(21 de noviembre 2025) “Por la cual se resuelve un recurso de apelación” Radicación 22-339565 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16, del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Que mediante escrito radicado con el No. 22-339565-00 del 26 de agosto de 2022, el señor xxxxxx xxxxxx xxxxxxxxx xxxxxx presentó una queja en contra de EPS SURAMERICANA S.A. (en adelante Suramericana), por la presunta vulneración a su derecho constitucional al habeas data.
SEGUNDO. Que con el fin de garantizar el debido proceso, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección) a través de los oficios número 22-339565-5 del 9 de noviembre de 2022 y 22339565-9 del 29 de mayo de 2023, remitió copia de la queja presentada, así mismo, solicitó respuesta a varios interrogantes relacionados con los hechos señalados por el quejoso.
TERCERO. Que de acuerdo con lo verificado en el sistema de trámites de la entidad, Suramericana no dio respuesta a los citados requerimientos.
CUARTO. Que la Dirección, mediante la Resolución No. 24264 del 16 de mayo de 2024, decidió abrir una investigación administrativa y formular cargos en contra de Suramericana por el presunto incumplimiento del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, (cumplir instrucciones y requerimientos) en concordancia con los literales (b), (e) y (f) del artículo 21 de la misma norma.
QUINTO. Que una vez agotada la etapa probatoria y efectuado el análisis del escrito de descargos1 y de los diferentes medios probatorios allegados al expediente, la Dirección, mediante Resolución No. 22302 del 23 de abril de 2025, resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad EPS SURAMERICANA S.A., con NIT. 800.088.702-2, de DOSCIENTOS VEINTICINCO (225) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a VEINTISÉIS MIL CIEN (26.100) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a TRESCIENTOS UN MILLONES QUINIENTOS SIETE MIL DOSCIENTOS PESOS M/CTE ($301.507.200), por la vulneración a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención”.
SEXTO. Que Suramericana a través de su Representante Legal (en adelante la recurrente), mediante escrito radicado con el número 22-339565-33 del 16 de mayo de 2025, presentó recurso de reposición y en subsidio de apelación2 en Mediante Oficio No. 22-339565-19 el Representante Legal de SURAMERICANA presentó el escrito de Descargos. La Resolución No. 22302 del 23 de abril de 2025, fue notificada a SURAMERICANA mediante aviso el día 5 de mayo de 2025.
“Por la cual se resuelve un recurso de apelación” contra de la decisión contenida en la Resolución No. 22302 del 23 de abril de 2025, indicando como principales argumentos los siguientes: 6.1 La imposición de la sanción no tuvo en cuenta los principios de razonabilidad y proporcionalidad. a. Frente a los criterios de graduación de la sanción. Indica la recurrente que esta Superintendencia luego de realizar el análisis respectivo determinó que únicamente tendría en cuenta para la atenuación de la sanción los criterios relacionados con la dimensión del daño o peligro de los intereses jurídicos y el reconocimiento o aceptación sobre la comisión de la infracción, dejando de lado los demás criterios señalados en los literales b), c), d) e) y f) del artículo 24 de la Ley 1581 de 2012.
Considera que, para asegurar una sanción proporcional y razonable, así como respetar los principios de proporcionalidad y debido proceso, era necesario realizar el siguiente análisis: • La Compañía no obtuvo un beneficio económico a raíz del incumplimiento. • Es la primera vez que EPS SURA incurre en la infracción y no hay antecedentes sancionatorios.
La Compañía ha atendido la totalidad de los requerimientos de la SIC de forma oportuna. • El incumplimiento se debió a sendos errores humanos en la asignación del requerimiento, pero la Compañía cuenta con un proceso para dar respuesta a este tipo de requerimientos y con un equipo especializado, tal y como se evidenció en el manual de políticas y procedimientos para la protección de datos personales allegado durante la investigación. b. En cuanto a la materialidad del daño. Sostiene la recurrente que, si bien para desplegar la acción sancionatoria basta con la puesta en peligro los intereses jurídicos tutelados, en este caso, por no haber atendido los requerimientos de la autoridad, es necesario tener en cuenta que tales intereses tutelados se concentran en el derecho fundamental a la privacidad del titular quejoso.
Indica que, en esa medida, pese a que no se dio respuesta a los dos requerimientos realizados, sí se llevó a cabo la corrección solicitada por el titular, por lo que el derecho fundamental del titular no se afectó por la ausencia de estas respuestas. Afirma que, si bien en el presente caso es procedente la imposición de una sanción, la Superintendencia dispone de medios menos fuertes y que resultan más ajustados al hecho objeto de censura, tal como la amonestación escrita.
Considera que resulta ser una forma más proporcional de imponer una sanción, teniendo en cuenta además que durante el proceso administrativo sancionatorio la Compañía estuvo atenta a entregar toda la información que le fue solicitada. c. En cuanto al promedio de sanciones impuestas por los mismos hechos. En este aparte del recurso, el recurrente relaciona 10 resoluciones mediante las cuales fueron sancionadas diferentes sociedades por el incumplimiento del mismo deber, esto es, el previsto en el literal o, del artículo 17 de la Ley 1581 de 2012.
Señala, asimismo, que la sanción más alta de este grupo de casos rondaba apenas los $10.000.000. A partir de esta relación, afirma la recurrente, el monto de la sanción por $301.000.000 desconoce los principios de proporcionalidad, razonabilidad y equidad, sobre todo en tanto la misma no se sustenta en circunstancias objetivamente más graves que las de los casos históricos documentados.
“Por la cual se resuelve un recurso de apelación” d. Debida diligencia correctivas. en cuanto la implementación de medidas Sostiene el recurrente que, como se mencionó “la omisión en la respuesta a los requerimientos de la SIC” se debió a un error humano en la clasificación y asignación de estos, sin que existiera la intención de incumplir las obligaciones legales.
Que la Compañía ha demostrado su debida diligencia al tomar acciones correctivas tales como la documentación de un procedimiento interno más robusto, la canalización obligatoria de los requerimientos a la Gerencia de Cumplimiento y la respuesta integral a los requerimientos omitidos tan pronto se identificó el error. Estas actuaciones son indicativas de una voluntad genuina de cumplimiento y, en consecuencia, deben ser consideradas por la SIC.
Afirma que la adopción de medidas correctivas documentadas y efectivas debe ser considerada como circunstancia atenuante de responsabilidad administrativa, en aplicación de los principios de proporcionalidad y buena fe. Señala que la SIC ha valorado favorablemente este tipo de actuaciones en casos anteriores, reconociendo que la verdadera finalidad del régimen sancionador es fomentar el cumplimiento y no castigar de forma automática errores no dolosos ya corregidos.
En este punto cita la Resolución 1234 de 2023.
SÉPTIMO. Que la Dirección, mediante Resolución No. 75689 del 26 de septiembre de 2025, resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 22302 del 23 de abril de 2025.
OCTAVO. Que, de conformidad con lo establecido en el artículo 80 del CPACA, se resolverá el recurso de apelación interpuesto, de acuerdo con las siguientes consideraciones: 8.1 Respecto de la proporcionalidad de la sanción impuesta. Análisis de los criterios de graduación de la Ley 1581 de 2012. En términos generales, el derecho administrativo sancionador pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no solo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.
Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas.”3 En un pronunciamiento reciente, la Corte Constitucional4 sostuvo que el derecho administrativo sancionador “es una manifestación del ius puniendi estatal”5.
Esto es, de la facultad que tiene el Estado para sancionar las conductas que se consideran reprochables. Dada su naturaleza, es una rama del derecho público que está sometida a unos principios “que operan como límite”6, entre ellos, los principios de legalidad y tipicidad7. Dicha potestad se desarrolla materialmente bajo el procedimiento administrativo establecido en el CPACA, encontrándose sujeta a los principios establecidos en el artículo 3 de la citada codificación. De conformidad con lo establecido en el citado artículo8, las actuaciones sancionatorias definidas en el artículo 47 y siguientes del CPACA, se Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005.
MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm Sentencia C- 094 de 2021 Sentencia C-412 de 2015. Ib. La Corte Constitucional también ha considerado como principios del derecho administrativo sancionador el debido proceso, el principio de proporcionalidad y la independencia entre la sanción administrativa y la sanción penal (cfr., sentencia C-748 de 2011, citada por la sentencia C-412 de 2015).
La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales. Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA.
Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 “Por la cual se resuelve un recurso de apelación” desarrollarán, con arreglo al principio del debido proceso9, en virtud del cual, se tendrán en cuenta las normas de procedimiento y competencia establecidas en la Constitución y la Ley, con plena garantía de los derechos de representación, defensa y contradicción, así como del principio de legalidad de las faltas y de las sanciones.
En lo que tiene que ver con el principio de legalidad, la doctrina ha indicado que su finalidad es garantizar la libertad de los titulares y controlar la arbitrariedad judicial y administrativa mediante el señalamiento legal previo de las penas aplicables. Y aunque la doctrina y la jurisprudencia han reconocido que el derecho administrativo sancionador no tiene la misma rigurosidad exigible en materia penal, aun así, el comportamiento sancionable debe ser preciso, como también debe serlo la sanción correspondiente, a fin de garantizar el derecho al debido proceso al que alude el artículo 29 Superior10.
Respecto al principio de tipicidad se ha dicho que el legislador está obligado a describir la conducta o comportamiento que se considera ilegal o ilícito en la forma más clara y precisa posible, de modo que no quede duda alguna sobre el acto, el hecho, la omisión o la prohibición que da lugar a sanción, e igualmente debe predeterminar la sanción indicando todos aquellos aspectos relativos a ella, esto es, la clase, el término, la cuantía, o el mínimo y el máximo dentro del cual puede fijarse, la autoridad competente para imponerla y el procedimiento que ha de seguirse para su imposición11.
Ahora, en materia de protección de datos personales, la potestad sancionadora de esta Superintendencia se concreta en el artículo 22 de la Ley 1581 de 2012, el cual establece que, para la imposición de una sanción deberá determinarse que hubo una vulneración a las disposiciones descritas en la citada Ley. Mediante sentencia C–748 de 2011, la Corte Constitucional al estudiar la constitucionalidad del proyecto de artículo 22 antes mencionado, manifestó: “Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción285.
(iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar286.
(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal. Estos principios son los que debe cumplir cada una de las normas del capítulo en revisión. El artículo 22, inciso primero, cumple con el principio del debido proceso, en la medida en que señala que le corresponderá a la Superintendencia de Industria y Comercio adoptar las medidas y sancionar a los responsables y encargados del tratamiento de datos.
Por tanto, se cumple con la obligación de designar la autoridad competente para imponer las sanciones por el desconocimiento de las normas de protección del dato. En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de Efectivamente, el artículo 29 de la Constitución Política, establece que el “debido proceso” se aplicará a toda clase de actuaciones judiciales y administrativas, así mismo indica que “nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio”, aspectos que se materializan en los principios de legalidad y tipicidad.
Restrepo Medina, MANUEL ALBERTO. Nieto Rodríguez MARÍA ANGELICA. El Derecho Administrativo Sancionador en Colombia. Editorial Universidad del Rosario. Legis. Bogotá Colombia Primera Edición 2017. Ibidem “Por la cual se resuelve un recurso de apelación” ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.
De esta misma generalidad adolecía el proyecto que dio origen a la Ley 1266 de 2008, y la Corte, en la sentencia C-1011 de 2008, interpretó que la infracción administrativa la constituía el desconocimiento de los deberes de los usuarios, fuentes y operadores. Esa interpretación será la misma que empleará en esta oportunidad la Sala para declarar la exequibilidad del inciso primero del artículo 22, cuando se refiere al “incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento”.
La facultad sancionadora a la cual se ha hecho referencia, además de encontrarse sujeta a los principios de legalidad y tipicidad, lo está también al principio de proporcionalidad. Según el cual, la sanción a imponer debe ser “proporcional” a la falta o infracción que se quiere sancionar, esto dentro de un marco de referencia que permita la determinación de la sanción en el caso concreto.
En desarrollo de los citados principios, la Ley 1581 de 2012 en sus artículos 23 y 24 establece las clases de sanciones y los criterios que deben ser tenidos en cuenta para efectos de su graduación. “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
(…)
ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
La Corte Constitucional en sentencia C-748 de 2011, respecto de los criterios de graduación establecidos en el artículo 24 de la Ley 1581 de 2012, manifestó lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.
(resaltado fuera de texto) Siguiendo el citado lineamiento, la Dirección, al momento de graduar la sanción impuesta, consideró, conforme a los hechos del caso, a la conducta investigada y a las pruebas allegadas, aplicar únicamente el criterio de agravación establecido en el literal a) del ya citado artículo 24, y no los criterios de agravación establecidos en los literales b), c), d) y e).
En efecto, no empleó estos criterios para la agravación de la sanción en tanto y en cuanto, Suramericana: (i) (ii) (iii) (iv) No obtuvo un beneficio económico en virtud de la comisión de la infracción. No reincidió en la comisión de la falta investigada. No se resistió ni obstruyó la acción investigadora de esta Superintendencia. No fue renuente al cumplimiento de las órdenes impartidas por esta Superintendencia. “Por la cual se resuelve un recurso de apelación” Por otra parte, al estudiar el literal f) del artículo 24, la Dirección decidió atenuar el valor inicialmente considerado como multa, teniendo en cuenta que Suramericana aceptó de manera expresa la comisión de la conducta sancionada, en el escrito de descargos, manifestó: “Frente al cargo formulado manifestamos la aceptación expresa de la infracción ya que, al revisar nuestro sistema de información efectivamente se encontró el registro de los dos (2) requerimientos, sin embargo, en su momento no se dio respuesta a la SIC sino que se procedió desde el área encargada a contactar al Titular para verificar si se presentaba alguna dificultad y resolverla.
Esta actuación permite un acercamiento con el Titular y la solución de sus inquietudes, no obstante, por un error humano en el proceso, no se contestó a la entidad.” Así las cosas, este Despacho considera que la sanción impuesta por la Dirección se ajusta a los principios constitucionales y legales que rigen el ejercicio de las competencias sancionatorias. 8.2 En cuanto a la materialidad del daño. En primer lugar, debe el Despacho precisar que la presente actuación administrativa se inició después de haber verificado que Suramericana incumplió el deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, al no dar respuesta a dos (2) requerimientos elevados por la Dirección, en dos momentos distintos, en relación con la queja presentada por el señor xxxxxxxxxx xxxxxx.
Que Suramericana haya atendido de forma estimativa o no, oportuna o no, a la solicitud hecha por el quejoso en relación con la supresión de su información, en específico su número de celular, no corresponde a los hechos que fueron objeto de investigación por la Dirección y sobre los que ha versado la presente actuación administrativa. Lo cierto es que se encuentra debidamente probado que Suramericana no dio respuesta a los dos requerimientos realizados por la Dirección, relacionados con la queja presentada por el señor xxxxxxxxx xxxxxx.
Esta conducta omisiva configuró el incumplimiento de uno de los deberes establecidos en el régimen de protección de datos personales, a saber, el deber de cumplir con las instrucciones y requerimientos de la autoridad de protección de datos personales. La materialidad del daño en este tipo de casos, en los que se ignoran los requerimientos o las instrucciones de la autoridad, está relacionada con la infracción a un deber que es primordial en un Estado de Derecho: el deber de obedecer a las autoridades.
Deber que tiene en nuestro orden constitucional el carácter de un principio constitucional fundamental. En efecto, según el artículo 4 de la Constitución, segundo inciso, “[e]s deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.” En el caso concreto, la dimensión del daño se advierte en la afectación a la eficacia de la garantía administrativa del derecho fundamental a la protección de datos personales.
La no atención a los requerimientos de la Autoridad de protección de datos personales, deliberada, negligente o inadvertida, que termina allanando el camino a su ineficacia, conlleva por sí misma una afectación de la dimensión objetiva del derecho fundamental al habeas data, y tiene un efecto disolvente del Derecho, de la autoridad y del Estado de Derecho.
Efecto que esta Delegatura no puede tolerar y no puede pasar por alto bajo el argumento de una supuesta inexistencia de la materialidad de un daño. 8.3 En cuanto al promedio de sanciones impuestas por los mismos hechos. Esta Delegatura no comparte el argumento de la recurrente que cuestiona la legalidad de la Resolución ahora impugnada por no haber tenido como referencia las sanciones impuestas en 10 actuaciones administrativas “Por la cual se resuelve un recurso de apelación” diferentes, en relación con el monto o la proporcionalidad de la sanción impuesta.
En primer lugar, como esta Delegatura lo evidencia, no se trata de empresas o sociedades que tengan el mismo objeto social, al de la ahora recurrente, ni tampoco que tengan una realidad económica o financiera si quiera parecida, o que en su conjunto adelanten el tipo de tratamiento de datos personales de la ahora sancionada, ni que lo hagan al nivel y a la escala en la que lo adelanta Suramericana EPS, una de las EPS más grandes del país por su número de afiliados.
No puede esta Delegatura aceptar este argumento que pretende crear una fuerza mostrativa en masa, que no está precedida de un análisis detallado de la pertinencia y adecuación necesarias para ilustrar un cargo por la presunta falta de proporcionalidad de la sanción impuesta. Todo ello, al amparo de una la presupuesta situación de igualdad de la recurrente frente a un conjunto asaz heterogéneo de sujetos vigilados encontrados responsables por el incumplimiento, en diversas condiciones y circunstancias, del deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012.
Esta Delegatura no ignora la existencia y la mención de sendas resoluciones en las que se pronunció sobre el mismo deber cuyo incumplimiento originó la responsabilidad administrativa de Suramericana. En concreto, no atender los requerimientos de la Superintendencia de Industria y Comercio en el contexto de una actuación administrativa iniciada por una queja de un titular de datos personales.
En relación con este argumento, la Delegatura recuerda que cada actuación administrativa parte de hechos concretos, circunstancias particulares y valoraciones probatorias distintas, que impiden establecer una comparación directa o automática entre las decisiones adoptadas por la Autoridad en cada caso. También recuerda que la Ley no reconoce que las decisiones de la administración tengan la vocación de fijar precedente, ni que exista en la administración pública, en el contexto del ejercicio de la facultad sancionatoria, una especie de principio de stare decisis administrativo.
En cambio, el proceso sancionatorio está sujeto a los principios de individualización y análisis del caso concreto, lo cual implica que la conducta, el contexto de su ocurrencia, las particularidades del sujeto obligado, los riesgos generados, las consecuencias producidas, y el grado de diligencia del sujeto obligado, entre otros, deben ser objeto de valoración particular e independiente en cada actuación administrativa.
En ese sentido, las circunstancias específicas de cada caso hacen que las resoluciones sancionatorias, ni en su decisum, ni en su ratio, sean trasladables de forma automática a otros casos. Cada decisión se construye sobre su propio acervo probatorio. No existe un criterio de “tarifación” uniforme o porcentual aplicable a todos los casos de vulneración del deber de cumplir con las instrucciones o requerimientos de la autoridad (qua allegar la información solicitada) o de cualquier otro deber establecido en los artículos 17 y 18 de la Ley 1581 de 2012.
La valoración individual y autónoma, en el contexto de los principios de legalidad y proporcionalidad en el que la autoridad ejerce su discrecionalidad limitada, es lo que sustenta la validez y razonabilidad de la sanción impuesta. En el presente caso, la Dirección se movió en el marco de dichos principios. La multa impuesta a Suramericana ($301.507.200), corresponde al 11,25% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes) establecido en el artículo 23 de la Ley 1581 de 2012.
La imposición de esta multa estuvo precedida por un análisis integral de los elementos propios y particulares de este caso, y tuvo en cuenta factores como el tipo de deber incumplido, la dimensión del peligro, el tamaño de la empresa, “Por la cual se resuelve un recurso de apelación” la situación financiera de la empresa, y las conductas anteriores y posteriores a los hechos objeto de investigación realizadas por la sociedad investigada.
En este contexto, la sanción fue calculada de manera proporcional, con base en el patrimonio y la capacidad económica de la sociedad, garantizando así un efecto disuasorio sin que resultara confiscatoria y en el marco de la discrecionalidad limitada de la administración. En conclusión, esta Delegatura no advierte el desconocimiento de los principios que gobiernan el ejercicio de la potestad sancionatoria y no encuentra que la recurrente haya logrado demostrar algo semejante al sustentar su recurso de apelación. 8.4 En cuanto a la debida diligencia en cuanto la implementación de medidas correctivas El artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, dispone que “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto…”.
Sobre este particular, la Corte Constitucional mediante la sentencia C-32 de 2021 reconoció la existencia-validez del principio de responsabilidad demostrada en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic).
El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas. Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial;
(ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal. Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos.
A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable; (ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales.
El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”12 (Destacamos) De conformidad con lo anteriormente indicado, el responsable del tratamiento de datos personales debe estar en capacidad de demostrar que tiene implementadas las medidas necesarias para evitar que ocurran situaciones como las que dieron origen a la presente actuación administrativa.
Aunque Suramericana tiene implementadas diferentes políticas y medidas al interior de su organización para asegurar la efectiva protección y el adecuado tratamiento de datos personales, lo cierto es que no dio respuesta a los dos (2) requerimientos, y excusándose en errores humanos, evidenció que dichas medidas no fueron suficientes. Como quedó establecido en este caso, entre el primer requerimiento y el segundo, transcurrieron 6 meses.
Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021. M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm “Por la cual se resuelve un recurso de apelación” Así las cosas, la imposición de la sanción en la presente actuación administrativa, no desconoce las medidas que Suramericana tiene adoptadas, sino que responde exclusivamente al incumplimiento concreto de un deber legal, en el presente caso no haber dado respuesta a los requerimientos hechos por la Dirección en relación con la queja presentada.
De todas maneras, si bien el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, establece que “la verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.
El mismo sólo establece criterios orientadores para la decisión de imponer o no una sanción, o para imponer una u otra dentro del tipo de sanciones previstas por el legislador, pero no para su graduación. Los criterios que deben tenerse en cuenta para este efecto son los establecidos en el ya citado artículo 24 de la Ley 1581 de 2012. No deja de llamar la atención del Despacho que la respuesta a los requerimientos sólo tuvo lugar en el escrito de descargos.
Que se hayan presentado errores humanos, solo evidencia que los procesos implementados por Suramericana no fueron efectivos ni eficaces para evitar esta situación, máxime si entre ambos requerimientos transcurrió un lapso de 6 meses, y la empresa sólo conoció de su existencia con la formulación del cargo en la Resolución No. 24264 del 16 de mayo de 2024.
Finalmente, en lo que tiene que ver con la sanción impuesta, resulta pertinente resaltar lo siguiente: • La multa impuesta a Suramericana ($301.507.200), corresponde al 11,25% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes, establecido en el artículo 23 de la Ley 1581 de 2012). • El monto de dicha sanción es el resultado del análisis de la situación particular del caso, de las “circunstancias del investigado”, y de la puesta en peligro de los intereses jurídicos tutelados asociados al incumplimiento del deber previsto en el literal o, del artículo 17 de la Ley 1581 de 2012 (cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio) • La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas y corresponde al resultado de la valoración fáctica del complejo probatorio del caso adelantado por la Dirección, valoración que la llevó a concluir el incumplimiento del mandato legal señalado, la procedencia de la sanción y su respectiva graduación.
NOVENO. CONCLUSIONES. a) Suramericana no dio respuesta a los requerimientos que realizó la Dirección en relación con la queja presentada por el señor xxxxxxxxx xxxxxx, incumpliendo con el deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012. b) Suramericana dio respuesta al requerimiento en el escrito de descargos una vez se inició formalmente una investigación por dichos hechos; no puede un responsable del tratamiento excusar el incumplimiento de sus deberes en la omisión de las personas que laboran para él. c) La sanción impuesta fue determinada con base en una valoración individual del caso, dentro del marco legal y de manera proporcional al tipo de conducta, a su gravedad y a la capacidad económica de la sociedad, sin que los argumentos de la recurrente desvirtúen la legalidad ni la proporcionalidad de la medida adoptada.
“Por la cual se resuelve un recurso de apelación” d) La comparación con sanciones impuestas en otros casos no resulta procedente, pues cada actuación administrativa se basa en hechos, circunstancias y pruebas particulares. La legalidad y proporcionalidad de la sanción impuesta en el presente caso se sustenta en una valoración individual, sin que exista un criterio uniforme o automático aplicable a las múltiples modalidades en que se puede infringir el deber de cumplir con los requerimientos impartidos por esta Superintendencia. e) Teniendo en cuenta que Suramericana aceptó de manera expresa la omisión en el cumplimiento del deber, la Dirección aplicó el criterio de atenuación establecido en el literal f) del artículo 24 de la Ley 1581 de 2012. f) Que Suramericana haya atendido la solicitud hecha por el quejoso, de manera favorable no lo exonera de la responsabilidad administrativa por la omisión de su deber de atender las instrucciones y requerimientos de la autoridad, pues la conducta objeto de investigación y finalmente sobre la que se soporta la responsabilidad administrativa fue el incumplimiento, en sendas oportunidades, del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012. g) La multa impuesta a SURAMERICANA corresponde al 11,25% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes, establecido en el artículo 23 de la Ley 1581 de 2012).
En mérito de lo expuesto, este Despacho RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 22302 del 23 de abril de 2025.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente Resolución a la sociedad EPS SURAMERICANA S.A. identificada con el NIT 800.088.702-2, a través de su representante legal, entregándole copia de la misma e informándole que contra ella no procede recurso alguno.
ARTÍCULO 3. COMUNICAR la presente Resolución al señor XXXXX XXXXXX XXXXXXXXX XXXXXX, identificado con cédula de ciudadanía número X.XXX.XXX.XXX.
ARTÍCULO 4. INFORMAR el contenido de la presente Resolución a la Dirección de Investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 21 de noviembre 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES, JUAN CARLOS UPEGUI MEJIA Firmado digitalmente por JUAN CARLOS UPEGUI MEJIA Fecha: 2025.11.21 12:24:09 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: NTL Revisó y Aprobó: JCUM