(25 de junio de 2025) “Por la cual se resuelve un recurso”. VERSIÓN ÚNICA Radicación 23-192831 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y,
CONSIDERANDO
PRIMERO: Que este Despacho, con ocasión de los hechos advertidos por la denunciante SIRIS MACHADO, en calidad de apoderada especial del señor A1, decidió formular cargos a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. S.O.S, identificada con Nit 805.001.157-2 por circular información sensible del Titular con terceros no autorizados.
SEGUNDO: Que, la Constitución Política de Colombia artículo 15 exige que en la recolección, tratamiento y circulación de datos personales se respeten la libertad y demás garantías consagradas en nuestro ordenamiento jurídico. El término Tratamiento se refiere a “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”2.
TERCERO: Que, la Ley 1581 de 2012 “Por la cual se dictan disposiciones generales para la protección de datos personales” “tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma” 3.
CUARTO: Que, el Decreto Único Reglamentario 1074 de 2015 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”, en su Capítulo 25 “Reglamenta parcialmente la Ley 1581 de 2012”.
QUINTO: Que mediante Resolución 4548 del 13 de febrero de 2025, la Dirección de Investigaciones de Protección de Datos Personales resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2 de DOCE (12) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2024– Con el propósito de proteger la intimidad del Titular, esta Superintendencia ha anonimizado su identidad en el curso de toda la actuación administrativa.
Ley 1581 de 2012, artículo 3, literal g). Ley 1581 de 2012, artículo 1. “Por la cual se resuelve un recurso” correspondientes a MIL TRESCIENTOS NOVENTA Y DOS (1392) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIECISÉIS MILLONES OCHENTA MIL TRESCIENTOS OCHENTA Y CUATRO PESOS M/CTE ($16.080.384), por la vulneración de las normas de protección de datos personales y en particular las disposiciones contenidas en: I) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y II) II) El literal d) del artículo 17 en concordancia con lo señalado en el literal g) del artículo 4, el artículo 5 de la Ley 1581 de 2012, y en el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015”.
SEXTO: Que la Resolución 4548 del 13 de febrero de 2025 se notificó mediante Aviso 3064 del 24 de febrero de 2025 a la doctora CAROL SOFÍA OSORIO PORTILLA, en representación de la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A.S., según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 23-192831- 54 del 26 de febrero de 2025.
SÉPTIMO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 23-192831-56 del 10 de marzo de 2025 la sociedad investigada, por medio de su apoderada especial, interpuso recurso de reposición y en subsidio apelación contra la Resolución 4548 del 13 de febrero de 2025 a través del cual expresó lo que, a continuación, se cita: 7.1 En primer lugar, señala la recurrente que “Antes de entrar a analizar los argumentos de inconformidad ha de recordarse que la esencia de los recursos de reposición o apelación, corresponden a la oportunidad que se ofrece a la autoridad que profirió el acto administrativo objeto de reproche o a su superior jerárquico, de modificarlo o revocarlo, con base en pruebas no valoradas, normas no tenidas en cuenta o, aplicadas erradamente, frente a lo anterior es indiscutible la falta de material probatorio que conlleve a resolver sin temor a equivocarse del daño causado al quejoso por el infortunio aquí formulado en contra de la EPS SOS.
Así las cosas, el principio de proporcionalidad juega un papel clave en la evaluación de la sanción o la respuesta que debe darse frente a este incidente de seguridad. Este principio establece que la sanción o la medida tomada debe estar proporcionada al daño real causado. Si no se ha materializado un daño efectivo o lesión directa al derecho al habeas data, la sanción debe ser más moderada.
Si bien es cierto y como se reconoció en su oportunidad procesal existió la posible infracción al derecho fundamental de habeas data considerándose un incidente de seguridad, este mismo no se materializó un daño efectivo a sus intereses jurídicos del quejoso, así las cosas, el incidente de seguridad no ha provocado un daño material al titular de los datos o al menos no reposa prueba alguna que soporte sus afirmaciones”. 7.2 En el mismo sentido, expone la recurrente que “Aunque el derecho al habeas data es un derecho fundamental, no todas las infracciones al tratamiento de datos personales implican una vulneración directa de este derecho, especialmente si se pueden demostrar medidas de seguridad adecuadas, es decir, no se materializó un daño real, ya que los datos no fueron utilizados de manera indebida y, además, la EPS reportó el incidente de seguridad al Registro Nacional de Bases de Datos (RNBD).
Esto indica que, aunque el incidente haya sido reportado, las medidas de seguridad previas y posteriores al incidente mitigaron el impacto. “Por la cual se resuelve un recurso” Cumplimiento con las políticas de seguridad: La EPS tiene políticas de seguridad que fueron aplicada adecuadamente para proteger los datos personales. Además, la existencia de procedimientos y procesos establecidos que cumplen con el principio de seguridad en el tratamiento de los datos refuerza la idea de que no se produjo un daño tangible que justifique una sanción severa o una vulneración significativa del derecho al habeas data.
En cuanto a la responsabilidad, la EPS actuó de acuerdo con los procedimientos establecidos, lo que limita el impacto negativo en los derechos del titular de los datos. El hecho de que hayan reportado el incidente al RNBD (Registro Nacional de Bases de Datos) demuestra que existió esfuerzo por minimizar cualquier posible riesgo a la privacidad.
Es as, (sic) que se refuerza la idea de que la infracción no representó una violación grave del derecho fundamental de habeas data. En virtud de lo anterior su actuar fue acorde a lo que establece la ley, lo que reduce la gravedad de la situación en términos de protección de datos personales, como bien lo ha reconocido el ente sancionador.
De tal manera, no ha hubo una vulneración directa al derecho fundamental de habeas data, ya que no se afectaron los intereses de los titulares de los datos de forma tangible. Es por eso por lo que la sanción o medida correctiva que se pudiera imponer debe ser proporcional al daño efectivamente causado, en virtud del principio de proporcionalidad, así las cosas, cualquier acción que se imponga debe ser proporcional al incidente ocurrido, evitando que la respuesta sea excesiva o desmesurada en relación con los hechos”. 7.3 De otra parte, expresa que la intención de dejar una constancia especial asegurando que “(…) en fechas 11 de febrero, 17 de febrero y 6 de marzo, se realizó el envío de comunicaciones y una llamada al número dispuesto por la digital correspondiente.
En respuesta, la Superintendencia, a través de correo electrónico, envió un enlace para realizar el registro en calidad empresa, el cual ya se encuentra completado y registrado correctamente en la plataforma, y el correo electrónico asociado está actualizado de manera adecuada. Sin embargo, al intentar acceder al expediente digital, el sistema no genera el mensaje necesario para actualizar la contraseña, lo que ha imposibilitado obtener el expediente de manera directa.
Esta situación impide acceder de manera eficiente a la información solicitada, afectando el proceso de manera sustancial. Se solicita a la Superintendencia de Industria y Comercio que se tomen las medidas necesarias para corregir este inconveniente, garantizando el acceso pleno al expediente digital solicitado”. 7.4 Finalmente, solicita a esta Dirección reponer la Resolución 4548 de 2025 o en su defecto conceder el recurso de apelación interpuesto de manera subsidiaria.
OCTAVO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 de la Ley 1437 de 2011, Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente, este Despacho hará las siguientes consideraciones: 8.1 De la proporcionalidad de la sanción impuesta 8.1.1 Señala la recurrente a este respecto que “(…) el principio de proporcionalidad juega un papel clave en la evaluación de la sanción o la respuesta que debe darse frente a este incidente de seguridad.
Este principio establece que la sanción o la medida tomada debe estar proporcionada al daño real causado. Si no se ha materializado un daño efectivo o lesión directa al derecho al habeas data, la sanción debe ser más moderada. “Por la cual se resuelve un recurso” Si bien es cierto y como se reconoció en su oportunidad procesal existió la posible infracción al derecho fundamental de habeas data considerándose un incidente de seguridad, este mismo no se materializó un daño efectivo a sus intereses jurídicos del quejoso, así las cosas, el incidente de seguridad no ha provocado un daño material al titular de los datos o al menos no reposa prueba alguna que soporte sus afirmaciones”.
Para referirnos a estas aseveraciones es necesario traer nuevamente a colación las consideraciones sentadas en el acto administrativo que se recurre frente a la configuración del daño ocasionado al denunciante. Así, conforme a las piezas probatorias recaudadas y válidamente impetradas4 a esta investigación, se pudo observar que la circulación de la historia clínica del titular derivó en una afectación real a su derecho fundamental de Hábeas Data, la cual a su vez condujo a que él fuera segregado o discriminado en su entorno laboral, luego de conocerse su diagnóstico de ser portador del virus de inmunodeficiencia humana (VIH) por parte de su empleador y sus compañeros de trabajo, impacto que no requiere mayores disquisiciones para ser dimensionado.
En consecuencia, para el Despacho la postura de la apoderada CAROL OSORIO desconoce la gravedad de la conducta desplegada por su poderdante en tanto que la califica como un incidente de seguridad producto del cual “no se materializó un daño a sus intereses jurídicos del quejoso (sic)”. Ahora bien, en relación con las consideraciones procesales conviene precisar algunos aspectos relevantes: El literal n) del artículo 17 de la Ley 1581 de 2012 contempla el deber que les asiste a los responsables del tratamiento de datos personales de informar a la autoridad de protección de datos “(…) cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares”, efectivamente a través del Registro Nacional de Bases de Datos (RNBD) administrado por esta Superintendencia. Sin embargo, en el caso que se examina, esta Dirección pudo constatar que la sociedad investigada solo ha reportado un incidente de seguridad relacionado con el “envío masivo de una comunicación a 300 cuentas de correo electrónico sin utilizar la opción de copia oculta”5; supuesto fáctico que no guarda relación con aquel debatido en la presente actuación administrativa.
De otro lado, se reitera lo expresado en la Resolución 4548 de 2025, en relación con el principio de proporcionalidad: “De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
(…) Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de véanse anexos a la denuncia, obrante bajo el radicado 23-192831-0 del 24 de abril de 2023.
Detallados a folio 13 de la Resolución 4548 de 2025. Ver actuación obrante bajo el radicado 24-261832. “Por la cual se resuelve un recurso” la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.
Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros.
(…) Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia”.
Así las cosas, el monto de la sanción impuesta fue calculado en ejercicio del margen de discrecionalidad atribuido a esta Superintendencia, teniendo en cuenta además los elementos de juicio antedichos, sin que ello comporte una carga excesiva o arbitraria a los intereses de la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS.
En este punto, se hace hincapié en que la recurrente, más allá de asegurar que la multa que recae sobre su prohijada es desproporcionada, no sustentó dichas afirmaciones en los distintos medios probatorios que permitieran evidenciar un desequilibrio entre esta y la conducta objeto de sanción, razón suficiente para mantener el monto inicialmente estimado. 8.2 Del acceso al expediente digital por parte de la apoderada de la sociedad investigada Al punto, manifestó la representante de la sociedad que “Se deja constancia que, en fechas 11 de febrero, 17 de febrero y 6 de marzo, se realizó el envío de comunicaciones y una llamada al número dispuesto por la Superintendencia de Industria y Comercio con el fin de solicitar el expediente digital correspondiente.
En respuesta, la Superintendencia, a través de correo electrónico, envió un enlace para realizar el registro en calidad empresa, el cual ya se encuentra completado y registrado correctamente en la plataforma, y el correo electrónico asociado está actualizado de manera adecuada. Sin embargo, al intentar acceder al expediente digital, el sistema no genera el mensaje necesario para actualizar la contraseña, lo que ha imposibilitado obtener el expediente de manera directa.
Esta situación impide acceder de manera eficiente a la información solicitada, afectando el proceso de manera sustancial”. Frente a lo descrito, una vez hechas las verificaciones correspondientes se ha podido establecer lo siguiente: Mediante comunicación obrante bajo el radicado 23-192831-51 del 20 de febrero de 2025, la Coordinación del Grupo de Trabajo de Investigaciones Administrativas informó en detalle a la Doctora CAROL SOFÍA OSORIO PORTILLA el paso a paso para acceder íntegramente al expediente digital 21- “Por la cual se resuelve un recurso” 192831, para los fines de este recurso se encuentra procedente citar el procedimiento en mención. “Con el fin de garantizar los derechos fundamentales de contradicción de la sociedad ENTIDAD PROMOTORA DE SALUD EPS SERVICIO OCCIDENTAL DE SALUD S.A. identificada con NIT 805.001.157-2, esta Dirección ha concedido el acceso al presente Expediente digital, a su Representante Legal Principal, dentro del expediente vinculado al correo electrónico de notificación judicial de la sociedad notificacionesjudiciales@sos.com.co, quien debe registrarse EN CALIDAD DE EMPRESA exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/inicio, a través del cual, con posterioridad al registro, podrá consultar el Expediente de manera digital.
A continuación, nos permitimos señalar los pasos para ingresar y consultar la información: 1. Registrarse o ingresar con usuario y contraseña, para tener acceso al aplicativo. 2. Una vez iniciada la sesión, ubicar en el costado derecho el menú “Consultar mis trámites” y dar click. 3. Seguido a esto, ubicar en el ítem y 4 dar click en “De Protección de Datos Personales” para que pueda visualizar los radicados relacionados al asunto.
“Por la cual se resuelve un recurso” 4. A continuación, podrá observar que se abre una nueva ventana donde se visualizan los procesos a los cuales tiene acceso para consulta, debe dar click en la opción de “detalles” al frente del radicado que desea consultar. Sin embargo, las pruebas aportadas en el recurso dan cuenta de que la representante de la sociedad investigada no surtió el procedimiento señalado, pues la ruta de acceso es distinta a aquella que le fue indicada, como se puede apreciar: Bajo este panorama, es claro que, al no haber seguido la ruta señalada para acceder al expediente digital, tampoco puede aducirse la existencia de un vicio procedimental que afecte la presente actuación administrativa; motivo por el cual no se harán pronunciamientos adicionales. 8.3 De la corrección de errores formales Conforme a las previsiones hechas por el artículo 45 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, Ley 1437 de 2011, “En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras (…)”.
Por tal motivo, esta Dirección procederá a corregir el error de digitación contenido en el artículo primero de la parte resolutiva de la Resolución 4548 del 13 de febrero de 2025. “Por la cual se resuelve un recurso”
NOVENO: Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución en cita por lo que procederá a confirmarla íntegramente.
DÉCIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del expediente 23-192831 a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2, con el correo electrónico de notificación judicial notificacionesjudiciales@sos.com.co quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No 23-192831. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución 4548 del 13 de febrero de 2025, conforme a lo expuesto en la parte motiva del presente acto administrativo.
ARTÍCULO 2: CORREGIR el error de digitación contenido en el artículo primero, parte resolutiva del acto administrativo 4548 del 13 de febrero de 2025, el cual quedará así: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2 de DOCE (12) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023– equivalentes a MIL TRESCIENTOS NOVENTA Y DOS (1392) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIECISÉIS MILLONES OCHENTA MIL TRESCIENTOS OCHENTA Y CUATRO PESOS M/CTE ($16.080.384), por la vulneración de las normas de protección de datos personales y en particular las disposiciones contenidas en: I) II) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y El literal d) del artículo 17 en concordancia con lo señalado en el literal g) del artículo 4, el artículo 5 de la Ley 1581 de 2012, y en el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015”.
ARTÍCULO 3: CONCEDER el recurso de apelación, interpuesto subsidiariamente y en consecuencia trasladar copia del presente expediente al Despacho del Superintendente Delegado para la Protección de Datos Personales. “Por la cual se resuelve un recurso”
ARTÍCULO 4: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2, a través de su apoderada, en calidad de recurrente.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para efecto de que los investigados respondan los requerimientos, y en general, ejerzan sus derechos, son los siguientes: − Correo electrónico: contactenos@sic.gov.co - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 25 de junio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.06.25 12:00:02 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: LR Revisó: CG Aprobó: CG NOTIFICACIÓN Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS Nit 805.001.157-2 CARLOS EDUARDO FRANCO MUÑOZ C.C.73.159.582 notificacionesjudiciales@sos.com.co KR 56 # 11 A - 88 Cali, Valle del cauca Apoderada: Doctora: Identificación: Correo electrónico: CAROL SOFIA OSORIO PORTILLA C.C. 37.394.138 cosorio@sos.com.co