TRIBUNAL ADMINISTRATIVO DEL QUINDÍO SALA QUINTA DE DECISIÓN Magistrado Ponente: LUIS JAVIER ROSERO VILLOTA Referencia: Sentencia primera instancia Radicado: 63001-3333-006-2020-00147-00 Medio de control: Controversias Contractuales Demandante: HOSPITAL SAN JUAN DE DIOS DE ARMENIA Accionada: SEGUROS DEL ESTADO S.A. Tema: Póliza de seguros- amparo por delitos cibernéticos.
Armenia, diecinueve (19) de enero de dos mil veintitrés (2023) Sentencia 05 -2023 Cumplidas todas las etapas previstas en el proceso y sin que se observen causales de nulidad, procede el Tribunal, en primera instancia, a emitir Sentencia de fondo dentro de la demanda que a través de apoderado judicial y en ejercicio del medio de control de controversias contractuales, instauró el HOSPITAL SAN JUAN DE DIOS DE ARMENIA, en contra de SEGUROS DEL ESTADO S.A 1.
ANTECEDENTES 1.1. Pretensiones La parte accionante formuló las siguientes pretensiones: Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. PRIMERA: Declarar la existencia del contrato de seguros con póliza No. 60-25- 1000010, entre la ESE HOSPITAL DEPARTAMENTAL UNIVERSITARIO DEL QUINDÍO SAN JUAN DE DIOS DE ARMENIA y la aseguradora SEGUROS DEL ESTADO S.A. SEGUNDA: Que se declare que ocurrió el siniestro denominado delito informático, ataque cibernético el día 29 de marzo de 2018, siendo la víctima la ESE HOSPITAL DEPARTAMENTAL UNIVERSITARIO DEL QUINDÍO SAN JUAN DE DIOS DE ARMENIA.
TERCERA: Se declare que el siniestro ocurrió durante la vigencia de la póliza suscrita entre la ESE HOSPITAL DEPARTAMENTAL UNIVERSITARIO DEL QUINDÍO SAN JUAN DE DIOS DE ARMENIA y la aseguradora SEGUROS DEL ESTADO S.A. CUARTA: Que se declare que el siniestro tiene cobertura por la aseguradora SEGUROS DEL ESTADO S.A. según contrato de seguros con póliza No. 60-25- 1000010.
QUINTA: Que como consecuencia de las anteriores declaraciones, se condene a la aseguradora SEGUROS DEL ESTADO S.A. a cancelar las siguientes sumas de dinero: A título de indemnización y por concepto de lucro cesante: 5.1. La suma de CUATROCIENTOS DOCE MILLONES DIEZ MIL SEISCIENTOS NOVENTA Y UN PESOS M/CTE ($412.010.691), correspondientes a las glosas y devoluciones de facturas, dinero que dejó de ingresar a la entidad. 5.2.
La suma de DIECISIETE MILLONES DOSCIENTOS VEINTIOCHO MIL CIEN PESOS M/CTE ($17.228.100), correspondientes a los servicios de salud por SOAT no facturados. 5.3. La suma de SEIS MILLONES OCHOCIENTOS NOVENTA Y OCHO MIL CIENTO VEINTIOCHO PESOS M/CTE ($6.898.128), correspondiente a cobros distintos de glosas y servicios de SOAT. 5.4.
La suma de SESENTA Y SIETE MILLONES SEISCIENTOS CINCUENTA MIL PESOS M/CTE ($67.650.000), por concepto de consulta especializada pero no facturada por falta de información. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. 5.5.
La suma de CINCUENTA Y OCHO MILLONES OCHOCIENTOS CUARENTA Y TRES MIL DOSCIENTOS PESOS M/CTE ($58.843.200), por concepto de otros servicios prestados pero no facturados por falta de información. 5.6. La suma de CUATRO MILLONES TRESCIENTOS CUARENTA Y NUEVE MIL CUATROCIENTOS SESENTA Y OCHO PESOS M/CTE ($4.349.468) por adición de contratos de prestación de servicios para reconstrucción de expedientes. 5.7.
La suma de DIEZ MILLONES OCHOCIENTOS TREINTA Y SEIS MIL SEISCIENTOS CUARENTA Y NUEVE MIL ($10.836.649), por concepto de horas adicionales para reconstrucción de expedientes. SEXTA: Que se paguen intereses de mora a la tasa máxima permitida desde el día 29 de marzo de 2018 sobre cada una de las sumas anteriores. SÉPTIMA: Que se condene en costas a la entidad demandada, incluidas las agencias en derecho, de acuerdo a lo establecido en el artículo 188 de la Ley 1437 de 2011.
OCTAVA: Que se dé cumplimiento a la sentencia en los términos de los artículos 192, y 195 de la Ley 1437 de 2011”. (…) Pretensión subsidiaria: De no condenar a la pretensión SEXTA, solicito se realice la siguiente condena: Solicitó que la condena impuesta se actualice aplicando la siguiente formula: “R= R.H. ÍNDICE FINAL ÍNDICE INICIAL”1 1 ED. Procesos ordinarios/Primera Instancia/ Contractual/ 63001333300620200014700/ 01.
Demanda Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. 1.2. Hechos Como fundamento fáctico de sus pretensiones, la parte demandante expuso los siguientes hechos, los cuales se resumen así por parte de la Sala: El 6 de marzo de 2018 se celebró contrato de seguros entre la ESE HOSPITAL DEPARTAMENTAL UNIVERSITARIO DEL QUINDÍO SAN JUAN DE DIOS y la entidad aseguradora SEGUROS DEL ESTADO S.A., expidiéndose la Póliza 60-25- 1000010 en la que se plasmó como vigencia desde las 24 horas del día 28 de febrero de 2018 y hasta las 24 horas del día 28 de febrero de 2019.
El objeto pactado fue asegurar los posibles eventos por perjuicios patrimoniales de “Infidelidad o deshonestidad de los empleados, pérdida dentro de predios, falsificación, moneda falsa, crimen por computador”. El último de los eventos asegurados tiene como máximo valor asegurado la suma de $ 1.005.000.000, suma sobre la cual se estableció un deducible de $40.000.000.
El 29 de marzo de 2018, el área de sistemas de la ESE, verificó la funcionalidad y estado del sistema operativo y el motor de bases de datos, encontrando que la información almacenada en el servidor y en el sistema de almacenamiento masivo donde reposaban las copias de seguridad, se encontraba encriptado, encontrando un mensaje que decía “que si se quería recuperar la información, la ESE Hospital debía establecer contacto mediante correo electrónico para realizar el pago de rescate en moneda BITCOIN”, lo que indudablemente es un delito cibernético de tipo extorsivo, por un virus tipo Ransomware.
La ESE contaba con copia de seguridad hasta el día 16 de marzo de 2018, por lo que se procedió a restaurarla con esta fecha, pero perdiendo información desde el día 17 y hasta el día 29 de marzo. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. Con el delito informático se afectaron el registro de datos en la Historia Clínica, y las atenciones y facturación de prestación de servicios.
El 30 de marzo de 2018, la ESE decretó a través de la Resolución 327 la emergencia por ataque cibernético. El 3 de abril de 2018, el Gerente de la ESE interpuso denuncia de tipo penal ante la Fiscalía General de la Nación por delito informático en concurso con extorsión, poniendo en conocimiento de las autoridades competentes lo ocurrido.
El 13 del mismo mes y año el Gerente de la ESE presentó reclamación formal ante la aseguradora SEGUROS DEL ESTADO S.A., solicitando el pago de la facturación encriptada y no recuperada entre el día 17 de marzo al 29 de marzo de 2018. La aseguradora negó la reclamación en diversas ocasiones, siendo la última en el mes de agosto de 2020, pues consideraron que aún no se había demostrado ni la ocurrencia del siniestro ni la cuantía del mismo.
Para demostrar la cuantía del siniestro, la ESE contrató los servicios profesionales de la empresa MUNDO SALUD MÉDICA, quien rindió informe sobre el asunto, que arrojó como resultado por glosas y devoluciones generadas por falta de información la suma de $412.010.691, pues debido al delito informático se perdió información que no permitió efectuar los cobros ante las entidades respectivas, por conceptos de: 1.
Los servicios de salud por atención SOAT, un total de $17.228.100; 2. Por concepto distinto de glosas y servicios de salud SOAT, un valor de $6.898.128; 3. Por consulta especializada no se pudieron facturar los servicios prestados por un valor de $67.650.000; 4. Por servicio de urgencias existe registro de atenciones prestadas pero no facturadas por la suma de $58.843.200.
Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. La entidad se vio obligada a destinar funcionarios de planta y contratar personal para reconstruir facturas e historias clínicas, generándose gastos por la suma $4.349.468 por adición de contratos de prestación de servicios y $10.836.649 por concepto de horas adicionales. 1.3 Fundamentos de derecho y concepto de violación Consideró la parte accionante que, con la expedición de los actos administrativos demandados, se vulneraron las siguientes normas: Artículo 62 de la Ley 45 de 1990;
Artículo 48 numeral 63 de la Ley 734 de 2002; Artículo 118 literal d) Ley 1474 de 2011; Circular conjunta No. 02 de 2003 de la Contraloría General de la República y Procuraduría General de la Nación; Ley 1437 de 2011; Ley 270 de 1996 artículo 42A; Ley 446 de 1998 art. 70 y s.s. Como concepto de la violación, expuso: Dado que el estatuto de la contratación no se refiere de manera específica al contrato de seguros, es aplicable lo dispuesto en el artículo 1036 del Código de Comercio, que establece que el contrato de seguro es consensual, bilateral, oneroso, aleatorio y de ejecución sucesiva.
En relación con la característica de consensual, se recuerda que anteriormente el contrato de seguro regulado en el Código de Comercio era solemne, en la medida en que su perfeccionamiento sólo se daba mediante la expedición de la respectiva póliza de seguro; no obstante, el artículo 1o de la Ley 389 de 1997 modificó el artículo 1036 del código, para definir dicho contrato como consensual, lo que significa que, en la actualidad, “( ) el contrato se forma con la simple aceptación de la propuesta por parte del destinatario, independientemente de que se expida o no la póliza” y que, en consecuencia, al fijarse la fecha de vigencia de la misma Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. habrá de tenerse en cuenta “como punto de partida de la vigencia, el de la mencionada aceptación de la propuesta, salvo que se pacte otra cosa.” Para la acreditación de la existencia del contrato de seguro, el art. 1046 del C. de Co. –modificado por el art. 3 de la Ley 389 de 1997-, establece que el mismo se probará por escrito o por confesión y que con fines exclusivamente probatorios, el asegurador está obligado a entregar en su original, al tomador, dentro de los 15 días siguientes a la fecha de su celebración, el documento contentivo del contrato de seguro, denominado póliza.
No obstante lo anterior, debe tenerse en cuenta que, cuando es una entidad pública de las que se someten a las disposiciones de la Ley 80 de 1993 y Ley 1150 de 2007, la que celebra un negocio jurídico de esta naturaleza en calidad de tomadora, el mismo corresponde a un contrato estatal, razón por la cual de conformidad con lo dispuesto por sus art. 39 y 41, debe constar por escrito y esta formalidad constituye un requisito ad substantiam actus, puesto que de ella depende el perfeccionamiento del respectivo contrato.
En consecuencia, el contrato de seguro en estos casos, se perfecciona mediante la expedición de la respectiva póliza que lo contiene. Por su parte, en relación con el seguro de riesgos financieros, existe la póliza denominada de infidelidad y riesgo financiero, cuya finalidad es la de proteger a las empresas de los perjuicios que pueden sufrir como consecuencia de la infidelidad de sus empleados, por fraudes, el hurto calificado, en el transporte de valores, por la falsificación o alteración de firmas, por el dinero falso, el crimen por computador, etc.; sobre esta clase de pólizas, el numeral 3 del artículo 185 del Decreto 663 de 1993, establece que “[e]n los seguros que tengan por objeto el amparo de los riesgos propios de la actividad financiera, se podrán asegurar, mediante convenio expreso, los hechos pretéritos cuya ocurrencia es desconocida por tomador y asegurador”.
El contrato de seguros celebrado entre la entidad estatal, la ESE y la compañía aseguradora SEGUROS DEL ESTADO S.A., goza de total y plena validez, encontrándose vigente Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. para la fecha del siniestro, y teniendo asegurado el evento ocurrido.
En cuanto a la ocurrencia y la cuantía del mismo, se determinó a través de informe realizado por la empresa MUNDO SALUD y aportado con la demanda, que el mismo sí tuvo ocurrencia, y que la cuantía fue determinada a través de un procedimiento técnico y soportado, por tanto, debe la aseguradora responder por la indemnización solicitada.
La Resolución 1995 de 1999 el Ministerio de Salud estableció las normas para el manejo de la Historia Clínica, en el art. 18 definió que: “los Prestadores de Servicios de Salud pueden utilizar medios físicos o técnicos como computadoras y medios magneto-ópticos, cuando así lo consideren conveniente”, estableciendo además: “los programas automatizados que se diseñen y utilicen para el manejo de las Historias Clínicas, así como sus equipos y soportes documentales, deben estar provistos de mecanismos de seguridad, que imposibiliten la incorporación de modificaciones a la Historia Clínica una vez se registren y guarden los datos”.
En el caso de la ESE el aplicativo dinámica.net, utiliza los computadores para la generación y almacenamiento de la información que se registra en los formatos de la historia clínica. 2. CONTESTACIÓN A LA DEMANDA La Aseguradora SEGUROS DEL ESTADO, contestó la acción oponiéndose a las pretensiones de la demanda2. Sostuvo que a la fecha la parte demandante no ha acreditado la cuantía de la pérdida derivada del siniestro del 29 de marzo de 2018, y, por lo tanto, no existe obligación alguna en cabeza de la aseguradora en los términos de los arts. 1077 y 1080 del C.Co.
Así mismo, se encuentran configuradas causales de exclusión convencional y legal, que impiden el nacimiento de la obligación de la compañía de seguros. 2 Procesos digitalizados/ Ordinarios/ Dr. Luis Javier/ Primera Instancia/ Contractual/ 63001333300620200014700/ Contestación Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. Hay ausencia en la obligación, atendiendo que el ajustador designado para el caso determinó que la pérdida del Hospital derivada del ataque cibernético no supera el valor del deducible y, por lo tanto, debe ser asumida en su totalidad por el asegurado. Igualmente, resulta improcedente la pretensión de reconocimiento de intereses de mora a partir del 29 de marzo de 2018, en tanto aún no se ha configurado una reclamación en los términos del C.Co., y por lo tanto ni siquiera ha empezado a correr el mes con que cuenta la aseguradora para pagar la indemnización. La eventual obligación de la aseguradora se encuentra limitada a los términos de la Póliza de Infidelidad y Riesgos Financieros 60-25-1000010, la cual establece condiciones del amparo, exclusiones, límite de valor asegurado, deducibles, entre otros.
Propuso las excepciones previas de: caducidad del medio de control y prescripción, que fueron resueltas negativamente por el Despacho, mediante providencia del 13 de agosto de 2021. También propuso como excepciones de fondo: a) La “ausencia de siniestro en los términos de la “cláusula aseguradora 4” de las condiciones generales aplicables al amparo de “crimen por computador”, aduciendo que las presuntas pérdidas sufridas por el Hospital no se enmarcan dentro de la realización del riesgo asegurado bajo el amparo de crimen por computador en la modalidad de “virus de computadoras”, al no configurar un siniestro en los términos de la “cláusula aseguradora 4” de las condiciones generales aplicables al amparo de “crimen por computador”, debido a que el Hospital no realizó el pago, transferencia, entrega de fondos, de bienes, o estableció algún crédito o debitado alguna cuenta como resultado directo del ataque.
La cláusula pactada por las partes requiere la configuración de los dos supuestos de hecho consignados en los literales a y b de la misma, pero en el presente asunto no se cumple con el supuesto del literal a) y, por lo tanto, no se ha presentado un siniestro Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. amparado por la cobertura de crimen por computador bajo la modalidad de virus de computadoras. b) “Inexistencia de una pérdida indemnizable por la Póliza de Infidelidad y Riesgos Financieros No. 60-25-1000010”, para ello sostuvo que el Hospital no sufrió una pérdida indemnizable en los términos de la Póliza referida, toda vez que el daño que alega haber padecido la parte accionante con ocasión del ataque cibernético del 29 de marzo de 2018 no guarda ninguna clase de relación causal con dicho evento y, por lo tanto, no puede presumirse que se deriva del mismo.
Así concluyó que el Hospital no habría sufrido ninguna pérdida patrimonial con ocasión del hecho en mención. La parte accionante pretende el resarcimiento de una serie de perjuicios de carácter indirecto, que no guardan ninguna clase de relación causal con el presunto ataque cibernético, así como el resarcimiento de perjuicios de carácter incierto, los cuales no son indemnizables en tanto carecen de toda clase de prueba o certeza frente a su causación. c) “Ausencia de cobertura de la Póliza de Infidelidad y Riesgos Financieros No. 60- 25-1000010 – exclusión de las pérdidas indirectas de cualquier naturaleza que sufra el asegurado”, la que fundamentó en el hecho de que la Póliza referida, suscrita en el Hospital y Seguros del Estado, determina en las condiciones generales aplicables al amparo de crimen por computador que fueron aportadas por la parte demandante, que se encuentran excluidas de cobertura todas las pérdidas indirectas de cualquier naturaleza que sufra el asegurado, siendo esta clase de pérdidas las que se pretenden en el escrito de demanda.
SEGUROS DEL ESTADO pactó válidamente con el Hospital, en las condiciones generales aplicables al amparo de “crimen por computador”, que las partes acordaban excluir de cobertura los daños indirectos de cualquier naturaleza. d) “Ausencia de cobertura de la Póliza de Infidelidad y Riesgos Financieros No. 60- 25-1000010 – exclusión de los ingresos Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. potenciales que eventualmente podría percibir el asegurado”, fundamentada en el que la misma determina en las condiciones generales aplicables al amparo de crimen por computador que fueron aportadas por la parte demandante, que se encuentran excluidos de cobertura todos los ingresos potenciales, y por lo tanto inciertos, que hubiese podido dejar percibir el asegurado con ocasión de un siniestro. e) La Ausencia de cobertura de la Póliza de Infidelidad y Riesgos Financieros 60- 25-1000010, en eventual caso de existencia de actos gravemente culposos del Hospital San Juan de Dios a través de sus funcionarios, teniendo en cuenta que el Hospital a través de sus funcionarios, actuó de forma gravemente culposa, generando con ello el acaecimiento del siniestro, por lo que deberá declararse la ausencia de cobertura de la póliza objeto del presente proceso, toda vez que por expreso mandato legal dicho riesgo sería inasegurable.
En relación con el riesgo asegurable, si bien la aseguradora cuenta con la facultad de elegir a su arbitrio qué eventos desea incluir o excluir de su cobertura, el legislador estableció en el Código de Comercio, una serie de riesgos cuya exclusión de cobertura no admite pacto en contrario, señalándolos como “inasegurables”, como son el dolo y la culpa grave.
En ese sentido, el ingeniero jefe de sistemas informó que los días 14 de febrero y 15 de marzo de 2018 se habían presentado ataques similares al del 29 de marzo “con fines extorsivos”, los cuales generaron daños al sistema de información del Hospital, siendo el último ataque el de mayor trascendencia. También la Fiscalía General de la Nación reprochó el actuar del Hospital, pues encontró sorprendente que pese a haber recibido dos ataques en los meses anteriores el Hospital no había efectuado ninguna denuncia. Así mismo, en el acta de reunión de fecha 30 de marzo de 2018 se llegó a la conclusión de que el Hospital había actuado de forma irresponsable, señalando como conclusión de la reunión que era necesario “asumir con más Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. responsabilidad dichas situaciones más aún cuando se tienen antecedentes de peligro”. f) Excepción subsidiaria: “ausencia de obligación en cabeza de Seguros del Estado - el valor de la presunta pérdida sufrida por el Hospital San Juan de Dios no supera el monto del deducible pactado”. Así sostuvo la aseguradora que la pérdida presuntamente sufrida por el Hospital con ocasión del ataque cibernético sufrido el 29 de marzo de 2018, no supera el monto de $40’000.000 estipulado como deducible en la Póliza de Infidelidad y Riesgos Financieros 60-25-1000010, y, por lo tanto, de existir, debe ser asumida en su totalidad por parte del asegurado. g) Como subsidiaria propuso, también: el “incumplimiento del deber de evitar la extensión y propagación del daño por parte del Hospital”.
Para ello dijo que el Hospital no cumplió con su obligación legal y contractual de evitar la extensión y propagación del siniestro, toda vez que no tomó las medidas necesarias para reducir el monto de la presunta pérdida, lo que habría podido ocurrir en caso de realizar las gestiones necesarias para lograr la reconstrucción de los archivos o documentos que fueron encriptados, e incluso, pagando el valor pretendido por los ciber delincuentes, el cual pudo ser inferior al valor que hoy es pretendido por el Hospital. h) “Ausencia de reclamación por parte del demandante”, por cuanto no se encuentra demostrado con las pruebas aportadas por la accionante los hechos de la demanda y que la parte demandante haya realizado reclamación a Seguros del Estado en los términos de artículo 1077 del Código de Comercio en su condición de beneficiario de la Póliza de Infidelidad y Riesgos Financieros 60-25- 1000010.
Esto, atendiendo a que el Hospital a la fecha no ha logrado acreditar la cuantía de la presunta pérdida, en tanto ha presentado una serie de solicitudes ante la compañía aseguradora en las que ha variado el valor pretendido a título de indemnización, lo que denota que el asegurado no conoce el monto de la presunta pérdida y, por lo tanto, no ha configurado una reclamación en estricto sentido.
Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. Finalmente pidió tener en cuenta todos los términos, límites, exclusiones y condiciones particulares y generales establecidos en la Póliza de Infidelidad y Riesgos Financieros 60-25-1000010.
3. ALEGATOS DE CONCLUSIÓN 3.1 Parte demandante Sostuvo el Hospital San Juan de Dios3, que de acuerdo con lo dispuesto en los artículos 1077 y 1080 del Código de Comercio, corresponde al asegurado comprobar judicial o extrajudicialmente la ocurrencia del siniestro y la cuantía de la pérdida, cuando fuere el caso, demostración que, tal como se deduce de la primera de las normas citadas, no se encuentra sujeta a ninguna restricción en materia probatoria y, por lo tanto, supone para el asegurado o beneficiario plena libertad para escoger cualquiera de los medios probatorios previstos en la ley, siempre y cuando el elegido sea idóneo, conducente y pertinente para demostrar claramente los hechos.
Para el caso particular resulta ilógico que la aseguradora pretenda que en la respectiva reclamación se presenten la totalidad de facturas, historias clínicas, soportes y demás, para que así proceda el pago del seguro, cuestión ilógica, pues como se indicó, la entidad fue objeto de un delito informático borrándose toda la información, precisamente que solicitan.
Pese a que no existe norma que obligue a la entidad a facturar día a día los servicios prestados y/o a guardar soporte o respaldo de la información, que obligara a reconstruir expedientes, previo a la reclamación, la entidad así lo efectuó y pudo reconstruir parte de las facturas, expedientes y demás, con lo que se realizó el cobro de la cartera; sin embargo de las demás facturas y servicios no 33 Expediente digital SAMAI/ Archivo 009 Alegatos demandante Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. facturados fue imposible su cobro, pues como se indicó por todas las personas que comparecieron al despacho, cada factura debe tener los soportes como son historias clínicas, exámenes, lecturas de exámenes, entre otros, y ante la pérdida, resulta imposible su consecución. También sostuvo que la ESE aportó la póliza que tiene cobertura para el delito informático, sin que se hubiere desconocido su contenido o tachado, es decir, con absoluto valor probatorio.
Además, la entidad presentó denuncia ante la Fiscalía General y se allegó un dictamen pericial que dio la certeza efectiva de la pérdida de la entidad, cumpliendo con este último la carga de probar la cuantía del siniestro a la luz de lo dispuesto en los artículos 1077 y 1080 del Código de Comercio. Cuestionó el contenido del dictamen pericial aportado por la demandada, al calificarlo como una transcripción de cuadros de Excel.
Además, dijo que la perito manifestó que la reclamación no podía realizarse con estadísticas, y al requerirla para que indicara en que página del informe de MUNDO SALUD se indicó que se establecía la cuantía a través de estadística de años anteriores, no supo dar cuenta de ello, careciendo de credibilidad su informe y su sustentación. Al preguntársele sobre algunas facturas en específicos y que mostrara en qué había fallado la ESE, al intentar explicar se equivoca y no da respuesta certera sobre su informe, restándole aún más credibilidad. 3.2 Parte demandada Sostuvo la aseguradora demandada4 que pese a que la parte accionante tiene la carga de la prueba, no logró demostrar múltiples hechos necesarios para que prosperen las pretensiones de la demanda.
Por ejemplo, no acreditó la ocurrencia del ataque cibernético que predica, pues se limitó a aportar un supuesto correo electrónico que resulta ilegible a través del cual supuestamente los “hackers” le solicitan el pago de un rescate. Además, el Hospital no aportó el 4 Expediente digital SAMAI/ Archivo 011 Alegatos demandado Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. dictamen pericial que anunció en su escrito de demanda, con el cual buscaba acreditar la ocurrencia del ataque. Tampoco acreditó el Hospital haber desembolsado suma alguna de dinero a los “hackers” para el rescate de la información que presuntamente fue encriptada, así como a terceros expertos en esa clase de asuntos para intentar recuperar la información. Igualmente, el Hospital no demostró haber realizado los más mínimos actos encaminados a recuperar la información presuntamente perdida, por ejemplo, contactando a los pacientes que egresaron de la institución, quienes contaban con copias de su historia clínica, o comunicándose con otras entidades del sistema de seguridad social, quienes debían también contar con copias de la información encriptada.
Posteriormente reiteró los argumentos de la contestación de la demanda.
4. CONCEPTO MINISTERIO PÚBLICO El Ministerio Público se abstuvo de emitir concepto.
5. CONSIDERACIONES DEL TRIBUNAL 5.1 Problema jurídico Le corresponde al Tribunal determinar: ¿La póliza de infidelidad y riesgos financieros 60-25-1000010 tomada por la ESE HOSPITAL DEPARTAMENTAL SAN JUAN DE DIOS con la aseguradora SEGUROS DEL ESTADO, cubre el delito cibernético del que fue objeto la empresa tomadora del seguro y si en consecuencia debe la aseguradora cubrir el monto solicitado por la entidad accionante? La tesis que sostendrá el Tribunal es que la póliza suscrita no cubre el evento delictivo electrónico que dice sufrió el sistema de la ESE el día 29 de marzo de 2018.
Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. Los argumentos que permiten arribar a esta conclusión se puede abordar bajo los siguientes temas: i) El contrato de seguro y la póliza de infidelidad y riesgos financieros; y ii) El caso concreto. 5.2 El contrato de seguro - Póliza de infidelidad y riesgos financieros La Sección Tercera del Consejo de Estado en sentencia de 4 de abril de 20165, tuvo la oportunidad de referirse al contrato de seguro, haciendo referencia específica en su parte final, al objeto de la póliza de infidelidad y riesgos financieros, así: “3.
Del contrato de seguro. Ya en anterior oportunidad ésta Corporación ha precisado lo siguiente6: “(…) 24. Por otra parte, se observa que el Código de Comercio no define el contrato de seguro, pero puede decirse que es aquel por medio del cual una persona legalmente autorizada para ejercer esta actividad, “(…) asume los riesgos ajenos mediante una prima fijada anticipadamente”; o dicho en otras palabras, es aquel contrato por el cual “(…) una parte, el asegurado, se hace prometer mediante una remuneración, la prima, para él o para un tercero, en caso de realización de un riesgo, una prestación por la otra parte, el asegurador (…)7”.
Se trata de un mecanismo de protección frente a múltiples riesgos que pueden afectar el patrimonio de las personas y que pueden ser asumidos por el asegurador, quien se compromete a pagar una indemnización en caso de 5 C.P. Jaime Orlando Santofimio Gamboa. Exp. 2011-00530 (49004) 6 14 Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Tercera, Sentencia del 19 de julio de 2013, Exp. 25.472, actor: Hospital San Antonio de Guatavita 7 15Pie de página propio de la cita (Definiciones dadas por Vivante y Picard y Besson, según Isaac Halperin.
López Blanco, Hernán Fabio, “Comentarios al Contrato de Seguro”, Dupré Editores, 5ª ed., 2010, p. 44.) Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. realizarse tal riesgo -lo que se traduce en la producción del siniestro- a cambio del pago de una determinada suma de dinero, denominada prima. 25.
El estatuto mercantil establece que son partes del contrato el asegurador, es decir la persona que asume los riesgos, debidamente autorizada para ello con arreglo a las leyes y reglamentos, y el tomador, que es la persona que obrando por cuenta propia o ajena, traslada los riesgos (art. 1037); así mismo, consagra como elementos esenciales del contrato de seguro los siguientes (art. 1045): 25.1.
El interés asegurable: Según lo dispuesto por el artículo 1083 del C. de Co., en el seguro de daños “[t]iene interés asegurable toda persona cuyo patrimonio pueda resultar afectado, directa o indirectamente, por la realización de un riesgo” y “[e]s asegurable todo interés que, además de lícito, sea susceptible de estimación en dinero”; en el artículo 1137, refiriéndose a los seguros de personas, establece que toda persona tiene interés asegurable i) en su propia vida, ii) en la de las personas a quienes legalmente pueda reclamar alimentos y iii) en la de aquellas cuya muerte o incapacidad pueden aparejarle un perjuicio económico, aunque éste no sea susceptible de una evaluación cierta; de acuerdo con estas definiciones, se advierte que para los efectos de esta clase de contrato, el interés asegurable corresponde a una situación en la que la realización del riesgo – ocurrencia del siniestro- puede repercutir negativamente en el patrimonio de una persona y a través del seguro se busca prevenir y conjurar dicha afectación antes de que se produzca. 25.2.
El riesgo asegurable: Este corresponde, según lo dispuesto por el artículo 1054, al “(…) suceso incierto que no depende exclusivamente de la voluntad del tomador, del asegurado o del beneficiario, y cuya realización da origen a la obligación del asegurador”, estableciendo la norma que “Los hechos ciertos, salvo la muerte, y los físicamente imposibles, no constituyen riesgos y son, por lo tanto, extraños al contrato de seguro.
Tampoco constituye riesgo la incertidumbre subjetiva respecto de determinado hecho que haya tenido o no cumplimiento”. 25.3. La prima o precio del seguro, que es la contraprestación a favor del asegurador, a cambio de Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. la asunción por parte de éste, del riesgo que le es trasladado por el tomador del seguro. 25.4. La obligación condicional del asegurador, que corresponde a la indemnización que deberá pagar al beneficiario del seguro una vez se produzca el siniestro. 26. En cuanto a la efectividad del seguro o forma como el beneficiario puede acceder a la indemnización objeto del mismo, se observa que cuando se produce el siniestro, es decir se hace efectivo el riesgo amparado por la póliza, el artículo 1075 del C. de Co., establece que el asegurado o beneficiario están obligados a dar noticia al asegurador dentro de los 3 días siguientes a la fecha en que conoció o debió conocer que ocurrió el siniestro y la carga de la prueba recae en el asegurado, quien está en el deber de DEMOSTRAR SU OCURRENCIA, ASÍ COMO LA CUANTÍA DE LA PÉRDIDA si fuere el caso (art. 1077). 27.
Por su parte, el asegurador está obligado a pagar el siniestro dentro del mes siguiente a la fecha en que el asegurado o beneficiario acredite, aún extrajudicialmente, su derecho ante aquel. Dentro del mismo término, el asegurador puede oponerse a la reclamación por considerarla improcedente, caso en el cual, deberá demostrar los hechos o circunstancias excluyentes de su responsabilidad (art. 1077, inc. 2º); no obstante, vencido el mencionado plazo, si el asegurador no se opuso de manera seria y fundada y no procede al pago de la indemnización, deberá reconocer y pagar, además de la obligación a su cargo, un interés moratorio igual al bancario corriente aumentado en la mitad o indemnizar otros perjuicios causados por la mora del asegurador, si así lo demanda el asegurado o beneficiario (art. 1080). 28.
Esto significa que “(…) la reclamación del beneficiario es necesaria para hacer surgir la obligación del asegurador, para cuyo cumplimiento éste tendrá un mes, corrido el cual, si no hay objeción seria de su parte pero tampoco paga, surgirá la acción ejecutiva a favor de aquel y el asegurador estará incurso en mora; en otras palabras, la reclamación, acompañada de la póliza de seguro, frente al silencio del asegurador, conforman un título ejecutivo complejo”.
De acuerdo con lo establecido en el artículo 1053 del C. de Co., para que surja la acción ejecutiva, se requiere: i) Que se produzca el siniestro, esto es, que se haya realizado el riesgo Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. asegurado; ii) Que el asegurado o beneficiario, haya presentado la respectiva reclamación, con el lleno de los requisitos necesarios; iii) Que al momento de presentar la demanda, haya transcurrido por lo menos un mes, desde la reclamación efectuada ante el asegurador y iv) Que el asegurador no haya opuesto una objeción válida. 29.
La mencionada opción del asegurador de oponer una objeción válida, se produce cuando formula oportunamente, es decir dentro del plazo que la ley le da para proceder al pago de la indemnización reclamada, una objeción seria y debidamente fundamentada fáctica y jurídicamente, negándose a su pago por alguna razón que considera justificativa de su rechazo, como cuando se considera que el siniestro no ocurrió, o que el amparo no existía, o que hubo violación de las obligaciones de garantía a cargo del asegurado, etc., y así se lo hace saber al interesado.
En este caso, la póliza ya no prestará mérito ejecutivo y deberá recurrirse a un proceso ordinario dentro del cual el asegurado o beneficiario que pretende obtener el pago de la indemnización a su favor, podrá exponer ante el juez sus argumentos y probar los hechos que soportan sus pretensiones, con miras a la obtención de una sentencia condenatoria en contra del asegurador, quien podrá ejercer su derecho de defensa aportando las pruebas que justifican su negativa a indemnizar, es decir de los hechos excluyentes de su responsabilidad.
(…) 31. Al respecto, se observa que el artículo 1047 del estatuto mercantil, establece cuáles son los requisitos que debe contener la póliza, entre los cuales se hallan i) la determinación de la fecha en que se extiende la misma y ii) “la vigencia del contrato, con indicación de las fechas y horas de iniciación y vencimiento, o el modo de determinar unas y otras”; por su parte, el artículo 1057 dispone que en defecto de estipulación o de norma legal, los riesgos principiarán a correr por cuenta del asegurador a la hora veinticuatro del día en que se perfeccione el contrato. 32.
Dada la naturaleza de la obligación que contrae el asegurador, resulta de la mayor importancia la determinación del momento exacto a partir del cual aquel asume el riesgo que le es trasladado y así mismo, la hora y el día hasta los cuales va tal asunción, puesto que Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. únicamente estará obligado a ejecutar la prestación a su cargo cuando el riesgo se realice dentro de ese lapso, es decir si el siniestro se presenta dentro de esos límites temporales. Al respecto, el artículo 1073 del C. de Co., relativo a la responsabilidad del asegurador, establece que “Si el siniestro, iniciado antes y continuado después de vencido el término del seguro, consuma la pérdida o deterioro de la cosa asegurada, el asegurador responde del valor de la indemnización en los términos del contrato.
Pero si se inicia antes y continúa después que los riesgos hayan principiado a correr por cuenta del asegurador, éste no será responsable por el siniestro”. 33. De acuerdo con lo anterior, el legislador sólo concede el derecho a la indemnización a cargo del asegurador, cuando el riesgo se realiza o inicia su realización dentro del periodo amparado por la respectiva póliza.
Como lo sostuvo la Sala, “Debe tenerse en cuenta que lo que se exige en el régimen de los contratos de seguros, en cuanto a su vigencia y cobertura, es que el riesgo efectivamente se materialice durante el periodo de vigencia de la póliza, puesto que una cosa es el surgimiento del derecho a obtener la indemnización y otra cosa es el derecho a recibir su pago, el que sí se concreta una vez se hace la reclamación en la forma establecida por la ley.8 (…) 37.
A través del primero, contenido en la denominada póliza global de manejo, las entidades públicas o privadas se precaven frente a los perjuicios que pueden sufrir en su patrimonio con ocasión de la pérdida de sus fondos y bienes, proveniente de las actuaciones de sus empleados en ejercicio de sus cargos y como consecuencia de la administración, custodia o manejo de los bienes por parte de dichos servidores.
Tratándose de las entidades estatales, el seguro de manejo las ampara de los actos que sean tipificados como delito contra la administración pública, es decir que en estos casos, el riesgo está fundado en la administración dolosa o gravemente culposa de los bienes y valores confiados al funcionario en razón de su cargo. (…) 39. Por su parte, en relación con el seguro de riesgos financieros, existe la póliza denominada de infidelidad y riesgo financiero, cuya finalidad es la de 8 Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Tercera, auto del 31 de marzo de 2005, expediente 25689, C.P. Ramiro Saavedra Becerra.
Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. proteger a las empresas de los perjuicios que pueden sufrir como consecuencia de la infidelidad de sus empleados, por fraudes, el hurto calificado, en el transporte de valores, por la falsificación o alteración de firmas, por el dinero falso, el crimen por computador, etc.; sobre esta clase de pólizas, el numeral 3 del artículo 185 del Decreto 663 de 1993, establece que “[e]n los seguros que tengan por objeto el amparo de los riesgos propios de la actividad financiera, se podrán asegurar, mediante convenio expreso, los hechos pretéritos cuya ocurrencia es desconocida por tomador y asegurador” (Negrillas de la Sala). 5.3 El Caso concreto Siguiendo los parámetros normativos y jurisprudenciales expuestos el Tribunal encuentra: 1.
El HOSPITAL DEPARTAMENTAL SAN JUAN DE DIOS adquirió ante SEGUROS DEL ESTADO, la Póliza de Seguro de Infidelidad y Riesgos Financieros 60-25- 1000010, con vigencia del seguro, desde el 28 de febrero de 2018 y hasta 28 de febrero de 2019, con los siguientes amparos9: 9 Expediente digital/Procesos ordinarios/Dr. Luis Javier/ Primera Instancia/ Contractual/333300620200014700/001 Demanda y anexos/ pagina 89 Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. 2. Como objeto del seguro se estipuló: “AMPARAR EL PATRIMONIO DE LA ENTIDAD POR PERDIDAS Y/O DAÑOS A LOS BIENES PROPIOS Y NO PROPIOS POR LOS CUALES EL ASEGURADO SEA RESPONSABLE, INCLUYENDO DINERO EN TODAS SUS FORMAS Y DENOMINACIONES, TITULOS REALES O VIRTUALES Y TITULOS VALORES, A CONSECUENCIA DE LOS RIESGOS A QUE ESTA EXPUESTA LA ENTIDAD EN EL GIRO NORMAL DE SU ACTIVIDAD, POR LOS SERVIDORES PUBLICOS O TERCEROS O EN COMPLICIDAD CON ESTOS10.” (Negrillas de la Sala). 3.
Las coberturas mínimas pactadas fueron: COBERTURAS MINIMAS. (…) SECCION B DELITOS ELECTRONICOS Y POR COMPUTADOR
1. CRIMENES POR COMPUTADOR
2. SISTEMAS COMPUTARIZADOS
3. OPERACIONES DE LA OFICINA DE SERVICIOS DEL ASEGURADO
4. INSTRUCCIONES ELECTRONICAS POR COMPUTADOR 10 Páginas 87 y 88. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. 5. EQUIPOS Y DATOS ELECTRONICOS
6. VIRUS DE COMPUTADOR
7. COMUNICACIONES ELECTRONICAS
8. TRANSMISIONES ELECTRONICAS
9. TITULOS VALORES ELECTRONICOS
10. TELEFACSIMILES FALSIFICADOS HABILITADA/ NO HABILITADA COBERTURAS Y CLAUSULAS OPCIONALES SECCION A INFIDELIDAD Y RIESGOS FINANCIEROS (…)
7. RECONSTRUCCION DE LIBROS DE CUENTAS, REGISTROS Y DOCUMENTOS SUBLIMITE $500.000.000 POR TODA Y CADA PERDIDA Y EN EL AGREGADO ANUAL EN EXCESO (…)
9. EXTORSION AMENAZA A PROPIEDAD (EXCLUYENDO DAÑOS A LA PROPIEDAD Y/O EDIFICIOS). HACIENDO PARTE DEL LIMITE AGREGADO ANUAL (…) SECCION B DELITOS ELECTRONICOS Y POR COMPUTADOR OTORGA NO OTORGA
1. EXTENSION DE GASTOS DE VERIFICACION.
2. SE INCLUYE EL ENDOSO DE BANCA VIA INTERNET.
3. PARA AQUELLAS CLAUSULAS Y/O CONDICIONES ADICIONALES PARA LAS QUE NO SE INDIQUE SUBLIMITE SE ENTENDERA QUE ESTAS OPERAN AL 100%
4. SE INCLUYE UN REINSTALAMENTO AUTOMATICO DE LA SUMA ASEGURADA SIN COBRO DE PRIMA ADICIONAL
5. EXCLUSION DE GUERRA Y TERRORISMO. (…)
11. CLAUSULA DE ARBITRAMENTO O COMPROMISORIA (A OPCION DEL ASEGURADO) LAS PARTES (TOMADOR Y ASEGURADOR) ACUERDAN QUE CUALQUIER CONTROVERSIA QUE SE SUSCITE ENTRE ELLAS CON OCASION DE LA CELEBRACION, EJECUCION DE LAS OBLIGACIONES NACIDAS DEL CONTRATO DE SEGUROS Y TERMINACION DEL Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. MISMO, SERA ASUMIDA POR UN TRIBUNAL DE ARBITRAMENTO, EL CUAL ESTARA INTEGRADO POR TRES (3) ARBITROS DESIGNADOS DE COMUN ACUERDO ENTRE LAS PARTES, O EN SU DEFECTO, POR ARBITROS INSCRITOS EN LA LISTA DEL CENTRO DE ARBITRAJE Y CONCILIACION DE LA CAMARA DE COMERCIO DE ARMENIA. EL ARBITRAJE SERA EN DERECHO Y SE SUJETARA A LA NORMATIVIDAD JURIDICA VIGENTE.
LAS PARTES FIJAN COMO DOMICILIO LA CIUDAD DE ARMENIA Y COMO SEDE EL CENTRO DE ARBITRAJE Y CONCILIACION DE LA CAMARA DE COMERCIO DE LA MISMA CIUDAD. (…) (Negrillas de la Sala). 4. El 29 de marzo de 2018, la ESE demandante, rindió informe técnico acerca de un ataque cibernético.11 5. Mediante Resolución 327 de 30 de marzo de 2018, el Hospital San Juan de Dios tomó “medidas de contingencia ante el ataque cibernético al servidor institucional Atenas y el Software “Dinámica Gerencia” y se adopta un plan de contingencia ante dicha emergencia”.12 6.
El mismo 30 de marzo de 2018 el Hospital adoptó el “Plan de Contingencia ante Ataque Cibernético”13. 7. En dicha fecha también se llevó a cabo reunión entre representantes de la entidad demandante y la Fiscalía 11 Ídem/ Contestación DDa/ Dctos Conportuario/Parte 1/ 14. Documentos recibidos el 3 de enero de 2019/ páginas 2-4 12 Ídem páginas 398 a 400 13 Ídem páginas 413 a 427 Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. General de la Nación con el objeto de tratar el asunto “PROBLEMÁTICA ANTE ATAQUE CIBERNÉTICO”14. 8. El 9 de abril de 2018 el Hospital aclaró la resolución anterior, en el sentido de indicar que la fecha correcta del acto administrativo fue del 30 de marzo de 201815. 9. El Hospital el día 3 de abril de 2018, interpuso querella ante la Fiscalía General de la Nación como condición de procedibilidad para la denuncia penal por el delito de “DAÑO Y HURTO INFORMÁTICO EN CONCURSO CON EXTORSIÓN”.16 10.
Obra informe rendido por la empresa APLINSOFT, de 23 de mayo de 2018, dirigido al Hospital, en el que se informa sobre un ataque cibernético sufrido por el mismo Hospital accionante en febrero de 2018 y el acaecido en marzo del mismo año - objeto central del presente proceso judicial - 17. En dicho informe, la empresa referida sostuvo: “De acuerdo a lo anterior colocamos en contexto los antecedentes y la línea de tiempo de los eventos sucedidos en la entidad: 1.
El día 14 de febrero de 2018 el área de sistemas realizó la notificación vía telefónica de la encriptación de la información de algunas máquinas en los recursos compartidos. 2. El 14 de febrero de 2018 se realizó una revisión remota a las 9:14 am en el servidor de la entidad (…) Se realizó un sysinspector (sic) en el servidor desde el antivirus y se realizó un logcollector (sic), muestras que se enviaron a los laboratorios de ESET en Argentina quienes informaron que mediante al análisis de la información obtenida y revisada se evidencia que el virus que infectó las maquinas corresponde a una variante.java del 14 Ídem página 428 a 430 15 Ídem página 401 16 Ídem/ Páginas 404 y 405 17 Ídem/ Páginas 441 a 446 Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. Ransomware Crysis, y en ese caso no hay forma de recuperar los archivos afectados, la única opción es recurrir a los backups que realiza la entidad, respuesta que fue transmitida al área de sistemas del hospital vía telefónica, además se les recomendó desconectar de la red los equipos o servidores infectados, además de deshabilitar el servicio de escritorio remoto, o en su defecto cambiar el puerto por default (3389) que se utiliza para dicho servicio. 3.
El día 19 de febrero se realizó visita técnica presencial en horario de 9 a.m. a 12 m. para revisar el funcionamiento del antivirus en la entidad, y brindar soporte del producto con sus respectivas configuraciones y recomendaciones para el óptimo funcionamiento del mismo, como uno de los niveles básicos de seguridad dentro del entorno informático, ya que ninguna solución de seguridad, por sí sola, puede garantizar la protección total de una compañía, por ese motivo es importante contar con un conjunto de herramientas especializadas de seguridad tales como firewall, backups, cifrado, entre otras, además de implementar políticas de seguridad y concientizar a los usuarios. 4.
El día 03 de abril de 2018 el área de sistemas notificó nuevamente sobre otro caso de encriptación en la entidad vía telefónica y WhatsApp, por lo cual se solicitó el ingreso a una de las máquinas de forma remota para la revisión del virus, pero ya las maquinas estaban en proceso de formateo por parte del área de sistemas ya que debían reestablecer los servicios y garantizar la continuidad de las operaciones al interior del hospital, teniendo en cuenta que la infección tuvo lugar el día jueves festivo 29 de Marzo de 2018. 5.
El área de sistemas del hospital permitió la conexión remota, por lo cual se tomaron las muestras de una de las carpetas compartidas de la entidad, dichos archivos quedaron encriptados de la siguiente manera: Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. De las muestras recolectadas se evidencia que se trata del Ransomware de la famila.Crysis, dicho virus se activa mediante la ejecución de correos electrónicos spam con documentos adjuntos o mediante las vulnerabilidades de escritorio remoto. (…)” “Es importante tener en cuenta que el ataque en la entidad se ha presentado en horarios nocturnos y que el Ransomware identificado en los dos casos afecta a estaciones de trabajo como a servidores y una de las constates en este tipo de eventos siempre se asocian con servicios de RDP (Protocolo de Escritorio Remoto) y se hace más vulnerable en el entorno informático si dentro de las políticas de seguridad se permite que los mismos usuarios tengan permisos de administrador tanto en la red como en los equipos de cómputo.
Uno de los vectores más comunes en este tipo de amenazas es la forma como los atacantes se aprovechan de una serie de vulnerabilidades en la red y en los equipos, en este caso aprovechando debilidades en el acceso a RDP expuesto en internet o la utilización de correo spam, archivos adjuntos maliciosos, ataques de vulnerabilidades de los sistemas y la red, actualizaciones de productos falsas o suplantación en programas legítimos como aplicaciones de diseño o productos Microsoft o la falta de actualizaciones en los parches de seguridad en los sistemas operativos”.
(Negrillas de la Sala). 11. Se suscitó reunión entre las partes el 26 de noviembre de 2019, como consecuencia del ataque cibernético al sistema de la ESE y la reclamación por parte de esta, ante la aseguradora18. 12. El 13 de febrero de 2020 la Aseguradora Seguros del Estado, informó a la gerencia de la ESE accionante 19: 18 Ídem/ Páginas 379 a 386 19 Ídem/ Página 387 Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. 13. El 23 de mayo de 2020, la Aseguradora SEGUROS DEL ESTADO S.A. dio respuesta a la comunicación enviada por la parte accionante el 24 de abril de 2020.20, 14. Mediante oficio sin fecha, el Hospital solicitó a la aseguradora reconsiderar la negativa de la ocurrencia del siniestro y para ello aportó aclaración al dictamen pericial rendido por la empresa MUNDO SALUD.21 15.
En virtud del oficio de 7 de agosto de 2020, SEGUROS DEL ESTADO S.A. dio respuesta al memorial anterior decidiendo mantener su decisión negativa de acceder a la solicitud de indemnización por el hecho acaecido el 28 de marzo de 201822. 16. La parte accionante con el escrito de demanda allegó un informe rendido por la empresa MUNDO SALUD MÉDICA CTA, respecto de las pérdidas sufridas por el Hospital con fundamento en el hecho acaecido el 29 de marzo de 2018, al sistema informático de la ESE, en el que debido a una intervención ilegal cibernética, se perdió información relevante para la entidad.23 17.
En dicho informe, el equipo auditor contratado por la ESE accionante determinó: “que con base en la información revisada y las evidencias encontradas, las glosas y devoluciones que están asociadas con los registros perdidos como consecuencia del delito informático durante la segunda quincena de marzo del 2018 corresponden a seiscientas veintiocho 20 Ídem/ Páginas 36 a 38 21 Ídem/ Páginas 32 a 34 22 Ídem/ Páginas 27 a 31 23 Ídem folios 92 a 350 Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. (628) facturas con un valor glosado de $412.010.691”24 (Negrillas de la Sala). 18. La parte demandada, con la contestación a la demanda, allegó el Informe Final de Auditoria de fecha 30 de julio de 2020, suscrito por la Empresa CONPORTUARIO, en el que se concluyó: “nos permitimos reiterar nuestra recomendación de objetar formalmente cualquier reclamación que se derive del presente aviso de siniestro, teniendo en cuenta que el valor de la liquidación de la pérdida es inferior al deducible de la póliza y el siniestro se encuentra prescrito”. 25 (Negrillas de la Sala). 19.
También aportó contradicción al dictamen presentado por la demandante, rendido por MARISOL ORTÍZ y ALBA LUCÍA ROJAS, especialistas en Gerencia de Calidad y Auditoría en Salud y en Salud Familia, en el que se concluyó que el monto de la pérdida sufrida por el Hospital es de la suma de $10.823.898 y no de $577.816.236, reclamado por la demandada.26 20.
La accionada también allegó dictamen pericial rendido por la médico auditora, GLORIA GARZÓN GARCÍA27
21. RUBÉN DARÍO LONDOÑO LONDOÑO, en calidad de Gerente de la ESE Hospital Departamental Universitario San Juan de Dios rindió informe juramentado sobre los hechos del proceso, afirmando entre otras cosas28, lo siguiente: 24 Ídem folio 339 25 Expediente digital/Procesos ordinarios/Dr. Luis Javier/ Primera Instancia/ Contractual/ 333300620200014700/016 Contestación Dda/ 5.
Informe final de auditoria 26 Expediente digital/Procesos ordinarios/Dr. Luis Javier/ Primera Instancia/ Contractual/ 333300620200014700/033. Pronunciamiento traslado dictamen/ dictamen pericial de contradicción. 27 ÍDEM/ 066. Dictamen pericial 066.1 Demandado 28 Expediente digital/Procesos ordinarios/Dr. Luis Javier/ Primera Instancia/ Contractual/ 333300620200014700/ 047.
Informe Juramentado. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. 22. De conformidad con todo lo expuesto, ha quedado probado que el HOSPITAL SAN JUAN DE DIOS al suscribir con la compañía SEGUROS DEL ESTADO, la póliza “De infidelidad y riesgos financieros” 60-25-1000010, buscó garantizar riesgos entre el 28 de febrero de 2018 y el 28 de febrero de 2019, que cubría, entre otros, el de “CRIMEN POR COMPUTADOR” por la suma sublímite equivalente a $1.005.000.000. 23.
También se demostró que el servidor y el sistema de almacenamiento de información de la Empresa Social del Estado Hospital Departamental San Juan de Dios, el día 29 de marzo de 2018 fue víctima de una encriptación siendo infectado con el virus “variante.java del Ransomware Crysis”, hecho en virtud del cual perdió información sobre la prestación del servicio de salud de la entidad, como Historias Clínicas, atenciones y facturación para el periodo comprendido entre el 17 y el 29 de marzo de 2018, pues la entidad contaba con copia de seguridad solo hasta el 16 del mismo mes y año. 24.
Dado lo anterior, la entidad procedió a interponer la denuncia penal correspondiente ante la Fiscalía General de la Nación y posteriormente a requerir a la Aseguradora para hacer efectiva la póliza de infidelidad mencionada, trámite durante el cual se llevaron a cabo Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. diversas reuniones y cruce de diferentes memoriales y comunicaciones entre las partes del contrato de seguro referido, sin que se hubiese logrado un acuerdo previo entre estas. 25. También llevó a la ESE Hospital Departamental San Juan de Dios a interponer el presente medio de control de controversias contractuales, solicitando declarar la existencia del contrato, como siniestro, el delito informático, que el mismo se encuentra cubierto por la póliza 60-25-1000010, suscrita con Seguros del Estado, para cubrir un daño equivalente a 628 facturas con un valor glosado de $412.010.691. 26.
Para determinar si eso es así, es necesario en primer lugar, identificar si los hechos narrados en la demanda se encuentran cubiertos por alguna de las cláusulas de la póliza suscrita por las partes, para con posterioridad a ello y sólo de ser procedente, resolver el monto de la cuantía del siniestro si existiere; de lo contrario, la negativa de la cobertura eximirá a la Sala de estudiar el material probatorio allegado al proceso con ese objetivo. 27.
Adujo la demandante que los hechos informáticos acaecidos se encuentran cubiertos por la póliza de infidelidad referida, puesto que la misma determinó que cubría perjuicios patrimoniales por “CRIMEN POR COMPUTADOR”. 28. En efecto, en el anexo de la póliza 60-25-1000010 se contempló como “COBERTURA MÍNIMA” en la “Sección B, DELITOS ELECTRÓNICOS Y POR COMPUTADOR”, “numeral 1 CRIMENES POR COMPUTADOR”29. 29.
No existe una definición de lo que debe entender por “crimen por computador”, dentro del escrito que suscribieron las partes, lo que obliga, en principio, a determinar su alcance desde una terminología normal o usual. Al referirse a crimen se alude a un delito, es decir, a una conducta punible desplegada por una 29 Ídem/ 001. 1 Demanda y Anexos páginas 85 a 89 Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. persona (sujeto activo del delito) susceptible de reproche penal. Y por computador, que el mismo se realice a través de los mecanismos digitales que permite la vida actual, es decir, por medio de máquinas de procesamiento de datos, que contienen un soft ware y un hart ware. 30. Así, en principio podría advertirse que lleva razón la entidad accionante al afirmar que la póliza suscrita cubría el “crimen por computador”, por el hecho que se suscitó en marzo de 2018, dada la intervención ilegal de que fue objeto el servidor de la ESE demandante, que generó una encriptación de información, luego, una extorsión para poder acceder a ella – pago ilegal sobre el cual no se tiene prueba que se hubiese realizado), y finalmente una pérdida de la misma, que impidió, en criterio de la ESE, hacer los reclamos para los pagos respectivos. 31.
Por otro lado, se hace imperativo establecer las exclusiones que se estipularon dentro de la póliza sobre la temática mencionada: 31.1 Aparece en el capítulo III eventos no cubiertos por la póliza, dentro de los cuales en el numeral 20, se pactó lo siguiente “III. EXCLUSIONES /Esta Póliza no cubre: / (…) /20. Pérdidas resultantes directa o indirectamente de cualquier Virus de Computadoras, a menos que estén cubiertas bajo la Cláusula Aseguradora 4” 30 (Fol. 368 del archivo digital “001.
Demanda y anexos” - Negrillas de la Sala). 31.2 En la Cláusula Aseguradora 4 al referirse “CRIMEN POR COMPUTADOR”, se clasificaron siete, de las cuales es pertinente hacer énfasis en el contenido de la cuarta, por estar directamente relacionada con el objeto de debate: ”CLAUSULA ASEGURADORA 4 /VIRUS DE COMPUTADORAS /En razón de: / b) la destrucción, o un intento de ella, de los Datos Electrónicos del Asegurado como resultado de un Virus de Computadora causado por cualquier persona mientras que tales Datos Electrónicos se encuentren 30 Ídem/001.
Demanda y Anexos/ página 364. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. almacenados dentro del Sistema de Computadoras del Asegurado o del Sistema de Computadoras de una Oficina de Servicios” (Negrillas de la Sala). 31.3 Bajo esas condiciones, lo ocurrido en marzo de 2018, encaja en esta situación de riesgo, susceptible de amparo por la póliza de aseguramiento suscrita entre las partes. 32.
Por su parte, la aseguradora demandada, para controvertir el argumento anterior, adujo, básicamente: 32.1 Para que se constituya el cumplimiento de ese postulado contractual es necesario que concurran al mismo tiempo los literales a) y b), es decir que el hospital haya pagado o dado alguna suma de dinero como consecuencia de la pérdida de la información y que se haya destruido una información almacenada en el sistema que reposa en la entidad. 32.2 El literal a) alude a lo siguiente: “CLAUSULA ASEGURADORA 4 /VIRUS DE COMPUTADORAS /En razón de: /(a) que el Asegurado haya transferido, pagado o entregado fondos o propiedad o establecido algún crédito, debitado alguna cuenta o dado cualquier valor como resultado directo de la destrucción o un intento de ella, de los Datos Electrónicos del Asegurado debido a un Virus de Computadora causado por cualquier persona mientras que tales Datos Electrónicos se encuentren almacenados dentro del Sistema de Computadoras del Asegurado o del Sistema de Computadoras de una Oficina de Servicios;
(…)”. (Negrillas de la Sala). 33. Para la Sala, la concomitancia que exige la aseguradora no es de recibo. En efecto, la póliza en ese punto está describiendo unos eventos, independientes entre sí, que pueden llegar a consolidar un crimen por computador. Así que no está obligando al tomador de la misma a demostrar la ocurrencia de los postulados a y b allí mencionados.
Bien pude ocurrir que se hayan transferido fondos o dado algún valor por la destrucción de datos electrónicos almacenados dentro del sistema Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. de la ESE (literal a), o que simplemente se haya dado la destrucción de dichos datos por efectos de un virus de computador introducido en el sistema (literal b). 34.
Para el caso, no se probó, se insiste, la entrega de un rescate (de fondos o de algún valor) por la información encriptada, sino que simplemente se perdió o se destruyó para los efectos de reclamo de pagos por servicios prestados en el área de la salud. 35. De lo advertido, se puede destacar en síntesis lo siguiente: 35.1 El riesgo descrito y consolidado (pérdida o destrucción de información por encriptación extraña e ilegal), no está excluido al tenor del numeral 20 del acápite de las exclusiones. 35.2 Si bien no se probó que el Hospital accionante haya tenido que transferir, pagar o entregar fondos, o debitar de alguna cuenta, como resultado directo de la acción delictiva a los autores de la misma, sí quedó demostrado con claridad que hubo destrucción de los datos electrónicos del Hospital, como resultado del virus de computador de que fue objeto el sistema de computadoras del asegurado, por parte, al parecer, de un tercero. 35.3 La póliza suscrita por el Hospital San Juan de Dios con la Aseguradora del Estado, sí cobija el delito cibernético que quedó debidamente probado y que ha sido referido con insistencia, pues el día 29 de marzo de 2018 el servidor y el sistema de almacenamiento de información de la Empresa Social del Estado Hospital Departamental San Juan de Dios, fue infectado con el virus “variante.java del Ransomware Crysis”, perdiendo información sobre la prestación del servicio de salud de la entidad, como Historias Clínicas, atenciones y facturación para el periodo comprendido entre el 17 y el 29 de marzo de 2022.
Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. 36. La aseguradora accionada también alegó que las partes acordaron que la póliza solo otorgaría cobertura a los perjuicios sufridos por el asegurado que fueran consecuencia de tales riesgos, es decir, que no otorgaría cobertura a los perjuicios “indirectos” que se generaran por los hechos objeto de cobertura. 37.
Para dilucidar el punto, es importante destacar: 37.1 En las exclusiones pactadas por las partes y que se encuentran referidas con anterioridad,31 se estableció en el numeral 4, que la póliza no cubría “4. Pérdidas indirectas o consecuenciales de cualquier naturaleza”. 37.2 La Sección Tercera del Consejo de Estado en Sentencia de 3 de agosto de 201732 se refirió a los perjuicios directos e indirectos derivados de un contrato, así: “El concepto del perjuicio directo, se debe entender, en el contexto legal de las garantías contractuales, como el derivado del incumplimiento, esto es, el causado por la realización del riesgo amparado, cuya ocurrencia se origina en la conducta incumplida del contratista.
Esa precisión se elabora en contraposición al concepto del que se denominaría perjuicio indirecto, consecutivo o consecuencial, el cual, entonces, no se produce en forma inmediata por el incumplimiento, sino que para su causación concurren otras fuentes, consecutivas o consecuenciales, que inciden de manera mediata, para ocasionar el perjuicio33 (Negrillas de la Sala). 31 Proceso digitalizado/ 001.
Demanda y Anexos/ página 364. 32 C.P. Martha Nubia Velásquez Rico – Exp.2012-0322 N.I. 52531 33 El perjuicio es inmediato cuando nada se interpone entre el incumplimiento y la afectación patrimonial, de lo contrario el perjuicio se entiende como mediato, cuando concurren otras causas o fuentes para configurar el daño. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. 37.3 En ese ámbito, es importante resaltar el objeto del contrato de seguros suscrito por las partes de: “AMPARAR EL PATRIMONIO DE LA ENTIDAD POR PERDIDAS Y/O DAÑOS A LOS BIENES PROPIOS Y NO PROPIOS POR LOS CUALES EL ASEGURADO SEA RESPONSABLE, INCLUYENDO DINERO EN TODAS SUS FORMAS Y DENOMINACIONES, TITULOS REALES O VIRTUALES Y TITULOS VALORES, A CONSECUENCIA DE LOS RIESGOS A QUE ESTA EXPUESTA LA ENTIDAD EN EL GIRO NORMAL DE SU ACTIVIDAD, POR LOS SERVIDORES PUBLICOS O TERCEROS O EN COMPLICIDAD CON ESTOS34”. 37.4 De ello se puede inferir que, si las partes pactaron que la pérdida de la información por ataques de terceros sería objeto de cobertura, tal pacto solo tendría contenido negocial, en la medida en que se advirtiera que esa pérdida de la información, provocaría un deterioro en el patrimonio del amparado. 37.5 La información es crucial, para el buen desempeño de una entidad hospitalaria como la accionante, y su pérdida, desde luego, que genera una daño inmediato y directo.
La información completa y detallada de los servicios prestados es indispensable para que la entidad pueda desarrollar su propósito. 37.6 Su desaparición o reconstrucción por haberla perdido, provoca un daño que, como se ha visto, está cubierta en virtud de la estipulación contractual pactada por las partes en la póliza. 37.7 Lo anterior, permite concluir que la pérdida de información de que fue objeto el Hospital a causa del siniestro del virus de computador de que fue víctima, no fue una pérdida indirecta - como lo alega la aseguradora accionada -, sino que es producto de la sustracción de la información por parte, al parecer, de terceros provocando un daño 34 Páginas 87 y 88.
Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. directo, como lo es la necesidad de reconstrucción de la información so pena de hacerse imposible el reclamo monetario por los servicios presados. 38 Establecido lo anterior, resta precisar, cuál fue el daño causado y que es susceptible de cubrirse por la aseguradora: 38.1 En el informe emitido por MUNDO SALUD MEDICA CTA, suscrito por HUGO MAURICIO QUINTERO ZULUAGA Coordinador del Grupo Auditor, y presentado por la accionante, se concluyó: “Una vez el equipo auditor finalizó la auditoría de las glosas recibidas por la ESE, estableció que con base en la información revisada y las evidencias encontradas, las glosas y devoluciones que están asociadas con los registros perdidos como consecuencia del delito informático durante la segunda quincena de marzo del 2018 corresponden a seiscientas veintiocho (628) facturas con un valor glosado de $412.010.691.
Debido a que por la pérdida de la información, la ESE con base en la normatividad vigente, no pudo subsanar las causas que generaron las glosas, es pertinente que este valor sea objeto de cobro a la aseguradora. Como consecuencia de las anteriores decisiones, el valor de las glosas y devoluciones, asociadas a la ausencia de soportes para respaldar los servicios facturados, que las entidades responsables del pago hicieron a 628 facturas es de $412.010.691 y el grupo auditor de Mundo Salud Médica CTA, accedió a los documentos que le permiten avalar la prestación de los servicios facturados.
Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. Como consecuencia de las anteriores decisiones, el valor de las glosas y devoluciones, asociadas a la ausencia de soportes para respaldar los servicios facturados, que las entidades responsables del pago hicieron a 628 facturas es de $412.010.691 y el grupo auditor de Mundo Salud Médica CTA, accedió a los documentos que le permiten avalar la prestación de los servicios facturados.” (Negrillas de la Sala). 38.2 Fue aportado por la parte accionada el dictamen rendido por las señoras MARISOL ORTÍZ PORTILLA y ALBA LUCÍA ROJAS DÍAZ, Especialistas en Gerencia de Calidad y Auditoría en Salud y Especialistas en Salud Familiar35, en el que se dijo: “Conforme a lo expuesto y teniendo en cuenta la totalidad de documentos que obran en el expediente, a continuación, presentamos el valor de la liquidación de la eventual pérdida, en caso de que se acredite la ocurrencia del siniestro, respecto al valor reconocido por la firma Mundo Salud Medica CTA y el valor que fue calculado a lo largo del presente dictamen: Con base en lo señalado en los capítulos anteriores y con base en nuestro conocimiento técnico respecto a la auditoría de cuentas médicas, nos permitimos manifestar que de existir un siniestro amparado bajo la Póliza de Infidelidad y Riesgos Financieros No. 60- 25-1000010 expedida por Seguros del Estado S.A., la cuantía de la pérdida ascendería a la suma de $10’823.898, y por lo tanto, sería inferior al deducible pactado” (Negrillas de la Sala). 35 Ídem/ Dictamen pericial de contradicción Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. 38.3 Adicionalmente fue allegado el dictamen, rendido por la perito designada por este Tribunal, la señora GLORIA GARZÓN GARCÍA36, en calidad de Médico Auditor, en el que dijo lo siguiente: “En base al estudio realizado se llega a las siguientes conclusiones: Las autorizaciones solicitadas antes o durante el periodo reportado del presunto ataque cibernético a los diferentes entes pagadores pudieron ser reconstruidas al solicitarles copia de los soportes respectivos, motivo por el cual no se consideró para un posible recobro.
Los reportes de patología o de coloraciones pudiendo ser reconstruidas para presentar los cobros correspondientes, se solicitan nuevamente al laboratorio pudiendo ser reconstruida. En cuanto a las consultas especializadas no facturadas, según los soportes allegados por la E.SE. Hospital Universitario no se evidencia la gestión encaminada a obtener la reconstrucción de la información y documentos encriptados, tampoco se evidencia acercamiento con los pacientes que recibieron atención. La glosa registrada como cobros no pertinentes o mayor valor facturado (Tarifas) no se consideran susceptibles a recobro debido a realizaron actividades (laboratorios, imágenes diagnosticas entre otras) que no aportan en el diagnóstico, manejo o resolución de la patología tratada y debido a que facturan a mayor valor de las tarifas contratadas con los diferentes entes pagadores.
En los soportes analizados causal de glosa o devolución no se indica que es por ataque cibernético. 36 Ídem/ Dictamen pericial. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. Luego de la revisión de los soportes allegados por la E.S.E. Hospital Universitario San Juan de Dios – Quindío, las facturas y valores susceptible a recobro serian: (Negrillas de la Sala). 38.4 De conformidad con lo anterior, la Sala encuentra tres valores distintos, que soportan lo posibles perjuicios causados derivados del riesgo cubierto con la póliza: un gran total de $412.010.691, derivado de todas las glosas (628) que impidieron ser reclamadas; una suma equivalente a $10.823.898 -inferior al deducible pactado – que descarta en un gran porcentaje las glosas; y un valor de $173.800, que pone de presente que las mayoría de las glosas pudieron haberse reclamado, haciendo las gestiones necesarias y suficientes por parte de la ESE. 38.5 Para la Sala, el monto al que arribó la demandante se deriva de cálculos referenciales, que no tienen un soporte suficiente, pesando más el dictamen pericial que aportó la accionada, y de alguna manera corroborada por la auditoría dispuesta por el Tribunal, donde se controvirtió las afirmaciones de cobro, así: “2.
En relación a la exclusión glosas por motivos diferentes a la perdida de información. El representante de Mundo Salud Medica CTA indicó que revisó el archivo ya depurado con el objetivo de establecer si la glosa hecha a la facturación presentada, estaba relacionada con el ataque informático y encontró que en 189 facturas que tienen un valor de Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. $168.338.189, en las que glosaron $44.094.242 NO SON atribuibles al delito informático. Al respecto indicamos que se revisó y confrontó con el archivo enviado por la ESE Hospital Departamental San Juan de Dios del Quindío y concluimos que estamos de acuerdo con la apreciación en este punto. 3. Sobre la Validación de las glosas originadas por la pérdida de información durante la segunda quincena de marzo del 2018.
El representante de Mundo Salud Medica CTA. reitera en este punto que, solicitó los documentos con los que las entidades responsables de pago comunicaron al hospital las inconsistencias por ellas encontradas en la facturación y decidió identificarlas con la etiqueta “Glosada con documentos respaldo”. Indica que relacionó 207 facturas por un valor de $474.442.624 en las que glosaron $245.093.252 por la ausencia de documentos o información definidos como soportes en el anexo técnico 5 de la resolución 3047 de 2008.
Realizamos la revisión de cada una de las facturas mencionadas con el nombre de GLOSADA, DISCRIMINADA, CON DOCUMENTOS DE RESPALDO tanto del archivo “00 Relación facturas glosas febrero 26 2020” y las facturas se confrontaron con los soportes enviados dentro de las diferentes carpetas de la nueva comunicación de julio de 2020 y con el archivo enviado por el hospital en julio de 2019.
Al respecto evidenciamos: - Las glosas fueron subsanadas en su gran mayoría por el hospital. - Los motivos de glosa correspondían a tarifas, glosa por cobertura, glosa por Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. pertinencia, facturación con mayor valor cobrado, ausencia de autorizaciones, ayudas diagnosticas no interpretadas, exámenes no pertinentes, estancias no pertinentes;
ÍTEMS QUE EN NINGÚN CASO CORRESPONDEN A PÉRDIDAS DE INFORMACIÓN POR ALGÚN DELITO INFORMÁTICO. Después del análisis realizado pudimos concluir que solo 94 facturas de estas corresponden a glosa por soportes, de las cuales la ESE Hospital 36 dado que correspondían a glosa por falta de interpretación de ayudas diagnósticas.
En 49 facturas la ESE Hospital Departamental Universitario del Quindío San Juan de Dios respondió que anexaba el soporte solicitado, por tal motivo estas debieron levantarse. (…) Más adelante se refirió a las glosas relacionadas en el dictamen rendido por la accionante y concluyó lo siguiente: “Glosas Mundo Salud Medica CTA las clasificó así: Glosas General con Documento Respaldo (403 facturas por un valor de $296.665.245), se revisaron una a una en todas las comunicaciones recibidas y se encontró que algunas son posiblemente susceptibles de cobro a la aseguradora dado que en la respuesta a la glosa no se pudo anexar el Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. soporte por perdida de información reportada. Otras no son susceptibles de cobro porque se les dio respuesta por parte del hospital y se anexó los documentos soporte requeridos por los responsables de pago, según información registrada en los archivos. Se relacionan a continuación las glosas para posible reconocimiento por la aseguradora Luego se refirió a las actividades médicas con hospitalización, prestadas por la ESE accionante, para el periodo en el que perdió la información de sus servicios.
“4. Actividades no facturadas en Hospitalización en la ESE Hospital Departamental Universitario del Quindío San Juan de Dios posiblemente relacionadas con el ataque informático. El representante de Mundo Salud Medica CTA. relaciona los pacientes hospitalizados para la fecha del ataque informático en una lista de 700 de los cuales 283 fueron relacionados para cobro en las páginas anteriores en las facturas con glosas, y 417 están en hospitalización general, con factura generada normal, únicamente 21 pacientes son detectados sin generación de factura por lo que la valorizan a tarifa Soat pleno y la presentan para cobro por un valor de $17.228.100.
Al respecto nos permitimos aclarar que de las hospitalizaciones que se mencionan para cobro, algunas son particulares y no corresponderían a pérdida por ataque Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. informático en razón a que el paciente paga los servicios recibidos al salir de la hospitalización y no requieren soportes para presentar ante ningún ente de pago".
(…) En conclusión, es evidente que estas atenciones no son susceptibles de cobro a la aseguradora recalcando que no se evidenció gestión de recuperación de documentos para su radicación en las entidades responsables de pago, lo primero era radicarlas en sus respectivas empresas, y las glosas atribuibles a la pérdida de información por delito informático debían haber sido radicadas oportunamente para su reconocimiento como segundo paso.
Adicionalmente sostuvo que la accionante allegó dos facturas por valor de $6.898.128 con. HUSD0002227688 cuyo valor es $6.077.328, y HUSD0002224406 valor $820.800; refiere que están en estado 0 y según él, esto indica que a pesar de estar radicadas en el sistema no pudieron ser enviadas a las entidades responsables de pago; sin embargo, no hay lugar al cobro de las mismas por cuanto no hay prueba alguna de que estas facturas no se puedan radicar en sus respectivas entidades responsables de pago, no se evidencia gestión de recuperación de soportes.
Frente al pago de los servicios que aduce la entidad haber prestado por consulta externa especializada, adujo: “En relación a este consideramos que su cuantificación se basa en estadísticas y que la información allegada no es aval para reclamación por pérdida de Actividades no facturadas en el servicio de consulta externa especializada de la ESE Hospital Departamental Universitario del Quindío San Juan de Dios, por esto no se deben tener en cuenta para reconocimiento por parte de la aseguradora.
Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. No es procedente efectuar este pago por estadísticas, dado que no es suficiente soporte (…)” En relación con las facturas presentadas por concepto de urgencias, refutó los argumentos de la ESE accionante, así: “Mundo Salud Medica CTA Medica CTA, tal como lo señaló en el dictamen pericial, utilizó la información estadística de los años 2017 y 2018, en los que encontró que el reporte de producción de consultas de urgencias efectuadas por médico general, durante el año 2017 fue de 52.189, y en el año 2018 fue de 54.736, con un aumento de 2.547.
En el primer trimestre de 2017 fueron 11.872. Mientras que en el primer trimestre de 2018 llegaron a 11.457. A pesar de que en el total de actividades del año se presentó un incremento del 4,9% en el primer trimestre la disminución fue del 3,5% Agrega que, en el reporte del total de facturas del año 2018, fue de 52.757 y que al seleccionar el campo ingreso por urgencias, el promedio de facturas por mes es de 4.396, por lo que según el informe la diferencia con la cantidad generada en marzo (2.510) es de 1.886 atenciones de urgencias.
(…) Mundo Salud Medica CTA indica que el promedio de facturas por mes es de 4.396, por lo que la diferencia con la cantidad generada en marzo (2.510) es 1.886 atenciones de urgencias. Adiciona que, es así como en la información recolectada y relacionada, las 1.886 consultas de urgencias que no fueron facturadas en marzo de 2018 están relacionadas con la pérdida de información generada por el delito informático, teniendo en cuenta que la tarifa SOAT vigente el año 2018 fue de $31.200 por cada consulta, el valor para ser incluido en la reclamación es de $58.843.200.
Reporte utilizado por Mundo Salud Medica CTA Medica, para este análisis es “INFORME DE FACTURAS DE ENERO A DICIEMBRE DE 2018”. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. Respuesta: Debido a que su cuantificación se basa en estadísticas y que el Asegurado no presentó ni sustentó la documentación para determinar la pérdida de las Actividades no facturadas en el servicio de urgencias, no se cosndiera (sic) procedente que sea tenida en cuenta para reconocimiento por parte de la aseguradora, además es claro y está establecido por protocolo de manejo de pacientes que para los pacientes que egresan de urgencias, que son la mayoría, solo se da vía libre a la salida, una vez se ha terminado el proceso de facturación (ver página 11 de PROCEDIMIENTO EGRESO URGENCIAS Código UR-CP-06 versión 4).
Es claro que en todas las entidades de salud y también en la E.S.E Hospital Departamental Universitario del Quindío San Juan de Dios, el proceso de facturación es continuo, dinámico, no se espera hasta el día 29 del mes para imprimir los soportes de las atenciones y elaborar las facturas, sino que día a día (como indican los protocolos se llevan a cabo estas actividades) esta es una razón más para tener en cuenta al momento de incluir estos rubros estadísticos en la reclamación. Este rubro se recibió dos veces, la anterior ocasión dentro del Informe Técnico, con un monto diferente ($30.700.800) y presenta ninguna evidencia o soporte para su revisión Igualmente, dentro de los archivos contenidos en la unidad USB se encuentra un archivo denominado “INFORME DE FACTURAS DE ENERO A DICIEMBRE 2018” el cual es referido por Mundo Salud Medica CTA en su dictamen; si tomamos la información de consultas de urgencias que se registran allí encontramos que tiene 4.672 atenciones de urgencias; esta cantidad es superior al promedio mensual que es 4.396.” (Negrillas de la Sala).
Finalmente, en relación con el argumento de la ESE demandante, respecto de los gastos adicionales de personal y horas extras que tuvo que asumir para poder recuperar la información perdida, dijo que no Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. se adjuntó prueba alguna que sirvieran de respaldo al valor reclamado. 38.6 Así las cosas, y de conformidad con las diversas afirmaciones técnicas aportadas por las partes, encuentra la Sala que los argumentos del dictamen pericial aportado por la aseguradora accionada descartan aquellos factores que considera ajenos a la indemnización, como son las facturas cuyas glosas no tienen un origen determinado o es indefinido o no tienen que ver con la pérdida de la información o por lo menos no se probó dentro del proceso.
También excluye ese dictamen los servicios médicos de consulta externa, especializada, hospitalización y urgencias, que ocurrieron en el periodo de la pérdida de la información, determinando con claridad y con fundamento no solo en el dictamen aportado por la accionada, sino también con la documentación allegada por la misma ESE al proceso, que las ausencias de dichas glosas correspondieran o estuvieran directamente relacionadas con el fraude electrónico del que fue objeto el Hospital San Juan de Dios. 38.7 El análisis anterior, coincide con la registrada por la perito médico auditor, GLORIA GARZÓN GARCÍA,37 en el que se adujo que en la documentación soporte de la reclamación, como causal de glosa o devolución no sólo no se indica que es por ataque cibernético, sino que además no se probó que la omisión de aportar los soportes para el pago de dicha facturación tuviera como origen la encriptación de la base de datos del hospital. 38.8 Quiere decir lo anterior, que pese a que en el presente asunto se configuró la ocurrencia del siniestro, siendo este el delito cibernético del que fue objeto la accionada y que conllevó a la pérdida 37 Expediente onedrive/ Dictamen pericial Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. de la información de sus servicios prestados para el periodo comprendido entre el 17 y el 29 de marzo de 2018; dicha parte no logró probar que la falta de recobro de esas facturas a las entidades obligadas al pago de los servicios que había prestado en dicho lapso, fuera resultado de la pérdida de la información vulnerada mediante el delito cibernético del que fue víctima. 38.9 En otros términos, dado que la entidad en el conjunto de facturas cuyo pago se rehusó o glosó como secuela de la pérdida de la información, no probó que fuese por dicho motivo, no puede reconocerse el daño que alega como causado, puesto que faltaría la prueba sobre el perjuicio patrimonial, en especial, la condición de directo y su cuantía. 38.10 En ese sentido también es importante advertir según se lee del peritaje aportado, que hay información extraviada, respecto de la cual no se logró probar si quiera que la entidad hubiese adelantado las acciones necesarias para efectuar la reclamación del pago por los diversos conceptos médicos que prestó, ante las entidades encargadas del pago. 38.11 Así entonces, la sala dará mayor valor probatorio al dictamen pericial aportado por la aseguradora accionada y, en consecuencia, se ordenará tener en cuenta la liquidación final de la pérdida relacionada en el peritaje referido, el cual se discriminó así: Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. 39. Según se lee en la carátula de la póliza, el valor del deducible pactado, fue de 40.000.000, como se observa en la siguiente imagen: 40. Dado que la cuantía del siniestro establecida en el presente asunto, asciende a la suma de $10.823.898, y ello es inferior al monto del deducible pactado, no prospera la reclamación indemnizatoria, porque el deducible se traduce en un límite inferior del siniestro, es decir, es el mínimo valor reconocible por parte de la aseguradora, según lo pactado. 41.
Lo anterior indica que, como el monto reconocido como perjuicio es inferior a la suma de deducible pactado en el contrato de seguro referido, no hay lugar a acceder a las pretensiones indemnizatorias de la demanda, por cuanto la suma a reclamar es inferior al monto límite establecido, por lo que la Sala procederá con su Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. negativa, pese a la ocurrencia del siniestro y con ello declarar no probadas las excepciones de fondo de “ausencia de siniestro en los términos de la “cláusula aseguradora 4”, “Inexistencia de una pérdida indemnizable por la Póliza de Infidelidad y Riesgos Financieros No. 60-25-1000010”, “Ausencia de cobertura de la Póliza de Infidelidad y Riesgos Financieros No. 60- 25-1000010 – exclusión de las pérdidas indirectas de cualquier naturaleza que sufra el asegurado”, “Ausencia de cobertura de la Póliza de Infidelidad y Riesgos Financieros No. 60- 25-1000010 – exclusión de los ingresos potenciales que eventualmente podría percibir el asegurado”, y probada la Excepción de fondo subsidiaria de “ausencia de obligación en cabeza de Seguros del Estado - el valor de la presunta pérdida sufrida por el Hospital San Juan de Dios no supera el monto del deducible pactado”. 42.
En cuanto a la condena en costas, debe ponerse de presente: 42.1 El Consejo de Estado efectuó un cambio jurisprudencial en sentencia de la Sección Segunda del 8 de febrero de 201838, en la que dijo: “ (…) en lo que respecta a la condena en costas impuesta por el a – quo a la parte demandante, estima la Sala pertinente precisar tal y como lo solicitó el Agente del Ministerio Público, que con la adopción del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, Ley 1437 de 2011, el legislador abandonó el criterio subjetivo que venía imperando en este tipo de asuntos para dar paso, según se advierte en el artículo 188 ibídem, a la valoración objetiva frente a la imposición, liquidación y ejecución de las costas procesales. 38 C.E. Sección Segunda.
Subsección B. C.P. CÉSAR PALOMINO CORTÉS. Sentencia del 8 de febrero de 2018. Radicación: 17001-23-33-000-2015-00033- 01(1377-17). Actor: Reinaldo Garcés Ríos. Demandado: Unidad Administrativa Especial de Gestión Pensional y Contribuciones Parafiscales de la Protección Social. En la que se explicó. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs.
SEGUROS DEL ESTADO S.A. En efecto, de la redacción del citado artículo se extraen los elementos que determinan la imposición de la condena en costas, a saber: i) objetivo en cuanto a que toda sentencia decidirá sobre las costas procesales, bien sea para condenar total o parcialmente o, en su defecto, para abstenerse y ii) valorativo en el entendido de que el juez debe verificar que las costas se causaron con el pago de gastos ordinarios y con la actividad del abogado efectivamente realizada dentro del proceso.
Lo anterior en consonancia con lo dispuesto en el artículo 365 del Código General del Proceso. (…)” 42.2 De conformidad con lo anterior y con el propósito de continuar con la línea jurisprudencial dispuesta por el Consejo de Estado, este Tribunal en sentencia de Sala Plena39 del 1 de noviembre de 2018, adoptó la misma postura, tendiente a valorar la causación de las costas y agencias en derecho en cada caso específicamente. 42.3 En el presente caso se observa solo el ejercicio del derecho de contradicción de la parte accionada frente a las pretensiones de la demanda, y la carencia de prueba dentro del expediente de que se hayan causado costas a favor de la parte accionante, razón por la cual no se impondrá condena por tal concepto, en consideración a la falta de demostración de su causación de conformidad con el numeral 8 del artículo 365 del CGP.
En razón y mérito de lo todo lo expuesto, el Tribunal Administrativo del Quindío, Administrando Justicia en nombre de la República de Colombia y por autoridad de la ley, 39 TAQ Sala Plena. Sentencia del 1 de noviembre de 2018. M.P. ALEJANDRO LONDOÑO JARAMILLO. Asunto: Sentencia de segunda instancia. Medio de Control: Nulidad y restablecimiento del derecho.
Demandante: José Romel Gutiérrez Salcedo. Demandado: Caja de Sueldos de Retiro de la Policía Nacional- CASUR. Radicado: 63001-3340-005-2016-00066-01. Con aclaración de voto Mg. LUIS JAVIER ROSERO VILLOTA. Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. F A L L A PRIMERO: DECLARAR la ocurrencia del siniestro pactado en la póliza de Infidelidad y Riesgos Financieros 60- 25- 1000010 suscrita entre el HOSPITAL DEPARTAMENTAL SAN JUAN DE DIOS DE ARMENIA ESE y la aseguradora SEGUROS DEL ESTADO.
SEGUNDO: Declarar no probadas las excepciones de fondo de “ausencia de siniestro en los términos de la “cláusula aseguradora 4”, “Inexistencia de una pérdida indemnizable por la Póliza de Infidelidad y Riesgos Financieros No. 60-25- 1000010”, “Ausencia de cobertura de la Póliza de Infidelidad y Riesgos Financieros No. 60- 25-1000010 – exclusión de las pérdidas indirectas de cualquier naturaleza que sufra el asegurado”, “Ausencia de cobertura de la Póliza de Infidelidad y Riesgos Financieros No. 60- 25-1000010 – exclusión de los ingresos potenciales que eventualmente podría percibir el asegurado”, y probada la Excepción de fondo subsidiaria de “ausencia de obligación en cabeza de Seguros del Estado - el valor de la presunta pérdida sufrida por el Hospital San Juan de Dios no supera el monto del deducible pactado”.
TERCERO: NEGAR las demás pretensiones de la demanda.
CUARTO: Sin condena en costas en esta instancia.
QUINTO: En firme esta sentencia archívese el expediente, previa anotación en los libros y en el programa informático SAMAI. Esta providencia se discutió y aprobó conforme consta en el Acta de Sala de Decisión Virtual 01 de la fecha.
NOTIFÍQUESE Y CÚMPLASE Sentencia primera instancia 63001-3333-006-2020-00147-00 Controversias Contractuales HOSPITAL SAN JUAN DE DIOS DE ARMENIA Vrs. SEGUROS DEL ESTADO S.A. LUIS JAVIER ROSERO VILLOTA Magistrado LUIS CARLOS ALZATE RÍOS Magistrado JUAN CARLOS BOTINA GÓMEZ Magistrado Este documento fue firmado electrónicamente.
Usted puede consultar la providencia oficial con el número de radicación en https://samairj.consejodeestado.gov.co