo de los usuarios y de la salud pública. Pese a ello, la Dirección optó por ignorar este contexto, omitiendo su consideración en el análisis de fondo.
De haberse valorado adecuadamente la finalidad legítima que motivó el correo objeto de investigación, la consecuencia jurídica habría sido distinta: una exoneración acompañada de advertencias o de órdenes de no repetición (al no existir un ánimo de lucro ni un agravio concreto), o en su defecto, un reproche notoriamente menos severo al que finalmente fue impuesto.
En consecuencia, la decisión adoptada carece de compatibilidad con los principios de razonabilidad y proporcionalidad, pues desconoció tanto la verdadera naturaleza de la conducta como su impacto real. Lo que la Dirección calificó como una infracción atribuible a Coomeva carecía de significatividad suficiente y no produjo daño efectivo ni generó un riesgo desproporcionado frente a los bienes jurídicos protegidos por la ley y la Constitución. Por consiguiente, solicitamos respetuosamente a la Autoridad que, en caso de mantener el reproche sancionatorio frente a Coomeva, lo haga en términos menos severos y más proporcionales, toda vez que el hecho cuestionado obedeció a un error involuntario atribuible a un tercero (Cerid), sin que mediara propósito alguno de lucro.
Por el contrario, la comunicación tuvo como finalidad exclusiva la prevención en materia de salud, lo que obliga a ponderar de manera adecuada la naturaleza y el alcance de la conducta”. “Por la cual se resuelve un recurso” Además, sostuvo que “Al ejercer la facultad sancionatoria conferida a la SIC y, en particular, al aplicar los criterios de graduación establecidos en la ley, la Dirección efectuó un análisis limitado, sustentado en una motivación igualmente restringida, circunscribiéndose únicamente al criterio previsto en el literal a) del artículo 24 de la Ley 1581 de 2012”.
En cuanto a la aplicación de los criterios señalados por la Ley 1581 de 2012 para dosificar la sanción, es necesario tener en cuenta el análisis realizado por la Corte Constitucional al, entonces, proyecto de ley estatutaria, así: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”7.
(énfasis añadido) En virtud de lo anterior, es claro que la tasación de la multa impuesta por el Despacho no fue arbitraria sino que obedeció a los parámetros establecidos en la norma estatutaria y el posterior estudio llevado a cabo por ese Alto Tribunal. En tal sentido, para determinar el monto de la multa solamente se tuvo en cuenta el criterio contemplado en el literal a) del artículo 24 de la Ley 1581 de 2012, esto es, la dimensión del daño o puesta en peligro a los intereses jurídicos tutelados por el legislador, para el caso que nos ocupa, el derecho de hábeas data, prescindiendo de los demás por cuanto no resultaron aplicables, pues de ser así, se hubiese incrementado el valor calculado inicialmente.
También argumenta el recurrente que “al ejercer la facultad sancionatoria conferida a la SIC y, en particular, al aplicar los criterios de graduación establecidos en la ley, la Dirección efectuó un análisis limitado, sustentado en una motivación igualmente restringida, circunscribiéndose únicamente al criterio previsto en el literal a) del artículo 24 de la Ley 1581 de 2012.
Si bien la Dirección reconoció la ausencia de beneficio económico en la conducta investigada —aspecto de gran relevancia para valorar la razonabilidad y significatividad del reproche—, omitió examinar la aplicabilidad, en el caso de Coomeva, del literal f) del mismo artículo, relativo a la aceptación de la comisión de la conducta. (…) Este reconocimiento no solo se encuentra consignado en los descargos presentados por Coomeva el 14 de noviembre de 2023, sino también en los alegatos de conclusión, donde la compañía reiteró su buena disposición y, de manera subsidiaria, solicitó la aplicación del literal f) como fundamento para la atenuación de cualquier eventual sanción. Particularmente, Coomeva invocó dicho atenuante en los siguientes términos en los descargos: De hecho, en los alegatos de conclusión (página 13 de la actuación), Coomeva también enfatizó que los hechos se originaron en un error involuntario atribuible a un tercero, aceptando expresamente la infracción y solicitando, de manera subsidiaria a la petición de archivo, que se graduara la multa con base en el literal f) del artículo 24 de la Ley 1581 de 2012: Sentencia C-748 del 06 de octubre de 2011.
Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub. “Por la cual se resuelve un recurso” Es pertinente señalar que la aceptación de la conducta, como criterio de atenuación de la sanción pecuniaria, es procedente en la medida en que dicha manifestación provenga de la persona natural o jurídica a quien le ha sido atribuida, no de un tercero, pues es aquel quien como sujeto investigado tiene la posibilidad de admitir que recaigan sobre él las consecuencias señaladas en el ordenamiento jurídico para los hechos que configuran una trasgresión de la Ley.
Es claro que dicha figura se encuentra presente en también en otras jurisdicciones que aplican igualmente el Ius Puniendi, en donde el legislador ha contemplado, si se quiere, una compensación al actuar introspectivo al sujeto pasivo del poder sancionatorio del Estado, en reconocer la responsabilidad en los hechos que se le endilgan a cambio de un beneficio.
NOVENO: Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución en cita por lo que procederá a confirmarla íntegramente.
DÉCIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNOSTICO Y TERAPEUTICO S.A. CERID S.A. identificada con Nit 900.067.963-0 y COOMEVA MEDICINA PREPAGADA S.A., identificada con Nit 805.009.741-0, con el correo electrónico de notificación judicial gerencia@ceridsa.com y correoinstitucionalmp@coomeva.com.co, respectivamente, quienes deben registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-373421. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución 50027 del 28 de julio de 2025, conforme a lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO 2: CONCEDER el recurso de apelación, interpuesto subsidiariamente y en consecuencia trasladar copia del presente expediente al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a las sociedades CENTRO ESPECIALIZADO EN RADIOLOGÍA E INTERVENCIONISMO DIAGNOSTICO Y TERAPEUTICO S.A. CERID S.A. identificada con Nit 900.067.963-0 y COOMEVA MEDICINA PREPAGADA S.A., identificada con Nit 805.009.741-0, a través de su representante legal y/o su apoderado, en calidad de recurrente.
“Por la cual se resuelve un recurso”
ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para efecto de que los investigados respondan los requerimientos, y en general, ejerzan sus derechos, son los siguientes: − Correo electrónico: contactenos@sic.gov.co − Sede Principal: Calle 24 # 7-43 local 108 en la Ciudad de Bogotá D.C., de lunes a viernes de 8:00 a.m a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 28 de noviembre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.11.28 15:07:19 -05'00' CAROLINA GARCÍA MOLINA Proyectó: LR Revisó: CG Aprobó: CG