Sanción 22302 de 2025 — SIC

(23 de abril de 2025) “Por la cual se impone una sanción administrativa” Radicación 22-339565 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante denuncia interpuesta ante esta Superintendencia con número de radicado 22-339565-0 del 29 de agosto de 2022, el señor XXXXXXX. XXXXXXXX. XXXXXXx XXX, identificado con cédula de ciudadanía número X.XXX.XXX.XX. y en calidad de “Investigador Judicial y Criminalístico, perteneciente a la División de Tareas Estratégicas de la Oficina de Investigación Judicial & Defensorial”1, informó que, presuntamente las sociedades EPS SURAMERICANA S.A. y CLÍNICA CASTELLANA S.A.S. remitieron mensajes de texto y realizaron llamadas telefónicas al número telefónico XXx XXx XXXx perteneciente al Titular XXXXX.

XXXXXX XXXXXX XXXXXXXXXX., identificado con cédula de ciudadanía número X.XXX.XXX.XX.. Dentro de dichos mensajes y llamadas telefónicas que las sociedades enviaron y compartieron al número telefónico XXx XXx XXXx se encontraba información relacionada con la programación de citas médicas de terceros, quienes no tenían vínculo alguno con el Titular. 1.1.

El señor XXXXXXX. XXXXXXXX. XXXXXXx XXX anexó, entre otros, los siguientes documentos: (i) comunicación remitida por el Titular XXXXX. XXXXXX XXXXXX XXXXXXXXX. ante esta Superintendencia a través del número de radicado 22-150975-0 del 18 de abril de 2022; (ii) mensajes enviados al número telefónico XXx XXx XXXx por parte de las sociedades EPS SURAMERICANA S.A., CLÍNICA CASTELLANA S.A.S. y NEUROFIC LTDA durante el mes de julio de 2022, a través de la aplicación de mensajería instantánea WhatsApp;

(iii) historial de llamadas telefónicas realizadas presuntamente por CLÍNICA CASTELLANA S.A.S. al número telefónico XXx XXx XXXx durante los años 2021 y 2022; (iv) mensajes de texto enviados al número telefónico XXx XXx XXXx por parte de la sociedad EPS SURAMERICANA S.A. a través del número corto xxxxxx. durante los meses de junio, julio y agosto de 2022; y (v) copia del reclamo interpuesto el 20 de mayo de 2022 por el Titular XXXXX.

XXXXXX XXXXXX XXXXXXXXXX. ante CLÍNICA CASTELLANA S.A.S., por medio del cual se quejó por el tratamiento indebido a sus datos personales por parte de esta clínica y EPS SURAMERICANA S.A. al remitirle al número telefónico XXx XXx XXXx información de terceros. 1 Expediente digital 22-339565. Consecutivo número 0. Página 2, folio 2. “Por la cual se impone una sanción administrativa”

SEGUNDO: Que, con el fin de recolectar información y ampliar las circunstancias de modo, tiempo y lugar de los hechos descritos en la denuncia interpuesta por el señor XXXXXXX. XXXXXXXX. XXXXXXx XX, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, llevó a cabo las siguientes actuaciones: 2.1. Oficio con número de radicado 22-339565-5 del 09 de noviembre de 2022, mediante el cual, este Despacho requirió a la sociedad EPS SURAMERICANA S.A. para que, suministrara respuesta a los siguientes interrogantes: “(…) 1.

Respecto del Titular XXXXX. XXXXXX XXXXXX XXXXXXXXXX., C.C. X.XXX.XXX.XX.: 1.1 ¿Tiene algún tipo de relación contractual y/o comercial con el/la Titular XXXXX. XXXXXX XXXXXX XXXXXXXXX.? En caso afirmativo remita copia del documento y/o contrato mediante el cual se acredite su respuesta. 1.2 ¿Cuenta con la autorización expresa, previa e informada del Titular XXXXX.

XXXXXX XXXXXX XXXXXXXXX. para la recolección y Tratamiento de sus datos personales? En caso afirmativo, allegue copia de la prueba de dicha autorización. 1.3 ¿Informó al Titular XXXXX. XXXXXX XXXXXX XXXXXXXXX. las finalidades de la recolección de sus datos y los derechos que le asisten como consecuencia de la autorización otorgada? En caso afirmativo, allegue prueba de su respuesta. 1.4 ¿Ha recibido comunicaciones, derechos de petición, consultas y/o reclamos, verbales y/o escritos, por parte del Titular XXXXX.

XXXXXX XXXXXX XXXXXXXXX., en razón del Tratamiento de sus datos personales? En caso afirmativo, allegue copia de estos y sus respuestas; en caso de haber sido verbales, documéntelos para efecto de la presente solicitud. 1.5 ¿Ha transmitido o trasferido datos personales, en particular sensibles y/o biométricos, del Titular XXXXX. XXXXXX XXXXXX XXXXXXXxXX., en razón del Tratamiento de sus datos personales? En caso afirmativo, allegue copia de estos y sus respuestas; en caso de haber sido verbales, documéntelos para efecto de la presente solicitud. 1.6 ¿Cómo recolectó el número celular XXxXXxXXXx, de propiedad del Titular XXXXX.

XXXXXX XXXXXX XXXXXXXXX. identificado con cédula de ciudadanía número X.XXX.XXX.XX.? Acredite su respuesta. 2. Respecto del cumplimiento del Régimen General de Protección de Datos Personales establecido en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015 (Capitulo 25), informe: 2.1 Informe y acredite sobre el mecanismo para la recolección de los datos personales que obran en sus bases de datos, y enuncie los tipos de datos puntuales con los que cuenta. 2.2 ¿Cuenta con la autorización expresa, previa e informada de cada uno de los Titulares cuyos datos se encuentran almacenados en sus bases de datos? Acredite su respuesta. 2.3 ¿Informa a cada uno de los Titulares cuyos datos se encuentran contenidos en sus bases de datos, acerca de las finalidades de la recolección de sus datos y los derechos que le asisten en virtud de la autorización otorgada? En caso afirmativo, allegue prueba de su respuesta. 2.4 ¿Ha recibido comunicaciones, derechos de petición, consultas y/o reclamos, verbales y/o escritos, por parte de los Titulares cuyos datos “Por la cual se impone una sanción administrativa” se encuentran contenidos en sus bases de datos? En caso afirmativo, informe sobre los mismos, indicando nombre del Titular solicitante, número de identificación, fecha de la consulta y/o reclamo, resumen del motivo, fecha de entrega de respuesta a Titular, y resumen de la respuesta. 2.5 ¿Actúa en calidad de Responsable o Encargado, del Tratamiento, de los datos personales de Titulares contenidos en sus bases de datos? Explique detalladamente la forma en la cual realiza el Tratamiento de los datos de los Titulares. 2.6 ¿Ha celebrado o suscrito contratos, acuerdos y/o convenciones de Transferencia de Datos, por medio de los cuales, en consecuencia, haya recibido o entregado datos personales de Titulares? En caso ser afirmativa la respuesta, remita copia de los contratos, acuerdos, convenciones y/o documentos relacionados que soporten la(s) referida(s) operación(es). 2.7 Aporte copia del Manual de procedimientos implementado al interior de la sociedad para la recolección, almacenamiento, uso circulación y supresión de la información, vigente a la fecha de la respuesta al presente requerimiento. 2.8 Aporte copia del Manual de procedimientos implementado al interior de la sociedad para la atención de consultas y reclamos de los Titulares de la información, vigente a la fecha de la respuesta al presente requerimiento. 2.9 Remita copia de la(s) Políticas(s) de Tratamiento implementadas por la sociedad, para el manejo de datos personales, vigente(s) a la fecha de la respuesta al presente requerimiento. 2.10 Remita copia de la Política de Seguridad de la información desarrollada e implementada por la Entidad, en relación con la conservación de la información y los datos personales de los Titulares, a fin de impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

(…)”2. 2.1.1.Que, el oficio con número de radicado 22-339565-5 del día 09 de noviembre de 2022, fue remitido a la dirección electrónica notificacionesjudiciales@suramericana.com.co (registrada para efectos de notificación judicial dentro del Certificado de Existencia y Representación Legal de la sociedad expedido por la Cámara de Comercio de Medellín), Captura Núm. 1.

Anexo referente al Certificado de Existencia y Representación Legal de la sociedad EPS SURAMERICANA S.A. expedido por la Cámara de Comercio de Medellín. 2 Expediente digital 22-339565. Consecutivo número 5. Página 2, Folios 1 a 3. “Por la cual se impone una sanción administrativa” No obstante, cumplido el término de DIEZ (10) días concedido, no se observó en el expediente que, la sociedad EPS SURAMERICANA S.A. haya suministrado respuesta al requerimiento efectuado.

Captura Núm. 2. Anexo referente al soporte de envío del oficio con número de radicado 22-339565-5 del 09 de septiembre de 2022, expedido por LLEIDA S.A.S. 2.2. Oficio con número de radicado 22-339565-9 del 29 de mayo de 2023, mediante el cual este Despacho requirió por segunda vez a la sociedad EPS SURAMERICANA S.A., reiterando las mismas preguntas realizadas por este Despacho dentro del oficio descrito en el numeral 2.1. 2.2.1.

Que, el oficio con número de radicado 22-339565-9 del día 29 de mayo de 2023, fue remitido a la dirección electrónica notificacionesjudiciales@suramericana.com.co (registrada para efectos de notificación judicial dentro del Certificado de Existencia y Representación Legal de la sociedad expedido por la Cámara de Comercio de Medellín), y que, cumplido el término de DIEZ (10) días concedido, no se observó en el expediente que la sociedad EPS SURAMERICANA S.A. haya suministrado respuesta al requerimiento efectuado.

(ESPACIO EN BLANCO) “Por la cual se impone una sanción administrativa” Captura Núm. 3. Anexo referente al soporte de envío del oficio con número de radicado 22-339565-9 del 29 de mayo de 2023, expedido por la empresa de correos SERVICIOS POSTALES NACIONALES S.A.S.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 16 de mayo de 2024, se inició la presente investigación administrativa, mediante la expedición de la Resolución N.° 24264 por medio de la cual, se formuló cargos en contra de la sociedad EPS SURAMERICANA S.A., con Nit. 800.088.702-2, por la presunta infracción de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención.

CUARTO: Que, la Resolución N.° 24264 de 16 de mayo de 2024 le fue notificada a la investigada mediante aviso N.° 8498 el 28 de mayo de 2024; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 22-339565- -18 de fecha de 4 de junio de 2024.

QUINTO: Que la sociedad EPS SURAMERICANA S.A. presentó escrito de descargos el 19 de junio de 2024 mediante radicado N.° 22-339565- -19, indicando lo siguiente: Frente cargo único la sociedad indicó que: “Frente al cargo formulado manifestamos la aceptación expresa de la infracción ya que, al revisar nuestro sistema de información efectivamente se encontró el registro de los dos (2) requerimientos, sin embargo, en su momento no se dio respuesta a la SIC sino que se procedió desde el área encargada a contactar al Titular para verificar si se presentaba alguna dificultad resolverla.

Esta actuación permite un acercamiento con el Titular y la solución de sus inquietudes, no obstante, por error humano en el proceso, no se contestó a la entidad. “Por la cual se impone una sanción administrativa” Para evitar que situaciones similares se presente, se tomaron correctivos en la Compañía estableciendo que este tipo de requerimientos de autoridades deben dirigirse a la Gerencia de Cumplimiento quien articulará la respuesta por parte de un equipo experto.

Esta Directriz se actualizó en el Manual de Protección de Datos Personales, el cual se adjunta al presente escrito como prueba de la corrección administrativa realizada”.3 Además, la sociedad indicó “en el marco del deber que le asiste a la Compañía de cumplir con los requerimientos realizados por el supervisor, a continuación, se da respuesta a cada una de las solicitudes realizadas en los requerimientos (…), frente a los cuales (como ya se indicó) no se dio respuesta oportuna por un error interno de nuestra compañía”4.

En consecuencia, la sociedad procedió a dar respuesta a los requerimientos realizados por este Despacho5.

SEXTO: Que mediante Resolución N.º 75206 de 29 de noviembre de 2024, este Despacho determinó que contaba con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las siguientes pruebas obrantes en el expediente digital radicado 22-339565, con el valor probatorio correspondiente: 6.1.

Denuncia interpuesta por el titular con radicación 22-339565- -00 del 26 de agosto de 2022 junto con sus anexos: 6.1.1. Solicitud de Protección al Consumidor de fecha 18 de abril del año 2022 ante la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. 6.1.2. Copia Políticas y Procedimientos para el Tratamiento de Datos Personales de la CLÍNICA CASTELLANA S.A.S. 6.1.3.

Copia de las imágenes de las Solicitudes realizadas por el titular. 6.1.4. Copia de las imágenes de los mensajes de texto – mensajes de WhatsApp – llamadas telefónicas – confirmación de citas médicas, de terceros remitidos al celular del titular. 6.1.5. Denuncia interpuesta por el titular ante EPS SURAMERICANA S.A. mediante correo electrónico del 20 de mayo de 2023. 6.2.

Requerimiento de información con radicación 22-339565- -5 del 09 de noviembre de 2022. 6.3. Acuse de correo electrónico certificado con radicación 22-339565- -7 del 09 de noviembre de 2022. 6.4. Segundo requerimiento de información con radicación 22-339565- -9 del 29 de mayo de 2023. 6.5. Acuse de correo electrónico certificado con radicación 22-339565- -10 del 29 de mayo de 2023. 6.6.

Escrito de descargos con radicación 22-339565- -19 del 20 de junio de 2024 junto con los siguientes anexos: 6.6.1. Vinculación EPS SURA_2019. 6.6.2. Anexo 1 _formulario de vinculación _EPS SURA. 6.6.3. Formulario_reporte de novedades_EPS SURA 3 Expediente digital 22-339565. Consecutivo 19. Página 3. Folio 1. 4 Expediente digital 22-339565.

Consecutivo 19. Página 3. Folio 2. 5 Expediente digital 22-339565. Consecutivo 19. Página 3. Folios 2 a 8. “Por la cual se impone una sanción administrativa” 6.6.4. Manual de Políticas y Procedimientos para PDP.

6.6.5. POLITICA GENERAL DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD - 20231026_V03_Politica Seg y Ciber - EPS Suramericana S.A.

SÉPTIMO: Que, la Resolución N.º 75206 de 29 de noviembre de 2024 le fue comunicada el día 2 de diciembre de 2024 al Representante Legal de la investigada; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 22-339565- -23 de fecha de 3 de diciembre de 2024.

OCTAVO: Que transcurrido el término de diez (10) días hábiles concedido en la Resolución N.º 75206 de 29 de noviembre de 2024 la sociedad EPS SURAMERICANA S.A. no presentó escrito alegatos de conclusión.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20116, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el conjunto de pruebas obrantes en el expediente. 6 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.

M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción administrativa” 10.2 Consideraciones Preliminares: Frente a la calidad de Responsable del tratamiento Este Despacho en los requerimientos realizados a la sociedad EPS SURAMERICANA S.A., solicitó, entre otras cosas, dar respuesta a las siguientes preguntas: “2.5 ¿Actúa en calidad de Responsable o Encargado, del Tratamiento, de los datos personales de Titulares contenidos en sus bases de datos? Explique detalladamente la forma en la cual realiza el Tratamiento de los datos de los Titulares. 2.6 ¿Ha celebrado o suscrito contratos, acuerdos y/o convenciones de Transferencia de Datos, por medio de los cuales, en consecuencia, haya recibido o entregado datos personales de Titulares? En caso ser afirmativa la respuesta, remita copia de los contratos, acuerdos, convenciones y/o documentos relacionados que soporten la(s) referida(s) operación(es).” 7 Debido a la falta de respuesta, este Despacho en la Resolución N.° 24264 de 16 de mayo de 2024 “Por la cual se inicia una investigación administrativa y se formulan cargos”, en el numeral tercero estableció: “TERCERO: Que, el literal e) del artículo 3° de la Ley 1581 de 2012 define al Responsable del Tratamiento como “(p)ersona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de dato y/o el Tratamiento de los datos”.

Teniendo en cuenta lo informado por el Titular XXXXX. XXXXXX XXXXXX XXXXXX sobre la presunta afiliación con la sociedad EPS SURAMERICANA S.A., la cual originó la entrega de los datos personales del Titular a esta sociedad, se tendrá, entonces que, la sociedad EPS SURAMERICANA S.A. actuó en calidad de Responsable del Tratamiento de los datos personales del Titular XXXXX.

XXXXXX XXXXXX XXXXXXXXX..”8 No obstante en el escrito de descargos la sociedad dio respuesta a los interrogantes planteados informando: “2.5. (…) Para el caso de EPS SURA, se actúa en calidad de Encargado de SURAMERICANA S.A. sociedad que se encuentra inscrita ante el Registro Nacional de Base de Datos en calidad de Responsable. Valga resaltar que, de acuerdo con la estructura societaria, Suramericana SA. controla de manera directa o indirecta a las compañías de Sura Colombia tal como ocurre con EPS SURA.

Por tal motivo, se ha determinado que es Suramericana S.A. la Responsable del Tratamiento dentro de la organización, mientras que las compañías por ella controladas son Encargadas. Lo anterior parte del hecho de querer suministrar la mayor transparencia posible al Titular y facilitarle su interacción con un solo interlocutor, ya que todas las compañías de Sura Colombia comparten una misma marca (SURA) y, en esa medida, para no confundir al consumidor, se adoptó un único Responsable ante el cual pueda dirigirse.

Incluso, tal como se encuentra en la Política de Protección de Datos Personales y en el Manual de Protección de Datos Personales, existe un único correo para recibir las quejas de los Titulares sobre el accionar de cualquiera de las compañías, este es protecciondedatos@suramericana.com.co, de modo que los Titulares puedan enviar sus consultas y reclamos allí y obtengan un trámite oportuno. En muchos casos las personas no logran diferenciar las competencias y acciones entre distintas entidades, por ejemplo, es común que no diferencien entre una IPS y una EPS, y muchas veces han manifestado que independiente de la compañía se comunican con SURA Por lo anterior, y sumado a que somos un grupo empresarial y utilizamos una misma marca, consideramos que sería más transparente y fácil para los Titulares tener un solo interlocutor que pueda resolver las consultas y reclamos que presenten. 7 Expediente digital 22-339565.

Consecutivo número 5. Página 2, Folio 2. 8 Resolución N.° 24264 de 16 de mayo de 2024. Folio 5. “Por la cual se impone una sanción administrativa” Valga resaltar que la figura de una compañía controlante como responsable del tratamiento no está expresamente regulada en la Ley 1581 de 2012, pero tampoco es ajena al contexto internacional, toda vez que aparece descrita esta posibilidad en los numerales 36 y 37 de Las consideraciones del Reglamento General de Protección de Datos Personales (RGPD) europeo, en et cual incluso se menciona en el artículo 37 la posibilidad de designar un único delegado de protección de datos para todo el grupo empresarial.

En ese orden de ideas, si bien el RGPD europeo no es aplicable a Suramericana SA ni a las compañías de SURA Colombia, se toma como contexto ante el vacío que existe en la regulación colombiana, donde esta figura no aparece expresamente regulada y en esa medida tampoco se encuentra prohibida. Así, se definió un único responsable para la organización, y se firmó un contrato de transmisión de datos personales entre Suramericana SA (responsable) y cada una de LAS COMPAÑÍAS (encargadas).

Esto es informado a los Titulares tanto en la Política de Protección de Datos Personales, como en las autorizaciones que les son solicitadas previo al Tratamiento. 2.6. (…) EPS SURA, actuando en calidad de Encargado de los Datos Personales de los Titulares, no realiza transferencia de datos personales, es el Responsable de los datos, Suramericana SA., quien lleva a cabo dichas acciones.” 9 Por lo anterior, antes de continuar con la presente investigación corresponde a esta Despacho determinar si la sociedad EPS SURAMERICANA S.A. actúa en calidad de encargada del tratamiento.

En este sentido, resulta pertinente señalar que la Ley 1581 de 2012 dispone que el tratamiento de datos personales puede llevarse a cabo en calidad de Responsable o Encargado del tratamiento. De acuerdo con la Ley 1581 de 2012, las definiciones de cada uno son las siguientes: Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

En ese sentido, se denota que el Responsable del tratamiento es el sujeto que decide respecto del tratamiento que se le va a impartir a los datos personales de los Titulares, y el Encargado es quien realiza el tratamiento por cuenta de este. Lo anterior implica que el Responsable del tratamiento es la persona que tiene autonomía en la toma de decisiones sobre el tratamiento de datos, mientras que el Encargado actúa bajo las directrices del Responsable, y este último debe supervisar y garantizar que el Encargado cumpla con las instrucciones y las medidas de seguridad establecidas.

La sociedad en su escrito de descargos sostiene que SURAMERICANA S.A. actúa en condición de Responsable del tratamiento y EPS SURAMERICANA S.A. actúa en condición de Encargada del tratamiento. Para sustentar lo anterior, la sociedad trae a colación la normativa internacional, en concreto, el Reglamento General de Protección de Datos Personales (RGPD) europeo, en el cual en los numerales 36 y 37 de las consideraciones de dicha disposición, se prevé la figura de una compañía controlante como responsable del tratamiento, y se establece la posibilidad de designar un único delegado de protección de datos para todo un grupo empresarial. 9 Expediente digital 22-339565.

Consecutivo número 19. Página 3, Folios 6 a 7. “Por la cual se impone una sanción administrativa” Al respecto, este Despacho se permite aclarar que el reglamento europeo no es aplicable en el territorio colombiano. La existencia de un grupo empresarial conformado por una sociedad matriz y sociedades subordinadas no implica intrínsecamente la existencia de un único Responsable del tratamiento.

Cada sociedad, en el desarrollo de sus actividades económicas como unidad independiente, puede gestionar bases de datos propias sobre las cuales toma decisiones, sin injerencia de la sociedad matriz. Además, aunque la sociedad sostiene que SURAMERICANA S.A. actúa en condición de Responsable del tratamiento y EPS SURAMERICANA S.A. actúa en condición de Encargada del tratamiento, este Despacho evidencia que la sociedad omitió allegar el contrato de transmisión de datos, suscrito entre las partes.

Al respecto, este Despacho destaca que firmar un contrato de trasmisión de datos entre Responsable y Encargado del tratamiento no es solo una formalidad, sino que es una herramienta esencial para garantizar la protección de los datos personales de los Titulares, delimitar responsabilidades y cumplir con la legislación vigente. Este contrato protege tanto a las sociedades, como a los titulares por cuanto establece un marco claro para el manejo de la información de los Titulares.

En efecto, es importante tener presente que el contrato de transmisión de datos personales es un acuerdo jurídico entre el Responsable y el Encargado del tratamiento de datos personales, el cual establece las condiciones bajo las cuales el Encargado realizará el tratamiento de los datos por cuenta del Responsable, asegurando que las operaciones realizadas cumplan con las disposiciones legales y garanticen la protección de los derechos de los titulares de los datos personales.

Frente a este tipo de contrato, el Decreto Único Reglamentario 1074 de 2015 establece que: “ARTÍCULO 2.2.2.25.5.2. Contrato de transmisión de datos personales. El contrato que suscriba el Responsable con los encargados para el tratamiento de datos personales bajo su control y responsabilidad señalará los alcances del tratamiento, las actividades que el encargado realizará por cuenta del responsable para el tratamiento de los datos personales y las obligaciones del Encargado para con el titular y el Responsable.

Mediante dicho contrato el Encargado se comprometerá a dar aplicación a las obligaciones del Responsable bajo la política de Tratamiento de la información fijada por este y a realizar el Tratamiento de datos de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables. Además de las obligaciones que impongan las normas aplicables dentro del citado contrato, deberán incluirse las siguientes obligaciones en cabeza del respectivo encargado: 1.

Dar Tratamiento, a nombre del Responsable, a los datos personales conforme a los principios que los tutelan. 2. Salvaguardar la seguridad de las bases de datos en los que se contengan datos personales. 3. Guardar confidencialidad respecto del tratamiento de los datos personales.” Como se denota, este tipo de contrato señala los alcances del tratamiento, las actividades que el Encargado realizará por cuenta del Responsable para el tratamiento de los datos personales y las obligaciones del Encargado para con el Titular y el Responsable.

Por lo anterior, el contrato actúa como prueba de que el Responsable adoptó medidas legales y organizativas para garantizar un tratamiento adecuado de los datos personales por parte del encargado del tratamiento, y proporciona una base contractual sólida para exigir el cumplimiento de estándares de seguridad por parte del Encargado. “Por la cual se impone una sanción administrativa” Sin embargo, en el presente caso, como la sociedad omitió allegar el contrato de transmisión de datos suscrito entre las partes no es posible determinar si el tratamiento de datos realizado por la sociedad EPS SURAMERICANA S.A. se efectúa en calidad de Encargada de la sociedad SURAMERICANA S.A. En ese sentido, este Despacho evidencia que no existe prueba, si quiera sumaria, de que la sociedad EPS SURAMERICANA S.A. actúa en calidad de Encargada de la sociedad SURAMERICANA S.A..

Ahora bien, conforme a los formatos aportados por la sociedad EPS SURAMERICANA S.A. ante este Despacho, se advierte que si bien el Titular otorgó una autorización general a Suramericana S.A., sus filiales y subsidiarias para contactarlo con fines de ofrecimiento de productos y servicios, el Titular otorgó autorización expresa y Directa a la sociedad EPS SURAMERICANA S.A. para: (i) solicitar y obtener datos y copia de su historia clínica;

(ii) reportar la información derivada del reporte de novedades; y (iii) remitir información a su correo electrónico o a su número de celular mediante mensajes de texto, según se evidencia a continuación: Captura Núm. 4. Anexos aportados por la sociedad EPS SURAMERICANA S.A. el 20 de junio de 2024 con número de radicado 22-339565-19, Página 7, folio 2.

En este contexto, se establece que el Titular otorgó autorización directa a la sociedad EPS SURAMERICANA S.A. para el envío de información a su correo electrónico y/o a su número de celular. En consecuencia, resulta claro que la mencionada entidad es la responsable de determinar el tratamiento de los datos personales de contacto del Titular, en particular, su número telefónico.

Lo anterior se corrobora con los mensajes efectivamente remitidos y las llamadas realizadas al Titular, conforme se evidencia a continuación: (ESPACIO EN BLANCO) “Por la cual se impone una sanción administrativa” Captura Núm. 5. Anexo de la denuncia interpuesta el 26 de agosto de 2022 con número de radicado 22-339565-0, Página 6, Folio 2.

Captura Núm. 6. Anexo de la denuncia interpuesta el 26 de agosto de 2022 con número de radicado 22-339565-0, Página 8, Folio 1. “Por la cual se impone una sanción administrativa” Captura Núm. 7. Anexo de la denuncia interpuesta el 26 de agosto de 2022 con número de radicado 22-339565-0, Página 6, Folio 5. Captura Núm. 8. Anexo de la denuncia interpuesta el 26 de agosto de 2022 con número de radicado 22-339565-0, Página 8, Folio 2.

“Por la cual se impone una sanción administrativa” Captura Núm. 9. Anexo de la denuncia interpuesta el 26 de agosto de 2022 con número de radicado 22-339565-0, Página 8, Folio 2. Captura Núm. 10. Anexo de la denuncia interpuesta el 26 de agosto de 2022 con número de radicado 22-339565-0, Página 7, Folio 3. “Por la cual se impone una sanción administrativa” En consecuencia, dado que la denuncia formulada por el Titular se fundamenta en el envío de mensajes y la realización de llamadas telefónicas al número XXx XXx XXXx, mediante las cuales se suministraba información relacionada con la programación de citas médicas de terceros sin vínculo alguno con él, y considerando que el Titular otorgó autorización expresa a la sociedad para remitirle información a su número de celular, se puede establecer que, en el presente caso, la EPS ostenta la calidad de Responsable del tratamiento de los datos del señor XXXXX.

XXXXXX XXXXXX XXXXXXXXX.. Así, con fundamento en los elementos probatorios analizados, se concluye que la sociedad EPS SURAMERICANA S.A. actúa en calidad de Responsable del tratamiento de los datos personales del señor XXXXX. XXXXXX XXXXXX XXXXXXX, en virtud de la autorización expresa y directa otorgada por el Titular. Además, ante la ausencia del contrato de transmisión de datos que permita establecer la existencia de una relación de Encargado del tratamiento entre EPS SURAMERICANA S.A. y Suramericana S.A., no es posible determinar que el tratamiento de datos personales realizado por la primera obedezca a instrucciones de la segunda.

Finalmente, la evidencia aportada en la denuncia confirma que la EPS SURAMERICANA S.A. fue la entidad que determinó el envío de mensajes y la realización de llamadas al Titular, lo que ratifica su calidad de Responsable del tratamiento de sus datos personales. 10.3 Valoración probatoria 10.3.1. Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente: “Artículo 21.

Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

(…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” “Por la cual se impone una sanción administrativa” En esta medida, es claro que los Responsables deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

En el caso objeto de estudio, el señor XXXXXXX. XXXXXXXX. XXXXXXx XXX, identificado con cédula de ciudadanía número X.XXX.XXX.XX. y en calidad de “Investigador Judicial y Criminalístico, perteneciente a la División de Tareas Estratégicas de la Oficina de Investigación Judicial & Defensorial”, informó que, presuntamente la sociedad EPS SURAMERICANA S.A. estuvo realizando conductas violatorias del Régimen de Protección de datos Personales10.

Al respecto indicó: “Conducta irregular la cual está siendo ejecutada por la entidad SURA EPS y su filial CLÍNICA CASTELLANA de la ciudad de Cali teniendo en cuenta que por parte de dichas entidades de salud envían mensajes de texto confirmando CITAS MÉDICAS Y OTROS TRÁMITES al abonado celular XXxXXxXXXx propiedad de XXXXX. XXXXXX XXXXXX XXXXXXXXX. persona natural que no tiene ningún vínculo laboral – administrativo o comercial con las entidades objeto de investigación.” 11 Por lo anterior, debido a la denuncia interpuesta, esta Superintendencia requirió el 9 de noviembre de 2022 a la sociedad EPS SURAMERICANA S.A. mediante oficio de radicado 22-339565- -5 y enviado a la dirección electrónica de notificación judicial “notificacionesjudiciales@suramericana.com.co”12, para que informara: “(…) 1.

Respecto del Titular XXXXX. XXXXXX XXXXXX XXXXXXXXX., C.C. X.XXX.XXX.XX.: 1.1. ¿Tiene algún tipo de relación contractual y/o comercial con el/la Titular XXXXX. XXXXXX XXXXXX XXXXXXXXX.? En caso afirmativo remita copia del documento y/o contrato mediante el cual se acredite su respuesta. 1.2. ¿Cuenta con la autorización expresa, previa e informada del Titular XXXXX.

XXXXXX XXXXXX XXXXXXXXX. para la recolección y Tratamiento de sus datos personales? En caso afirmativo, allegue copia de la prueba de dicha autorización. 1.3. ¿Informó al Titular XXXXX. XXXXXX XXXXXX XXXxXXXXXX. las finalidades de la recolección de sus datos y los derechos que le asisten como consecuencia de la autorización otorgada? En caso afirmativo, allegue prueba de su respuesta. 1.4.

¿Ha recibido comunicaciones, derechos de petición, consultas y/o reclamos, verbales y/o escritos, por parte del Titular XXXXX. XXXXXX XXXXXX XXXXXXXXX., en razón del Tratamiento de sus datos personales? En caso afirmativo, allegue copia de estos y sus respuestas; en caso de haber sido verbales, documéntelos para efecto de la presente solicitud. 1.5.

¿Ha transmitido o trasferido datos personales, en particular sensibles y/o biométricos, del Titular XXXXX. XXXXXX XXXXXX XXXXXxXXXX., en razón del Tratamiento de sus datos personales? En caso afirmativo, allegue copia de estos y sus respuestas; en caso de haber sido verbales, documéntelos para efecto de la presente solicitud. 1.6. ¿Cómo recolectó el número celular XXxXXxXXXx, de propiedad del Titular XXXXX.

XXXXXX XXXXXX XXXXXXXXX. identificado con cédula de ciudadanía número X.XXX.XXX.XX.? Acredite su respuesta. 10 Expediente digital 22-339565. Consecutivo número 0. Página 2. Folios 1 a 2. 11 Expediente digital 22-339565. Consecutivo número 0. Página 2. Folio 2. 12 Expediente digital 22-339565. Consecutivo número 5. Página 1. Folios 1. “Por la cual se impone una sanción administrativa” 2.

Respecto del cumplimiento del Régimen General de Protección de Datos Personales establecido en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015 (Capitulo 25), informe: 2.1. Informe y acredite sobre el mecanismo para la recolección de los datos personales que obran en sus bases de datos, y enuncie los tipos de datos puntuales con los que cuenta. 2.2.

¿Cuenta con la autorización expresa, previa e informada de cada uno de los Titulares cuyos datos se encuentran almacenados en sus bases de datos? Acredite su respuesta. 2.3. ¿Informa a cada uno de los Titulares cuyos datos se encuentran contenidos en sus bases de datos, acerca de las finalidades de la recolección de sus datos y los derechos que le asisten en virtud de la autorización otorgada? En caso afirmativo, allegue prueba de su respuesta. 2.4.

¿Ha recibido comunicaciones, derechos de petición, consultas y/o reclamos, verbales y/o escritos, por parte de los Titulares cuyos datos se encuentran contenidos en sus bases de datos? En caso afirmativo, informe sobre los mismos, indicando nombre del Titular solicitante, número de identificación, fecha de la consulta y/o reclamo, resumen del motivo, fecha de entrega de respuesta a Titular, y resumen de la respuesta. 2.5.

¿Actúa en calidad de Responsable o Encargado, del Tratamiento, de los datos personales de Titulares contenidos en sus bases de datos? Explique detalladamente la forma en la cual realiza el Tratamiento de los datos de los Titulares. 2.6. ¿Ha celebrado o suscrito contratos, acuerdos y/o convenciones de Transferencia de Datos, por medio de los cuales, en consecuencia, haya recibido o entregado datos personales de Titulares? En caso ser afirmativa la respuesta, remita copia de los contratos, acuerdos, convenciones y/o documentos relacionados que soporten la(s) referida(s) operación(es). 2.7.

Aporte copia del Manual de procedimientos implementado al interior de la sociedad para la recolección, almacenamiento, uso circulación y supresión de la información, vigente a la fecha de la respuesta al presente requerimiento. 2.8. Aporte copia del Manual de procedimientos implementado al interior de la sociedad para la atención de consultas y reclamos de los Titulares de la información, vigente a la fecha de la respuesta al presente requerimiento. 2.9.

Remita copia de la(s) Políticas(s) de Tratamiento implementadas por la sociedad, para el manejo de datos personales, vigente(s) a la fecha de la respuesta al presente requerimiento. 2.10. Remita copia de la Política de Seguridad de la información desarrollada e implementada por la Entidad, en relación con la conservación de la información y los datos personales de los Titulares, a fin de impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

(…)”13. Ante la falta de respuesta de la sociedad investigada frente al requerimiento realizado, esta Dirección procedió a requerir nuevamente a la sociedad EPS SURAMERICANA S.A. mediante oficio de radicado N.°22-339565- -9 de fecha de 29 de mayo de 2023, enviado a la dirección electrónica de notificación judicial “notificacionesjudiciales@suramericana.com.co”14, para que suministrara respuesta a los interrogantes planteados anteriormente.

Como se evidencia, esta Dirección requirió en dos oportunidades a la sociedad EPS SURAMERICANA S.A. a la dirección de correo electrónico ‘notificacionesjudiciales@suramericana.com.co’, dirección registrada como dirección electrónica de notificación judicial como se videncia a continuación: 13 Expediente digital 22-339565. Consecutivo número 9.

Página 1, Folio 1. 14 Expediente digital 20-35875. Consecutivo número 9. Página 1. Folio 1. “Por la cual se impone una sanción administrativa” Imagen No. 11. Captura de Pantalla tomada del Registro Único Empresarial y Social de la sociedad EPS SURAMERICANA S.A. expedido por la Cámara de Comercio de Medellín. Por lo tanto, dado que la sociedad EPS SURAMERICANA S.A. no se pronunció frente a los requerimientos realizados por este Despacho, y los mismo fueron entregados en debida forma a la dirección de correo electrónico “notificacionesjudiciales@suramericana.com.co’” registrada como dirección electrónica de notificación judicial dentro del Certificado de Existencia y Representación Legal de la sociedad, la Dirección de Investigación de Protección de Datos Personales de esta Superintendencia mediante Resolución N°. 24264 de 16 de mayo de 2024, decidió formular pliego de cargos en contra de la sociedad EPS SURAMERICANA S.A., por la presunta infracción de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención, toda vez que la sociedad “a pesar de que ambos requerimientos fueron enviados a la dirección de correo electrónico (…) no se pronunció al respecto”15.

Al respecto, la sociedad EPS SURAMERICANA S.A. en el escrito de descargos se pronunció en relación con los hechos descritos por el Titular en la denuncia. No obstante, tomando en consideración que estos pronunciamientos no guardan relación con el cargo formulado, el cual está relacionado con la falta de respuesta por parte de la sociedad a los requerimientos realizados por esta Despacho, los mismos no serán analizados.

Ahora bien, la sociedad EPS SURAMERICANA S.A. frente al cargo único formulado indicó “Frente al cargo formulado manifestamos la aceptación expresa de la infracción ya que, al revisar nuestro sistema de información efectivamente se encontró el registro de los dos (2) requerimientos, sin embargo, en su momento no se dio respuesta a la SIC sino que se procedió desde el área encargada a contactar al 15Resolución N°. 24264 de 16 de mayo de 2024.

Folio 7. “Por la cual se impone una sanción administrativa” Titular para verificar si se presentaba alguna dificultad resolverla. Esta actuación permite un acercamiento con el Titular y la solución de sus inquietudes, no obstante, por error humano en el proceso, no se contestó a la entidad. Para evitar que situaciones similares se presente, se tomaron correctivos en la Compañía estableciendo que este tipo de requerimientos de autoridades deben dirigirse a la Gerencia de Cumplimiento quien articulará la respuesta por parte de un equipo experto.

Esta Directriz se actualizó en el Manual de Protección de Datos Personales, el cual se adjunta al presente escrito como prueba de la corrección administrativa realizada”.16 Además, la sociedad indicó “en el marco del deber que le asiste a la Compañía de cumplir con los requerimientos realizados por el supervisor, a continuación, se da respuesta a cada una de las solicitudes realizadas en los requerimientos (…), frente a los cuales (como ya se indicó) no se dio respuesta oportuna por un error interno de nuestra compañía”17.

En consecuencia, la sociedad procedió a dar respuesta a los requerimientos realizados por este Despacho18. Así las cosas, este Despacho encuentra probado que la sociedad fue requerida en dos oportunidades por la Superintendencia de Industria y Comercio a la dirección de correo electrónico obrante en el Certificado de Existencia y Representación Legal de la sociedad, y la sociedad no brindó respuesta dentro del término legal concedido como fue aceptado por la misma.

La sociedad menciona que se tomaron correctivos, donde la directriz fue “que este tipo de requerimientos de autoridades deben dirigirse a la Gerencia de Cumplimiento quien articulará la respuesta por parte de un equipo experto” 19, y aportó el documento: - Manual de políticas y procedimientos para la protección de datos personales20, en el cual se indica: “Para el caso de requerimientos de la Superintendencia de Industria y Comercio u otra autoridad competente, estos suelen ser recibidos por los correos de notificaciones judiciales (notificacionesjudiciales@suramericana.com.co) o de requerimientos externos (RqExt@suramericana.com.co), y de allí deben ser asignados al equipo de Compliance, para que desde allí se realice el análisis del caso y se genere la respuesta a la entidad dentro del tiempo otorgado, dejando la trazabilidad respectiva. 21 En este sentido, este Despacho destaca la importancia de que los responsables del tratamiento de datos implementen procedimientos internos robustos que aseguren una respuesta adecuada y oportuna a los requerimientos formulados por las autoridades competentes, así como la debida protección de los derechos de los titulares de la información. En el caso concreto, al haberse acreditado que la sociedad cuenta con un mecanismo interno para atender de manera diligente los requerimientos de las autoridades de control, esta Dirección se abstendrá de impartir una orden administrativa al respecto.

No obstante, toda vez que se constató que la sociedad EPS SURAMERICANA S.A. incumplió el deber de acatar las instrucciones y requerimientos emitidos por la Superintendencia de Industria y Comercio, obligación establecida en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma norma, este Despacho procederá a imponer la sanción correspondiente.

Sin perjuicio de lo anterior, se tendrá en cuenta que la sociedad investigada reconoció expresamente la comisión de la infracción, circunstancia que será valorada como criterio de atenuación conforme a lo dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012. 16 Expediente digital 22-339565. Consecutivo 19. Página 3. Folio 1. 17 Expediente digital 22-339565.

Consecutivo 19. Página 3. Folio 2. 18 Expediente digital 22-339565. Consecutivo 19. Página 3. Folios 2 a 8. 19 Expediente digital 22-339565. Consecutivo 19. Página 3. Folio 2. 20 Expediente digital 22-339565. Consecutivo 19. Página 8. 21 Expediente digital 22-339565. Consecutivo 19. Página 8. Folio 16. “Por la cual se impone una sanción administrativa”

DÉCIMO PRIMERO: Conclusiones Por lo expuesto, se evidencia que esta Dirección requirió en dos oportunidades a la sociedad EPS SURAMERICANA S.A. para que se pronunciara sobre los hechos expuestos en la denuncia presentada por el titular XXXXX. XXXXXX XXXXXX XXXXXXXXX y, asimismo, acreditara el cumplimiento del Régimen General de Protección de Datos Personales.

No obstante, vencido el plazo otorgado para dar respuesta, la sociedad guardó silencio frente a los requerimientos, a pesar de haber contado con la oportunidad para pronunciarse, incurriendo así en el incumplimiento de su obligación legal de atender las instrucciones y requerimientos impartidos por la Superintendencia de Industria y Comercio.

Sin perjuicio de lo anterior, dado que la sociedad investigada reconoció expresamente la comisión de la infracción, dicho reconocimiento será considerado como criterio de atenuación conforme a lo dispuesto en el literal f) del artículo 24 de la Ley 1581 de 2012.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2322. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 223, 424 y 625 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo26.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”27 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: 22“Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 24 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 25 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) 26 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);

Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 27 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. “Por la cual se impone una sanción administrativa” “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional28.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente:

ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole 28 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa” aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional29 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”30 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la 29 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 30 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción administrativa” empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros31. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”32.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia33. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2334 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: 31 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 32 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 34 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa” a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “2.23. EXÁMEN DEL ARTÍCULO 24: CRITERIOS PARA GRADUAR LAS SANCIONES (…) 2.23.3. La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (…)35 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, frente al cargo único sobre el presunto incumplimiento del deber consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención, 35Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.

“Por la cual se impone una sanción administrativa” quedó acreditado que la sociedad EPS SURAMERICANA S.A. omitió dar respuesta a los dos requerimientos formulados por esta Dirección en el marco de la denuncia presentada por el titular XXXXX. XXXXXX XXXXXX XXXXXXXXX.. Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de TRESCIENTOS (300) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a TREINTA Y CUATRO MIL OCHOCIENTOS (34.800) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a CUATROCIENTOS DOS MILLONES NUEVE MIL SEISCIENTOS PESOS M/CTE ($402.009.600)36, por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención. La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 12.1.2 Reconocimiento o aceptación sobre la comisión de la infracción En la medida en que la investigada aceptó que “Frente al cargo formulado manifestamos la aceptación expresa de la infracción ya que, al revisar nuestro sistema de información efectivamente se encontró el registro de los dos (2) requerimientos, sin embargo, en su momento no se dio respuesta a la SIC”37, este Despacho tendrá en cuenta la aceptación como criterio atenuante de la sanción. Por ello, el monto de la sanción impuesta será reducido a DOSCIENTOS VEINTICINCO (225) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTISÉIS MIL CIEN (26.100) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a TRESCIENTOS UN MILLONES QUINIENTOS SIETE MIL DOSCIENTOS PESOS M/CTE ($301.507.200), por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención. La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 12.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad EPS SURAMERICANA S.A. identificada con Nit. 800.088.702-2, con el correo electrónico de notificación judicial notificacionesjudiciales@suramericana.com.co, quien debe registrarse 36 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 37 Expediente digital 22-339565.

Consecutivo 19. Página 3. Folio 1. “Por la cual se impone una sanción administrativa” en CALIDAD DE EMPRESA, en https://servicioslinea.sic.gov.co/servilinea/inicio. el siguiente enlace Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-339565.

La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello. Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad EPS SURAMERICANA S.A., con NIT. 800.088.702-2, de DOSCIENTOS VEINTICINCO (225) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTISÉIS MIL CIEN (26.100) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a TRESCIENTOS UN MILLONES QUINIENTOS SIETE MIL DOSCIENTOS PESOS M/CTE ($301.507.200)38, por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención. Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad EPS SURAMERICANA S.A., con NIT. 800.088.702-2 a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 3: COMUNICAR la presente decisión al señor XXXXX. XXXXXX XXXXXX XXXXXXXXXX., identificado con cédula de ciudadanía número X.XXX.XXX.XX..

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: • Correo Superintendencia Comercio: contactenos@sic.gov.co de Industria y 38 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa” • Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 23 de abril de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.04.23 13:28:34 -05'00' CAROLINA GARCÍA MOLINA Elaboró: LA Revisó: YA Aprobó: CG NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: EPS SURAMERICANA S.A. NIT. 800.088.702-2 PABLO FERNANDO OTERO RAMÓN C.C. 91.249.330 notificacionesjudiciales@suramericana.com.co Rqext@suramericana.com.co Carrera 63 # 49A-31 PISO

1. EDIFICIO CAMACOL MEDELLÍN – ANTIOQUIA COMUNICACIÓN Señor: Identificación: Correo electrónico: Dirección: Ciudad: XXXXX. XXXXXX XXXXXX XXXXXXXXX C.C. No. X.XXX.XXX.XX. XXXXX. XXXXXX XXXXXX xxxxxxxxxxxxxxxxx XXX- XXXXXXXXXXXX - XXXXXXX

Resolución sancionatoria N° 22302 de 2025

CONSIDERANDO

RESUELVE