(26 de septiembre de 2025) “Por la cual se resuelve un recurso” Radicación 22-339565 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que, mediante Resolución N.° 22302 del 23 de abril de 2025, la Dirección de Investigaciones de Protección de Datos Personales resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad EPS SURAMERICANA S.A., con NIT. 800.088.702-2, de DOSCIENTOS VEINTICINCO (225) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2025 – equivalentes a VEINTISÉIS MIL CIEN (26100) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a TRESCIENTOS UN MILLONES QUINIENTOS SIETE MIL DOSCIENTOS PESOS M/CTE ($301.507.200), por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención.”1 SEGUNDO: Que la Resolución N.° 22302 del 23 de abril de 2025 le fue notificada mediante aviso N.° 11157 a la sociedad EPS SURAMERICANA S.A. el 5 de mayo de 2025, de acuerdo con la certificación emitida por la Secretaria General Ad-Hoc de la Superintendencia de Industria y Comercio bajo radicado 22339565- -32 del 5 de mayo de 2025.
TERCERO: Que mediante escrito radicado bajo número 22-339565- -33 el 16 de mayo de 2025, la sociedad EPS SURAMERICANA S.A., a través de su representante legal, interpuso recurso de reposición y en subsidio apelación contra la Resolución N.° 22302 del 23 de abril de 2025, en donde manifestó que: 1. La sociedad sostiene que la imposición de la sanción desconoció los principios de razonabilidad y proporcionalidad 2.
En respaldo de esta afirmación, cita lo dispuesto por la Corte Constitucional en la Sentencia C748 de 2011, en la cual se establece que “las sanciones administrativas deben guardar proporcionalidad con la gravedad de la conducta y sus consecuencias jurídicas”. Asimismo, hace referencia a la Sentencia C-125 de 2003, en la que se indica que la multa debe ser “adecuada y necesaria” y mantener “equilibrio con la gravedad de la conducta y las consecuencias que esta genera” 3.
Adicionalmente, la sociedad argumenta que el monto impuesto no resulta proporcional, toda vez que supera en más de 70 veces el valor promedio y 1 Resolución N.° 22302 del 23 de abril de 2025. Folio 26. 2 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 2. 3 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folios 2 a 3.
“Por la cual se resuelve un recurso” no existen antecedentes sancionatorios por una conducta similar. A juicio de la sociedad, esta situación vulnera los principios de proporcionalidad, razonabilidad y equidad, reiterados por la Corte Constitucional en la citada Sentencia C-125 de 2003, según la cual el ejercicio de la potestad sancionadora debe observar dichos principios 4.
Para sustentar lo anterior, la sociedad adjuntó el siguiente cuadro comparativo5: 2. La sociedad sostiene que no se tuvieron en cuenta los criterios establecidos en el artículo 24 de la Ley 1581 de 20126. Frente a esto, la sociedad destaca que la (i) EPS SURA no obtuvo beneficio económico por la comisión de la infracción; (ii) no hubo reincidencia en la comisión de la infracción;
(iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho7. 3. La sociedad sostiene que el derecho fundamental del Titular no se vio afectado por la ausencia de respuesta a los requerimientos formulados por esta Superintendencia, y que dicha circunstancia no fue debidamente valorada al momento de graduar la sanción 8.
En ese sentido, reconoce que no respondió oportunamente a dos requerimientos efectuados por la 4 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 5. 5 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folios 5 a 6. 6 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 3. 7 Expediente Digital 22-339565.
Consecutivo número 33. Página 2, folio 3. 8 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 4. “Por la cual se resuelve un recurso” autoridad de control; sin embargo, destaca que sí realizó la corrección solicitada por el Titular, razón por la cual a su juicio la omisión se limitó al deber de responder ante la autoridad, sin que ello comprometiera directamente los derechos del Titular9. 4.
La sociedad indica que la superintendencia dispone de medios menos fuertes, como lo es la amonestación escrita 10. Al respecto, indica que esta resulta ser una forma más proporcional de imponer una sanción, teniendo en cuenta que además, durante el proceso administrativo sancionatorio la sociedad estuvo atenta a entregar toda la información que fue solicitada e incluso aceptó los cargos que se le estaban imputando 11. 5.
La sociedad sustenta que en el derecho administrativo sancionador, las autoridades administrativas deben valorar las circunstancias en las que ocurrió la infracción, incluyendo la adopción de medidas para evitar su repetición 12. Así, la sociedad resalta que la SIC ha valorado favorablemente este tipo de actuaciones en casos anteriores, reconociendo que la verdadera finalidad del régimen sancionatorio es fomentar el cumplimiento y no castigar de forma automática errores no dolosos ya corregidos 13. 6.
Por último, la recurrente solicita “imponer como sanción la amonestación escrita” 14. Subsidiariamente, solicita imponer una multa de menor valor teniendo en cuenta los criterios de proporcionalidad, razonabilidad y equidad 15.
CUARTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
QUINTO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones: En relación con los argumentos presentados por la recurrente, se observa que estos se estructuran en seis aspectos, a saber: (i) el presunto desconocimiento de los principios de razonabilidad y proporcionalidad;
(ii) la omisión en la aplicación de los criterios establecidos para la determinación del monto de la sanción; (iii) la inexistencia de vulneración del derecho fundamental de hábeas data del Titular; (iv) la procedencia de imponer una amonestación escrita en lugar de una multa económica; (v) las medidas correctivas implementadas; y (vi) las pretensiones. 5.1 Frente al presunto desconocimiento de razonabilidad y proporcionalidad los principios de La sociedad argumenta que la imposición de la sanción desconoció los principios de razonabilidad y proporcionalidad 16.
En respaldo de esta afirmación, cita lo dispuesto por la Corte Constitucional en la Sentencia C-748 de 2011, en la cual se establece que “las sanciones administrativas deben guardar proporcionalidad con la gravedad de la conducta y sus consecuencias jurídicas”. Asimismo, hace referencia a la Sentencia C-125 de 2003, en la que se indica que la multa debe 9 Expediente Digital 22-339565.
Consecutivo número 33. Página 2, folio 4. 10 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 4. 11 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folios 4 a 5. 12 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 7. 13 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 7. 14 Expediente Digital 22-339565.
Consecutivo número 33. Página 2, folio 8. 15 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 8. 16 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 2. “Por la cual se resuelve un recurso” ser “adecuada y necesaria” y mantener “equilibrio con la gravedad de la conducta y las consecuencias que esta genera”17.
Al respecto, si bien para la recurrente una multa equivalente a TRESCIENTOS UN MILLONES QUINIENTOS SIETE MIL DOSCIENTOS PESOS M/CTE ($301.507.200) resulta desproporcionada, este Despacho precisa que el monto fijado como sanción en la Resolución N.° 22302 del 23 de abril de 2025 tiene sustentó en la información financiera reportada por la sociedad en el Registro Único Empresarial y Social (RUES).
Dicho monto obedece a un análisis efectuado en función del tamaño de la empresa, sus ingresos operacionales, su patrimonio y, en general, la información financiera declarada. En consecuencia, la sociedad no puede pretender que la sanción sea inferior, cuando su utilidad operacional para el año 2024 supera los ciento setenta mil millones de pesos, como se evidencia a continuación: En relación con esto, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, se tratan de multas y/o sanciones que buscan promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales 18 y amparar el derecho fundamental de habeas Data de los Titulares19, por lo que no se debe tomar como algo insignificante.
Ahora bien, la sociedad argumenta que el monto impuesto no resulta proporcional, toda vez que supera en más de 70 veces el valor promedio y no existen antecedentes sancionatorios por una conducta similar. A juicio de la sociedad, esta situación vulnera los principios de proporcionalidad, razonabilidad 17 Expediente Digital 22-339565. Consecutivo número 33.
Página 2, folios 2 a 3. 18 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 19 El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en mu chas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
“Por la cual se resuelve un recurso” y equidad, reiterados por la Corte Constitucional en la citada Sentencia C -125 de 2003, según la cual el ejercicio de la potestad sancionadora debe observar dichos principios20. Para sustentar lo anterior, la sociedad adjunta el siguiente cuadro comparativo21: En primer lugar, es necesario señalar que el artículo 23 de la Ley 1581 de 2012 establece que el rango para imponer una multa de carácter pecuniario oscila entre un (1) salario mínimo legal mensual vigente y dos mil (2.000) salarios mínimos legales mensuales vigentes.
En el presente caso, la multa impuesta corresponde únicamente al diez coma cinco por ciento (10,5%) del monto máximo sancionable, que autoriza la citada disposición legal. Lo cual no resulta desproporcional tomando en consideración los ingresos operacionales de la sociedad. En segundo lugar, respecto de los casos mencionados por la investigada, en los cuales este Despacho sancionó a diversas sociedades con montos significativamente menores por el incumplimiento del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, es preciso reiterar que, tal como se indicó previamente, el monto de la sanción se determina considerando el tamaño de la empresa, sus ingresos operacionales, su patrimonio y, en general, la información financiera reportada.
En este sentido, la EPS SURAMERICANA S.A. no puede equiparar las sanciones impuestas a empresas que no cuentan con la misma infraestructura, ni con ingresos 20 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 5. 21 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folios 5 a 6. “Por la cual se resuelve un recurso” equivalentes.
Por lo tanto, este Despacho enfatiza que cada caso y cada sociedad sancionada presentan particularidades propias, razón por la cual el argumento de la recurrente no está llamado a prosperar. La tasación de una multa obedece a un análisis particular y concreto que debe ser realizado en cada caso y que tiene que ver con las circunstancias en las que se verificó la conducta infractora.
Así, a partir de tales circunstancias, las cuales hacen que cada caso sea único, la administración deberá tener en cuenta, entre otros, el principio de proporcionalidad, los límites legales establecidos y los criterios de graduación, que podrán consistir en atenuantes o agravantes de la misma. Todo lo anterior hace que, aunque la decisión sea discrecional, la valoración de la conducta se haga con apego a tales aspectos que permiten que la evaluación sea objetiva, alejándose del criterio subjetivo del evaluador.
Es por ello que el artículo 44 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, establece que en la medida en que una decisión de la administración sea discrecional, ésta deberá ser “adecuada a los fines de la norma que la autoriza, y proporcional a los hechos que le sirven de causa”. En este contexto, este Despacho considera necesario resaltar que la finalidad de la multa impuesta no se limita a sancionar la conducta infractora, sino que busca promover de manera efectiva el cumplimiento del Régimen General de Protección de Datos Personales, conforme a lo previsto en la Ley 1581 de 2012.
La sanción debe tener un carácter disuasorio que incentive a los responsables del tratamiento de datos personales a adoptar las medidas necesarias para garantizar la observancia de la normativa vigente. En el caso concreto, tratándose de una empresa de gran tamaño, con altos ingresos operacionales y una sólida infraestructura, resulta indispensable que el monto de la sanción sea proporcional a su capacidad económica, de modo que constituya un verdadero estímulo para la implementación y fortalecimiento de políticas y procedimientos internos que aseguren la protección de los datos personales.
Una sanción de menor cuantía, en este escenario, podría carecer del impacto necesario para corregir la conducta y prevenir futuras infracciones, desvirtuando así el propósito preventivo y correctivo de la medida. Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo estipulado en la Ley 1581 de 2012.
Adicionalmente, debe tenerse en cuenta que desde el inicio de la presente actuación administrativa no sólo se le puso en conocimiento a la investigada los hechos que la fundamentaban, sino que además, se concretaron y definieron las imputaciones jurídicas y las sanciones aplicables en caso de acreditarse el incumplimiento de las disposiciones establecidas en la Ley 1581 de 2012.
Finalmente, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.
Por lo anterior, este Despacho no acogerá los argumentos esgrimidos por la parte recurrente en relación con que la sanción desconoció los principios de razonabilidad y proporcionalidad al momento de determinar el monto de la sanción. “Por la cual se resuelve un recurso” 5.2 Frente a la omisión en la aplicación de los criterios establecidos para la determinación del monto de la sanción La sociedad sostiene que no se tuvieron en cuenta los criterios establecidos en el artículo 24 de la Ley 1581 de 2012 22.
Frente a esto, la sociedad destaca que la (i) EPS SURA no obtuvo beneficio económico por la comisión de la infracción; (ii) no hubo reincidencia en la comisión de la infracción; (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho 23.
De lo anterior este Despacho le recuerda al recurrente que de conformidad con el artículo 24 de la Ley 1581 de 2012 que establece exactamente lo siguiente: “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: ” (Negrilla fuera de texto) En ese orden, se tiene que la ley establece que los criterios relacionados se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado concurra en ellos.
Ahora bien, debe ser claro para la investigada que los criterios contenidos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a la comisión de conductas contrarias a la ley que agravan consecuentemente la sanción original. Así, este Despacho considera pertinente analizar los criterios de graduación establecidos en la norma, y cómo los mismos fueron aplicados en la Resolución N.° 22302 del 23 de abril de 2025.
El artículo 24 de la Ley 1581 de 2012 establece lo siguiente: “Artículo 24. Criterios para graduar las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Frente a estos criterios, la Corte Constitucional en la sentencia C-748 del 2011 en el análisis de constitucionalidad de la norma estableció que: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”24 Así, conforme a lo señalado por la Corte, el artículo 24 de la Ley 1581 de 2012 establece seis criterios para la graduación de sanciones, de los cuales los cinco primeros constituyen circunstancias agravantes y el último corresponde a una 22 Expediente Digital 22-339565.
Consecutivo número 33. Página 2, folio 3. 23 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 3. 24 Cfr. Corte Constitucional, sentencia C-748/2011. M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.23. Análisis del articulado - Artículo 24° - Criterios para graduar las sanciones. “Por la cual se resuelve un recurso” circunstancia atenuante.
En ese orden de ideas, si bien la sociedad solicita que se “reexamine la graduación de la sanción, ponderando de forma integral los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012, toda vez que si inclusión resultaría en una cuantía ajustada a la inexistencia de daño grave, a la buena fe demostrada y a la ausencia de conducta reincidente o dolosa”25, lo cierto es que, al tratarse de criterios agravantes que no concurrieron en el caso concreto, estos no fueron considerados en la decisión. En relación a esto, se destaca que en la Resolución N.° 22302 del 23 de abril de 2025, este Despacho: (i) Informó de forma clara y precisa que era aplicable solo un agravante, el literal a), toda vez que se evidenció que hubo un daño y/o puesta en peligro de los intereses jurídicos tutelados, por cuanto, quedó demostrado que la sociedad omitió dar respuesta a los dos requerimientos formulados por esta Dirección en el marco de la denuncia presentada por el titular.
(ii) Indicó a la sociedad que: “los criterios de graduación de la sanción señalados en los literales b), c), d), y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, y (iv) no hubo ren uencia o desacato a cumplir las órdenes e instrucciones del Despacho”26; siendo esta la justificación de porque los otros agravantes no fueron tenidos en cuenta para graduar la sanción. (iii) Finalmente, estableció que el único atenuante indicado en la Ley corresponde al literal f) del artículo 24 era aplicable por cuanto la sociedad hizo un reconocimiento expreso de la comisión de la infracción antes de la imposición de la sanción. En conclusión, se tiene que este Despacho tuvo en cuenta para la graduación de la sanción todos los criterios aplicables según la norma y la jurisprudencia. Por lo tanto, el monto de la multa impuesta a la investigada es el resultado del análisis anterior.
Expuesto lo anterior este Despacho anota que, con fundamento en la potestad sancionatoria conferida a la entidad el monto impuesto como pago por concepto de multa a la recurrente, es mínimo en relación con el límite dado por el legislador para el cálculo de estas, lo que fundamenta la proporcionalidad del mismo con respecto a la acción de la recurrente.
En consecuencia, este Despacho desestima los argumentos de la recurrente relativos a la supuesta omisión en la consideración de todos los criterios establecidos en la Ley. 5.3. Frente a la inexistencia de vulneración del derecho fundamental de hábeas data del Titular La sociedad destaca que el derecho fundamental del Titular no se vio afectado por la ausencia de respuesta a los requerimientos formulados por esta Superintendencia, y que dicha circunstancia no fue debidamente valorada al momento de graduar la sanción 27.
En ese sentido, reconoce que no respondió oportunamente a dos requerimientos efectuados por la autoridad de control; sin embargo, destaca que sí realizó la corrección solicitada por el Titular, razón por 25 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 3. 26 Resolución N.° 22302 del 23 de abril de 2025. Folio 25. 27 Expediente Digital 22-339565.
Consecutivo número 33. Página 2, folio 4. “Por la cual se resuelve un recurso” la cual a su juicio, la omisión se limitó al deber de responder ante la autoridad, sin que ello comprometiera directamente los derechos del Titular 28. Sobre el particular, este Despacho precisa que el deber establecido en la norma es inequívoco. En efecto, el literal o) del artículo 17 de la Ley 1581 de 2012 dispone: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendenci a de Industria y Comercio.” En consecuencia, los Responsables del Tratamiento están legalmente obligados a atender las instrucciones y requerimientos emitidos por esta Superintendencia, con independencia de que se configure o no una vulneración directa del derecho de hábeas data del Titular.
Así, el incumplimiento de este deber constituye por sí mismo una infracción sancionable, razón por la cual este Despacho procedió a imponer la sanción correspondiente. Por otra parte, la sociedad argumenta que el derecho de hábeas data del Titular no se vio afectado por cuanto la sociedad procedió con la corrección solicitada por el Titular.
No obstante, de acuerdo con la denuncia presentada por el apoderado del señor XXXXXX XXXXXX XXXXXX. XXXXXXXXXX, la sociedad EPS SURAMERICANA S.A., remitió mensajes de texto y efectuó llamadas al número telefónico XXXXXXXXXXX, perteneciente al Titular, con información relativa a la programación de citas médicas de terceros sin vínculo alguno con él. Lo anterior, evidencia un presunto uso indebido de datos personales, lo que desvirtúa el argumento de que el derecho fundamental invocado no resultó afectado.
Al respecto, es importante resaltar que la sociedad EPS SURAMERICANA S.A. desde su calidad de prestadora de servicios en el sector de la salud, imparte tratamiento sobre datos personales sensibles, los cuales tiene una protección especial bajo el ordenamiento colombiano. De acuerdo al Régimen de Protección de Datos Personales, la historia clínica y los datos relativos a la salud de los Titulares se entienden como datos sensibles y gozan de especial protección. Frente a esto el artículo 5 de la Ley 1581 de 2012 establece: “Artículo 5.
Datos Sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
ARTÍCULO 6. Tratamiento De Datos Sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado.
En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro 28 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 4. “Por la cual se resuelve un recurso” organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad.
En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.” (Subrayado y negrilla f uera del texto original) Cómo se denota, en el contexto colombiano, los datos sensibles relativos a la salud de las personas poseen una protección reforzada, debido a su carácter íntimo y al potencial impacto en los derechos fundamentales de los titulares.
Estos datos no solo incluyen diagnósticos médicos, sino también información genética, antecedentes clínicos y cualquier dato que pueda revelar el estado de salud de una persona. La Ley 1581 de 2012 prohíbe expresamente el tratamiento de datos sensibles, excepto cuando el Titular haya dado su autorización explícita a dicho Tratamiento o salvo en los casos taxativos que por ley no sea requerido el otorgamiento de dicha autorización. Esto asegura que los responsables no impartan tratamiento sobre esto tipo de datos a menos que los titulares lo autoricen y sean plenamente conscientes de cómo se manejará su información y se les permita decidir de manera libre y autónoma sobre su uso.
Bajo ese entendido, es fundamental que en el tratamiento de datos relacionados con la salud, se implementen las medidas de seguridad administrativas, técnicas y jurídicas adecuadas, para proteger la información de los titulares, a fin de evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. En ese contexto, los requerimientos que esta Superintendencia dirigió a la sociedad, y que no fueron atendidos, tenían como finalidad verificar el cumplimiento del Régimen de Protección de Datos Personales, especialmente relevante tratándose de una entidad que evidentemente, realiza tratamiento de información sensible.
La omisión en la respuesta obstaculizó el ejercicio de las funciones de inspección, vigilancia y control de este Despacho, e impidió adelantar las investigaciones necesarias para garantizar la protección de los derechos de los titulares. Finalmente, respecto del argumento de la recurrente según el cual, la no afectación del derecho fundamental del Titular no fue considerada al graduar la sanción, este Despacho reitera que, tal como se analizó en el numeral 5.2 de la presente resolución, se tuvieron en cuenta todos los criterios pertinentes previstos en la ley y la jurisprudencia. En consecuencia, este Despacho no acogerá los argumentos formulados por la parte recurrente, respecto a que el derecho fundamental del Titular no se vio afectado por la ausencia de respuesta a los requerimientos formulados por esta Superintendencia, y que dicha circunstancia no fue debidamente valorada al momento de la graduación de la sanción. 5.4.
Frente a la imposición de una amonestación escrita en lugar de una multa económica La sociedad indica que la superintendencia dispone de medios menos fuertes, como lo es la amonestación escrita 29. Al respecto, indica que esta resulta ser una forma más proporcional de imponer una sanción, teniendo en cuenta que 29 Expediente Digital 22-339565.
Consecutivo número 33. Página 2, folio 3. “Por la cual se resuelve un recurso” además durante el proceso administrativo sancionatorio la sociedad estuvo atenta a entregar toda la información que fue solicitada e incluso aceptó los cargos que se le estaban imputando30. En relación con esto, es pertinente precisar que conforme a lo dispuesto en la Ley 1581 de 2012, las sanciones que pueden ser aplicadas por la Superintendencia en este tipo de procesos son las siguientes: “Artículo 23.
Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva. ” En el presente caso, una vez valoradas las pruebas obrantes en el expediente, este Despacho determinó procedente imponer una multa.
La sanción impuesta no tuvo un carácter meramente punitivo, sino que respondió, además, a la finalidad de promover de manera efectiva la observancia y el cumplimiento del Régimen General de Protección de Datos Personales, conforme a lo dispuesto en la Ley 1581 de 2012. Es importante precisar que el derecho Administrativo Sancionador “es un instrumento de realización de los fines que la Carta atribuye a estas autoridades, pues permite realizar los valores del orden jurídico institucional, mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye indudablemente a la realización de sus cometidos” 31.
Así pues, dicha potestad sancionadora ejerce una finalidad preventiva que va encaminada a asegurar el cumplimiento de los fines del Estado. Por lo tanto, la multa impuesta busca no solo reprochar el incumplimiento concreto evidenciado en el caso, sino también prevenir la repetición de conductas similares y destacar la obligatoriedad de acatar las disposiciones legales y las instrucciones impartidas por la autoridad de control.
Debe resaltarse que, como ya fue analizado previamente tratándose de una entidad prestadora de servicios de salud, la sociedad ejerce el tratamiento de datos personales sensibles, en particular aquellos relativos a la salud de los titulares, los cuales gozan de especial protección en el ordenamiento jurídico colombiano. Dicha condición impone un estándar más elevado de diligencia y responsabilidad, no solo por el carácter íntimo de la información, sino por el 30 Expediente Digital 22-339565.
Consecutivo número 33. Página 2, folio 3. 31 Corte Constitucional, Sentencia C 406 de 2004, M.P. Jaime Araújo Rentería “Por la cual se resuelve un recurso” potencial riesgo que su uso indebido o su divulgación no autorizad a, puede generar en los derechos fundamentales de las personas. En este sentido, la omisión de atender los requerimientos formulados por esta Superintendencia reviste mayor gravedad, por cuanto impidió verificar el cumplimiento de las obligaciones legales en un contexto donde el tratamiento de datos debe sujetarse a estrictas medidas.
Por lo anterior, este Despacho concluye que actuó en el marco de sus competencias legales, y que la multa impuesta encuentra fundamento en el incumplimiento de los deberes que recaen sobre la sociedad en su calidad de Responsable del Tratamiento de datos personales. En consecuencia, no se acogerán los argumentos presentados por la parte recurrente tendientes a sustituir la sanción económica impuesta por una amonestación escrita, toda vez que las circunstancias del caso y la infracción de uno de los deberes estipulados en la norma justifican plenamente la sanción adoptada. 5.5.
Frente a las medidas correctivas implementadas por la sociedad La sociedad sustenta que en el derecho administrativo sancionador las autoridades administrativas deben valorar las circunstancias en las que ocurrió la infracción, incluyendo la adopción de medidas para evitar su repetición 32. Así, la sociedad resalta que la SIC ha valorado favorablemente este tipo de actuaciones en casos anteriores, reconociendo que la verdadera finalidad del régimen sancionatorio es fomentar el cumplimiento y no castigar de forma automática errores no dolosos ya corregidos33.
En apoyo de lo anterior, la sociedad señala que implementó acciones correctivas como la documentación de un procedimiento interno más robusto, la canalización obligatoria de los requerimientos hacia la Gerencia de Cumplimiento y la respuesta oportuna a los requerimientos efectuados por este Despacho una vez identificado el error34. Sin embargo, este Despacho observa, en primer lugar, que la sociedad únicamente dio respuesta a los requerimientos formulados, debido a la apertura de la actuación administrativa y a la formulación de cargos por presunto incumplimiento del deber de atender las órdenes impartidas por la SIC, y no de manera inmediata al percatarse del error, como pretende hacerlo ver.
En segundo lugar, respecto de las acciones correctivas alegadas, se advierte que con el escrito de recurso la sociedad no aportó documentos que acrediten la implementación de las medidas enunciadas. Cabe precisar que en la Resolución N.° 22302 del 23 de abril de 2025, “Por la cual se impone una sanción administrativa”, este Despacho ya se pronunció sobre los correctivos adoptados, conforme a la documentación presentada en esa etapa.
Al respecto, este Despacho estableció: “La sociedad menciona que se tomaron correctivos, donde la directriz fue “que este tipo de requerimientos de autoridades deben dirigirse a la Gerencia de Cumplimiento quien articulará la respuesta por parte de un equipo experto”, y aportó el documento: - Manual de políticas y procedimientos para la protección de datos personales, en el cual se indica: “Para el caso de requerimientos de la Superintendencia de Industria y Comercio u otra autoridad competente, estos suelen ser recibidos por los correos de 32 Expediente Digital 22-339565.
Consecutivo número 33. Página 2, folio 7. 33 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 7. 34 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 7. “Por la cual se resuelve un recurso” notificaciones judiciales (notificacionesjudiciales@suramericana.com.co) o de requerimientos externos (RqExt@suramericana.com.co), y de allí deben ser asignados al equipo de Compliance, para que desde allí se realice el análisis del caso y se genere la respuesta a la entidad dentro del tiempo otorgado, dejando la trazabilidad respectiva.” En este sentido, este Despacho destaca la importancia de que los responsables del tratamiento de datos implementen procedimientos internos robustos que aseguren una respuesta adecuada y oportuna a los requerimientos formulados por las autoridades competentes, así como la debida protección de los derechos de los titulares de la información. En el caso concreto, al haberse acreditado que la sociedad cuenta con un mecanismo interno para atender de manera diligente los requerimientos de las autoridades de control, esta Dirección se abstendrá de impartir una orden administrativa al respecto.”35 Como se denota, este Despacho si tuvo en cuenta el nuevo procedimiento establecido por la sociedad para la recepción de los requerimientos formulados por la Superintendencia de Industria y comercio, y debido a esto se abstuvo de impartir una orden administrativa a la sociedad.
No obstante, este Despacho considera que lo anterior no es suficiente para la aplicación del principio de responsabilidad demostrada (accountability), previsto en el artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015, donde se establece: “La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo." Así, conforme a lo establecido en el Decreto Único Reglamentario 1074 de 2015, el principio de responsabilidad demostrada (accountability) impone a los responsables del tratamiento de datos personales la obligación de demostrar, a solicitud de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para garantizar el cumplimiento de la Ley 1581 de 2012 y su reglamentación. En particular, el artículo 2.2.2.25.6.1 36 establece que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica y el tamaño del responsable;
(ii) la naturaleza de los datos personales objeto del tratamiento; (iii) el tipo de tratamiento efectuado; y (iv) los riesgos potenciales que dicho tratamiento pueda implicar para los derechos de los titulares. En consecuencia, el cumplimiento del principio de responsabilidad demostrada no se agota con la existencia de documentos normativos, sino que exige la implementación real, efectiva y verificable de políticas y controles de cumplimiento, acordes con los riesgos asociados al tratamiento de datos.
En el caso concreto, del análisis de los documentos allegados, este Despacho concluye que la sociedad no acreditó de manera suficiente que, en atención a su 35 Resolución N.° 22302 de 23 de abril de 2025. Folio 19. 36Decreto 1074 de 2015. Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. “Por la cual se resuelve un recurso” naturaleza y tamaño, ha adoptado medidas internas, administrativas, humanas y técnicas idóneas para prevenir incidentes como el que motivó la presente actuación. La inclusión de un párrafo en el manual interno no constituye, por sí sola, prueba de la implementación efectiva de dichas medidas.
Asimismo, se constató que la sociedad no desplegó medidas de debida diligencia frente a la queja interpuesta por el titular, al no demostrar la adopción de acciones correctivas orientadas a evitar la repetición de los hechos denunciados. Por lo tanto, no se configura la aplicación del principio de responsabilidad demostrada, toda vez que no se aportó evidencia suficiente sobre la ejecución real de mecanismos para la protección de los datos personales de los titulares.
En virtud de lo anterior, la documentación presentada no puede ser valorada como circunstancia atenuante en la graduación de la sanción, al no evidenciar una gestión activa, preventiva y correctiva real. Por consiguiente, este Despacho no acogerá los argumentos de la parte recurrente en relación con la valoración de las medidas adoptadas, toda vez que las mismas ya fueron examinadas en la Resolución N.° 22302 del 23 de abril de 2025.
Además, como fue analizado tales actuaciones no acreditan, de manera objetiva y verificable, la implementación efectiva del principio de responsabilidad demostrada (accountability), pues no evidencian la existencia de mecanismos internos que, más allá de su formulación documental, garanticen en la práctica el cumplimiento de las obligaciones previstas en la Ley 1581 de 2012. 5.6.
Frente a las pretensiones Respecto de la pretensión principal consistente en “imponer como sanción la amonestación escrita”37, este Despacho considera que no está llamada a prosperar, toda vez que la amonestación escrita no está contemplada dentro de las sanciones que esta Dirección puede imponer a los Responsables y Encargados del Tratamiento por el incumplimiento de los deberes de la Ley 1581 de 2012.
Adicionalmente las circunstancias del caso y la infracción del deber estipulado en la norma justifican plenamente la sanción adoptada. En cuanto a las solicitudes subsidiarias, orientadas a imponer una multa de menor valor teniendo en cuenta los criterios de proporcionalidad, razonabilidad y equidad 38 este Despacho estima que dichas pretensiones tampoco están llamadas a prosperar, conforme a las consideraciones expuestas en esta resolución. No obstante lo anterior, se procederá a conceder el recurso de apelación interpuesto.
SEXTO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 39 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que los argumentos del recurso de reposición y en subsidio de apelación no son de recibo.
SÉPTIMO: Conclusiones 7.1. El monto fijado como sanción en la Resolución N.° 22302 del 23 de abril de 2025 se determinó con fundamento en la información financiera reportada por la sociedad en el Registro Único Empresarial y Social (RUES). Dicho valor resultó de un análisis que consideró el tamaño de la empresa, sus ingresos operacionales, su patrimonio y, en general, la 37 Expediente Digital 22-339565.
Consecutivo número 33. Página 2, folio 8. 38 Expediente Digital 22-339565. Consecutivo número 33. Página 2, folio 8. 39 ARTÍCULO
80. DECISIÓN DE LOS RECURSOS. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso. “Por la cual se resuelve un recurso” información financiera declarada.
En consecuencia, la sociedad no puede pretender equiparar la sanción impuesta, con la aplicada a empresas que carecen de la misma infraestructura o cuyos ingresos difieren sustancialmente, pues cada caso debe evaluarse de manera individual atendiendo a sus circunstancias particulares. 7.2. El artículo 24 de la Ley 1581 de 2012 establece seis criterios para la graduación de sanciones, de los cuales los cinco primeros constituyen circunstancias agravantes y el último corresponde a una circunstancia atenuante.
En la Resolución N.° 22302 del 23 de abril de 2025, este Despacho precisó que únicamente resultaba aplicable un agravante, previsto en el literal a), mientras que los agravantes contemplados en los literales b), c), d) y e) no fueron considerados, por cuanto no concurrieron en el presente caso. En cuanto a las circunstancias atenuantes, se dio la aplicabilidad del literal f), al verificarse que la sociedad realizó un reconocimiento expreso de la infracción antes de la imposición de la sanción. En consecuencia, se concluye que la graduación de la sanción se efectuó conforme a todos los criterios previstos en la norma y a la jurisprudencia aplicable, siendo el monto de la multa impuesto el resultado de dicho análisis. 7.3.
Este Despacho actuó en estricto ejercicio de sus competencias legales, y la sanción impuesta se encuentra plenamente justificada en el incumplimiento de los deberes legales que recaen sobre la sociedad en su calidad de Responsable del Tratamiento de datos personales. La inobservancia de los requerimientos formulados por esta Superintendencia constituye una infracción grave que no solo desconoce las obligaciones previstas en la Ley 1581 de 2012 y su reglamentación, sino que además obstaculiza de manera directa el ejercicio de las funciones de inspección, vigilancia y control, impidiendo verificar el cumplimiento efectivo del Régimen de Protección de Datos Personales. 7.4.
La sociedad EPS SURAMERICANA S.A., en su calidad de prestadora de servicios en el sector salud, trata datos personales sensibles, los cuales gozan de una protección reforzada conforme al ordenamiento jurídico colombiano. La omisión de atender los requerimientos formulados por esta Superintendencia reviste una especial gravedad, en tanto impidió verificar el cumplimiento de las obligaciones legales en un ámbito donde el tratamiento de la información, demanda la adopción de medidas de seguridad estrictas y el cumplimiento riguroso de los deberes establecidos en la Ley 1581 de 2012 y su reglamentación. 7.5.
El cumplimiento del principio de responsabilidad demostrada no se satisface con la sola existencia de documentos normativos, sino que requiere la implementación real, efectiva y verificable de políticas y controles de cumplimiento, acordes con los riesgos inherentes al tratamiento de datos personales. En el caso concreto, la sociedad no acreditó de manera suficiente que, atendiendo a su naturaleza y tamaño, adoptó las medidas internas, administrativas, humanas y técnicas idóneas para prevenir incidentes como el que dio origen a la Resolución N.° 22302 del 23 de abril de 2025.
OCTAVO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad EPS SURAMERICANA S.A. identificada con Nit. 800.088.702-2, con el correo electrónico de notificación judicial notificacionesjudiciales@suramericana.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego “Por la cual se resuelve un recurso” seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-339565. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: CONFIRMAR íntegramente la Resolución N.° 22302 del 23 de abril de 2025, conforme con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO 2: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad EPS SURAMERICANA S.A., identificada con Nit. 800.088.702-2 a través de su representante legal, en calidad de investigada, entregándole copia de esta.
ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 26 de septiembre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.09.26 13:40:08 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LA Revisó: YA Aprobó: CG