Radicado: 11001032400020200017400 (4299-2022)

Demandante: Christian Santiago Ayala Guerrero

CONSEJO DE ESTADO

SALA DE LO CONTENCIOSO ADMINISTRATIVO SECCIÓN SEGUNDA - SUBSECCIÓN A

CONSEJERO PONENTE: LUIS EDUARDO MESA NIEVES

Bogotá, D.C., veintinueve (29) de abril de dos mil veintiséis (2026)

Referencia: Nulidad

Radicación: 11001032400020200017400 (4299-2022)

Demandante: Christian Santiago Ayala Guerrero Demandado: Nación - Ministerio de Salud y Protección Social Temas: Protocolo general de bioseguridad - CoronApp Decisión: Niega pretensiones

SENTENCIA DE ÚNICA INSTANCIA

1. Procede la Sala a dictar sentencia de única instancia dentro del proceso de nulidad promovido por el señor Christian Santiago Ayala Guerrero contra la Nación

- Ministerio de Salud y Protección Social.

ANTECEDENTES

La demanda

Las pretensiones

2. En ejercicio del medio de control de nulidad, consagrado en el artículo 137 del CPACA,¹ el señor Christian Santiago Ayala Guerrero, actuando en nombre propio, interpuso demanda en orden a que se anulen los numerales 3.1.10 y 3.2.3 del artículo 3 de la Resolución 666 del 24 de abril de 2020, «por medio de la cual se adopta el protocolo general de bioseguridad para mitigar, controlar y realizar el adecuado manejo de la pandemia del Coronavirus COVID-19», suscrita por el Ministerio de Salud y Protección Social.

Normas violadas y concepto de violación

3. El demandante sostuvo que el acto parcialmente acusado quebrantó los artículos 1, 15, 18, 29 y 53 de la Constitución Política.
4. Al desarrollar el concepto de violación, el actor planteó los siguientes cargos:
1. La resolución demandada desconoció la autonomía individual y la dignidad humana de trabajadores y empleadores, pues los conminó a instalar en sus

1 Código de Procedimiento Administrativo y de lo Contencioso Administrativo.

Calle 12 No. 7 - 65 - Tel: (57-1) 350-6700 Bogotá D.C. - Colombia www.consejodeestado.gov.co

teléfonos móviles la aplicación CoronApp, la cual «no garantiza el derecho a la intimidad, debido a que pide permisos para acceder a funciones del celular, para su adecuado funcionamiento (ubicación, bluetooh, [sic] wifi, e impedir que el teléfono entre en suspensión), dejando imposibilitado al usuario de controlar su privacidad en la red».

2. CoronApp no salvaguarda el derecho a la autodeterminación informática, que se compone del habeas data y libre desarrollo de la personalidad; tampoco permite actualizar y rectificar los datos personales o conocer el uso que se les está dando. De ahí que, se está creando una habilitación para que cualquier persona (natural o jurídica; pública o privada; nacional o internacional) conozca dicha información, pese a su carácter reservado.
3. Las disposiciones enjuiciadas afectan la transparencia en el manejo de datos personales; el derecho al trabajo en condiciones dignas y justas; y desmejora las condiciones laborales.
4. La implementación obligatoria de CoronApp parte de un falso dilema, pues supone que quien se abstenga de hacerlo no es solidario con el cuidado de la salud pública.
5. La referida aplicación no protege la seguridad, integridad, disponibilidad y confidencialidad de la información personal, pues en sus políticas no se mencionan las herramientas para ello.
6. La resolución parcialmente acusada, pese a que persigue un fin legítimo, no supera el test estricto de proporcionalidad, por cuanto: a) la medida no es idónea para garantizar la vida de las personas; ni prevenir, mitigar y controlar el COVID-19, puesto que no contó con análisis de expertos y pruebas científicas que demostraran la efectividad de CoronApp para dicho fin; b) no se evidencia la necesidad de la restricción para alcanzar el fin propuesto por la norma, dado que no se contemplaron soluciones menos gravosas; c) la obligación de instalar y reportar el estado de salud en CoronApp sacrifica desproporcionadamente valores constitucionales de igual o mayor relevancia que los protegidos, como la intimidad, libre desarrollo de la personalidad, objeción de conciencia, dignidad humana, trabajo y debido proceso.
7. La resolución acusada quebranta el derecho «a la objeción de conciencia de no otorgar sus datos personales en la red en virtud de su autodeterminación digital».

Contestación de la demanda

5. El Ministerio de Salud y Protección Social planteó las excepciones de

inepta demanda e indebida integración del litisconsorcio necesario y se opuso a las pretensiones, con base en los siguientes argumentos:

1. De acuerdo con la Ley 1751 de 2015, la salud es un servicio público esencial y un derecho fundamental en lo individual y en lo colectivo, por ende, «antes que un dilema entre el interés individual y el colectivo, la salud pública requiere aceptar la necesidad de que las políticas estatales involucren una lógica comunitaria».
2. La OMS² instó a todos los países a «compartir datos completos» con esa organización en el marco de la pandemia del Covid-19.
3. CoronApp habilitó el auto reporte para la detección temprana de potenciales contagios, por lo que «se comportó como una de las fuentes de información para el sistema de vigilancia en salud pública». Entonces, con el fin de disminuir la transmisión del virus se invitó a los usuarios «a ser parte de la respuesta integral para prevenir la propagación de esta enfermedad buscando que la comunidad reportara básicamente dos cosas: síntomas; y sus factores de riesgo o de vulnerabilidad».
4. La Política de tratamiento de información (PTI) de CoronApp contiene los derechos de los titulares de los datos personales, los deberes del INS³ como responsable de esta información, así como el tratamiento de los datos personales y datos sensibles, el procedimiento para que los titulares de los datos puedan ejercer sus derechos, entre otras disposiciones.⁴
5. Con el fin de garantizar la integridad, disponibilidad y confidencialidad de la información personal, se implementaron los siguientes controles:
1. Seguridad de acceso: La información de acceso proporcionada no es compartida, revendida con terceros, ni reutilizada con otros fines a los mencionados anteriormente.
2. Recopilación de la información: Al crear el perfil de usuario, CoronApp solicita información de salud, la cual es almacenada en la infraestructura dispuesta para ello, de manera segura.
3. Acceso a la red y dispositivos: El usuario es el responsable del acceso a la red de datos necesaria para utilizar CoronApp, y el responsable de adquirir y actualizar el hardware compatible o los dispositivos necesarios para acceder y utilizar CoronApp.
4. Uso compartido de la información: La información obtenida desde CoronApp puede ser compartida o transferida con los fines de salud, estadísticos, generación de reportes, entre otros que se encuentran dentro de la finalidad con Entidades Gubernamentales, de Salud y demás que se requieran para mejorar la aplicación, el uso y consumo de la misma.

2 Organización Mundial de la Salud.

3 Instituto Nacional de Salud.

4 El Ministerio de Salud y Protección Social indicó que dicha política podía ser consultada en el siguiente enlace: https://www.ins.gov.co/Normatividad/PoliticasInstitucionales/politica-de-tratamiento-deinformacion-

coronapp-colombia.pdf

6. La información registrada en CoronApp les permitió a las secretarías departamentales de salud orientar a la ciudadanía que había reportado alertas y desplegar acciones tendientes a la identificación de posibles casos y remisión de acuerdo con las estrategias y rutas de atención establecidas.

TRÁMITE EN ÚNICA INSTANCIA

Admisión y sentencia anticipada

6. Por auto del 29 de septiembre de 2023, se admitió la demanda.
7. Mediante auto del 19 de septiembre de 2025, el despacho ponente evidenció la posibilidad de emitir sentencia anticipada dentro del sub lite, en los términos del artículo 182A del CPACA. En consecuencia, se dispuso: a) negar las excepciones de inepta demanda e indebida integración del litisconsorcio necesario; b) prescindir de las audiencias inicial y de pruebas, previstas en los artículos 180 y 181 del CPACA; c) resolver sobre las pruebas aportadas y solicitadas; d) fijar el litigio; e) correr traslado a las partes y al Ministerio Público para presentar alegatos de conclusión y concepto, respectivamente.

Alegatos de conclusión

8. El actor y el Ministerio de salud y protección social reiteraron los argumentos expuestos en sus escritos de demanda y contestación.

Ministerio Público

9. El agente del Ministerio Público no rindió concepto
10. Como no se observa causal que invalide lo actuado, procede la Sala a decidir previas las siguientes:

CONSIDERACIONES

Problema jurídico

11. De acuerdo con los argumentos planteados en la demanda y su contestación, le corresponde a la Sala determinar si la resolución parcialmente demandada, quebrantó el ordenamiento superior, en especial los derechos al habeas data y la objeción de conciencia, conforme a los cargos de nulidad expuestos por el actor.

Texto del acto demandado

RESOLUCIÓN N° 000666

(24 ABR 2020)

Por medio de la cual se adopta el protocolo general de bioseguridad para mitigar, controlar y realizar el adecuado manejo de la pandemia del Coronavirus COVID-19

EL MINISTRO DE SALUD Y PROTECCIÓN SOCIAL

En ejercicio de sus facultades legales, en especial, de las conferidas en el parágrafo 1º del artículo 2.8.8.1.4.3 del Decreto 780 de 2016, y el artículo 1º del Decreto 539 de 2020 y,

CONSIDERANDO:

[…]

Que mediante Resolución 385 del 12 de marzo de 2020, el Ministerio de Salud y Protección Social decretó la emergencia sanitaria en todo el territorio nacional con el fin de prevenir y controlar la propagación del (sic) COVID-19 en el territorio nacional y mitigar sus efectos.

Que, así mismo, la Organización Internacional del Trabajo, mediante comunicado del 18 de marzo de 2020, instó a los Estados a adoptar medidas urgentes para i) proteger a los trabajadores y empleadores y sus familias de los riesgos para la salud generadas por el coronavirus COVID-19; ii) proteger a los trabajadores en el lugar de trabajo; iii) estimular la economía y el empleo, y iv) sostener los puestos trabajo (sic) y los ingresos, con el propósito respetar (sic) los derechos laborales, mitigar los impactos negativos y lograr una recuperación rápida y sostenida.

Que la evidencia muestra que la propagación del Coronavirus COVID-19 continúa, a pesar de los esfuerzos estatales y de la sociedad, y dado que, en ausencia de medidas farmacológicas como la vacuna y los medicamentos antivirales, son las medidas no farmacológicas las que tienen mayor costo/efectividad.

[…]

RESUELVE

[…]

Artículo 3. Responsabilidades. Son responsabilidades a cargo del empleador o contratante y del trabajador, contratista cooperado o afiliado participe, vinculado mediante contrato de prestación de servicios o de obra, las siguientes:

A cargo del empleador o contratante

[…]

3.1.10. Promover ante sus trabajadores y contratistas, que tengan celulares inteligentes el uso de la aplicación CoronApp para registrar en ella su estado de salud.

A cargo del trabajador, contratista, cooperado o afiliado participe.

[…]

3.2.3. Adoptar las medidas de cuidado de su salud y reportar al empleador o contratante las alteraciones de su estado de salud, especialmente relacionados con síntomas de enfermedad respiratoria y reportar en CoronApp.

Habeas data

12. El artículo 15 Constitucional preceptúa que todas las personas «tienen derecho

a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución».

13. A su vez, el legislador ha regulado el derecho fundamental al habeas data en atención al tipo de dato, el sector en el que se recolectan y los agentes que intervienen en su administración. En lo que atañe al sub lite, se destaca la Ley Estatutaria 1581 de 2012 que contiene el régimen general de tratamiento de datos.
14. Dicha norma reguló los siguientes aspectos: a) principios orientadores; b) sujetos que intervienen en el proceso de administración de datos personales; c) derechos y deberes de aquellos; d) habilitación para consultar la información personal que repose en bases de datos públicas o privadas; e) mecanismo de defensa ante los responsables y/o encargados del tratamiento de datos con miras a la corrección, actualización o supresión de la información o denunciar el incumplimiento de los deberes contenidos en la Ley 1581 de 2012; f) creación de un órgano de control especializado en materia de habeas data, en cabeza de la SIC.⁶
15. Por su parte, la Corte Constitucional ha identificado las siguientes categorías relevantes para el entendimiento de este derecho:⁷

Datos personales	Datos sensibles	Tratamiento de datos
Suelen ser clasificados en otras categorías despendiendo del mayor o menor grado de aceptabilidad de su divulgación, a saber: públicos, semiprivados y privados o sensibles. Características: i) se refieren a aspectos propios de una persona natural; ii) se trata de información que permite identificar a la persona, con cierto grado de certeza; iii) su titularidad y propiedad reside exclusivamente en la persona sobre la cual se genera el dato; (iv) su tratamiento está sometido a reglas especiales en materia de captación, administración y divulgación.	-Corresponden a una categoría particular de datos que representa riesgos especiales para el titular. -Características: i) son de exclusivo interés del titular; ii) impactan elementos personalísimos; iii) su uso indebido puede afectar la privacidad, integridad, libre desarrollo de la personalidad y dignidad humana; iv) pueden exponer al titular al riesgo de ser objeto de actos o políticas de discriminación o marginalización.	- Hace referencia a Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. -El tratamiento de datos sensibles está prohibido, salvo los eventos señalados en el artículo 6 de la Ley 1581 de 2012.

16. A su vez, según el artículo 4 de la Ley 1581 de 2012, el tratamiento de datos

5 Es pertinente anotar que existen otras leyes estatuarias que contienen disposiciones específicas sobre el tratamiento de datos personales como las Leyes Estatutarias 1266 de 2008, 2157 de 2021 y 2097 de 2021.

6 Superintendencia de Industria y Comercio.

7 Sentencia T-143 de 2022.

8 Según el artículo 5 de la Ley 1581 de 2012, estos datos hacen referencia, por ejemplo, a aquellos que revelan

«el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueven intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y los datos biométricos».

está sujeto a los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, los cuales son oponibles a todos los sujetos involucrados en el tratamiento del dato.⁹

17. Asimismo, la Corte Constitucional ha expresado que los mencionados principios se caracterizan porque: a) buscan impedir el uso abusivo y arbitrario de la facultad informática; b) deben ser interpretados en concordancia con el artículo 15 de la Carta, por ende, en la recolección, tratamiento y circulación de los datos es indispensable respetar la libertad y demás garantías Constitucionales; c) se trata de una clasificación especial que no incluye la totalidad de los principios predicables de la administración de datos y que han sido desarrollados por la jurisprudencia y la normativa internacional. Entonces, además de los expresamente previstos en el artículo 4 de la Ley 1581 de 2012, también es preciso acatar los principios de necesidad; integridad; incorporación; utilidad; caducidad; individualidad; temporalidad; entre otros.¹⁰
18. A partir del referido marco axiológico, se ha concluido que el núcleo esencial del derecho al habeas data está «integrado por el derecho a la autodeterminación informática y por la libertad, en general, y en especial económica. La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales».¹¹

Objeción de conciencia

19. El artículo 18 de la Constitución Política dispone que «se garantiza la libertad de conciencia. Nadie será molestado por razón de sus convicciones o creencias ni compelido a revelarlas ni obligado a actuar contra su conciencia».
20. A partir de dicha disposición, la Corte Constitucional¹² ha expresado que la objeción de conciencia es un derecho autónomo, en virtud del cual nadie puede ser obligado a actuar contra su conciencia; por el contrario, la Carta protege el derecho de conducirse de conformidad con los pensamientos y creencias personales. Además, no se necesita reglamentación para que este derecho se pueda ejercer.¹³
21. Asimismo, la posibilidad de actuar en contra de alguna norma que se opone a lo

9 Corte Constitucional, Sentencia C-748 de 2011.

10 La prohibición de discriminación por las informaciones recaudadas en las bases de datos, el principio de interpretación integral de los derechos constitucionales, la obligación de indemnizar los perjuicios causados por las posibles fallas en el proceso de administración de datos, el principio de la proporcionalidad del establecimiento de excepciones y principio de autoridad independiente. Corte Constitucional, Sentencia C-748 de 2011, “Otros principios que se entienden incluidos en la Ley Estatutaria”. Los demás principios mencionados fueron desarrollados en las Sentencias T-580 de 1995, T-729 de 2002, T-448 de 2004, T-526 de 2004, T-657 de 2005, T-684 de 2006, C-1011 de 2008, T-017 de 2011 y C-748 de 2011.

11 Corte Constitucional, Sentencia C-748 de 2011.

12 Sentencia C-370 de 2019.

13 Corte Constitucional, Sentencia C-728 de 2009

que dicta la conciencia de una persona implica que las convicciones o creencias que den lugar a objetar conciencia «deben ser profundas, fijas y sinceras, para que sean de una entidad tal que realmente se encuentre amenazada la libertad de conciencia y de religión».¹⁴

22. El derecho a la objeción de conciencia no es absoluto y debe ponderarse con el bien jurídico protegido por la norma que se desacata y su repercusión frente a terceros o intereses colectivos, ¹⁵ máxime cuando el ejercicio de este derecho implica una excepción al principio de igualdad ante la ley.¹⁶
23. Bajo esta línea de intelección, las personas no están autorizadas constitucionalmente para desatender cualquier norma por el solo hecho de que ella se enfrente a su conciencia, por el contrario «la posibilidad de objetar conciencia está sometida a un complejo y riguroso ejercicio de ponderación que varía dependiendo de las particularidades del deber que se pretende incumplir por razones de conciencia».¹⁷

El caso concreto. Análisis de los cargos de nulidad

24. En síntesis, el accionante sostuvo que la aplicación CoronApp desconoció el derecho al habeas data, lo cual también afectó los derechos a la autonomía individual, dignidad humana, debido proceso, libre desarrollo de la personalidad y trabajo. Al respecto, el actor reprochó que la aplicación incurrió en las siguientes falencias: i) no garantiza el derecho a la intimidad; ii) no salvaguarda el derecho a la autodeterminación informática; iii) impide actualizar y rectificar los datos personales o conocer el uso que se les está dando; iv) permite que cualquier persona (natural o jurídica; pública o privada; nacional o internacional) conozca información sensible, pese a su carácter reservado; v) su implementación parte de un falso dilema, pues supone que quien se abstenga de hacerlo no es solidario con el cuidado de la salud pública; vi) no protege la seguridad, integridad, disponibilidad y confidencialidad de la información personal, pues en sus políticas no se mencionan las herramientas para ello; vii) no supera el test estricto de proporcionalidad.
25. Sin embargo, la Sala se aparta de los anteriores cuestionamientos, pues se trata de hipótesis planteadas por el demandante, pero carentes de respaldo jurídico y probatorio, pues al expediente no se aportó ningún elemento tendiente a demostrar la vulnerabilidad informática de CoronApp, ni mucho menos que su implementación haya puesto en riesgo los datos sensibles allí registrados o que hubieran sido compartidos con terceros no autorizados.

14 Sentencias C-728 de 2009 y T-018 de 2012.

15 Ver Sentencias T-547 de 1993, T-588 de 1998, C-355 de 2006, T-209 de 2008, T-388 de 2009, C-728 de

2009 y C-274 de 2016.

16 Corte Constitucional, C-370 de 2019.

17 Corte Constitucional, C-370 de 2019.

26. En tal sentido es pertinente anotar que dicho aplicativo se instauró en condiciones excepcionales que merecen una aproximación diferencial en materia de habeas data.
27. En efecto, el artículo 9 de la Ley 1581 de 2012 dispuso que el tratamiento de datos requiere la autorización previa e informada del titular. Dicho tratamiento incluye las operaciones de recolección, almacenamiento, uso, circulación o supresión.¹⁸
28. No obstante, el artículo 10 ibidem preceptuó que la referida autorización no es requerida, entre otros, «en casos de urgencia médica o sanitaria». La Corte Constitucional declaró la exequibilidad de es norma, por cuanto:¹⁹

Frente a los casos de urgencia médica y sanitaria, en aras de la efectividad del derecho a la libertad en el manejo de datos, la norma debe entenderse que opera sólo en los casos en que dada la situación concreta de urgencia, no sea posible obtener la autorización del titular o resulte particularmente problemático gestionarla, dadas las circunstancias de apremio, riesgo o peligro para otros derechos fundamentales, ya sea del titular o de terceras personas.

[…] una lectura de la norma permite interpretar que lo que busca el legislador estatutario es que en los casos taxativos permitidos por el artículo 10, en los que no es necesario el consentimiento del Titular, el uso del dato también debe sujetarse a todos los principios y limitaciones consagrados en la Ley. Por el contrario, jamás podría interpretarse como una autorización abierta para que se accedan a datos personales sin consentimiento de su titular.

29. De acuerdo con el anterior lineamiento, la salud pública es una cuestión de primer orden en las políticas públicas, lo cual justifica que las autoridades estatales puedan requerir y, en general, tratar los datos personales, en aras de proteger el interés general de la población, sin que ello justifique actuaciones arbitrarias; por el contrario, el artículo 10 de la Ley 1581 de 2012 expresamente dispone que en los casos allí previstos, «quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley».
30. En lo que atañe a CoronApp, la Corte Constitucional, mediante las Sentencias T-143 de 2022 y T-067 de 2025, realizó un análisis profundo en torno al contexto en que fue instituía dicha plataforma. De estas decisiones se destacan las siguientes conclusiones:
1. La protección del derecho al habeas data está relacionada con el acceso a la información pública. En efecto, el legislador estatuario previó, como excepciones al acceso a la información pública, la clasificada, que está en poder

18 Artículo 2 de la Ley 1581 de 2012.

19 Corte Constitucional, Sentencia C-748 de 2011.

de un sujeto obligado en su calidad de tal, pero cuya revelación puede generar una afectación a un interés o derecho constitucional particular como la intimidad o la vida.²⁰

2. En un sistema constitucional y democrático, los ciudadanos deben conocer la forma, el fundamento y el proceso a través del cual se toman las decisiones de política pública que los afectan.
3. La importancia de conocer esta información se hizo especialmente evidente en el marco de la pandemia del Covid-19, cuando varios gobiernos alrededor del mundo, incluyendo el colombiano, optaron por utilizar sistemas algorítmicos como parte del manejo epidemiológico del virus, a través del procesamiento de los datos personales de miles de ciudadanos.
4. Tras la declaratoria de la pandemia, surgieron diferentes aplicaciones y softwares con la finalidad de ayudar a controlar el avance del virus. Algunos gobiernos acudieron a esas tecnologías para monitorear a las personas que estaban en cuarentena, utilizando los datos de ubicación de sus dispositivos. Otros desarrollaron aplicaciones para que los ciudadanos reportaran sus síntomas o para rastrear posibles contactos positivos. En general, esas aplicaciones usaban las señales de GPS o de bluetooth para establecer la ubicación de las personas, los contactos cercanos y evaluar los riesgos epidemiológicos. También se utilizaron para recopilar datos de las personas, algunos relacionados con su estado de salud, pero también con otros datos personales como sus direcciones de residencia, correos y datos de contacto.
5. Si bien esas aplicaciones eran útiles para enfrentar o contener el contagio del virus, daban acceso a una cantidad masiva e importante de datos de las personas que podía llegar a ser utilizada para fines diferentes a los previstos y violar la intimidad y privacidad de las personas. Estas preocupaciones llevaron a que el 28 mayo de 2020 la OMS²¹ publicara un informe provisional sobre las consideraciones éticas a tener en cuenta en las tecnologías de rastreo por proximidad desarrolladas para el Covid-19. Algunos de los principios recogidos en el informe son los siguientes:

Las medidas deben ser temporales y limitadas.

20 La sentencia C-274 de 2013 reconoce que las categorías del derecho fundamental al acceso a la información pública son diferentes a las de habeas data, pero que son armónicas. En ese sentido indicó que: Dado el margen de configuración con que cuenta el legislador en esta materia, es compatible con la Carta la opción tomada por el legislador. Si bien pudo haber escogido otra categorización con el fin de determinar frente a qué tipo de información o documentos pueden establecerse restricciones al derecho de acceso de información pública, la terminología elegida no se opone a nuestro ordenamiento, y de hecho es compatible con el lenguaje empleado en otras leyes estatutarias sobre el derecho al habeas data.

21 Organización Mundial de la Salud (2020). Ethical considerations to guide the use of digital proximity tracking technologies   for   COVID-19   contact   tracing:   interim   guidance,   Mayo   28, 2020. . https://iris.who.int/handle/10665/332200

Las tecnologías deben ponerse a prueba previamente, y hay que garantizar que sean robustas y no tengan fallas de seguridad. Por ende, debe haber un monitoreo constante y una evaluación pública por parte de un tercero independiente.

La recolección y procesamiento de datos debe ser proporcional, estar justificada, ser idónea, necesaria, razonable y proporcionada. Siempre se deben preferir las medidas menos intrusivas de la privacidad.

La comercialización de los datos debe estar prohibida.

Se deben tomar todas las medidas de seguridad sobre los datos personales. Las aplicaciones deben ser auditadas y se deben publicar los protocolos de seguridad que existen sobre los datos.

La recolección y procesamiento de datos debe ser transparente y se debe poder explicar. A los individuos se les debe suministrar información en lenguaje claro sobre el propósito de la recolección, y la forma y tiempo en que se almacenarán y compartirán los datos. Debe haber total transparencia sobre el funcionamiento de las aplicaciones, y deben publicarse los códigos fuente.

El modelo algorítmico que se utiliza para procesar los datos y evaluar el riesgo de contagio debe estar verificado y validado por un tercero.

6. CoronApp constituyó una medida de vigilancia para afrontar el COVID-19, lo que es consecuente con el deber que tiene el Estado de cuidar la salud pública, consagrado en el artículo 49 superior.
7. Los datos de los usuarios deben estar almacenados de forma independiente en bases de datos cifradas y con acceso limitado por autenticación en aras de garantizar la seguridad e integridad de la información.
31. En atención a los anteriores lineamientos jurisprudenciales, se concluye que, en el contexto de la pandemia causada por el Covid-19, CoronApp constituyó una herramienta idónea, necesaria y proporcional respecto de los hechos que dieron lugar a la declaratoria del estado de excepción mediante el Decreto Legislativo 417 de 2020.
32. Es así como dicha aplicación fue diseñada como un instrumento de información que sirviera para orientar las medidas generales de bioseguridad en el entorno laboral, entre otros,²² con el fin de disminuir el riesgo de transmisión del virus. Además, procuró el cuidado preventivo de la vida y la salud de empleadores y trabajadores, en el marco de una crisis de salud consecuente a una enfermedad con un alto grado de transmisibilidad y mortalidad.
33. En similar sentido, el Consejo de Estado, concluyó que las medidas adoptadas en la Resolución 666 del 24 de abril de 2020, acusada parcialmente en el sub lite, guardaban «estrecha conexidad, consonancia y proporcionalidad con las causas que dieron origen al Estado de Emergencia Económica, Social y Ecológica, declarado en el Decreto Legislativo 417 del 17 de marzo de 2020, comoquiera que definieron unos protocolos de bioseguridad indispensables para reducir el impacto

22 Esta aplicación también fue utilizada en aeropuertos.

de las consecuencias en el sistema de salud, los servicios sociales y la economía, por la pandemia que generó el virus Sars-Cov-2 y permiten materializar el propósito del principio de precaución. [….] De igual manera, guarda[n] concordancia con las recomendaciones emitidas tanto por la Organización Mundial de la Salud - OMS y la Organización Internacional del Trabajo, cuando instaron a los Estados a adoptar medidas urgentes para proteger a la población, entre ella a los trabajadores, empleadores y sus familias, de los riesgos para la salud generados por la enfermedad Covid-19».²³

34. A su vez, la medida cumplió con el presupuesto de temporalidad a que aludió la OMS, ya que el acto parcialmente demandado fue derogado por la Resolución 777 del 2 de junio de 2021.
35. En lo que concierte a la confiabilidad de CoronApp para la seguridad en el tratamiento de datos personales, se recuerda que en el sub lite no obra prueba alguna que denote un riesgo para la reserva de los datos o que estos hubieran sido comercializados, utilizados indebidamente o, en general, que se incumplieran los presupuestos de veracidad, transparencia, integridad, disponibilidad y confidencialidad de la información.
36. Además, conforme lo expresó la Corte Constitucional, ²⁴ más allá de la implementación de dicha aplicación, aún en vigencia del Estado de Excepción, seguía rigiendo la Ley 1581 de 2012, la cual diseñó un mecanismo de protección que asegura una respuesta eficaz cuando se pretenda la rectificación, actualización, corrección, oposición o supresión de la información, así como para el ejercicio de las demás dimensiones del derecho de habeas data.²⁵
37. Dicho mecanismo implica un reclamo ante el responsable del tratamiento del dato y, una vez agotado ello, puede elevarse queja ante la SIC, que es la autoridad encargada de la protección del dato.
38. La Delegatura de Protección de Datos Personales de la SIC está facultada para iniciar la investigación en contra de la autoridad pública o particular por la presunta violación de los principios de tratamiento de datos personales, incumplimiento de los deberes de los responsables o encargados y, en general, desconocimiento de las disposiciones de la Ley 1581 de 2012.
39. Para el presente asunto, se resalta que dicha autoridad está llamada a salvaguardar los principios específicos en materia de divulgación, a saber: i) libertad, según el cual los datos personales no pueden ser divulgados sin previa autorización del titular o, en ausencia de su autorización, sin la existencia de un

23 Consejo de Estado, Sala Doce Especial de Decisión, sentencia del 25 de agosto de 2020, radicados 11001-03-15-000-2020-01901-00 y 11001-03-15-000-2020-02341-00.

24 Sentencia T-143 de 2022.

25 Corte Constitucional, sentencias C-748 de 2011 y T-234 de 2021.

mandato legal o judicial que releve su consentimiento; b) circulación restringida, según el cual los datos personales, a excepción de la información pública, «no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los titulares o terceros autorizados conforme a la ley»;²⁷ y iii) confidencialidad, el cual le impone a las personas que intervienen en el tratamiento de datos personales garantizar la reserva de la información.²⁸

40. De otro lado, el accionante alegó que la resolución parcialmente acusada quebrantó el derecho «a la objeción de conciencia de no otorgar sus datos personales en la red en virtud de su autodeterminación digital».
41. No obstante, conforme se explicó en acápites precedentes, el anterior razonamiento carece de vocación de prosperidad, ya que el derecho a la objeción de conciencia es una excepción al principio de igualdad ante la ley y consulta las íntimas convicciones morales, éticas y religiosas de un individuo, por ende, no puede crearse una regla general en tal sentido, sino que corresponde «a las autoridades respectivas, en cada caso concreto, establecer si la persona que reclama la condición de objetor de conciencia, está amparada constitucionalmente».²⁹
42. En efecto, la objeción conciencia tiene un carácter eminentemente subjetivo. Entonces, «la conciencia a la que se refiere la libertad constitucionalmente protegida, es la conciencia subjetiva, o mejor, la regla subjetiva de moralidad. No se trata pues de la protección abstracta de un sistema moral determinado, o de una regla objetiva de moralidad. De hecho, no hace falta estar inscrito en una religión determinada, ni en un sistema filosófico, humanístico o político, para emitir juicios prácticos en torno de lo que es correcto o incorrecto».
43. Así las cosas, los cargos de nulidad esgrimidos por la parte accionante contra los actos enjuiciados no están llamados a prosperar.

Condena en costas

44. En consideración a que la demanda fue admitida bajo el medio de control de nulidad, no se impondrá condena en costas, de conformidad con lo previsto en el artículo 188 del CPACA.
45. En mérito de lo expuesto el Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Segunda, Subsección A, administrando justicia en nombre

26 Ley 1581 de 2012, artículo 4 literal c.

27 Ley 1581 de 2012, artículo 4 literal f.

28 Ley 1581 de 2012, artículo 4 literal h.

29 Corte Constitucional, Sentencia T-430 de 2013.

30 Corte Constitucional, Sentencia C-616 de 1997.

de la República de Colombia y por autoridad de la Ley,

FALLA

Primero. Negar las pretensiones de la demanda de nulidad formulada por el señor Christian Santiago Ayala Guerrero contra los numerales 3.1.10 y 3.2.3 del artículo 3 de la Resolución 666 del 24 de abril de 2020, suscrita por el Ministerio de Salud y Protección Social, en atención a lo expuesto en la parte motiva de esta sentencia.

Segundo. Sin condena en costas en esta instancia.

Tercero. Reconocer al abogado Juan Camilo Escallón Rodríguez, quien se identifica con cédula de ciudadanía 80773785 y Tarjeta Profesional 201815, como apoderado del Ministerio de Salud y Protección Social.

Cuarto. En firme esta decisión, por Secretaría de la Sección Segunda, háganse las anotaciones correspondientes y archívese el expediente.

NOTIFÍQUESE Y CÚMPLASE

Esta providencia fue estudiada y aprobada por la Sala en sesión de la fecha.

LUIS EDUARDO MESA NIEVES

Consejero de Estado

JORGE IVÁN DUQUE GUTIÉRREZ JUAN CAMILO MORALES TRUJILLO

Consejero de Estado Consejero de Estado

CONSTANCIA: La presente providencia fue firmada electrónicamente por la Sala en sede electrónica para la gestión judicial SAMAI. En consecuencia, se garantiza la autenticidad, integridad, conservación y posterior consulta, de conformidad con la ley y el art. 186 del CPACA.

31 Certificado de vigencia 473312.

Calle 12 No. 7 - 65 - Tel: (57-1) 350-6700 Bogotá D.C. - Colombia www.consejodeestado.gov.co

2