Decisión 14015 de 2021 — SIC

REPÚBLICA DE COLOMBIA (16 MARZO 2021) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 20-106617 VERSIÓN ÚNICA EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO: Que mediante Resolución Nº 62132 del 05 de octubre de 2020 la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio para garantizar el debido Tratamiento de Datos personales en el territorio de la Republica de Colombia emitió varias ordenes administrativas de carácter preventivo a las sociedades a ByteDance Ltd, TikTok, Inc y TikTok Pte.

Ltd (corresponsables de la aplicación TikTok). Las ordenes administrativas de carácter preventivo que impartió esta autoridad mediante Resolución Nº 62132 del 05 de octubre de 2020 fueron las siguiente: “ARTÍCULO PRIMERO. ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los Datos personales que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informen en idioma castellano, de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus Datos personales y la finalidad del mismo;

“b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” TIKTOK como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.”

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

ARTÍCULO SEGUNDO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) crear una Política de Tratamiento de Información (PTI) redactada en idioma castellano y que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). Dicha PTI debe ser puesta HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano.

ARTÍCULO TERCERO. ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 (incorporado en el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015) para la recolección y Tratamiento de los Datos personales de niños, niñas y adolescentes (menores de dieciocho -18- años edad).

ARTÍCULO CUARTO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registren sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.

ARTÍCULO QUINTO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta Superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho -18- años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012.

PARÁGRAFO PRIMERO. TIKTOK deberá cumplir lo ordenado en este artículo dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

PARÁGRAFO SEGUNDO. Para demostrar el cumplimiento de lo anterior, TIKTOK deberá enviar a esta autoridad, al finalizar dicho plazo, una certificación emitida por una entidad o empresa, nacional o extranjera, independiente, imparcial, profesional y especializada en la que se acredite: El número de Autorizaciones que tiene TIKTOK desde la entrada en vigencia de la Ley Estatutaria 1581 de 2012 hasta el día anterior a que se expida la certificación. Que las Autorizaciones cumplen todos los requisitos exigidos por la regulación de la República de Colombia para la recolección y Tratamiento de los Datos personales de los niños, niñas y adolescentes.

PARÁGRAFO TERCERO. La entidad o empresa que seleccione TIKTOK para realizar el proceso de certificación de la existencia de las Autorizaciones, tendrá que ser ajena a su grupo empresarial, y estar libre de todo conflicto de interés que le reste independencia o cause cualquier tipo de subordinación respecto de TIKTOK. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”

PARÁGRAFO CUARTO. La entidad o empresa certificadora deberá estar legitimada para tal fin, por la autoridad competente del país de su domicilio. Lo anterior, solo en el caso de que la regulación del mismo lo requiera a fin de emitir esa clase de certificaciones. Si en dicho país no se exige lo anterior, bastará con que la misma sea independiente, imparcial, profesional y especializada en temas de Tratamiento de Datos personales y/o evidencia digital.”

SEGUNDO: Que mediante correo electrónico con radicado 20-106617- -00031 del 19 de enero de 2021, a través de apoderado, la sociedad extranjera ByteDance Ltd presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución Nº 62132 del 05 de octubre de 2020. En el escrito la sociedad solicita “REVOCAR la Resolución Número 62132 del 05 de octubre de 2020, por medio de la cual se “imparten órdenes dentro de una actuación administrativa”, para que en su lugar se adecúe el trámite administrativo y se emita una Resolución conforme a la realidad fáctica y jurídica”, con fundamento en: “BYTEDANCE NO FUE DEBIDAMENTE NOTIFICADA DE LA APERTURA DEL ACTO ADMINISTRATIVO, NI DE LA RESOLUCIÓN IMPUGNADA El derecho al debido proceso, en el marco de procedimientos administrativos, materializa otras prerrogativas constitucionales, como lo es la publicad de las actuaciones y decisiones adoptadas en los procedimientos administrativos, que a su vez se refleja en el derecho de defensa y el acceso a la administración de justicia. (…) Según los artículos 66 y 67 del CPACA, los actos administrativos de contenido particular deben ser notificados personalmente a los interesados.

Además, el artículo 67 establece la posibilidad de notificar al interesado por medio electrónico, “( ) siempre y cuando el interesado acepte ser notificado de esta manera”. Según las anotaciones No. 8, 12, 14, 16 y 18 del sistema de digital de la SIC para consulta de actuaciones administrativas y procesos (el “Sistema de Consulta”), supuestamente se habría realizado la comunicación del acto administrativo, mediante comunicación para la notificación personal y notificación por aviso.4 No obstante, insisto que ByteDance no ha recibido ninguna comunicación ni notificación por parte de la SIC.

Al abrir el enlace que aparece en la anotación No. 8 del Sistema de Consulta, aparece que se habría enviado la citación de notificación dirigida a ByteDance al correo electrónico “legal@tiktok.com”. Como ya se manifestó, el correo electrónico de legal@tiktok.com no corresponde a un canal de comunicaciones con ByteDance y los correos electrónicos que se envíen a este no son recibidos por ByteDance.

Además, es claro que ByteDance nunca ha otorgado su consentimiento para ser contactada, ni mucho menos notificada por este medio. Corresponde a la SIC la carga de identificar cuáles con los canales adecuados para notificar a una sociedad extranjera, sin ningún tipo de domicilio u operación en el territorio colombiano. No basta con enviar un correo electrónico cuyo dominio esté relacionado a la marca TikTok pero que, como ya se dijo no tiene relación con ByteDanceTal y como lo establece el artículo 97 del CPACA, la consecuencia de omitir realizar la notificación en debida forma es que la supuesta notificación no se tendrá por hecha, ni producirá efectos legales la decisión, por lo que esta SIC deberá REVOCAR su decisión. BYTEDANCE NO HA PODIDO CONTRIBUIR EFECTIVAMENTE AL PROCESO DE FORMACIÓN DEL ACTO ADMINISTRATIVO, NI HA PODIDO EJERCER ADECUADAMENTE SU DERECHO DE DEFENSA.

La expedición de un acto administrativo de carácter particular debe estar precedida de un procedimiento de formación de la voluntad de la entidad y del ejercicio pleno del derecho de defensa y contradicción del interesado. (…) HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En síntesis, y de conformidad con las normas y la jurisprudencia citada, antes de expedir actos como la Resolución Impugnada, en los cuales se procede de oficio en contra de particulares, es indispensable que: 1.

La administración les comunique expresamente a los interesados su intención de proferir un acto administrativo y el objeto del mismo; 2. La administración reciba la información por parte de los interesados y practique las pruebas que éstos aporten y/o soliciten; 3. La administración brinde la oportunidad a los interesados para que presenten sus argumentos y defensas antes de expedir el acto definitivo, y; 4.

Por último, en la medida en que se haya concedido a los interesados la oportunidad de pronunciarse, la Entidad puede proferir el acto administrativo en el sentido que considere siempre y cuando su decisión esté debidamente motivada de conformidad con la Ley. Es importante anotar que, en virtud de los artículos 5o y 29 de la Constitución de 1991, la administración debe cumplir estrictamente con cada una de estas etapas procedimentales, pues los actos administrativos que se expidan en desconocimiento de estas normas desconocen el debido proceso.

Ahora bien, la SIC nunca informó a ByteDance sobre la iniciación de la actuación administrativa ni sobre las oportunidades para ejercer su derecho de contradicción. Tampoco le otorgó la oportunidad de pronunciarse sobre las consideraciones de la Entidad ni tampoco tuvo conocimiento de la intención de ésta de proferir un acto administrativo en su contra.

Contrario a lo que disponen las garantías legales y constitucionales, ByteDance fue sorprendida con la emisión de la Resolución Impugnada. En dicha Resolución se le imparten una serie de órdenes que exceden el ámbito de su actividad comercial y que, en todo caso, no está facultada para cumplir, so pena de incurrir en posibles sanciones por parte de la SIC.

Según obra en el expediente, el 30 de abril de 2020 la SIC envió la Comunicación simplemente dirigida a “TIK TOK”, sin especificar a qué sociedad o persona jurídica hacía referencia. Insisto, esta comunicación nunca fue dirigida a ByteDance y la única mención que hacen de ésta en el documento es que sería “propietaria” de la App, sin especificar la relación o relevancia que este hecho tendría para la presente actuación. Reitero que la Comunicación fue remitida por correo electrónico a la dirección legal@tiktok.com, correo electrónico que no corresponde a ByteDance ni es un canal de comunicación con ésta, mucho menos para efectos de la notificación de una actuación administrativa.

Como se puede ver, mientras que los artículos 35 y siguientes del CPACA exigen que para la expedición de actos particulares se vincule a los interesados a un procedimiento previo, claro y expreso de formación la voluntad de la Entidad, la SIC nunca le informó a ByteDance el objeto de la Resolución Impugnada, que la actuación se adelantaba en su contra, y que eventualmente podrían ser destinatarias de unas órdenes particulares cuyo incumplimiento podría acarrear una sanción administrativa.

Naturalmente, como esta actuación se relaciona con derechos constitucionales de los niños y adolescentes colombianos, es de la mayor importancia que la SIC permita la participación real y efectiva de todas las partes que en su concepto puedan estar interesadas en la decisión. Solo en la medida en que la Entidad cuente con información completa y fidedigna sobre Tratamiento de los datos eventualmente recolectados en Colombia y sus responsables es que se pueden adoptar decisiones racionales que beneficien al País. En este caso, la SIC emitió una resolución sin que hubiera mediado la participación de las partes interesadas para la conformación de la voluntad de la Entidad.

De haber notificado correcta y oportunamente a ByteDance, la SIC habría sido informada de que ByteDance es una sociedad extranjera que no tiene operaciones en Colombia y no realiza ningún tipo de Tratamiento de Datos personales en, o provenientes del territorio de Colombia. (…) Por los argumentos expuestos, la Resolución debe ser revocada para que en su lugar se realice una actuación administrativa que se adecúe a los lineamientos y garantías mínimas del debido proceso.

Solo así podrá la SIC contar con toda la información relevante para establecer si la App cumple o no con la regulación colombiana en materia de protección de datos y quiénes son los responsables del Tratamiento de éstos, que además serán los llamados a cumplir las órdenes de la Entidad. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” LA RESOLUCIÓN IMPUGNADA CONTIENE HECHOS Y CONCLUSIONES CONTRARIAS A LA REALIDAD.

(…) “TIK TOK” no es una sociedad ni una persona jurídica. TIK TOK es una marca con la que se identifica, entre otras cosas, una aplicación móvil. En este sentido, no es cierto que al referirse a “TIK TOK” la SIC hubiera vinculado a ByteDance a la actuación. Además, en el cuerpo de la Comunicación únicamente se menciona a la sociedad ByteDance como propietaria de la App, pero de ninguna manera se explica cómo este hecho es relevante para la actuación ni implica que por medio de la Comunicación la SIC se hubiera dirigido a ByteDance, como se establece en el considerando PRIMERO. Por otra parte, teniendo en cuenta que no es cierto que la Comunicación hubiera sido debidamente dirigida a ByteDance, la afirmación del Considerando SEGUNDO también es falsa.

Efectivamente, no es cierto que se le hubiera “informado” a ByteDance sobre la iniciación de una actuación administrativa en su contra, ni tampoco sobre su objeto o las eventuales consecuencias. Finalmente, y esto es particularmente importante en este caso, no es cierto que TikTok Inc. hubiera respondido al requerimiento de información de la Superintendencia “en nombre de ByteDance Ltd.” ByteDance no estaba enterada de la presente actuación administrativa, porque no fue notificada ni ha otorgado ningún poder para que TikTok Inc. actúe en su nombre y representación. Como se puede ver, varios de los motivos aducidos por la SIC en la Resolución Impugnada son contrarios a la realidad.

No es cierto que la SIC le hubiera informado del inicio de la actuación administrativa a ByteDance. Pero lo que es aún más importante es que, al no permitir la participación activa de ByteDance, la SIC no contó con información completa y fidedigna que le permitiera conocer que ByteDance no es responsable ni realiza ningún tipo de Tratamiento de Datos en Colombia.

Todo esto tiene un innegable efecto negativo en la capacidad de la Entidad de proteger los derechos de los colombianos que precisamente motivaron la expedición de la Resolución Impugnada. La Resolución Impugnada ignora el hecho que ByteDance no es Responsable ni Encargada del Tratamiento de Datos personales en Colombia La totalidad de la Resolución Impugnada se basa en un supuesto fáctico esencial errado.

Según la Resolución, Ley 1581 de 2012 es aplicable a ByteDance porque: “mediante la aplicación TIKTOK recolectan Datos personales en el territorio de la República de Colombia a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en Colombia.” Estas afirmaciones se desarrollan en las Conclusiones 1 y 8 del Numeral Séptimo de la Resolución Impugnada, en donde la SIC afirma que las sociedades vinculadas en la Resolución Impugnada “[ ] recolectan información de ciudadanos y residentes que se encuentran en el territorio nacional”.

Pues bien, no es cierto que ByteDance sea Responsable ni Encargada del Tratamiento de Datos personales en Colombia, ni que recolecte Datos personales en la República de Colombia como equivocadamente lo afirma la SIC. Como se ha venido insistiendo, ByteDance no realiza ningún tipo de actividad de Tratamiento. Mi representada no recolecta, procesa, usa, almacena, circula, ni suprime Datos personales originarios de la República de Colombia.

Tampoco emplea cookies o píxel para su recolección, supuesto sobre el cual la SIC basa la aplicación de la Ley de Protección de Datos. Además, es claro que la SIC omitió realizar un análisis de las características y particularidades técnicas de estas herramientas y su operación, omitiendo la sustentación de la aplicabilidad de la Ley vigente con respecto a dichas particularidades.

ByteDance no es la sociedad encargada de la operación de la aplicación móvil TikTok ni de la recolección y Tratamiento de los Datos personales. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Reitero que la SIC solo es competente para requerir a sociedades extranjeras en materia de Tratamiento de Datos personales en los casos expresamente autorizados en la Ley.

Al no haber demostrado este hecho fundamental en relación con ByteDance respetuosamente consideramos que la SIC no tiene jurisdicción ni competencia para requerir a mi cliente, ni a este último le es aplicable la Ley 1581 de 2012. No es cierto que ByteDance Ltd., TikTok Inc. y TikTok Pte Ltd. puedan ser consideradas como una sola entidad denominada TIKTOK para efectos de la aplicación de las normas colombianas sobre protección de Datos personales.

A lo largo de la Resolución Impugnada, la SIC agrupa y se refiere a tres personas jurídicas como “TIKTOK”. Así mismo, en la Resolución Impugnada la SIC concluye que las tres sociedades finalmente involucradas serían todas responsables de la recolección y el Tratamiento de datos a través de la App. (…) Pues bien, no es cierto que las sociedades destinatarias de la norma tengan el mismo grado de relacionamiento con la App o con los datos eventualmente recolectados a través de esta última.

De hecho, en el expediente no hay ningún análisis del grado de participación individual que cada una de estas sociedades tendría en la recolección de datos que se realizaría a través de la App. Este análisis es fundamental para determinar la legitimación en la causa por pasiva de las sociedades mencionadas en la Resolución Impugnada.

También es fundamental para determinar la competencia de la SIC para requerir, y eventualmente investigar y sancionar a las mismas. A la fecha, mi representada no tiene conocimiento de por qué se decidió vincularla al presente trámite administrativo; cuáles fueron los motivos que condujeron a la SIC a afirmar que ésta es Responsable del Tratamiento de Datos en Colombia.

Tampoco se tiene conocimiento de por qué se determinó que ésta podía ser destinataria o cumplir las órdenes impartidas en la Resolución Impugnada indistintamente con las otras sociedades involucradas con la actuación. Naturalmente, todo lo anterior implica que la Resolución Impugnada debe ser revocada por falsa motivación, y por desconocimiento del derecho de contradicción y defensa de mi representada.

LA SIC NO ES COMPETENTE PARA REQUERIR, INVESTIGAR NI IMPONER OBLIGACIONES EN CONTRA DE BYTEDANCE, POR TRATARSE DE UNA SOCIEDAD EXTRANJERA QUE NO REALIZA TRATAMIENTO DE DATOS EN COLOMBIA. No hay ninguna duda de que la SIC es la autoridad competente para adelantar investigaciones administrativas y procurar la adecuación de las operaciones de los Responsables y Encargados del Tratamiento de datos en Colombia, tal como lo disponen la Constitución Política de 1991, la jurisprudencia de la Corte Constitucional y con el objeto y fin de la Ley Estatutaria 1581 de 2012.

(…) Pues bien, aunque es claro que la SIC es competente para investigar y dictar órdenes a sociedades extranjeras en los términos expresamente autorizados en la Ley vigente, lo cierto es que (i) no encontramos normas y Tratados vigentes que faculten a la SIC a impartir órdenes para el caso en cuestión y (ii) en el expediente no hay ninguna prueba de que ByteDance incurra en las actividades de recolección o cualquier tipo de Tratamiento de Datos personales en el territorio colombiano. La actividad de ByteDance de ninguna forma implica ni ha implicado el Tratamiento de Datos personales de ciudadanos o residentes colombianos en los términos de la Ley 1581 de 2012.

La anterior es una negación indefinida que no requiere prueba en los términos del artículo 167 del Código General del Proceso. En otras palabras, mientras que en el expediente no haya prueba de que ByteDance efectivamente realice Tratamiento de Datos personales en Colombia, debe presumirse que mi cliente no realiza esta actividad. Por consiguiente, es claro que la SIC no es competente para requerir ni investigar a ByteDance ni impartirle órdenes como las contenidas en la Resolución Impugnada y esto necesariamente HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” implica que este último acto administrativo debe ser revocado por la Entidad respecto de mi representada.

SOBRE LAS ÓRDENES IMPARTIDAS Como se ha mencionado en el presente escrito, ByteDance no ostenta la calidad de destinario de la norma de protección de datos en Colombia. En consecuencia, como se verá a continuación, ByteDance está imposibilitada para dar cumplimiento a las órdenes impartidas en la Resolución Impugnada: Tal y como lo indica la SIC, los destinarios de la ley de Protección de Datos son aquellos que bajo el artículo 4 de la Constitución Política sean nacionales y/o extranjeros ubicados en Colombia.

ByteDance es una empresa extranjera que no cuenta con presencia legal ni material en Colombia por lo que no le resultan aplicables los presupuestos jurídicos en el ordenamiento jurídico colombiano. Revisado particularmente el ámbito de la aplicación encontramos que de acuerdo al artículo 2 de la Ley 1581 de 2012 se establece que: “la ley aplicará al Tratamiento de Datos personales efectuado en el territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.” (Subrayado y negrita añadidos) Al respecto, reiteramos que ByteDance no realiza ningún tipo de Tratamiento de datos en territorio colombiano, en tanto que no recolecta, almacena, procesa, transmite, transfiere o elimina datos de carácter personal.

Al realizar su interpretación del ámbito de aplicación de la norma, la Superintendencia se extralimita al afirmar que: “El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “Tratamiento [sic] de datos [sic] personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2.” (Subrayado y negrita añadidos) Pues bien, es evidente que ni la Ley 1581 de 2012, ni la sentencia C-748 de 2011 hace referencia alguna al supuesto Tratamiento que se realiza indirectamente o por interpuesta persona o no. Tampoco indica nada sobre el medio de procesamiento, ya que se entiende que este es un tipo o especie de Tratamiento.

(…) De la interpretación natural de la mencionada sentencia C-748 de 2011 resulta que cuando la misma analiza la constitucionalidad de la extraterritorialidad de la aplicación de la norma, lo hace refiriéndose a la segunda situación descrita en inciso segundo, es decir, cuando el Tratamiento tiene lugar fuera del territorio, pero es llevado a cabo por un responsable o encargado del Tratamiento al que le es aplicable la legislación colombiana en virtud de normas y tratados internacionales.

La extraterritorialidad en la aplicación de la norma para Responsables y Encargados, está condicionada a la existencia de normas y tratados internaciones en conjunto y no como escenarios alternativos. No encontramos en el ordenamiento jurídico colombiano normas o tratados que faculten a la autoridad colombiana a realizar aplicación extraterritorial que se pretende en caso en cuestión. En esta medida, si el legislador o la Corte Constitucional consideraran que a la mencionada ley le es aplicable la extensión de territorialidad, se habría aclarado de forma expresa.

Entendemos la intención de la SIC, al impartir órdenes a sociedades extranjeras respecto del Tratamiento de Datos personales de según se interpreta en la Resolución. Sin embargo, resulta evidente que la lectura sobre el ámbito de aplicación ampliado que pretende dar la autoridad no es la lectura natural del texto legal actual ni de la sentencia que analizó su constitucionalidad.

Esto, ya que en ningún aparte se hace una referencia directa a HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” la posibilidad de aplicar la norma al mencionado Tratamiento, sin la existencia de normas y tratados que lo permitan. Menos aún en el caso en que la sociedad receptora de la instrucción no cuenta con presencia alguna en el territorio colombiano. Si la SIC pretende darle esta interpretación a la norma de protección de Datos personales en Colombia, se requeriría una modificación sustancial de la misma, la cual debe surtir todos los procesos legislativos requeridos.

(…) Así las cosas, no puede inferirse entonces que de dicha declaración y aplicabilidad ByteDance recolecte Datos personales en Colombia a través de cookies u otras tecnologías. Máxime cuando la SIC no cuenta con ninguna prueba técnica o motivación desde el alcance del marco regulatorio actual. La misma SIC ha entendido que la mencionada Política de Datos no tiene una aplicación específica en el territorio colombiano, ya que ha señalado que la política de privacidad tiene una aplicación restrictiva frente al ámbito geográfico.

Es decir, la política de privacidad revisada está destinada para el Espacio Económico Europeo (EEE), en el Reino Unido de Gran Bretaña e Irlanda del Norte o en la Confederación Suiza. Sorprenden las consideraciones de la SIC al señalar que, por un lado, ByteDance no cuenta con Política de Privacidad para Colombia, y sin embargo por el otro, utiliza la Política de Privacidad publicada para el Espacio Económico Europeo (EEE), el Reino Unido de Gran Bretaña e Irlanda del Norte o la Confederación Suiza para analizarla a la luz de la ley colombiana.

Así, la SIC analiza una Política de Privacidad, diseñada para otros países diferentes de Colombia, y sin embargo decreta el incumplimiento dicha política bajo la norma colombiana de protección de Datos personales. Evidentemente, este análisis resulta de plano improcedente en tanto que dicho instrumento de autorregulación no está destinado para el territorio colombiano, ya que quien dé uso a la App es quien se adhiere tanto a las condiciones de uso como a la declaración de privacidad en los términos publicados.

Otro punto que llama la atención sobre las consideraciones de la SIC y los fundamentos para impartir las ordenes, es que el Despacho se basa en las resultas del acta 086-20- 106617, acta que no fue expuesta a mi representada para que ésta ejerciera su derecho de réplica y defensa. Así las cosas, no ha existido una instancia para que ByteDance se pronuncie sobre la alegada existencia de un Tratamiento de datos en el territorio colombiano. (…) Finalmente, a pesar de que se insiste en que ByteDance no tiene ninguna injerencia en el Tratamiento de Datos personales en Colombia, de la simple lectura de la Resolución Impugnada se concluye que las órdenes impartidas por la SIC no son claras, y que en el remoto evento en que la SIC decida confirmar su decisión, mi representada no estaría ni fáctica ni jurídicamente en capacidad de cumplirlas”.

TERCERO: Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la sociedad recurrente en el escrito de reposición y en subsidio apelación contra la Resolución Nº 62132 del 05 de octubre de 2020, se procede a resolver el recurso de reposición, de acuerdo con las siguientes: CONSIDERACIONES DE LA DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES I. DEL ALCANCE DEL TRATAMIENTO DE DATOS PERSONALES Y DEL MANDATO CONSTITUCIONAL DEL ARTÍCULO 15 PARA QUE EN CUALQUIER ACTIVIDAD SOBRE DATOS PERSONALES SE RESPETEN LA LIBERTAD Y DEMÁS GARANTÍAS CONSAGRADAS EN LA CONSTITUCIÓN POLÍTICA NACIONAL DE LA REPÚBLICA DE COLOMBIA De cardinal importancia resulta reiterar que, en el presente caso estamos frente al cumplimiento de exigencias de naturaleza constitucional referidas al Derecho Fundamental al debido Tratamiento de los Datos personales de los ciudadanos. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En efecto, el artículo 15 de la Constitución Política Nacional no solo establece el derecho que tienen, “todas las personas ( ) a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”, sino que es tajante en exigir que: En la recolección, Tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” (Destacamos y subrayamos) Con fundamento en lo anterior, se expidió la Ley Estatutaria 1581 de 2012 que desarrolla, entre otras, el citado derecho constitucional de naturaleza fundamental.

En dicha ley se define Tratamiento como: “cualquier operación o conjunto de operaciones sobre datos [sic] personales, tales como la recolección, almacenamiento, uso, circulación o supresión”1. (Destacamos) Esta expresión es de uso “técnico” en el ámbito de los Datos personales y es de tal importancia que, como se observa, ha sido incluida en el artículo 15 de nuestra Constitución Política.

Y es así porque, determina el campo de acción de la Ley 1581 de 2012 en la medida que, salvo algunas excepciones, cualquier actividad que se realice, a través de medios manuales o tecnológicos, con o sobre Datos personales debe observar unas reglas establecidas en la citada ley. Nótese que la definición de Tratamiento tiene las siguientes características: (i) En primer lugar, es omnicomprensiva porque incluye toda actividad, operación o conjunto de operaciones sobre Datos personales.

Además, no se limita a los ejemplos enunciativos del citado concepto legal, sino que abarca cualquier otra como, entre otras, la publicidad o el marketing que involucre directa o indirectamente el uso, almacenamiento o circulación de Datos personales. Sobre este punto, la Corte Constitucional señaló lo siguiente en el numeral 2.5.9. de la Sentencia C-748 de 2011 “lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos [sic] personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia”.

(Destacamos). (ii) En segundo lugar, la operación o conjunto de operaciones sobre Datos personales puede ser realizada directa o indirectamente por una o varias personas de forma tal que, en un Tratamiento de Datos personales pueden existir varios Responsables o corresponsables. Debe precisarse que, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo.

Por ejemplo, si dentro de una organización se quiere recolectar y tratar Datos para fines de publicidad y/o marketing, es factible que unas actividades – recolección, almacenamiento, análisis- las realice un sujeto, y otras – comercialización, venta, publicidad- la efectúe otro que también haga parte de la misma organización. Al final, es un Tratamiento diseñado por una organización en la que se divide el trabajo para alcanzar ciertos objetivos, pero, al final, unos y otros son Responsables y corresponsables del Tratamiento de Datos personales.

(iii) II. En tercer lugar, esta autoridad ha reiterado que la regulación sobre Tratamiento de Datos personales debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para tratar datos, pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico.

Quienes crean, diseñan o usan “innovaciones tecnológicas” deben cumplir todas las normas sobre Tratamiento de Datos personales. LA LEY 1581 DE 2012 ES NEUTRAL TEMATICA Y TECNOLÓGICAMENTE. Como se mencionó, la Ley Estatutaria 1581 de 2012 es neutral temática y tecnológicamente. Así, entre otras, fue establecido en la Resolución Nº 38281 del 14 de julio 2020 por el despacho del Superintendente Delegado para la Protección de Datos personales, en los siguientes términos: 1 Literal g) del artículo 4.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Entonces, es legítimo el Tratamiento de Datos personales a través de cualquier metodología o tecnología, como, por ejemplo, las cookies o la inteligencia artificial, siempre y cuando se respeten las normas en la materia. Considerar necesario una nueva legislación para cada innovación tecnológica, a sabiendas que el lenguaje de la Ley 1581 de 2012 es neutral temática y tecnológicamente, es arcaico y contrario a una efectiva protección del derecho constitucional y fundamental al debido Tratamiento de Datos personales.

III. DE LA ESTRUCTURA CORPORATIVA DEL GRUPO BYTEDANCE De acuerdo con información publicada por el Grupo ByteDance en su página web, https://www.ByteDance.com/en/, las principales entidades operativas del Grupo a fecha del 30 de junio de 2020 son las siguientes: Imagen obtenida de https://www.ByteDance.com/en/ el 4 de marzo de 2021 Cuando la empresa alcanza dimensiones económicas de importancia y está provista de una organización compleja, y extendiendo su acción a varios mercados, asume inevitablemente su configuración bajo la dirección unificada de una sociedad directora2.

En el caso bajo estudio, ByteDance Ltd. Una misma actividad económica se fracciona en una pluralidad de sociedades, todas ligadas entre sí por una relación de control que asegura la conducción unitaria, y destinada cada una de ellas a un sector particular de la empresa o mercado específico donde opera3. La recurrente hace parte del grupo empresarial de ByteDance.

Como ella bien lo indica en su página web, es quien tiene la dirección unificada de la estructura corporativa. Como controlante del Grupo ByteDance, propietaria de la aplicación TikTok, la compañía se dedicada, en mayor o menor medida, al desarrollo, distribución y explotación de la marca TikTok. Incluidos los productos, servicios y aplicaciones que están disponibles en el territorio colombiano, y 2 Francesco Galgano, Los grupos societarios Dirección y coordinación de sociedades, (Editorial Universidad del Rosario, Bogotá, 2012), 11. 3 Ibídem.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” que usan personas domiciliadas o residentes en el mismo para los fines señalados en la política de privacidad de la aplicación TikTok. Entonces, ByteDance Ltd tienen la obligación de garantizar que la aplicación TikTok y los servicios que ofrecen, respeten la legislación colombiana, así como las órdenes y requerimientos de esta autoridad, en cumplimiento de la Ley 1581 de 2012 y sus decretos reglamentarios.

El artículo 2º de la Ley 1581 de 2012 define Responsable como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”. Por su parte, aquel artículo define Encargado como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de Datos personales por cuenta del Responsable del Tratamiento”.

De ambas definiciones se puede destacar que tanto el Responsable como el Encargado pueden ser una o varias personas, naturales o jurídicas que ostenten dicha calidad. De esta manera, se entiende que en un Tratamiento de Datos personales pueden existir varios responsables o corresponsables. Así, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo.

Por ejemplo, si dentro de una organización se quiere recolectar y tratar datos para fines de publicidad y/o marketing, es factible que unas actividades – recolección, almacenamiento, análisis- las realice un sujeto, y otras – comercialización, venta, publicidad- la efectúe otro que también haga parte de la misma organización. Así, es un Tratamiento diseñado por los miembros de un grupo empresarial en la que se divide el trabajo para alcanzar ciertos objetivos, pero, al final, unos y otros son responsables y corresponsables del Tratamiento de Datos personales.

Entonces, ByteDance Ltd es corresponsables del Tratamiento de Datos personales realizado en el territorio de la República de Colombia por la aplicación TikTok y los servicios que ofrece la plataforma. IV. BYTEDANCE LTD TIENEN LA OBLIGACIÓN DE CUMPLIR LA LEGISLACIÓN COLOMBIANA PORQUE REALIZAN UN TRATAMIENTO DE DATOS PERSONALES EN TERRITORIO COLOMBIANO POR MEDIO DE LAS WEB COOKIES El segundo inciso del artículo 2 de la Ley 1581 de 2012 afirma lo siguiente: “La presente ley aplicará al Tratamiento de Datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales”.

(Destacamos) En armonía con lo anterior, la Ley 1581 de 2012 delimita el ámbito de aplicación “al Tratamiento de Datos personales efectuado en territorio colombiano”. Y, como las web cookies son instaladas en dispositivos y equipos ubicados en territorio colombiano por la aplicación TikTok, el Tratamiento de la información que recolecten y traten por medio de esta tecnología queda supeditada al cumplimiento de la Ley 1581 de 2012.

La compañía recurrente considera que, “Pues bien, aunque es claro que la SIC es competente para investigar y dictar órdenes a sociedades extranjeras en los términos expresamente autorizados en la Ley vigente, lo cierto es que (i) no encontramos normas y Tratados vigentes que faculten a la SIC a impartir órdenes para el caso en cuestión y (ii) en el expediente no hay ninguna prueba de que ByteDance incurra en las actividades de recolección o cualquier tipo de Tratamiento de Datos personales en el territorio colombiano. La actividad de ByteDance de ninguna forma implica ni ha implicado el Tratamiento de Datos personales de ciudadanos o residentes colombianos en los términos de la Ley 1581 de 2012.”.

Frente a lo anterior, en ningún momento se ha interpretado la norma por fuera de lo dicho por la misma. Es la propia legislación la que establece que regulará el Tratamiento efectuado en territorio colombiano y, además, es la legislación quien enmarca la recolección de Datos personales como una operación sobre los mismos, a saber, un Tratamiento.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En este sentido, es importante entender que las web cookies instaladas en los equipos o dispositivos ubicados en territorio colombiano son una manera de recolectar Datos personales. Es decir, un Tratamiento de Datos personales que ocurre en territorio colombiano. Por tanto, el Responsable o corresponsables del Tratamiento que emplee las web cookies para la recolección de Datos personales en territorio colombiano deberá garantizarle al Titular de la información sus derechos y cumplir los deberes que emanan de la legislación colombiana en materia de protección de Datos personales.

La tecnología de seguimiento de web cookies: Las cookies son una herramienta para, entre otras, recolectar Datos personales. En este sentido, señala Guerrero que las "entidades públicas y privadas y particulares se hacen presentes en la Red y recaban igualmente datos de otros a distancia sirviéndose de páginas web, ( ) y otras aplicaciones 'invisibles' como cookies o web bugs"4.

(Destacamos). Según Morón Lerma, las cookies son “pequeños programas que identifican al usuario cada vez que entra a un servidor de información y que rastrean sus preferencias”. Precisa la autora que, “el sucesivo envío de cookies y su conservación permite al emitente lograr una fotografía digital del internauta, conocer su dirección, gustos, preferencias o entretenimientos, pudiendo efectuar un rastreo completo de las actividades del usuario en la red”5.

(Destacamos). Las cookies han sido catalogadas como “la principal tecnología de rastreo utilizada para controlar a los usuarios en internet ( )”6. Estas tecnologías son utilizadas para realizar “operaciones invisibles” y “Tratamientos invisibles”7 de Datos. En síntesis, en Internet se puede recolectar información de personas de cualquier parte del mundo a través de diferentes medios tecnológicos visibles e invisibles, conocidos o no por los Titulares de los Datos personales.

Esta captura de información técnicamente puede efectuarse sin que la empresa recolectora de los Datos esté físicamente ubicada en el territorio de la persona respecto de la cual se obtiene la información. De hecho, gracias a las tecnologías las empresas hoy en día tienen más presencia electrónica, que física. Por su parte resulta imperativo reiterar que la aplicación TikTok, reconoce que usa cookies para recolectar Datos en el territorio de la República de Colombia.

En efecto, dicha empresa manifiesta que, “Nosotros y nuestros proveedores y prestadores de servicios utilizamos cookies y otras tecnologías similares (por ejemplo, contadores de visitantes (web beacons), cookies flash, etc.) (las “Cookies”) para efectos de recopilar información automáticamente, medir y analizar las páginas web en las que da clic y la forma en la que utiliza la Plataforma, a fin de mejorar su experiencia al utilizar la Plataforma, mejorar nuestros servicios y proporcionarle publicidad personalizada en la Plataforma y en sus diferentes dispositivos.

Las cookies son pequeños archivos que, cuando son colocados en su dispositivo, permiten que la Plataforma le proporcione ciertas herramientas y funcionalidad. Los contadores de visitantes son pequeñas imágenes o pequeñas piezas de información incrustada en imágenes, también conocidas como “etiquetas de pixeles (pixel tags)” o “imágenes GIF transparentes” que pueden reconocer a las Cookies, la hora y fecha en la cual la página es visitada, una descripción de la página en la cual es colocada la etiqueta de pixeles e información similar desde su computadora o dispositivo.

Al utilizar la plataforma, otorga su consentimiento al uso de Cookies”. (Destacamos). Lo anterior, como puede evidenciarse en su política de privacidad: 4 GUERRERO PICÓ, María del Carmen. 2006. El impacto de internet en el Derecho Fundamental a la Protección de Datos de carácter personal. Primera ed. Navarra: Thomson Civitas. p 25 5 MORON LERMA, Esther. 2002.

Internet y derecho penal: hacking y otras conductas ilícitas en la red. Segunda ed. Navarra, España: Aranzadi. p 33. 6 GRUPO DE PROTECCION DE DATOS DEL ARTICULO 29. 2012. Dictamen 2/2010 sobre publicidad comportamental en línea. GT 171. 7 El Grupo de Trabajo del artículo 29 expresó en 1999 su preocupación por “todos los tipos de operaciones de Tratamiento informático que se llevan a cabo actualmente en Internet a través del software y del hardware sin el conocimiento del interesado y que, por consiguiente, son "invisibles" para el mismo.

Ejemplos típicos de este tipo de Tratamiento invisible son el chattering en el nivel HTTP1, los hipervínculos automáticos a terceros, el contenido activo (como Java, ActiveX u otras tecnologías que ejecutan scripts en el cliente) y el mecanismo cookies en su aplicación actual en los navegadores usuales” (GRUPO DE PROTECCION DE DATOS DEL ARTICULO 29. 1999.

Recomendación 1/99 sobre el Tratamiento invisible y automático de Datos personales en Internet efectuado por software y hardware. (5093/98/ES/final. WP 17), http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/1999/wp17es.pdf... P 2) HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Imagen obtenida el 3 de marzo en https://www.tiktok.com/legal/privacy-policy?lang=es#pp-row Sin perjuicio de lo mencionado consideramos pertinente referirnos a algunas definiciones de las cookies para reiterar que son mecanismos que instala la aplicación TikTok en los equipos o dispositivos ubicados en territorio de la República de Colombia para recolectar en nuestro país Datos personales: • La Real Academia de la Lengua Española las define como, pequeños ficheros que se instalan en el disco duro o en el navegador del ordenador, tableta, teléfono inteligente o dispositivo equivalente con funciones de navegación a través de Internet y ayudan, entre otras cosas, a personalizar los servicios del titular de la web, facilitar la navegación y usabilidad a través de ella, obtener información agregada de los visitantes de la web, posibilitar la reproducción y visualización de contenido multimedia en la propia web, permitir elementos de interactuación entre el usuario y la web o habilitar herramientas de seguridad8. • La Comisión Federal del Comercio (Federal Trade Comission9 – FTC) define una cookie como un pequeño archivo de texto que los sitios web instalan en su computadora.

Este organismo también se refiere a los tipos generales de cookies que existen: “( ) Cookies de sesión única • Facilitan la navegación de un sitio web. • Sólo registran información durante una visita a un sitio web y luego se borran. • Se activan de forma predeterminada para facilitar al máximo la navegación del sitio. • Se conocen también por el nombre de tecnologías Tier 1 bajo las pautas gubernamentales aplicables.

Cookies persistentes (multi-sesión) • Permanecen en su computadora y registran información cada vez que usted visita algunos sitios web. Se almacenan en el disco duro de su computadora hasta que usted las elimine manualmente de una carpeta del navegador, o hasta que expiren, que puede ser meses o años después de haber sido instaladas en su computadora ( )”10.

(Destacamos). • El Estudio sobre la privacidad de los datos y la seguridad de la información en las redes sociales online, desarrollado entre la Agencia Española de Protección de Datos y el Instituto Nacional de las Tecnologías de la Comunicación, se refieren al respecto así́: “( ) La instalación y uso de “cookies” sin conocimiento del usuario.

Con frecuencia las redes sociales y plataformas análogas utilizan este tipo ficheros que tienen la posibilidad de almacenar determinada información sobre el usuario y su tipo de navegación a través de un sitio web. Estos ficheros se instalan en los equipos de los usuarios, de forma que resulta posible detectar el lugar desde el que accede el usuario, el tipo de dispositivo empleado (móvil o fijo) para el acceso, el tipo de contenidos 8 Recuperado de https://www.rae.es/info/cookies el 25 de noviembre de 2020. 9 “A cookie is information saved by your web browser.

When you visit a website, the site may place a cookie on your web browser so it can recognize your device in the future. If you return to that site later on, it can read that cookie to remember you from your last visit and keep track of you over time”. Recuperado de https://www.ftc.gov/site-information/privacypolicy/internet-cookies el 25 de noviembre de 2020.

“A cookie is information saved by your web browser, the software program you use to visit the web. When you visit a website, the site might store a cookie so it can recognize your device in the future. Later if you return to that site, it can read that cookie to remember you from your last visit. By keeping track of you over time, cookies can be used to customize your browsing experience, or to deliver ads targeted to you”.

Recuperado de https://www.consumer.ftc.gov/articles/0042-online- tracking el 15 de marzo de 2020. De acuerdo con las anteriores definiciones podría afirmarse que, una cookie es información que se guarda en su navegador web. Esto ocurre cuando, se visita un sitio web, el cual, puede instalar una cookie en su navegador web para que pueda reconocer su dispositivo en el futuro.

Así, al regresar a ese sitio virtual, la cookie le permitiría recordarlo a partir de su última visita y realizarle un seguimiento a lo largo del tiempo. 10 Recuperado de https://www.ftc.gov/es/informacion-sobre-el-sitio/politica-de-privacidad/cookies-de-internet-0 el 25 de noviembre de 2020 HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” accedidos, los lugares más visitados y las acciones habituales realizadas durante la navegación, así́ como el tiempo empleado en cada una de las páginas, entre otras muchas funcionalidades”11. • • El Berkman Klein Center for Internet & Society de la Universidad de Harvard, pone de presente que las cookies han sido objeto de críticas porque pueden utilizarse como un mecanismo para recopilar de forma invisible información sobre los hábitos de navegación del usuario con fines de marketing12.

De otro lado, esta autoridad por medio del escrito 16-172268- -00001 definió las cookies como “( ) archivos que recogen información a través de una pagina web sobre los hábitos de navegación de un usuario o de su equipo y eventualmente podrían conformar una base de datos de acuerdo a la definición legal de la Ley 1581 de 2012 al recolectar Datos personales conforme a las características que jurisprudencialmente se han mencionado anteriormente; caso en el cual, el responsable deberá́ ceñirse por las normas sobre protección de datos vigentes en Colombia, en especial la aplicación de los principios rectores para la administración de datos, consagrados en el articulo 4 de la Ley 1581 de 2012 ( )”.

En el mismo escrito se da respuesta afirmativa al interrogante, “( ) ¿se puede considerar como Tratamiento de Datos personales, de acuerdo al literal g) del articulo 3 de la Ley Estatuaria 1581 de 2012, el uso de cookies, es decir, el envió de ficheros (pequeños archivos de datos de texto) por parte de un servidor web a un navegador para registrar las actividades del usuario en el sitio web? ( )”, en los siguientes términos: “( ) el Tratamiento [sic] se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos [sic] personales que se encuentren registrados en cualquier base [sic] de datos [sic] o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales”.

En suma, se concluye por parte de esta autoridad que, sin lugar a duda, una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos. El Tratamiento de Datos personales que hace la aplicación TikTok (porpiedad de ByteDance Ltd) es complejo y ocurre en distintos momentos y espacios físicos.

Sin embargo, esto no impide reafirmar que la recolección de Datos personales de los usuarios en Colombia sucede parcialmente, pero en muy alto grado, en el territorio de la República de Colombia. V. DEL TRATAMIENTO DE DATOS PERSONALES DE BYTEDANCE LTD Y LA NECESIDAD DE CUMPLIR LAS NORMAS LOCALES SOBRE EL TRATAMIENTO DE DATOS PERSONALES. Es menester precisar que sobre un dato personal puede recaer mas de una operación, a saber, Tratamiento.

Como es sabido, Tratamiento es definido en la regulación colombiana como: “Cualquier operación o conjunto de operaciones sobre Datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”13. La Organización de las Naciones Unidas (ONU), ha sido enfática en señalar la importancia de “utilizar al máximo el progreso científico y tecnológico en beneficio del hombre y de neutralizar las actuales consecuencias negativas de algunos logros científicos y tecnológicos, así como las que puedan tener en el futuro”.

También, ha destacado que “los logros científicos y tecnológicos pueden entrañar peligro para los derechos civiles y políticos de la persona o del grupo y para la dignidad humana”14. De esta manera, es necesario alcanzar un punto de equilibrio entre la innovación, el desarrollo y la protección de los derechos humanos. 11 Estudio sobre la privacidad de los datos y la seguridad de la información en las redes sociales online.

Página 98. Edición febrero de 2009. Agencia Española de Protección de Datos y el Instituto Nacional de las Tecnologías de la Comunicación. 12 “Cookies are a mechanism by which a web server and a web browser can jointly “remember” information within or between browsing sessions. The web server sends a cookie containing some information to your browser, which may record it on your hard drive.

When you next visit the website, that cookie is sent back to the web server. Cookies are useful because they can be used to improve the user experience. However, cookies have been subject to criticism because they can be used as a mechanism for invisibly gathering information about user’s browsing habits for marketing purposes”. Recuperado de https://cyber.harvard.edu/about/privacy-policy el 27 de noviembre de 2020. 13 Literal g) artículo 3 de la Ley 1581 de 2012. 14 Declaración sobre la utilización del progreso científico y tecnológico en interés de la paz y en beneficio de la humanidad.

Proclamada por la Asamblea General en su resolución 3384 (XXX), de 10 de noviembre de 1975 HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” La Red Iberoamericana de Protección de Datos personales15 ha reconocido que, “(…) aunque cada día el mundo es más transfronterizo, global e hiperconectado, ello no significa que las normas nacionales sobre Tratamiento de Datos personales hayan desaparecido o que no sean de obligatorio cumplimiento.

Por eso, para que su producto (…) no sea objetado o cuestionado jurídicamente es muy relevante que desde el inicio realice un estudio de riesgos legales de las regulaciones nacionales. Lo anterior le permitirá definir una estrategia inteligente, para, entre otros, (i) mitigar dichos riesgos; (ii) Ganar y mantener la confianza de los usuarios de las tecnologías (…);

(iii) no afectar la buena reputación de su organización y (iv) evitar eventuales investigaciones de las autoridades de protección de datos o de otras entidades”16. (Destacamos). Entonces, es importante identificar en que naciones la organización realiza un Tratamiento sobre Datos personales, para que así, se pueda diseñar una estrategia de cumplimiento de las normas locales sobre el Tratamiento de Datos personales.

Así pues, al realizar tanto el análisis del material probatorio, como de las páginas públicas de la aplicación TikTok (porpiedad de ByteDance Ltd) se evidencia lo siguiente: La aplicación TikTok usa “cookies” para recolectar o tratar Datos personales en el territorio de la de Cookies como: “Cookies: las cookies son pequeños archivos de texto que nos permiten, tanto a nosotros como a nuestros proveedores de servicios y socios, identificar su navegador o dispositivo de forma exclusiva para varios propósitos, incluidos los descritos anteriormente.

Normalmente, las cookies funcionan asignando un número único a su dispositivo y se almacenan en su navegador por los sitios web que visita, así como por los proveedores de servicios externos y socios de dichos sitios web. Las cookies pueden permanecer en su ordenador o dispositivo móvil durante diferentes periodos de tiempo. Algunas cookies son las denominadas «cookies de sesión»; estas cookies solamente existen mientras el navegador permanece abierto y se eliminan automáticamente una vez que lo cierra.

Las cookies de sesión no pueden utilizarse para rastrear su navegador o su dispositivo de un sitio web a otro. Existen otras cookies conocidas como «cookies persistentes», que sobreviven tras cerrar el navegador. La mayoría de las cookies persistentes están configuradas para caducar de forma automática transcurrido un tiempo determinado (por ejemplo, unos días, semanas o meses).

Cuando regrese a ese sitio web (o visite otros sitios web que utilizan las mismas cookies) el proveedor del sitio web o sus proveedores de servicios pueden reconocer las cookies persistentes que han configurado y reconocer su dispositivo de navegación.” La Red Iberoamericana de Protección de Datos (RIPD), surge con motivo del acuerdo alcanzado en el Encuentro Iberoamericano de Protección de Datos (EIPD) celebrado en La Antigua, Guatemala, del 1 al 6 de junio de 2003, con la asistencia de representantes de 14 países iberoamericanos. LA RIPD se configura así desde sus orígenes como un foro integrador de los diversos actores, tanto del sector público como privado, que desarrollen iniciativas y proyectos relacionados con la protección de Datos personales en Iberoamérica, con la finalidad de fomentar, mantener y fortalecer un estrecho y permanente intercambio de información, experiencias y conocimientos entre ellos, así como promover los desarrollos normativos necesarios para garantizar una regulación avanzada del derecho a la protección de Datos personales en un contexto democrático, tomando en consideración la necesidad del continuo flujo de datos entre países que tienen diversos lazos en común y una preocupación por este derecho. 16 Recomendaciones Generales para el Tratamiento de Datos personales en la Inteligencia Artificial.

Red Iberoamericana de Protección de Datos personales en: https://www.sic.gov.co/sites/default/files/files/pdf/1%20RIPD%20(2019)%20RECOMENDACIONES%20GENERALES%20P ARA%20EL%20TRATAMIENTO%20DE%20DATOS%20EN%20LA%20IA.pdf HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Imagen obtenida el 4 de marzo en https://www.tiktok.com/legal/cookie-policy?lang=es Entonces, al momento del ingreso de los Datos personales de los titulares, estos se transmiten digitalmente a través de internet, como bytes de información, para ser alojados en los servidores de TikTok.

El Tratamiento de Datos personales que hace TikTok es complejo y ocurre en distintos momentos y espacios físicos. Sin embargo, esto no impide reafirmar que la recolección de Datos personales de los Titulares/usuarios en Colombia sucede principalmente, pero en muy alto grado, en este país. Entonces, son condiciones indispensables para llevar a cabo la recolección de los Datos personales de esos usuarios ubicados en Colombia: • • Tener un dispositivo electrónico con algún servicio o producto de TikTok instalado, o acceso a internet;

Autonomía privada del usuario para ingresar o compartir su información en algún servicio o producto. De no existir esa acción de ingresar o compartir la información – que sucede en el territorio de la República de Colombia -, sería imposible recolectar esos Datos personales que luego serán tratados de otras maneras. Es así como, la recolección de Datos personales le permite a TikTok consolidar grupos objetivos de personas que serán, entre otros, destinatarios de publicidad comportamental17.

El Tratamiento que hace TikTok de los Datos personales de los usuarios ubicados en la República de Colombia busca ampliar las ganancias económicas generadas por “nuestra Plataforma”. Según el Grupo ByteDance, cuando hacen referencia a “La «Plataforma» comprende cualquier servicio que TikTok proporciona, incluidos los productos para anunciantes y desarrolladores disponibles a través de TikTok For Business y TikTok for Developers (…)”18.

Obtener ganancias, desde luego, no es ilegal, pero tampoco significa que pueda hacerse desconociendo la regulación colombiana al debido Tratamiento de Datos personales. Así, el uso de los Datos personales recolectados en Colombia ocurre en distintos momentos y espacios geográficos. Si bien, la sistematización de los Datos personales recolectados no ocurre en este territorio, la recolección de los datos que serán analizados sí lo es.

Aquella recolección, como ocurre en territorio colombiano, debe respetar el debido Tratamiento de Datos personales. Lo anterior, no es óbice para que el conjunto de compañías que administran la aplicación TikTok deban cumplir las normas locales sobre Tratamiento de Datos personales de otros Estados donde también realizan un Tratamiento de la información. VI.

CONTEXTO DE LAS ORDENES 17 Según información de la Política de Cookies de la compañía, “Al igual que muchos sitios web y aplicaciones, nuestra Plataforma utiliza cookies y otras tecnologías de seguimiento como los kits de desarrollo de software (SDK), los píxeles y el almacenamiento local. Estas tecnologías nos permiten almacenar información o acceder a la información almacenada en su dispositivo a fin de habilitar ciertas funciones y distinguir su dispositivo de otros.

La mayoría de las aplicaciones utilizan tecnologías de seguimiento para reconocer que un dispositivo es el mismo que se ha utilizado anteriormente y poder comprender algunas de sus características, de modo que podamos ofrecerle publicidad, medir el rendimiento de esos anuncios y mejorar su experiencia”. https://www.tiktok.com/legal/cookie-policy?lang=es 18 Definición establecida en https://www.tiktok.com/legal/cookie-policy?lang=es.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” La Superintendencia de Industria y Comercio - SIC, ordenó a ByteDance Ltd, adoptar algunas medidas para garantizar el debido Tratamiento de Datos personales de 12,447,549 usuarios domiciliados o residentes en la República de Colombia que utilizan la aplicación TikTok y los servicios que ofrece.

De los cuales 1,933,835 son de niños, niñas y/o adolescentes. La decisión se tomó mediante la Resolución Nº 62132 del 05 de octubre de 2020. La orden impartida es de carácter PREVENTIVO, a fin de evitar que se afecte el derecho fundamental al debido Tratamiento de los Datos de los colombianos. Esta autoridad recordó que, según fuentes públicas, la aplicación TikTok es la aplicación más descargada en todo el mundo.

Desde enero del 2019, TikTok se ha instalado mas de 104.7 millones de veces, lo que representa un incremento del 46% en el lapso de un año (2019-2020), convirtiéndola en la aplicación que no es para juegos más descargada en todo el mundo. De igual forma, se hizo referencia a un comunicado de prensa publicado el 27 de febrero del 2019 por la Comisión Federal de Comercio (FTC, por sus siglas en ingles) donde afirma lo siguiente: “The operators of the video social networking app Musical.ly, now known as TikTok, have agreed to pay $5.7 million to settle Federal Trade Commission allegations that the company illegally collected personal information from children.

This is the largest civil penalty ever obtained by the Commission in a children’s privacy case.” Por consiguiente, se decidió establecer si la aplicación TikTok propiedad de la compañía ByteDance Ltd. cumple con la regulación colombiana relativa a la recolección y Tratamiento de datos personales de niños, niñas y adolescentes (artículos 7, 9, 12 y 17 literales b) y c) de la Ley 1981 de 2012 en concordancia con el artículo 12 del Decreto 1377 de 2013 incorporado en el Decreto 1074 de 2015).

Y, si la misma ha implementado el principio de responsabilidad demostrada en esa materia (artículos 26 y 27 del Decreto 1377 de 2013 incorporado en el Decreto 1074 de 2015). Para esta autoridad, los corresponsables del Tratamiento de los datos que recolecta la aplicación TikTok, tienen la enorme responsabilidad de garantizar el debido Tratamiento de los Datos personales de todos los ciudadanos de la República de Colombia, en especial, la de los niños, niñas y adolescentes.

Lo cual obliga a las compañías ha ser extremadamente diligente en esta labor y a no ahorrar esfuerzos para responder por el efectivo cumplimiento del derecho de millones de personas. VII. LAS ÓRDENES NO SON SANCIONES. INAPLICABILIDAD DEL ARTÍCULO 47 DE LA LEY 1437 DE 2011 PARA PROCEDIMIENTOS ADMINISTRATIVOS SANCIONATORIOS. El recurso de reposición da ha entender que esta autoridad no cumplió las etapas procesales establecidas en el artículo 47 de la Ley 1437 de 2011 a fin de proferir la Resolución Nº 62132 del 05 de octubre de 2020.

Aquel sentir es abiertamente ilegal porque el artículo 47 de la Ley 1437 de 2011 es aplicable a los procedimientos administrativos de carácter sancionatorio. Y, en el presente caso, no estamos frente a uno de esa naturaleza porque las órdenes no son sanciones. En efecto, las sanciones por infracción a la Ley Estatutaria 1581 de 2012 son únicamente las establecidas en su artículo 23, a saber: “Artículo 23.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

De la lectura del artículo anterior se constata que las órdenes no son sanciones, motivo por el cual no es procedente surtir el procedimiento del precitado artículo 47, porque el mismo, se reitera, solo es aplicable a los procesos administrativos de carácter sancionatorio. Mediante la Resolución Nº 62132 del 05 de octubre de 2020, esta Dirección, emitió varias órdenes a la recurrente, pero, de ninguna manera impuso una multa o alguna de las sanciones enunciadas en el artículo 23 de la ley 1581 de 2012.

Así las cosas, y en la medida en que en el presente caso no se trata de una actuación de carácter sancionatorio, es necesario recalcar que la presente actuación se siguió de acuerdo con el procedimiento pertinente, determinado en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. VIII. DE LA FACULTAD LEGAL PARA IMPARTIR LAS ORDENES CONTENIDAS EN RESOLUCIÓN Nº 62132 DEL 05 DE OCTUBRE DE 2020 La sociedad recurrente afirma que esta entidad no tiene las facultades legales para imponerle a BYTEDANCE LTD, las órdenes impartidas mediante la Resolución Nº 62132 del 05 de octubre de 2020.

La afirmación de la recurrente es contraria a Derecho porque la Ley Estatutaria 1581 de 2012 expresamente facultad a esta entidad a emitir órdenes o impartir instrucciones necesarias para que el Tratamiento de Datos personales se realice conforme con la ley. En el artículo 19 de esa ley, se le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos personales, para ejercer: “( ) la vigilancia necesaria para garantizar que en el Tratamiento [sic] de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, su artículo 21 determina cuáles funciones ejercerá la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; ( ) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.

(Destacamos). Visto lo anterior, contrario a lo afirmado por TikTok sí existen expresas y suficientes facultades legales para que esta Superintendencia pueda impartir las ordenes contenidas en la Resolución Nº 62132 del 05 de octubre de 2020. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá́ la nueva Delegatura de protección de Datos personales.

Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos”.

(Destacamos). En suma, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales. Por eso, esta HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” entidad ha sido respetuosa del principio de legalidad y ha obrado conforme con lo establecido en el derecho colombiano. IX.

LA SUPERITENDENCIA DE INDUSTRIA Y COMERCIO GARANTIZÓ EN TODO MOMENTO EL DEBIDO PROCESO En adición a lo anterior, se reitera que, la Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de una parte, garantizar a los titulares el Derecho Fundamental de la Protección de Datos personales y, de otra, respetar el debido proceso en cabeza de BYTEDANCE LTD.

Al respecto, esta Dirección advierte que, en ningún momento los actos o actuaciones de esta entidad en el curso de este proceso administrativo, han estado en contravía del derecho, como erróneamente lo infiere la recurrente. Esto, bajo el entendido de que en estas materias se tratan temas de magnitud constitucional y legal. Esta autoridad aplicó y respetó las garantías procesales necesarias, y emitió el acto administrativo a que hubo lugar.

El que, en ninguna circunstancia fue arbitrario. Por el contrario, lo que sí hizo esta autoridad, fue propender por la correcta aplicación de las normas y los principios que las fundamentan. Igualmente, no es posible dejar de lado que, en todo momento, esta autoridad dispuso las garantías procesales necesarias, y el correcto ejercicio y funcionamiento de la administración pública.

En vista de todo lo anterior, y luego de la plena evaluación de los elementos que hacen parte del expediente bajo estudio, es indiscutible concluir que esta entidad no desconoció el debido proceso para emitir una orden de naturaleza preventiva. X. DE LA NOTIFICACIÓN DE BYTEDANCE LTD. Esta Dirección surtió todos los procesos de notificación correspondientes.

Los mismos, se adecuaron al ordenamiento jurídico colombiano y no vulneraron el debido proceso de la recurrente. Por su parte, se trae a colación el informe de notificación elaborado por el GRUPO NOTIFICACIONES Y CERTIFICACIONES: Entre los argumentos expuestos por la recurrente, se afirma que el correo electrónico legal@tiktok.com no estaba autorizado para la comunicación de actuaciones administrativas.

No obstante, dicha afirmación es contraria a lo que la aplicación publica en su página web: https://www.tiktok.com/legal/law-enforcement En ella se comparten las directrices para la solicitud de información por parte de autoridades públicas (Law Enforcement Data Request Guidelines). Lo anterior, en los siguientes términos: HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Entonces, no es cierto que esta Dirección hubiera acudido a medios engañosos o ilícitos para comunicarle a la sociedad recurrente la investigación en curso.

Todo lo contrario, esta autoridad acudió a los canales que la propia aplicación TikTok dispuso para las autoridades que pretendían solicitar información sobre el Tratamiento que se está realizando sobre los usuarios de la plataforma. XI. EL RESPETO POR LAS LEYES EN EL CIBERESPACIO En el ciberespacio no desaparecen ni disminuyen los derechos de las personas.

El ciberespacio ha sido caracterizado por ser un escenario global no delimitado por fronteras geográficas en donde las actividades suceden dentro de la arquitectura tecnológica de Internet. Aunque se trata de un “mundo virtual”, sus ciudadanos son miles de millones de personas reales ubicadas en prácticamente cualquier lugar del “mundo físico” cuyas actividades tienen impacto o consecuencias en el “mundo real”.

A pesar que el campo de acción de Internet desborda las fronteras nacionales, para la Corte Constitucional el nuevo escenario tecnológico y las actividades en Internet no se sustraen del respeto de los mandatos constitucionales. Por eso, concluyó dicha entidad que “en Internet (…) puede haber una realidad virtual pero ello no significa que los derechos, en dicho contexto, también lo sean.

Por el contrario, no son virtuales: se trata de garantías expresas por cuyo goce efectivo en el llamado “ciberespacio” también debe velar el juez constitucional”19. Recalca dicha Corporación que, “nadie podría sostener que, por tratarse de Internet, los usuarios sí pueden sufrir mengua en sus derechos constitucionales”20. Por su parte, TikTok posee y trata Datos personales de 12,447,549 usuarios domiciliados o residentes en la República de Colombia, de los cuales 1,933,835 son de niños, niñas y/o adolescentes.

Es decir, la aplicación TikTok tiene la obligación constitucional y legal de garantizarle a los usuarios colombianos de más de doce (12) millones de cuentas el correcto ejercicio de sus derechos fundamentales en el ciberespacio. Entonces, es relevante tener presente que TikTok trata Datos personales de los usuarios de mas de doce (12) millones de cuentas.

Lo cual, genera la obligación de ser extremadamente diligente y garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos personales en el ciberespacio. XII. DE LA CAPACIDAD DE BYTEDANCE LTD DE CUMPLIR LAS ORDENES EMITIDAS POR ESTA AUTORIDAD EN LA RESOLUCIÓN Nº 62132 DEL 5 DE OCTUBRE DE 2020 En la página https://www.bytedance.com/en/products la recurrente enuncia sus productos, entre ellos el siguiente: 19 República de Colombia.

Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001. 20 República de Colombia. Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Obtenido en https://www.bytedance.com/en/products el 11 de marzo de 2021 Entonces, esta autoridad considera importante realizar las siguientes consideraciones: 1.

Esta superintendencia busca el cumplimiento de las leyes sobre protección de Datos personales por parte de la aplicación TikTok y los servicios que ofrece en el territorio de la República de Colombia. 2. La sociedad ByteDance Ltd es corresponsable del Tratamiento de Datos personales que realiza esta aplicación. Lo anterior, no quiere decir que es la única propietaria de dicha aplicación. Lo que sí quiere decir es que, por sí misma o en asocio con otros, decide sobre la base de datos y/o el Tratamiento de los datos que se recolectan por medio de la aplicación TikTok. 3.

La sociedad tiene injerencia técnica y administrativa sobre la aplicación. Lo anterior, toda vez que es la propietaria de la aplicación TikTok. Por tanto, se enfatiza por esta autoridad que la sociedad ByteDance Ltd tiene la capacidad para colaborar con el cumplimiento de las ordenes emitidas en la resolución impugnada. La sociedad recurrente es quien tiene la dirección del Grupo ByteDance, desde un punto de vista jurídico y económico cobra especial relevancia. Asimismo, es corresponsable del Tratamiento de los Datos personales de los usuarios de la plataforma y los servicios que ofrece en Colombia.

Es pertinente recordar que, decidir sobre el Tratamiento de Datos personales, en cierto grado, no implica un control absoluto sobre los mismos, ni un traslado de su titularidad; pero, tampoco excluye la responsabilidad que recae sobre la sociedad en virtud de las cargas impuestas por la Constitución Política Nacional y la Ley 1581 de 2012.

El cumplimiento de las órdenes por parte de ByteDance Ltd no es independiente, sino en conjunto con las demás compañías destinatarias de estas. Para esta autoridad, la comunicación que debe realizar ByteDance Ltd y las demás compañías destinatarias de las órdenes impartidas, es la misma comunicación que tiene la sociedad recurrente con sus subsidiarias para cumplir su objeto social y ejecutar sus políticas comerciales.

En este punto es necesario recordar que la Resolución Nº 62132 del 05 de octubre de 2020 busca prevenir el daño o riesgo a los Derechos Fundamentales protegidos por la Ley 1581 de 2012. En ningún momento se está sancionando una conducta o actividad económica. Esa finalidad tiene como fundamento el artículo 2 de la Constitución Política Nacional: “Son fines esenciales del Estado: servir a la comunidad, promover la prosperidad general y garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades (…)”.

Asimismo, se soporta en las funciones que le otorgan: HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” i. ii. iii. Los artículos 19 y 21 de la Ley 1581 de 2012; El principio de eficacia, consagrado en los artículos 2 y 209 superiores; y El numeral 11 del artículo 3 de la Ley 1437 de 2011. Se enfatiza que, si se aceptaran los argumentos expuestos en este recurso, no habría aplicación real de la Ley 1581 de 2012 y, sería inane la existencia de esta y de las funciones que se otorgan a esta entidad.

Aunque las razones anteriores son suficientes para confirmar la Resolución Nº 62132 del 05 de octubre de 2020, esta Dirección considera pertinente destacar lo siguiente respecto de: XIII. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.

Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”21. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. El artículo 2622 -Demostración- establece que, “los responsables [sic] del Tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del Tratamiento [sic].”23 21 Cfr. Corte Constitucional, sentencia T-227 de 2003. 22 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del Tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del Tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido Tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 23 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del Tratamiento [sic]. La HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Ahora, respecto de la supresión del Dato, el artículo 18 señala que los procedimientos para dicho efecto deben incluirse en la política de Tratamiento de información y ser comunicados a los Titulares de los Datos24.

El artículo 22, por su parte, establece que el Responsable o Encargado del Tratamiento debe adoptar “las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean (…) actualizados, rectificados o suprimidos (…)”25. Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al Titular la posibilidad de supresión de sus Datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del dato [sic] personal, siempre y cuando sea procedente y permitida por el ordenamiento jurídico.

Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada26(accountability)27”. El término “accountability”28, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos [sic] (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza29 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar; llevar a cabo; revisar; actualizar y/o evaluar, los programas de gestión de Datos. verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 24 El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado Tratamiento [sic] de los datos [sic] personales.

Los procedimientos de acceso, actualización, supresión y rectificación de datos [sic] personales y de revocatoria de la autorización [sic] deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de Tratamiento [sic] de la información.” 25 El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el Tratamiento [sic] de los datos [sic] personales deberán adoptarse las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del Tratamiento [sic]”. 26 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 27 “El término inglés accountability puede ser traducido por rendición de cuentas.

Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 28 Cfr. Grupo de trabajo de protección de datos del artículo 29.

Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 29 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el Tratamiento [sic] indebido de sus datos [sic] personales” 30.

(Énfasis añadido). El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía31, es destacable que el Principio de Responsabilidad Demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”32.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a [sic] las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 33. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”34. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el Principio de Responsabilidad Demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al Tratamiento [sic] de datos [sic] personales”35 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de Datos personales”36.

CUARTO: Sin perjuicio de todo lo anterior, destacamos las siguientes CONCLUSIONES: • BYTEDANCE LTD hace parte del grupo empresarial de ByteDance. Como ella bien lo indica en su página web, es quien tiene la dirección unificada de la estructura corporativa. • La sociedad ByteDance Ltd es corresponsable del Tratamiento de Datos personales que realiza esta aplicación. Lo anterior, no quiere decir que es la única propietaria de dicha aplicación. Lo que sí quiere decir es que, por sí misma o en asocio con otros, decide sobre la 30 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de Datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de Datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 31 El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 32 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). 33 Cfr. Bonatti, Francisco.

Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hablecorrectamente-de-compliance-iii/ 34 Idem. 35 Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18. 36 Ibidem.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” base de datos y/o el Tratamiento de los datos que se recolectan por medio de la aplicación TikTok. • El Tratamiento de Datos personales que hacen BYTEDANCE LTD es complejo y ocurre en distintos momentos y espacios físicos. Sin embargo, esto no impide reafirmar que la recolección de Datos personales de los usuarios en Colombia sucede parcialmente, pero en muy alto grado, en el territorio de la República de Colombia. • La Ley 1581 de 2012 debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para tratar datos, pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico.

Quienes crean, diseñan o usan “innovaciones tecnológicas” deben cumplir todas las normas sobre Tratamiento de Datos personales. • La Ley 1581 de 2012 delimita el ámbito de aplicación “al Tratamiento de Datos personales efectuado en territorio colombiano”. Y, como las web cookies son instaladas en dispositivos y equipos ubicados en territorio colombiano por la aplicación TikTok, el Tratamiento de la información que recolecten y traten los corresponsables por medio de esta tecnología queda supeditada al cumplimiento de la Ley 1581 de 2012. • La sociedad BYTEDANCE LTD está en la obligación de cumplir con todos los deberes que emanan del ordenamiento jurídico colombiano en relación con el debido Tratamiento de Datos personales.

Incluido, por supuesto, los mandatos de la Ley Estatutaria 1581 de 2012 y del Decreto 1377 de 2013 incorporado en el Decreto Reglamentario 1074 de 2015. • Si bien, la sistematización de los Datos personales recolectados no ocurre en este territorio, la recolección de los datos que serán analizados sí lo es. Aquella recolección, como ocurre en territorio colombiano, debe respetar el debido Tratamiento de Datos personales.

Esta situación, no es óbice para que el conjunto de compañías que administran la aplicación TikTok deban cumplir las normas locales sobre Tratamiento de Datos personales de otros Estados donde también realizan un Tratamiento de la información. • La aplicación TikTok trata Datos personales de los usuarios de mas de doce (12) millones de cuentas.

Lo cual, genera la obligación de ser extremadamente diligente y garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos personales en el ciberespacio. • Esta autoridad no desconoció el debido proceso para emitir una orden administrativa de naturaleza preventiva. • La Resolución Nº 62132 del 05 de octubre de 2020 busca prevenir el daño o riesgo a los Derechos Fundamentales protegidos por la Ley 1581 de 2012. • Las sanciones por infracción a la Ley Estatutaria 1581 de 2012 son únicamente las establecidas en su artículo 23. • Esta autoridad comunicó su actuación por medio de los canales dispuestos públicamente por el Grupo ByteDance en su página web: https://www.tiktok.com/legal/law-enforcement QUINTO Que, en virtud de la situación actual, en particular la emergencia sanitaria, se ha restringido el ingreso a las instalaciones de la Superintendencia de Industria y Comercio, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando el número de radicado del expediente;

(ii) una vez reciba respuesta respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo, luego del registro, puede consultar el expediente digitalmente. No obstante, en aras de garantizar los derechos de defensa y contradicción de la investigada, en el caso en que la misma considere necesario el acceso físico del expediente, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

SEXTO: Se reitera que una orden administrativa no es una sanción, sino una medida necesaria para la adecuación de las actividades u operaciones de los responsables del Tratamiento a las disposiciones de la regulación colombiana sobre protección de Datos personales. Las sanciones por infringir la Ley Estatutaria 1581 de 2012 -multas, suspensión de actividades, cierre temporal o HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” definitivo- están previstas en el artículo 23 de dicha norma.

Allí se puede constatar que las órdenes no son sanciones.

SÉPTIMO: Que, analizadas todas las cuestiones planteadas, se encuentra que no fueron desvirtuados los argumentos que fundamentaron la resolución impugnada y teniendo en cuenta lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la decisión contenida en la Resolución Nº 62132 del 05 de octubre de 2020.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. Confirmar en todas sus partes la Resolución Nº 62132 del 05 de octubre de 2020 por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO SEGUNDO. Conceder el recurso subsidiario de apelación interpuesto en contra de la Resolución Nº 62132 del 05 de octubre de 2020, y en consecuencia dar traslado del presente expediente al despacho del Superintendente Delegado para la Protección de Datos personales para que proceda de acuerdo con su competencia.

ARTÍCULO TERCERO. Notificar personalmente el contenido de la presente resolución a la sociedad extranjera ByteDance Ltd, a través de su apoderado o quien haga sus veces.

ARTÍCULO CUARTO. Comunicar personalmente el contenido de la presente resolución a CORPORACIÓN COLOMBIANA DE PADRES Y MADRES – RED PAPAZ, a través de su apoderado o quien haga sus veces.

COMUNÍQUESE,

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 16 MARZO 2021 El Director de Investigación de Protección de Datos personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.03.16 14:26:59 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ ALC/CEZ HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” NOTIFICACIÓN: Sociedad (1): Identificación: Apoderada: Identificación: Tarjeta profesional: Correo: Dirección: ByteDance Ltd SIN IDENTIFICACIÓN1 Paula Marcela Vejarano Rivera C.C 52.805.409 No. 178.712 del C. S. de la J. paula.vejarano@dentons.com Carrera 7 No. 71-52, Torre B, piso 9 de la ciudad de Bogotá, D.C. Dentons.

COMUNICACIÓN: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: País: Correo electrónico: No se cuenta con identificación CORPORACIÓN COLOMBIANA DE PADRES Y MADRES – RED PAPAZ Nit. 830130422 - 3 CAROLINA PIÑEROS OSPINA C.C. 39.694.233 Calle 103 No. 14A-53, Edificio Bogotá Business Center, Oficina 403 Bogotá República de Colombia director@redpapaz.org y soportelegal@redpapaz.org

Resolución sancionatoria N° 14015 de 2021

CONSIDERANDO

RESUELVE