(13 de febrero de 2025) “Por la cual se impone una sanción y se imparten ordenes administrativas” Radicación 23-192831 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales (a) y (b) del artículo 21 de la Ley 1581 de 2012, y el numeral (4) artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que mediante Resolución 24778 del 20 de mayo de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió abrir investigación administrativa y, en consecuencia, formular pliego de cargos contra la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2, por la presunta contravención de lo dispuesto en: I) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y II) El literal d) del artículo 17 en concordancia con lo señalado en el literal g) del artículo 4, el artículo 5 de la Ley 1581 de 2012, y en el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.
Que, esta Superintendencia tuvo conocimiento de la denuncia interpuesta por el señor A1, por intermedio de su apoderada la Doctora SIRIS MACHADO PELÁEZ, mediante comunicación obrante en el expediente bajo el radicado 23192831-0 del 24 de abril de 2023, por la comisión de unos hechos presuntamente infractores de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. S.O.S, identificada con Nit 805.001.157-2, en adelante LA INVESTIGADA.
De la comunicación recibida se extrajeron los siguientes supuestos fácticos: 1.1 Expuso la apoderada especial del denunciante que “En marzo del 2022 el señor (…) estaba en proceso de cambiar el origen de su patología de túnel carpiano de contingencia común a una profesional. En consecuencia a lo anterior, la ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS solicitó al empleador de mi poderdante, la empresa ALUMINA S.A, que les enviara todo el historial laboral del señor (…), Con el propósito de garantizar el derecho a la intimidad del denunciante se anonimizará su identidad.
“Por la cual se impone una sanción y se imparten ordenes administrativas” incluyendo horas extras, certificación de cargo, entre otros documentos, para llevar a cabo el estudio del origen de la patología del túnel carpiano. ALUMINA S.A envió a ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS toda la información solicitada en lo que respecta a las jornadas y actividades laborales de mi poderdante, para que esta realice el estudio de la patología de su túnel carpiano y poder así determinar su origen como laboral”. 1.2 Continuó, señalando que “La entidad PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS realizó los estudios correspondientes, sin embargo se extralimitó y envió la historia clínica completa del señor (…) a cuatro (4) altos directivos de la empresa ALUMINA S.A sin discriminar ningún dato y SIN EL CONSENTIMIENTO de mi poderdante.
La historia clínica incluía datos sensibles y de reserva del señor (…), como su diagnóstico de VIH positivo, información que no estaba obligado a reportar a su empleador ni a ninguno de sus directivos. Al enterarse que divulgaron ese dato sensible, mi poderdante envío el día 8 de marzo de 2022 un email al correo oficial de notificaciones judiciales de ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS pidiendo la explicación del error.
Como respuesta se limitaron a decirle “que tomaran los correctivos pertinentes”, sin embargo, aceptando de manera tácita las irregularidades y tratamientos no autorizados de mis datos sensibles” 1.3 En el mismo sentido, anotó que “Mi poderdante insistió nuevamente y en reiteradas ocasiones a través de correos electrónicos dirigidos a ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS para obtener respuesta por la vulneración cometida, no obstante, el 12 de abril de 2022 nuevamente esta entidad se limitó a responder que ya le habían contestado el derecho de petición inicial, donde expresaban que: “una vez revisado el caso se evidenció un error al realizar la notificación de calificación de origen, la cual incluía la historia clínica del paciente.
De igual manera se informó que se aplicaron los correctivos necesarios para evitar que en el futuro un suceso como este vuelva a ocurrir” (ver prueba documental: respuesta de derecho de petición obtenida el 12/04/22) Conforme a lo expuesto, la entidad nuevamente manifiesta su negligencia en las medidas de seguridad de la información y el suministro no autorizado de mis datos sensibles, causándome agravios en mi estado de salud físico y mental.
Mi poderdante se empeñó en obtener una respuesta más completa acerca del daño causado y se dirigió a la oficina de la ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS sede las Américas. La secretaria que lo atendió respondió de manera poco diligente y descortés de manera verbal "no se desgaste, lo leído, leído esta", generándose una vulneración absoluta de los datos personales sensibles de mi poderdante.” 1.4 Finalmente, sostuvo que “Como consecuencia de la vulneración de su intimidad, privacidad y sus datos sensibles, el señor (…) tuvo que solicitar ayuda psicológica, psiquiátrica y de trabajo social; teniendo que asistir tres (3) veces por semana durante más de dos (2) meses a dichos acompañamientos.
Esto se debió a que sufrió una crisis emocional con episodios prolongados y graves de depresión, ansiedad, dolor y sufrimiento debido a la divulgación de su diagnóstico, que generó miradas “acusatorias y de lástima” por parte de sus compañeros de trabajo. Como consecuencia de lo anterior, a través de comunicado del 28 de marzo de 2022 la empresa ALUMINA S.A decidió cambiar al señor (…) de área de trabajo, alegando que él “no se integraba bien con sus compañeros y que ponía barreras en sus relaciones con los demás.” La divulgación no autorizada por parte de ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S A SOS, la cual ha sido aceptada en todas “Por la cual se impone una sanción y se imparten ordenes administrativas” las respuestas emitidas por dicha entidad, ha generado un deterioro significativo en la calidad de vida de mi representado, toda vez que se han generado actos de discriminación e imposibilidad de sentirse cómodo en el ejercicio de sus actividades personales y laborales”.
SEGUNDO: Que la Resolución 24778 del 20 de mayo de 2024 le fue notificada mediante Aviso 8764 del 29 de mayo de 2024 a HERNEY BORREO HINCAPIÉ, en representación de la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 23-192831-28 del 04 de junio de 2024.
Así mismo, el referido acto administrativo le fue comunicado a la denunciante dentro de la presente actuación administrativa.
TERCERO: Que, dentro del término concedido para el efecto, la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, por medio de su apoderado especial JUAN MARTÍN ARANGO MEDINA, presentó los descargos,2 así como las pruebas que pretende hacer valer en la presente investigación administrativa, mediante los cuales manifestó lo siguiente: 3.1 En primer término, el apoderado especial de la sociedad investigada informó al Despacho que “De conformidad con lo previsto en el literal f) del artículo 24 de la Ley 1581 de 2012, SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S., reconoce y acepta de manera expresa la comisión de las infracciones endilgadas, y solicita sean considerados los siguientes argumentos como criterio para graduar, con efectos de atenuación, la eventual sanción a imponer por parte de su Dirección. SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, reconoce y acepta de manera expresa que realizó conductas violatorias de la Ley 1581 de 2012, entre ellas, (i) compartir los datos personales de un titular, a un tercero no autorizado y (ii) no contar con medidas y controles suficientes de seguridad para la circulación de la información que registra y almacena en sus sistemas de información sobre la historia clínica de sus usuarios”. 3.2 A continuación, expresó frente al primer cargo formulado por esta Dirección que “es preciso señalar que SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S como responsable del tratamiento de datos personales y en calidad de Entidad Promotora de Salud a la que se encuentra afiliado el denunciante (…), cuenta con autorización para el uso de sus datos personales, de conformidad con sus deberes dentro del Sistema General de Seguridad Social en Salud, según formato “Actualización de datos básicos” suscrito el 11 de octubre de 2019 por el señor (…), por el cual autorizó el tratamiento de sus datos personales.
Por ello, para llevar a cabo el proceso de calificación del origen de las enfermedades del usuario, la EPS tuvo acceso a su historia clínica y se efectuaron las comunicaciones definidas dentro del referido trámite a la AFP, ARL, empleador y usuario. Sin embargo, en particular, para la circulación de la historia clínica del denunciante, la EPS no contaba con autorización y, por error humano, el Auxiliar de Medicina del Trabajo encargado de la actividad al interior de nuestra entidad, durante la notificación accidentalmente compartió la Historia Clínica del afiliado a la empresa ALUMINA S.A, empleadora del denunciante.
De esta manera, SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S reconoce y acepta que incumplió sus deberes en cuanto a disponer autorización previa, expresa e informada del titular para el tratamiento de sus datos personales, pero en particular, para la circulación de la historia clínica ante terceros no autorizados – no para otros datos personales – toda vez que el titular no autorizó de manera expresa este tratamiento para compartir los mismos ante terceros no autorizados, como su empleador”.
Actuación obrante en el expediente digital bajo el radicado 23-192831-30 del 20 de junio de 2024. “Por la cual se impone una sanción y se imparten ordenes administrativas” 3.3 Respecto al segundo cargo formulado a su representada, expresó que “(…) SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S para el suministro de información del titular a terceros, tiene implementadas medidas para garantizar la seguridad, el acceso y circulación restringida de los datos personales, especialmente los de naturaleza sensible como las historias clínicas, debidamente documentados, y además, dispone de un modelo de infraestructura como servicio (IaaS) en una nube híbrida de IBM, conformada con cargas de trabajo alojadas en IBM Cloud y cargas de trabajo alojadas en el Data Center de IBM Celta, los cuales cuentan con todas las certificaciones exigidas para un Data Center de este tipo de servicios.
El Sistema Integral de Información en Salud - SIIS, con el cual se procesó la información del señor (…) por parte del proceso de Medicina del Trabajo, es una aplicación web que opera en un servidor dentro de nuestro modelo de Infraestructura como Servicio (IAAS), el servidor que usa este Sistema de Información no se encuentra expuesto a internet, por lo tanto solo puede ser consumido por usuarios que se encuentren conectados a la red interna de la EPS.
Sin embargo, al presentarse el incidente objeto de la presente investigación, se constató, las medidas técnicas, humanas y administrativas de seguridad para garantizar que terceros no autorizados por su titular pudieran acceder a esta, implementadas por la EPS, son insuficientes y no minimizan los errores humanos que se pueden presentar en el proceso.
De esta manera, SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, reconoce y acepta que dichas medidas deben ser mejoradas con controles de monitoreo, ajustes de acceso más restrictivo en cuanto a los procedimientos de envío, e incluir validaciones previas al envío para minimizar los errores humanos tales como los presentados en la denuncia, como a bien lo consideró el acta de análisis técnico de expedientes, rendido por una de las ingenieras adscritas a su Dirección”. 3.4 De otra parte, se refirió a la aplicación de los criterios para dosificar la sanción contenidos en el artículo 24 de la Ley 1581 de 2012, expresando que “(…) dentro del caso particular, no se presenta un daño efectivo a los intereses jurídicos de los usuarios o del usuario denunciante, toda vez que más allá de la denuncia del señor (…), dicho impase no fue utilizado para fines diferentes que notificar la calificación de origen a la Administradora de Riesgos Laborales - ARL-, Administradora de Fondo de Pensiones – AFP-, trabajador y empleador, quienes son las partes interesadas, con los documentos y pruebas que establece el artículo 30 del Decreto 1352 de 2013, por lo que si bien, se reconoce la infracción representó una amenaza para el bien jurídico protegido, no se produjo una lesión efectiva al mismo.
No obstante lo anterior, resulta relevante señalar que en el presente caso si bien se puso en peligro el derecho fundamental de habeas data del denunciante cuyos datos obran en custodia de SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, no se materializó un daño al realizar tratamiento, pues la EPS dispone de un manual interno de seguridad o política de seguridad debidamente documentada y, además reportó el incidente de seguridad en el Registro Nacional de Bases de Datos (RNBD).
En este sentido, queda comprobado que, no se constituye una vulneración directa del derecho fundamental de habeas data del titular cuyos datos personales fueron tratados, en la medida en que existe documentación referente a políticas de seguridad, procedimientos y procesos establecidos, que cumplen de manera integral con el principio de seguridad en el tratamiento de los mismos.
Es importante precisar cómo se señaló con anterioridad, que si bien SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S tiene implementadas medidas para garantizar la seguridad, el acceso y circulación restringida de los datos personales, reconoce estos deben ser mejorados para minimizar los errores humanos tales como los presentados, por lo cual se informa a su Dirección, se está trabajando en la creación de un documento interno que englobe todas las medidas, políticas y procedimientos de seguridad establecidos, con el fin de cumplir íntegramente con el principio de seguridad, implementando tanto “Por la cual se impone una sanción y se imparten ordenes administrativas” medidas técnicas, humanas y administrativas que sean necesarias para garantizar la protección de los datos personales, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
De igual manera, como se reconoció, al compartirse la historia clínica del señor (…), que contenía datos personales sensibles, a un tercero no autorizado como su empleador, ALUMINA S.A, esta acción conllevó a la configuración de un incidente de seguridad, y en consecuencia, SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S reportó dicho incidente en el Registro Nacional de Bases de Datos (RNBD), si bien, no dentro de los quince (15) días hábiles siguientes al momento en que se detectó, como lo establece el numeral 2.1 del artículo segundo del Título V de la Circular Única de la Superintendencia de Industria y Comercio, si al momento de presentación de estos descargos”. 3.5 En el mismo sentido, argumenta que “SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S no obtuvo un beneficio económico, no hubo reincidencia en la comisión de la infracción, ha facilitado las pruebas y no ha obstruido la investigación. Es necesario destacar que los criterios de graduación mencionados deben ser exclusivamente considerados como agravantes en la imposición de la sanción, sin embargo, solo resulta aplicable el criterio atenuante establecido en el literal f), por cuanto hay reconocimiento de los hechos e infracciones.
Por lo tanto, procede la inaplicabilidad de los mencionados criterios. (…) SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S reconoce que la Ley 1581 de 2012 otorga a los datos sensibles una naturaleza especial, ya que pueden afectar la intimidad de los Titulares o causarles discriminación si son utilizados de forma indebida. Por ello, en su calidad de Responsable del Tratamiento debe adoptar controles, medidas, procedimientos y/o políticas de seguridad necesarias para evitar su adulteración, pérdida, uso, consulta o acceso no autorizado o fraudulento, las cuales deben ser directamente proporcionales a la naturaleza de estos datos, por lo cual, se informa a su Dirección, la EPS se encuentra trabajando en las siguientes acciones correctivas: I) II) Medidas necesarias, útiles y efectivas para garantizar que, en el Tratamiento de la información de los Titulares, en particular los datos de naturaleza sensible, en especial en temas de salud, se garanticen los principios de acceso y circulación restringida y de seguridad, de manera que se evite la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de estos datos por parte de terceros.
Adopción de un manual interno que contenga las políticas y procedimientos de seguridad para prevenir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales que están sujetos a su Tratamiento. Al configurarse la aceptación de la conducta de manera completa, se da el presupuesto que exige el allanamiento, acerca de que el mismo sea expreso y abarque la totalidad de las conductas cometidas.
Como las conductas antes mencionadas, son expresamente aceptadas por SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S, antes de la aplicación de la sanción, y además se está trabajando en acciones correctivas sin mediar ordenes previas por parte de su Dirección, se habilita la posibilidad de aplicar el atenuante y, por ende, de dosificar el monto de la sanción a sus mínimos”. 3.6 Concluye su escrito solicitando al Despacho “(…) el monto de la sanción sea proporcional a la vulneración y el incumplimiento de los deberes en cita, dado que, si bien se reconoce una falta de diligencia en el cumplimiento de nuestros deberes y responsabilidades en materia de protección de datos personales, el monto de la sanción debe considerar diversos factores como: “Por la cual se impone una sanción y se imparten ordenes administrativas” 1) El tamaño de la empresa. 2) Los ingresos operacionales. 3) El patrimonio. 4) La información financiera de la sociedad. 5) La magnitud de la infracción. 6) La duración de la misma en el tiempo. 7) La cantidad de titulares afectados. 8) Los deberes incumplidos.
Por lo tanto, solicitamos se evalué al momento de imponer la sanción, en congruencia con los principios de proporcionalidad y razonabilidad, que la misma resulte disuasoria pero no confiscatoria, poniendo de presente que SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S de conformidad con la Resolución No 2024100000003061-6 del 10 de abril de 2024 emitida por la Superintendencia Nacional de Salud, se encuentra en proceso de intervención forzosa para administrar, y sus condiciones financieras y de solvencia, en cuanto a indicadores de Capital Mínimo, Patrimonio Adecuado y Reserva Técnica vienen presentando desde el año 2015, incumplimientos conforme a los requerimientos exigidos en la normatividad vigente, y la imposición de una sanción cuantiosa o desmesurada podría afectar la operatividad de la empresa, y la prestación de los servicios de salud a nuestra población afiliada, poniendo en riesgo los derechos fundamentales al acceso a la salud de los usuarios, al trabajo de nuestros colaboradores y a la libertad de empresa”.
CUARTO: Que mediante Resolución 77175 del 06 de diciembre de 2024 la Dirección de Investigaciones de Protección de Datos Personales resolvió incorporar y tener como prueba, las obrantes a la fecha en el expediente 23192831 con el valor probatorio que les corresponda. 4.1 Pruebas recaudadas por esta Dirección: 4.1.1 Copia de la denuncia, junto con sus respectivos anexos, en contra de la sociedad investigada, obrante bajo el radicado 23-192831-0 del 24 de abril de 2023. 4.1.2 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, obrante bajo el radicado 23-192831-7 del 27 de julio de 2023. 4.1.3 Respuesta al requerimiento de información entregada por la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, obrante bajo el radicado 23-192831-10 del 11 de agosto de 2023. 4.1.4 Informe de análisis técnico de expedientes de la Delegatura para la Protección de Datos Personales, obrante bajo el radicado 23-192831-13 del 09 de noviembre de 2023. 4.2 Pruebas aportadas por la sociedad investigada 4.2.1 Pruebas aportadas junto con el escrito de descargos 4.2.1.1 Copia de la Resolución 2024100000003061-6del 10-04-2024 “por la cual se ordena la toma de posesión inmediata de bienes, haberes y negocios y la intervención forzosa administrativa para administrar la Eps Servicio Occidental de Salud S.O.S. identificada con Nit 805.001.157-2”. 4.2.1.2 Copia de la autorización otorgada por el denunciante para el tratamiento de sus datos personales. 4.2.1.3 Imagen captada del Registro Nacional de Bases de Datos de la “Por la cual se impone una sanción y se imparten ordenes administrativas” En el referido acto administrativo se le corrió traslado a la sociedad investigada por el término de 10 (diez) días hábiles para que rindiera los respectivos alegatos de conclusión.
QUINTO: Que la Resolución 77175 del 06 de diciembre de 2024 le fue comunicada a JUAN MARTÍN ARANGO MEDINA, en calidad de apoderado especial de la sociedad investigada, el 06 de diciembre de 2024, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 23-192831-37 del 09 de diciembre de 2024. 5.1 Que mediante escrito radicado bajo el número 23-192831-38 del 13 de diciembre de 2024, la sociedad investigada por medio de su apoderado presentó sus respectivos alegatos de conclusión, por medio de los cuales reiteró lo expresado en su escrito de descargos. 5.2 Que mediante escrito radicado bajo el número 23-192831-40 del 14 de enero de 2025, el Doctor JUAN MARTÍN ARANGO MEDINA, puso en conocimiento de esta Superintendencia la renuncia al poder especial que le fuera conferido para representar los intereses de la sociedad investigada en la presente actuación administrativa. 5.3 Que mediante escrito radicado bajo el número 23-192831-42 del 29 de enero de 2025, la Doctora CAROL SOFIA OSORIO PORTILLA aportó al Despacho el poder especial conferido por la sociedad investigada y solicitó copia del expediente.
Sin embargo, se destaca que la sociedad investigada ha tenido acceso a la totalidad del expediente desde el mes de mayo de 2024, razón por la cual no se concederán accesos adicionales.
SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
SÉPTIMO: Análisis del caso 7.1 Adecuación típica La Corte Constitucional mediante Sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P. Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción y se imparten ordenes administrativas” (ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la vulneración de lo consagrado en -El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y -El literal d) del artículo 17 en concordancia con lo señalado en el literal g) del artículo 4, el artículo 5 de la Ley 1581 de 2012, y en el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015, por lo que corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos objeto de investigación, los argumentos esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 7.2 Valoración probatoria y conclusiones Del deber de solicitar y conservar copia de la respectiva autorización para el tratamiento de los datos personales.
El artículo 15 de nuestra Constitución contempla el derecho fundamental que tienen todas las personas a conocer, actualizar y rectificar toda la información que sobre ellas se haya recogido en las bases de datos. De esta prerrogativa de orden superior se derivan unos principios y deberes cuya observancia corresponde a quienes intervengan en el proceso de recolección, tratamiento y circulación de datos personales, en los términos señalados por la Corte Constitucional en la sentencia C-748 de 2011, así: “DERECHO AL HABEAS DATA EN TRATAMIENTO PERSONALES-Principios y garantías constitucionales DE DATOS El proyecto de ley estatutaria establece en materia de tratamiento de datos personales los principios de legalidad, el de finalidad, de libertad, de veracidad o calidad, de transparencia, de acceso y circulación restringida, de seguridad y el principio de confidencialidad, principios éstos que no obstan para que en el proceso de administración de bases de datos se dé aplicación a los principios rectores derivados directamente de la Constitución al igual que a aquellos derivados del núcleo temático del proyecto de ley estatutaria, los cuales pese a no encontrase numerados se entiende incorporados en razón de una lectura sistemática del proyecto de Ley Estatutaria”.
En el citado pronunciamiento también se determinan las características de los datos personales, a saber: i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”4, peculiaridades que se armonizan con el concepto de dato personal establecido en la Ley, consistente en un derecho que al asociarse a una persona natural, radica precisamente en cabeza del titular.
Ahora bien, el artículo 17 de ese cuerpo normativo contempla los deberes que les asisten, en particular a los responsables, siendo este “aquel que define los fines y medios esenciales para el tratamiento del dato5”, con el propósito de garantizar, Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).
Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción y se imparten ordenes administrativas” de una parte el pleno ejercicio del derecho fundamental de hábeas data, y de otra, una correcta administración de la información personal.
Dentro de esos deberes se encuentra enlistado el de obtener la autorización previa, expresa e informada por parte de los titulares de la información, para hacer el respectivo tratamiento de sus datos personales. A su turno los principios de legalidad y libertad establecen un marco dentro del cual solo el consentimiento de los titulares faculta para realizar tratamiento sobre los datos que les sean asociados.
En palabras de la Honorable Corte Constitucional es el “(…) pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.
(…) En igual sentido, en la Sentencia SU-082 de 1995, la Corte basó toda la ratio decidendi, en el concepto de autodeterminación informática, cuyo elemento esencial recaía en el consentimiento. Sobre la particular la Corte se preguntó: “¿Cuál es el núcleo esencial del habeas data? A juicio de la Corte, está integrado por el derecho a la autodeterminación informática y por la libertad, en general, y en especial económica.
La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales.” Esa posición ha sido reiterada, entre muchas otras, en las Sentencias T-580 de 1995, T-448 de 2004, T-526 de 2004, T-657 de 2005, TT-684 de 2006, C-1011 de 2008, T-017 de 2011”.
Así mismo, nuestra legislación contempla una categoría especial de datos personales respecto de la cual se atribuyen ciertas características que a su vez imponen la obligación de dar un tratamiento diferenciado y de mayor rigor que otros grupos de datos, los datos sensibles, siendo por definición del artículo 5° de la Ley 1581 de 2012 aquellos que “(…) afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como (…) los datos relativos a la salud”.
En este orden de ideas, corresponde a los responsables del tratamiento de datos dar plena observancia a los deberes establecidos por el legislador en materia estatutaria, en lo que en el particular respecta, solicitar y conservar copia de la autorización otorgada para el titular, y en particular para circular su información con terceros. En el caso bajo examen, la apoderada del denunciante puso en conocimiento de esta Superintendencia que en el mes de marzo de 2022 él se encontraba adelantando el trámite para cambiar el origen de una patología de túnel carpiano de origen común a una de origen profesional.
Señaló que la sociedad investigada ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A SOS le solicitó a su empleador la historia laboral, junto con sus anexos; por lo que efectivamente este procedió con la remisión de los documentos requeridos. De otra parte, informó que la sociedad investigada realizó los estudios correspondientes pero se excedió en sus funciones pues remitió a (4) cuatro de los directivos de la sociedad empleadora del Titular copia de su historia clínica, sin anonimizar ni discriminar ningún dato, y sin el consentimiento previo otorgado para el efecto; destacando que la historia clínica del Titular contenía su diagnóstico de VIH positivo.
Sobre el particular, representante de la sociedad investigada expuso ante esta dependencia que “SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S como responsable del tratamiento de datos personales y en calidad de Entidad Promotora de Salud a la que se encuentra afiliado el denunciante (…), cuenta con autorización para el uso de sus datos personales, de conformidad con sus deberes dentro del Sistema General de Seguridad Social en Salud, según “Por la cual se impone una sanción y se imparten ordenes administrativas” formato “Actualización de datos básicos” suscrito el 11 de octubre de 2019 por el señor (…), por el cual autorizó el tratamiento de sus datos personales”.
Además, sostuvo en relación con los hechos advertidos por el denunciante que “(…) para llevar a cabo el proceso de calificación del origen de las enfermedades del usuario, la EPS tuvo acceso a su historia clínica y se efectuaron las comunicaciones definidas dentro del referido trámite a la AFP, ARL, empleador y usuario. Sin embargo, en particular, para la circulación de la historia clínica del denunciante, la EPS no contaba con autorización y, por error humano, el Auxiliar de Medicina del Trabajo encargado de la actividad al interior de nuestra entidad, durante la notificación accidentalmente compartió la Historia Clínica del afiliado a la empresa (…), empleadora del denunciante.
(énfasis añadido) Frente a lo descrito, es necesario señalar que de acuerdo con las previsiones hechas por la norma estatutaria de protección de datos personales en su artículo 5°, los datos relativos al estado de salud de los titulares son considerados datos sensibles, esto es, una categoría especial de información cuyo tratamiento, por disposición del artículo 6° ibidem, por regla general se encuentra proscrito salvo en situaciones excepcionales, como por ejemplo que el titular hubiere otorgado expresamente su consentimiento para ese fin.
Ahora, en el caso que se examina la investigada aportó copia de la autorización suscrita por el titular A, en la cual se puede apreciar que, dentro de las finalidades consentidas, no se encontraba la de compartir su historia con personas ajenas a la prestación del servicio de salud que esta le proveía. A este respecto, se refirió la Corte Constitucional mediante Sentencia C-748 de 2011, estableciendo lo que a continuación se cita: “La Sala considera que, de conformidad con el principio de libertad, es posible que las personas naturales den su consentimiento, por su puesto, expreso e informado, para que sus datos personales sean sometidos a tratamiento.
En estos casos deberán cumplirse con todos los principios que rigen el tratamiento de datos personales, en especial cobrará importancia el principio de finalidad, según el cual el dato sensible solamente podrá ser tratado para las finalidades expresamente autorizadas por el titular y que en todo caso deben ser importantes desde el punto de vista constitucional.
En este orden de ideas, la Sala encuentra “Por la cual se impone una sanción y se imparten ordenes administrativas” que el primer contenido normativo del literal a) se ajusta a la Constitución”. (subraya adicionada) Queda claro entonces que datos como la historia clínica hacen parte del fuero íntimo del titular, y en tal sentido demandan de los intervinientes en su tratamiento un alto compromiso de usarla para los fines estrictamente autorizados por aquel, ya que su uso indebido puede traer consecuencias perjudiciales e irremediables en la vida de la persona, como efectivamente sucedió en el caso del titular A, quien aportó junto con la denuncia algunas constancias de la afectación que sufrió con ocasión de la conducta desplegada por el funcionario de la sociedad, situación que se hace aún más gravosa si se tiene en cuenta la actitud indiferente de la investigada en las respuestas entregadas al denunciante, con ocasión de las múltiples quejas interpuestas, como se aprecia6: Por todo lo dicho hasta acá, para la Dirección de Investigaciones de Protección de Datos Personales se encuentra plenamente acreditado que ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS incumplió el deber que le asiste en su calidad de Responsable del tratamiento de datos de contar con la autorización previa, expresa e informada del titular para circular sus datos relativos a la salud con terceros, en contravención de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá como sanción una multa de DOCE (12) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2024– correspondientes a MIL TRESCIENTOS NOVENTA Y DOS (1392) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIECISÉIS MILLONES OCHENTA MIL TRESCIENTOS OCHENTA Y CUATRO PESOS M/CTE ($16.080.384). 7.3 Del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, consulta, uso o acceso no autorizado.
El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada nos sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial atención por parte de la Anexo a la denuncia obrante bajo el radicado 23-192831-0 del 24 de abril de 2023.
“Por la cual se impone una sanción y se imparten ordenes administrativas” Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.
Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.
En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. (…)7”(Se destaca). A su vez, el artículo 5° de la Ley 1581 de 2012 prevé la definición de los datos sensibles, señalando que son “aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como (…) los datos relativos a la salud”.
En efecto, el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas por el régimen de protección de datos personales, pues así lo dispuso la Ley 1581 de 2012 cuando señaló en su artículo 25 inciso tercero que, “(i) las políticas de tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley”.
Posteriormente, en el ejercicio de la potestad reglamentaria Constitucionalmente atribuida, el Gobierno Nacional, por medio del Decreto 1074 de 2015 señaló que los responsables del tratamiento de datos personales deben ser capaces de demostrar el cumplimiento de sus obligaciones, así: Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.6.1.
Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo en una manera que sea proporcional a lo siguiente: 1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa de acuerdo con la normativa vigente. 2.
La naturaleza de los datos personales objeto de tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de os datos personales, como también da descripción de las finalidades para las cuales esta Sentencia C-748 del 06 de octubre de 2011.
Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. “Por la cual se impone una sanción y se imparten ordenes administrativas” información es recolectada y una explicación sobre la relevancia de los dato personales en cada caso. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”.
Retomando el caso que nos ocupa, se observó que conforme a lo ya acreditado en la presente causa, el denunciante se encontraba adelantando un proceso para el cambio de calificación del origen de una patología de túnel carpiano, de contingencia común a profesional. En el curso de dicho trámite la ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS solicitó al empleador del titular la remisión de todos los documentos que soportaran sus actividades laborales.
Una vez efectuado el respectivo análisis por parte de la sociedad investigada, uno de sus trabajadores envió la documentación a la empresa empleadora del titular, incluyendo su historia clínica, sin anonimizar y exponiendo su diagnóstico de VIH positivo. Frente a esta situación, el quejoso procedió a presentar múltiples solicitudes ante la investigada, en el sentido de que le fuera informado por qué se expuso su información sensible sin haberse adoptado las medidas necesarias para que terceros accedieran a esta, causándole un factor de discriminación en su entorno laboral; sin embargo, nunca recibió una respuesta clara y de fondo conforme a lo solicitado.
Frente a lo anterior, el Doctor JUAN MARTÍN ARANGO MEDINA manifestó en sus descargos que “SERVICIO OCCIDENTAL DE SALUD S.O.S E.P.S para el suministro de información del titular a terceros, tiene implementadas medidas para garantizar la seguridad, el acceso y circulación restringida de los datos personales, especialmente los de naturaleza sensible como las historias clínicas, debidamente documentados, y además, dispone de un modelo de infraestructura como servicio (IaaS) en una nube híbrida de IBM, conformada con cargas de trabajo alojadas en IBM Cloud y cargas de trabajo alojadas en el Data Center de IBM Celta, los cuales cuentan con todas las certificaciones exigidas para un Data Center de este tipo de servicios.
El Sistema Integral de Información en Salud - SIIS, con el cual se procesó la información del señor ( )por parte del proceso de Medicina del Trabajo, es una aplicación web que opera en un servidor dentro de nuestro modelo de Infraestructura como Servicio (IAAS), el servidor que usa este Sistema de Información no se encuentra expuesto a internet, por lo tanto solo puede ser consumido por usuarios que se encuentren conectados a la red interna de la EPS.
Sin embargo, al presentarse el incidente objeto de la presente investigación, se constató, las medidas técnicas, humanas y administrativas de seguridad para garantizar que terceros no autorizados por su titular pudieran acceder a esta, implementadas por la EPS, son insuficientes y no minimizan los errores humanos que se pueden presentar en el proceso”.
(subraya adicionada) De esta forma queda en evidencia que la sociedad investigada no contaba con medidas óptimas que garantizaran el adecuado tratamiento de los datos personales del titular A, respecto a la estricta confidencialidad y seguridad de los registros asociados a su historia clínica y en particular al diagnóstico de VIH positivo.
Las repercusiones que esta actuación tuvo en la vida del titular pueden también constatarse en las pruebas arrimadas por su apoderada, mismas que dan cuenta de la magnitud de la afectación a la salud mental del titular, por cuanto ha tenido que recurrir a múltiples sesiones de terapia psicológica con ocasión de la segregación a la que fue sometido en su entorno, luego de que se conociera su diagnóstico8.
Véanse anexos a la denuncia, obrante bajo el radicado 23-192831-0 del 24 de abril de 2023. “Por la cual se impone una sanción y se imparten ordenes administrativas” En tal sentido, considera esta Dirección que la EPS SERVICIO OCCIDENTAL DE SALUD no es consciente de que en su rol prestadora de servicios de salud adquiere una obligación, si se quiere reforzada, de robustecer los sistemas de información, así como sus procedimiento internos a efectos de garantizar que en ningún caso la información sensible de sus afiliados sea conocida por terceros que no estén plenamente autorizados por ellos, pues como se ha dicho una omisión en ese sentido impacta no solo el derecho fundamental de hábeas data sino también puede traer perjuicios colaterales a otros aspectos del titular.
Así las cosas, de acuerdo con todo lo expuesto no hay duda de que la sociedad investigada efectivamente incurrió en la conducta reprochada en el cargo segundo por cuanto vulneró el deber que le asiste de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 en concordancia con lo señalado en el literal g) del artículo 4, el artículo 5 de la Ley 1581 de 2012, y en el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015, por lo que se impondrá como sanción una multa de DOCE (12) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2024– correspondientes a MIL TRESCIENTOS NOVENTA Y DOS (1392) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIECISÉIS MILLONES OCHENTA MIL TRESCIENTOS OCHENTA Y CUATRO PESOS M/CTE ($16.080.384).
“Por la cual se impone una sanción y se imparten ordenes administrativas” De otra parte, se encuentra procedente impartir una orden administrativa con base en los hallazgos consignados en el informe de análisis técnico rendido por uno de los ingenieros adscritos a la Delegatura para la Protección de Datos Personales, mediante radicado 23-192831-13 del 09 de noviembre de 2023 en el que se concluyó que “que la EPS S.O.S. cuenta con medidas y controles de seguridad para el acceso a la información que registra y almacena en sus sistemas de información sobre la historia clínica de sus usuarios; y estas medidas y controles se encuentran documentadas, pero deben ser mejoradas con controles de monitoreos a las mismas, ajustes de acceso más restrictivo, en cuanto a los procedimientos de envió (sic) se deben incluir validaciones previas al envío para minimizar los errores humanos tales como los presentados en la denuncia presentada por el titular afectado”.
OCTAVO: Imposición y graduación de la sanción 8.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 239. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 210, 411 y 612 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo13.
La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”14 (negrita añadida) Por su parte, La Corte Constitucional a través de Sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza:
ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)” Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas.
(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.
(negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).
Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción y se imparten ordenes administrativas” “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional15.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.
El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten ordenes administrativas”
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.
De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional16 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción y se imparten ordenes administrativas” “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”17 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros18. Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.
Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca trascendencia. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia20. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2321 de la misma.
Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; “Por la cual se impone una sanción y se imparten ordenes administrativas” Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012, que a su tenor literal expresa: “Artículo 24.
Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; (…)” 8.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados y su aceptación frente a los cargos formulados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción y se imparten ordenes administrativas” confiscatoria.
Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine quedó probado, frente a los cargos formulados por la Dirección de Investigaciones de Protección de Datos Personales que la sociedad investigada incurrió en una conducta que a su vez se materializó en la transgresión de las normas de protección de datos personales.
Adicionalmente, con su actuar negligente, afectó gravemente la salud mental del denunciante, generándole un factor de discriminación en su entorno laboral, e impidiéndole conocer las circunstancias particulares en que terceros no autorizados por él accedieron a su información sensible, como lo es la historia clínica. Por tanto, se impondrá como sanción la suma de VEINTICUATRO (24) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2024– correspondientes a DOS MIL SETECIENTOS OCHENTA Y CUATRO (2784) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a TREINTA Y DOS MILLONES CIENTO SESENTA MIL SETECIENTOS SESENTA Y OCHO PESOS M/CTE ($32.160.768)22, por la vulneración de lo dispuesto en: I) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y II) El literal d) del artículo 17 en concordancia con lo señalado en el literal g) del artículo 4, el artículo 5 de la Ley 1581 de 2012, y en el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.
La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 8.1.2 Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. 8.1.3 Aplicación del criterio de atenuación contemplado en el literal f) del artículo 24 de la Ley 1581 de 2012 Teniendo en cuenta que el apoderado especial de la sociedad investigada, frente a los dos cargos formulados por el Despacho, manifestó su intención de aceptar expresamente la comisión de la conducta objeto de reproche, la sanción inicialmente calculada se reducirá en un (50) cincuenta por ciento, de modo que el valor definitivo será de DOCE (12) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2024– correspondientes a MIL TRESCIENTOS NOVENTA Y DOS (1392) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIECISÉIS MILLONES OCHENTA MIL TRESCIENTOS OCHENTA Y CUATRO PESOS M/CTE ($16.080.384).
Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten ordenes administrativas”
NOVENO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2, con el correo electrónico de notificación judicial notificacionesjudiciales@sos.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberán ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 23-192831. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberán adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2 de23 DOCE (12) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2024– correspondientes a MIL TRESCIENTOS NOVENTA Y DOS (1392) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIECISÉIS MILLONES OCHENTA MIL TRESCIENTOS OCHENTA Y CUATRO PESOS M/CTE ($16.080.384), por la vulneración de las normas de protección de datos personales y en particular las disposiciones contenidas en: I) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y II) II) El literal d) del artículo 17 en concordancia con lo señalado en el literal g) del artículo 4, el artículo 5 de la Ley 1581 de 2012, y en el artículo 2.2.2.25.6.1 del Decreto Único reglamentario 1074 de 2015.
Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2: ORDENAR a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2 que dentro de los noventa (90) días siguientes a la ejecutoria del presente acto administrativo ajuste sus procesos internos a efectos de implementar acciones mejoradas con controles de monitoreo, control de acceso a la información personal, y documentación de procedimientos de validación para el envío de comunicaciones que contengan datos personales de sus afiliados.
Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten ordenes administrativas” Parágrafo: La sociedad deberá acreditar el cumplimiento de lo ordenado, aportando copia de los procedimientos implementados en los términos señalados en este artículo, dentro de los cinco (5) días siguientes a la expiración del plazo concedido para tal fin.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS, identificada con Nit 805.001.157-2 a través de su representante legal y/o su apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO 4: COMUNICAR el contenido de la presente resolución a la Doctora VALENTINA PINEDA ARCE, identificada con la C.C. 1.193.264.746 en calidad de apoderada del denunciante.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 13 de febrero de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.02.13 14:52:21 -05'00' CAROLINA GARCÍA MOLINA Elaboró: LR Revisó: CG Aprobó: CG NOTIFICACIÓN Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: ENTIDAD PROMOTORA DE SALUD SERVICIO OCCIDENTAL DE SALUD S.A. SOS Nit: 805.001.157-2 HERNEY BORRERO HINCAPIE C.C. 14.799.968 notificacionesjudiciales@sos.com.co KR 56 # 11 A - 88 Cali, Valle del Cauca Apoderada: Doctora: Identificación: Correo electrónico: CAROL SOFÍA OSORIO PORTILLA C.C.37.394.138 TP 396.323 del CSJ cosorio@sos.com.co “Por la cual se impone una sanción y se imparten ordenes administrativas” COMUNICACIÓN: Denunciante: A24 Apoderada: Doctora: Identificación: Correo electrónico: VALENTINA PINEDA ARCE C.C.1.193.264.746 valentina.pineda1@u.icesi.edu.co Con el fin de proteger la intimidad del denunciante se ha anonimizado su identidad.