REPÚBLICA DE COLOMBIA (24 JUNIO 2021) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 19-202397 VERSIÓN ÚNICA EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, y CONSIDERANDO Primero. Que mediante la Resolución No. 70315 de 4 de noviembre de 2020 la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio para garantizar el debido Tratamiento de Datos personales en el territorio de la República de Colombia emitió una orden administrativa de carácter preventivo a la sociedad GOOGLE COLOMBIA LIMITADA (en adelante Google o la recurrente).
La orden administrativa de carácter preventivo que impartió́ esta autoridad mediante Resolución No. 70315 de 4 de noviembre de 2020 fue la siguiente: “ARTÍCULO PRIMERO. ORDENAR a la sociedad GOOGLE COLOMBIA LIMITADA identificada con Nit. 900.214.217-5, para que en conjunto con la sociedad GOOGLE LLC, cumpla a cabalidad las instrucciones y órdenes impartidas en la Resolución No. 53593 de 3 de septiembre de 2020”.
Segundo. Que mediante correo electrónico de 24 de noviembre con número de radicado 19-20239749-1 la sociedad recurrente presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución No. 70315 de 4 de noviembre de 2020. En el escrito la sociedad solicita “(..) Se revoquen, en consecuencia, las órdenes dirigidas a mi representada contenidas en la Resolución No. 70315 de 2020 “Por la cual se imparten órdenes dentro de una actuación administrativa””, con fundamento en: • “Es evidente que la SIC, respecto a lo sustancial de la investigación, tampoco puede establecer que el resultado de su análisis corporativo derive en la existencia de una corresponsabilidad en materia de protección de datos personales entre mi representada y Google LLC, debido a que la estructura corporativa no define el tratamiento de datos que lleva a cabo cada entidad relacionada ni determina que dichas entidades establezcan conjuntamente las finalidades y los medios de dichos tratamientos”. • “La SIC concluye que “( ) GOOGLE LLC y GOOGLE COLOMBIA LIMITADA con sus servicios de transmisión de videos en línea YouTube Kids, y Family Kids, entre otros, son compañías que hacen parte de GOOGLE (en adelante Grupo Google) ( )”10.
Google Colombia Limitada no presta servicios de transmisión de videos en línea a través de YouTube kids ni de Family Link. De igual forma, no es la SIC la entidad competente para declarar o llegar a la conclusión sobre la existencia de grupo empresarial pues, tal y como se mencionó anteriormente, dicha facultad de conformidad con el artículo 30 de la Ley No. 222 de 1995 corresponde a la Superintendencia de Sociedades”. • “Google LLC es el proveedor exclusivo de las plataformas y servicios mencionados por la SIC para Colombia y es quien los crea, diseña, provee, administra y opera sin intervención ni participación alguna de Google Colombia.
Estas plataformas y servicios de Google LLC se sujetan a la política de privacidad de Google LLC y, como se demuestra en este escrito, Google Colombia no tiene ningún control, dirección ni definición sobre ningún aspecto de estos. Google Colombia tampoco determina, por sí misma o en conjunto con Google LLC, las finalidades ni los medios del tratamiento de datos personales realizado por dichos servicios.
Los anteriores servicios son prestados a los usuarios de Colombia por Google LLC desde el extranjero y es HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” esta sociedad la que administra y opera la plataforma YouTube para Colombia, y la que determina las finalidades, los medios y cualesquiera otros aspectos del tratamiento de datos personales de los usuarios de Colombia”. • “Es importante dejarle claro a la Autoridad que no se está intentando evadir, por parte de mi representada, las obligaciones que, en efecto, le son aplicables en materia de protección de datos personales, bajo el marco normativo local.
Google Colombia es una persona jurídica colombiana a la que le aplica la ley colombiana y es respetuosa de las competencias de las autoridades en el marco de la ley. Así́, los argumentos presentados por Google Colombia en este escrito y en sus pasados memoriales justamente exigen que se aplique la ley colombiana y, en tal medida, aplicando dicha ley, pretenden dejar en evidencia que Google Colombia no ostenta el rol de corresponsable dentro del tratamiento de datos personales realizado por terceros en relación con los datos de usuarios de la plataforma YouTube, al no determinar las finalidades, medios ni cualquier otro aspecto de dicho tratamiento.
Google Colombia, como lo ha reconocido, es Responsable por el tratamiento de datos personales que se encuentran en las bases de datos que mi representada ha registrado debidamente ante el Registro Nacional de Bases de Datos (en adelante, RNBD) y ha dispuesto sus políticas internas aplicables a aquellos tratamientos que ocurren bajo su operación como Responsable.
No obstante, estas bases de datos de las que Google Colombia es Responsable nada tienen que ver con los datos de los usuarios de las plataformas de Google LLC sujetas a la presente actuación, es decir, respecto de los datos personales de menores de edad que puedan ser recolectados o tratados a través de la plataforma YouTube por parte de Google LLC.
Por lo anterior, es claro que el numeral 4 de la Decisión Recurrida, en donde la SIC pretende insinuar que Google Colombia alega no sujetarse a la ley colombiana, no es cierto. De manera reiterada se deja claro que Google Colombia, como sociedad constituida en el país, se sujeta a las normas legales colombianas, incluido lo referente a la protección de datos personales.
En esa medida, Google Colombia nunca ha afirmado que se encuentre por fuera del marco legal colombiano y, por el contrario, reconoce el alcance de los artículos 4 y 333 de la Constitución Política dentro de los procedimientos internos relacionados con el tratamiento de datos personales que efectivamente realiza. No obstante, lo anterior, si bien la ley colombiana aplica a Google Colombia, lo cual reconocemos, esto no significa que Google Colombia sea responsable, de modo alguno por la prestación de servicios de Google LLC, incluyendo cualquier tratamiento que realice Google LLC durante la prestación de servicios relacionados con YouTube, YouTube Kids y/o Family Link, entre otros”. • “(…) En segundo lugar, si bien Google Colombia puede desplegar actividades y operaciones destinadas a generar utilidades y beneficios a sus inversionistas (como cualquier otra empresa), de esto no se puede concluir de modo alguno que Google Colombia también participe del tratamiento de datos que realiza Google LLC durante la prestación de ciertos servicios a usuarios localizados en Colombia, específicamente y para el caso en concreto los datos de los Usuarios recolectados a través de la plataforma YouTube que son objeto de la presente investigación, y menos que decida sobre los medios o fines del tratamiento y sobre la base de datos.
La relación económica o corporativa entre dos personas jurídicas no conlleva a que ambas, necesariamente, participen en el tratamiento de datos bajo el rol de Responsables. Esta conclusión apresurada de la Autoridad descontextualiza completamente la norma de protección de datos personales al desconocer que mi representada no tiene poder de decisión sobre el tratamiento de la información personal recolectada a través de YouTube -que suscita la presente investigación-, resignificando entonces la figura del Responsable y “corresponsable” como se desarrollará más adelante”. • “Ser Responsable del tratamiento, como establece la definición de la Ley No. 1581 y desarrolla la Corte Constitucional, es esencialmente la consecuencia de que una persona natural o jurídica haya optado por tratar datos personales para sus propios fines.
La identificación efectiva del control es decisiva. • Así, siguiendo el argumento de la SIC, la denominada “asesoría” que supuestamente realiza Google Colombia sobre cómo invertir recursos en publicidad por parte de Google LLC, no puede considerarse de modo alguno como la posibilidad de decidir o determinar los fines y medios del tratamiento de datos personales relacionados con una plataforma en específico, ni nada sobre la base de datos de Google LLC.
Vale la pena aclarar nuevamente que Google Colombia no asesora en cómo invertir en publicidad a Google LLC. El alcance de las actividades comerciales que realiza Google Colombia no permite inferir que mi representada esté en condiciones de definir o determinar el tratamiento de datos al que Google LLC sujeta HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” sus bases de datos.
Por otro lado, el asesoramiento comercial que se imparte a los clientes de Google LLC sobre sus herramientas de publicidad no tiene relación alguna con el tratamiento de los datos personales de usuarios de las plataformas de Google LLC donde aparece dicha publicidad, en específico YouTube”. • “(…) Google Colombia no es corresponsable por el tratamiento de datos que realiza Google LLC, en cuanto a los usuarios y el funcionamiento de la plataforma YouTube pues como se ha indicado previamente, Google Colombia no determina ni las finalidades ni los medios del tratamiento de los datos personales de los usuarios de YouTube, los cuales son definidos por Google LLC.
Si bien es posible que en un tratamiento de datos varios agentes puedan determinar conjuntamente el propósito y los medios de tratamiento, esto no ocurre en el caso bajo análisis”. • “Como afirmamos en un acápite anterior, Google Colombia es Responsable únicamente del tratamiento de datos personales que reposan en las bases de datos que se encuentran inscritas en el RNBD, y no tiene ningún grado de responsabilidad en el tratamiento de datos personales que realiza Google LLC y a los que se refiere la Decisión Recurrida.
Además, en los casos de control conjunto, no todos los Responsables son capaces de cumplir directamente con todas las obligaciones de los Responsables y solo pueden ser garantizadas a diferentes niveles por diferentes actores. La consecuencia de esto es que la corresponsabilidad no implica que las cargas de unos de los Responsables puedan reenviarse sin mayor análisis a los otros, dado que los distintos Responsables pueden ser Responsables del tratamiento de datos personales en diferentes etapas y en diferentes grados”. • “En el caso concreto, la SIC simplemente asignó a Google Colombia las mismas órdenes que emitió a Google LLC sin desglosar cuál es el alcance de la supuesta responsabilidad que le endilga sobre los datos personales recolectados por Google LLC a través de YouTube.
Google Colombia, que no tiene ningún control o definición sobre estas bases de datos, no puede de forma alguna cumplir con las órdenes ahí previstas. Son órdenes de imposible cumplimiento para una entidad como Google Colombia que no tiene acceso, control, definición, determinación ni injerencia alguna sobre las bases de datos de Google LLC”. • “El hecho de que Google Colombia realice actividades lícitas en el territorio colombiano que puedan generar beneficios y ganancias a sus inversionistas, no implica que realice tratamiento de datos personales en calidad de corresponsable del tratamiento con sus inversionistas y tampoco significa, como quiere hacer ver la SIC, que se esté desconociendo la regulación colombiana.
Google Colombia es respetuosa de la ley colombiana y realiza el tratamiento de datos personales conforme a la Ley No. 1581. No hay en la presente actuación prueba alguna de lo contrario”. • • • “(…) la relación comercial que tienen Google Colombia y Google LLC no corresponde a una relación de cercanía y control absoluto como la SIC lo quiere hacer ver en su narrativa sin siquiera poder probarlo.
Por el contrario, los anteriores extractos demuestran que Google Colombia y Google LLC sostienen una relación comercial dirigida a un objetivo específico y es que Google Colombia cumpla con proveer a Google LLC servicios relacionados con asistencia y soporte las gestiones de marketing en el territorio, dejando sin cabida cualquier relación frente al tratamiento de datos personales de los usuarios de YouTube”.
“Google Colombia es un proveedor de servicios de marketing y capacitación a clientes o potenciales clientes de Google LLC, sobre las herramientas disponibles para crear y administrar campañas de publicidad online. Google Colombia no presta servicios de publicidad. Para el ejercicio de estas actividades, Google Colombia no define, controla o decide en grado alguno sobre los fines o medios del tratamiento de estos datos personales.
Google Colombia no es quien presta servicios publicitarios, solo hace una labor de soporte y asistencia en temas de marketing”. “Google Colombia es una sociedad respetuosa de la ley colombiana y de las autoridades competentes. No obstante, dado que, tanto de hecho como de derecho, Google Colombia no tiene ningún poder de control, definición o decisión sobre las bases de datos y datos personales referidos en la presente actuación y a los que se refieren las órdenes, estas órdenes son de imposible cumplimiento por parte de mi representada.
No tiene sentido alguno ni respaldo jurídico alguno imponer cargas desproporcionadas e imposibles de cumplir a un administrado, que se desprenderán en posteriores sanciones por su falta de cumplimiento. Esto sería una decisión injusta y violatoria plenamente de la ley y la constitución. Reiteramos, no es que Google desconozca la autoridad de la SIC, ni su competencia; no es que Google desconozca la ley; lo que insistimos es que Google Colombia no tiene forma alguna de dar cumplimiento a las órdenes impartidas a Google LLC”.
Tercero. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la sociedad recurrente HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” en el escrito de reposición y en subsidio apelación contra la Resolución No. 70315 de 4 de noviembre de 2020, se procede a resolver el recurso de reposición, de acuerdo con las siguientes: CONSIDERACIONES DE LA DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES
1. COMPETENCIA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO PARA REALIZAR INVESTIGACIONES Y EMITIR ÓRDENES. El artículo 19 de la Ley Estatutaria 1581 de 2012, establece que “la Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.
El artículo 21, por su parte, faculta a esta entidad para, entre otras: “b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;
(…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” Así las cosas, existen expresas y suficientes facultades legales para que esta autoridad pueda iniciar investigaciones, así como impartir órdenes o instrucciones.
2. GOOGLE COLOMBIA LIMITADA EN CONCURSO CON GOOGLE LLC TIENEN LA OBLIGACIÓN DE CUMPLIR LA LEGISLACIÓN COLOMBIANA, ASÍ COMO LAS ÓRDENES Y REQUERIMIENTOS DE ESTA AUTORIDAD, EN CUMPLIMIENTO DE LA LEY 1581 DE 2012 En el escrito del recurso bajo estudio se argumenta que la recurrente no tiene ni responsabilidad ni rol alguno en la recolección y Tratamiento de Datos personales por medio de las plataformas que ofrece Google.
Razón por la cual, esta superintendencia se equivocó al nombrarla destinataria de la orden contenida en el acto administrativo recurrido. También, que, de acuerdo con el objeto social de la compañía, no tiene la capacidad o facultad para cumplir la orden impartida a través de la Resolución No. 70315 de 4 de noviembre de 2020. En primer lugar, es importante señalar que nuestra Constitución Política establece que: Artículo 4 “(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades”.
Artículo 333 “(…) La actividad económica y la iniciativa privada son libres, dentro de los límites del bien común. Para su ejercicio, nadie podrá exigir permisos previos ni requisitos, sin autorización de la ley. La libre competencia económica es un derecho de todos que supone responsabilidades. La empresa, como base del desarrollo, tiene una función social que implica obligaciones”.
Por lo tanto, es la misma Constitución Política la que dispone el cumplimiento de la normatividad a los extranjeros y nacionales que estén en este territorio. La cual, además, incluye el sometimiento a la ley en general, así como a las órdenes de autoridades administrativas, entre otras. En este orden de ideas, es importante entender lo siguiente, Google LLC es una empresa con domicilio social en California de Estados Unidos de Norteamérica, y con filial en Colombia que actúa bajo la forma jurídica de sociedad limitada, con la denominación Google Colombia Limitada, que desarrolla una actividad de carácter económico y que tiene como objeto proveer “servicios de marketing y capacitación a clientes o potenciales clientes de Google LLC, sobre las herramientas disponibles para crear y administrar campañas de publicidad online”1.
El modelo económico de las compañías que hacen parte del grupo Google, está basado en la obtención de beneficios a través de la publicidad en línea, que constituye su fuente principal de ingresos. Así, Google inserta publicidad de terceros anunciantes en sus propios productos y gestiona la publicidad en sitio web de terceros2. Para dicho efecto, dispone de productos específicos para aquellos terceros y anunciantes que deseen establecer lazos económicos. 1 Documento con numero de radicado 19-202397-49-1. 2 Agencia Española de Protección de Datos.
Resolución: R/02892/2013. Procedimiento No. PS/00345/2013. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Al respecto, se argumenta que Google LLC gestiona técnica y administrativamente las plataformas y servicios que ofrece, por lo tanto, Google Colombia Ltda. no realiza una actividad directamente vinculada a la plataforma de YouTube.
Sin embargo, la actividad de promoción y venta de espacios publicitarios, de la que Google Colombia es responsable para Colombia, constituye la parte esencial de la actividad comercial de Google y puede considerarse que está estrechamente vinculada a dicha plataforma. Sobre la corresponsabilidad. El artículo 3 de la Ley 1581 de 2012 define al Responsable como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.
Como bien lo anota la recurrente, “Esta definición trae varios elementos sobre quién puede ser Responsable: (i) Persona natural o jurídica, pública o privada, (ii) que por sí misma o en asocio con otros, (iii) decide sobre la base de datos y/o el tratamiento”. Así mismo, como también lo trae a colación la recurrente, la Corte Constitucional en Sentencia C-748 de 2011, ha dicho: “Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado.
Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente- los fines y medios del tratamiento. Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis.
Así, el concepto de responsable puede cobijar tanto a la fuente como al usuario, en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera”. (Destacamos). En ese hilo conductor el Grupo de Trabajo del artículo 293 señala4 que: “(…) no es necesario que el responsable del tratamiento tenga un control total sobre los medios.
El responsable del tratamiento puede tener un control variable de estos medios. El control es suficiente cuando el responsable del tratamiento, al determinar la forma en que estos medios funcionan, toma las decisiones adecuadas en relación con la naturaleza de los datos y su tratamiento. En otras palabras, el responsable determina qué datos se recogen, se almacenan, se transfieren, se modifican, etc., de qué forma y con qué objetivo.
(…) No obstante, la facultad de disposición del responsable no debe confundirse con la propiedad o la posesión de los medios, ya sea por el responsable del tratamiento, o por la persona.”. (Destacamos). En adición, el propio Grupo de Trabajo del artículo 295 desarrolla el concepto del control emanado de una capacidad de influencia de hecho.
Al respecto, afirma que: “Éste es el caso cuando la responsabilidad del tratamiento se asigna sobre la base de una evaluación de las circunstancias de hecho. En muchos casos, esto conllevará una evaluación de las relaciones contractuales entre las distintas partes implicadas. Esta evaluación permite sacar conclusiones externas que atribuyan la función y responsabilidades de responsable del tratamiento a una o varias partes.
Esto puede resultar particularmente útil en entornos complejos que suelen recurrir a las nuevas tecnologías de la información y en los que los agentes pertinentes tienden a verse a sí mismos como «mediadores» y no como responsables del tratamiento”. (Destacamos). De esta manera, la corresponsabilidad no presupone un control total para determinar el resultado de la Base de Datos y/o el Tratamiento.
Y, tampoco, presume la propiedad, en este caso, de YouTube, YouTube Kids y/o Family Link, entre otros. Influencia de hecho La recolección de Datos personales le permite a GOOGLE consolidar grupos objetivos de personas que serán destinatarios de la publicidad emitida por los “clientes o potenciales clientes de Google LLC” que GOOGLE COLOMBIA LIMITADA consiguió para este, e incluso, llegó a capacitar.
Así, existe una 3 Órgano establecido en virtud de la Directiva 95/46/CE que carácter consultivo e independiente, y cuyos dictámenes y recomendaciones sirven como elemento interpretativo en la materia que nos ocupa admitido por la jurisprudencia. 4 Documento de Trabajo relativo a la aplicación internacional de la legislación comunitaria sobre protección de datos al tratamiento de los datos personales en Internet por sitios web establecidos fuera de la UE, aprobado el 30 de mayo de 2002. 5 Dictamen 1/2010 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento».
Adoptada el 16 de febrero de 2010. Se destaca que este documento fue utilizado por la recurrente en su recurso de reposición y en subsidio de apelación. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” situación de hecho en donde GOOGLE COLOMBIA LIMITADA busca ampliar las ganancias económicas generadas por Google LLC.
Obtener ganancias, desde luego, no es ilegal, pero tampoco significa que pueda hacerse desconociendo la regulación colombiana al debido Tratamiento de Datos personales. Google desarrolla una actividad de carácter económico que tiene por objeto la obtención de ingresos a cambio de la publicidad de terceros que inserta en los sitios web que gestiona.
Los contenidos publicitarios se proporcionan a los usuarios en función de las preferencias de cada uno de ellos, apreciadas a partir de la información recabada sobre los mismos cuando interactúan en la red. Es lo que se denomina “publicidad comportamental”, que requiere la identificación de los usuarios de Internet y/o la observación de su comportamiento para establecer un perfil individual que permita el envió de publicidad ajustada a sus intereses o preferencias.
La captación de anunciantes y clientes para Google LLC en el territorio colombiano constituye la tarea principal de Google Colombia Ltda. En aquellos casos en los que el servicio se sustenta en la publicidad, la actuación de Google Colombia Ltda. es significativa para la prestación de los servicios y el Tratamiento de Datos que conlleva, existiendo una relación de causalidad entre la actuación de Google Colombia Ltda. y la existencia misma de los servicios, por cuanto la intervención de esta entidad es imprescindible para su efectiva prestación. En definitiva, en contra de lo alegado por Google Colombia Ltda., las actividades destinadas a la obtención de publicidad que lleva a cabo tienen vinculación con el Tratamiento de Datos personales en el territorio de la República de Colombia.
Tal como se expresó en la resolución recurrida, el uso de los Datos personales recolectados en Colombia ocurre en distintos momentos y espacios geográficos. Si bien, la sistematización de los Datos personales recolectados no ocurre en este territorio, la sociedad GOOGLE COLOMBIA LIMITADA capacita a los “clientes o potenciales clientes de Google LLC” que buscan invertir en materia publicitaria en los espacios dispuestos por Google.
Entonces, sin esa capacitación, las compañías que invierten en los productos y servicios de la marca no tendrían el conocimiento necesario para invertir su dinero eficientemente. No se puede perder de vista que, esa inversión termina utilizando los Datos personales recolectados en la República de Colombia. Pues, en todo caso, le permite a la compañía inversionista hacer la segmentación de la publicidad y dirigirla a un grupo objetivo.
En suma, GOOGLE LLC y GOOGLE COLOMBIA LIMITADA con sus servicios de transmisión de videos en línea YouTube, YouTube Kids, y Family Kids, entre otros, son compañías que hacen parte de GOOGLE, dedicadas al desarrollo, distribución y explotación de la marca GOOGLE, incluidos los productos, servicios y aplicaciones que están disponibles en el territorio colombiano, y que usan personas domiciliadas o residentes en el mismo para los fines señalados en la política de privacidad de GOOGLE.
Así como en los avisos de privacidad implementados para YouTube Kids, y demás productos y servicios en línea. Por ejemplo, la creación de cuentas para personas menores de 13 años de Google. GOOGLE COLOMBIA LIMITADA también es Responsable del Tratamiento de los Datos Personales recolectados en este país Se tiene que, GOOGLE COLOMBIA LIMITADA no es ajena al funcionamiento de la plataforma.
Por supuesto, no se está afirmando que es propietaria o administradora de los servicios y productos que ofrece el conjunto de compañías Google, o de los servidores donde se almacenan los Datos personales recolectados en territorio colombiano. Esta Autoridad tampoco afirma que tiene el mismo grado de control en el Tratamiento de esos Datos personales, como lo tiene GOOGLE LLC.
Sin embargo, no es equivocado afirmar que GOOGLE COLOMBIA LIMITADA también es Responsable del Tratamiento de los Datos personales recolectados en este país. Lo anterior, en razón a que participa en el Tratamiento, al promover e instruir en el uso de esos Datos – por parte de los servicios del Google – al proveer “servicios de marketing y capacitación a clientes o potenciales clientes de Google LLC, sobre las herramientas disponibles para crear y administrar campañas de publicidad online”.
Que, en últimas, son quienes le generarán considerables rendimientos económicos. En virtud de lo expuesto, está Dirección procederá a confirmar en todas sus partes la Resolución No. 70315 de 4 de noviembre de 2020.
3. LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO NO ESTÁ DECLARANDO LA EXISTENCIA DE UNA SITUACIÓN DE CONTROL HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En primer lugar, es importante dejar claro que la presente actuación y, en especial la resolución recurrida, tiene el propósito de buscar prevenir el daño o riesgo a los Derechos Fundamentales protegidos por la Ley 1581 de 2012.
En ningún momento se está sancionando una conducta o actividad económica. Más aún, esta autoridad no desconoce el marco de sus competencias legales. Por lo que, en ningún momento se ha extralimitado. La Superintendencia de Industria y Comercio es consciente de que el artículo 30 de la Ley 222 de 1995 establece que: “Cuando de conformidad con lo previsto en los artículos 260 y 261 del Código de Comercio, se configure una situación de control, la sociedad controlante lo hará constar en documento privado que deberá contener el nombre, domicilio, nacionalidad y actividad de los vinculados, así como el presupuesto que da lugar a la situación de control.
Dicho documento deberá presentarse para su inscripción en el registro mercantil correspondiente a la circunscripción de cada uno de los vinculados, dentro de los treinta días siguientes a la configuración de la situación de control. Si vencido el plazo a que se refiere el inciso anterior, no se hubiere efectuado la inscripción a que alude este artículo, la Superintendencia de Sociedades, o en su caso la de Valores o Bancaria, de oficio o a solicitud de cualquier interesado, declarará la situación de vinculación y ordenará la inscripción en el Registro Mercantil, sin perjuicio de la imposición de las multas a que haya lugar por dicha omisión”.
Precisamente por esto, esta autoridad remitirá el expediente de esta actuación a la Superintendencia de Sociedades para que de acuerdo a su competencia realice las investigaciones y decisiones que considere adecuadas. Ahora bien, no deja de ser relevante mencionar la relación que tiene Google Colombia Ltda. con el resto de las compañías de Google y sus implicaciones con el derecho al debido Tratamiento de Datos personales.
Específicamente, con Google LLC. Lo anterior, considerando que Google Colombia Ltda. es un canal oficial de comunicación entre los clientes de Google LLC y aquella compañía. Precisamente lo que se afirmó en la resolución recurrida es que GOOGLE COLOMBIA LIMITADA es el nodo del grupo de compañías de Google que permite aumentar las utilidades de la publicidad pautada en Colombia, aunque dichas utilidades no se le paguen directamente a ella.
Adicionalmente, la sociedad se encarga de realizar todos los acercamientos y proveer servicios de marketing y capacitación a clientes de Google LLC. Lo anterior, como bien lo menciona la recurrente cuando afirma que “Google Colombia puede desplegar actividades y operaciones destinadas a generar utilidades y beneficios a sus inversionistas (como cualquier otra empresa)”.
Por último, se reitera que el artículo 19 de la Ley 1581 de 2012 le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “( ) la vigilancia necesaria para garantizar que en el tratamiento [sic] de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, su artículo 21 determina cuáles funciones ejercerá la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.
Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; ( ) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.
(Destacamos). Visto lo anterior, existen expresas y suficientes facultades legales para que esta Superintendencia pueda impartir las órdenes contenidas en la Resolución No 70315 de 4 de noviembre de 2020. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “Esta disposición enlista las funciones que ejercerá́ la nueva Delegatura de protección de datos personales.
Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos”.
(Destacamos). En suma, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales. Por eso, esta entidad ha sido respetuosa del principio de legalidad y ha obrado conforme con lo establecido en el derecho colombiano. Lo que quiere relievar esta Dirección es que, bajo ningún punto de vista es admisible que se considere que las órdenes impuestas – de la forma en que se hicieron – fueron producto de una decisión antojadiza y caprichosa de esta autoridad.
Precisamente porque al margen de la forma jurídica de la sociedad Google Colombia Ltda. existe un establecimiento implicado en actividades que entrañan el Tratamiento de Datos personales relativos a personas identificadas o identificables, que se recaban y se tratan en territorio de la República de Colombia.
4. GOOGLE COLOMBIA LIMITADA ESTÁ EN CAPACIDAD PARA QUE EN CONJUNTO CON LA SOCIEDAD GOOGLE LLC, CUMPLA A CABALIDAD LAS INSTRUCCIONES Y ÓRDENES IMPARTIDAS EN LA RESOLUCIÓN No. 53593 DE 3 DE SEPTIEMBRE DE 2020 GOOGLE INTERNATIONAL LLC socio mayoritario de la sociedad GOOGLE COLOMBIA LIMITADA, a su vez, es propiedad de GOOGLE LLC. El socio mayoritario de GOOGLE COLOMBIA LIMITADA es GOOGLE INTERNATIONAL LLC, compañía que, a su vez, es controlada por GOOGLE LLC.
Entonces, esta autoridad considera importante resaltar: 1. Esta superintendencia busca el cumplimiento de las leyes sobre protección de Datos personales por parte de los servicios que ofrece Google, específicamente, los servicios que ofrece en el territorio de la República de Colombia. 2. La sociedad Google Colombia Ltda. es corresponsable del Tratamiento de Datos personales que realiza esta aplicación. Lo anterior, no quiere decir que es la única propietaria de la plataforma o servicios Google.
Lo que sí quiere decir es que, por sí misma o en asocio con otros, decide sobre la Base de Datos y/o el Tratamiento de los Datos que se recolectan por medio de aquellos servicios. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 3. La sociedad tiene injerencia técnica y administrativa sobre los servicios Google.
Lo anterior, toda vez que se presenta ante la comunidad como la compañía que provee “servicios de marketing y capacitación a clientes o potenciales clientes de Google LLC, sobre las herramientas disponibles para crear y administrar campañas de publicidad online” Por tanto, se enfatiza por esta autoridad que la sociedad Google Colombia Ltda. tiene la capacidad para colaborar con el cumplimiento de las órdenes emitidas en la resolución impugnada.
La sociedad recurrente es el nodo principal de Google en Colombia. La cual, le permite al grupo aumentar las utilidades derivadas de las inversiones hechas en pauta dirigida al mercado objetivo: las personas (Titulares) ubicadas en Colombia que usan los bienes y servicios que ofrece la marca. Asimismo, es corresponsable del Tratamiento de los Datos personales de los usuarios de la plataforma y los servicios que ofrece en Colombia.
Es pertinente recordar que, decidir sobre el Tratamiento de Datos personales, en cierto grado, no implica un control absoluto sobre los mismos, ni un traslado de su titularidad; pero, tampoco excluye la responsabilidad que recae sobre la sociedad en virtud de las cargas impuestas por la Constitución Política Nacional y la Ley 1581 de 2012.
El cumplimiento de las órdenes por parte de Google Colombia Ltda. no es independiente, sino en conjunto con Google LLC. Para esta autoridad, la comunicación que debe realizar Google Colombia Ltda. y Google LLC es la misma comunicación que tiene la sociedad recurrente con las demás compañías Google para cumplir su objeto social y ejecutar sus políticas comerciales.
En este punto es necesario recordar que la Resolución No. 70315 de 4 de noviembre de 2020 busca prevenir el daño o riesgo a los Derechos Fundamentales protegidos por la Ley 1581 de 2012. En ningún momento se está sancionando una conducta o actividad económica. Esa finalidad tiene como fundamento el artículo 2 de la Constitución Política Nacional: “Son fines esenciales del Estado: servir a la comunidad, promover la prosperidad general y garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades (…)”.
(Destacamos). Asimismo, se soporta en las funciones que le otorgan: i. ii. iii. Los artículos 19 y 21 de la Ley 1581 de 2012; El principio de eficacia, consagrado en los artículos 2 y 209 superiores; y El numeral 11 del artículo 3 de la Ley 1437 de 2011. Se enfatiza que, si se aceptaran los argumentos expuestos en este recurso, no habría aplicación real de la Ley 1581 de 2012 y, sería inane la existencia de esta y de las funciones que se otorgan a esta entidad.
5. EL RESPETO POR LAS LEYES EN EL CIBERESPACIO En el ciberespacio no desaparecen ni disminuyen los derechos de las personas. El ciberespacio ha sido caracterizado por ser un escenario global no delimitado por fronteras geográficas en donde las actividades suceden dentro de la arquitectura tecnológica de Internet. Aunque se trata de un “mundo virtual”, sus ciudadanos son miles de millones de personas reales ubicadas en prácticamente cualquier lugar del “mundo físico” cuyas actividades tienen impacto o consecuencias en el “mundo real”.
A pesar de que el campo de acción de Internet desborda las fronteras nacionales, para la Corte Constitucional el nuevo escenario tecnológico y las actividades en Internet no se sustraen del respeto de los mandatos constitucionales. Por eso, concluyó dicha entidad que “en Internet (…) puede haber una realidad virtual pero ello no significa que los derechos, en dicho contexto, también lo sean.
Por el contrario, no son virtuales: se trata de garantías expresas por cuyo goce efectivo en el llamado “ciberespacio” también debe velar el juez constitucional”6. Recalca dicha Corporación que, “nadie podría sostener que, por tratarse de Internet, los usuarios sí pueden sufrir mengua en sus derechos constitucionales”7. 6 República de Colombia.
Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001. 7 República de Colombia. Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Por su parte, Google trata Datos Personales de los usuarios de mas de cuarenta (40) millones de cuentas.
Lo cual, genera la obligación de ser extremadamente diligente y garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos personales en el ciberespacio.
6. LA SUPERITENDENCIA DE INDUSTRIA Y COMERCIO GARANTIZÓ EN TODO MOMENTO EL DEBIDO PROCESO En adición a lo anterior, se reitera que, la Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de una parte, garantizar a las personas el Derecho Fundamental de la Protección de Datos Personales y, de otra, respetar el debido proceso en cabeza de Google Colombia Ltda. Al respecto, esta Dirección advierte que, en ningún momento los actos o actuaciones de esta entidad en el curso de este proceso administrativo, han estado en contravía del derecho, como erróneamente lo infiere la recurrente.
Esto, bajo el entendido de que en estas materias se tratan temas de magnitud constitucional y legal. Esta autoridad aplicó y respetó las garantías procesales necesarias, y emitió el acto administrativo a que hubo lugar. El que, en ninguna circunstancia fue arbitrario. Por el contrario, lo que sí hizo esta autoridad, fue propender por la correcta aplicación de las normas y los principios que las fundamentan.
Igualmente, no es posible dejar de lado que, en todo momento, esta autoridad dispuso las garantías procesales necesarias, y el correcto ejercicio y funcionamiento de la administración pública. En vista de todo lo anterior, y luego de la plena evaluación de los elementos que hacen parte del expediente bajo estudio, es indiscutible concluir que esta entidad no desconoció el debido proceso para emitir una orden de naturaleza preventiva. 7.
Del Tratamiento de Datos personales de niñas, niños y/o adolescentes por parte de GOOGLE En muchas ocasiones, los receptores de la publicidad dirigida son niños, niñas y adolescentes ciudadanos y/o residentes en la República de Colombia. En este sentido, la Ley 1581 de 2012 establece que el consentimiento para el Tratamiento de Datos personales debe ser previo, expreso e informado.
Además, la ley distingue entre el consentimiento obtenido por parte de los adultos, por un lado, y por el otro, aquel obtenido de los representantes legales para el Tratamiento de información personal de niños, niños, o adolescentes. Una organización que trate Datos de niños, niñas y adolescentes debe estar en la capacidad de obtener el consentimiento del representante legal del menor, teniendo en cuenta el derecho de ellos a ser escuchados; opinión que será valorada analizando la madurez, autonomía y capacidad para entender el Tratamiento (artículo 2.2.2.25.2.9. del Decreto 1074 de 2015).
Asimismo, le corresponde conservar la prueba del consentimiento obtenido (artículo 9 y literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.5 del Decreto 1075 de 2015). Entonces, una organización que recolecte Datos de niños, niñas y adolescentes debe implementar procedimientos efectivos para determinar que el representante legal autorice expresamente el Tratamiento de la información relacionada con el menor, así como para verificar que la persona quien otorga el consentimiento sea el representante legal.
Siendo GOOGLE COLOMBIA LIMITADA corresponsable del Tratamiento de los Datos personales recolectados por los servicios y productos del GOOGLE, no puede desatender sus responsabilidades constitucionales y legales frente al Tratamiento de los Datos Personales de los Titulares. Si bien GOOGLE COLOMBIA LIMITADA no tiene control absoluto sobre los Datos Personales recolectados por los servicios y productos de GOOGLE, no puede entenderse dicha situación como una exclusión de la responsabilidad que recae sobre la sociedad en virtud de las cargas impuestas por la Constitución Política de Colombia y la Ley Estatutaria 1581 de 2012.
En consecuencia, no de manera independiente, pero sí en conjunto con GOOGLE LLC, la sociedad GOOGLE COLOMBIA LIMITADA deberá garantizar el cumplimiento de las órdenes impartidas por esta autoridad en la Resolución No. 53593 de 3 de septiembre de 2020. Aunque las razones anteriores son suficientes para confirmar la Resolución No. 53593 de 3 de septiembre del 2020, esta Dirección considera pertinente destacar lo siguiente respecto de: HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” • Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales.
8. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.
Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”8. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus Bases o archivos.
En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.
En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. El artículo 269 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic].”10 Ahora, respecto de la supresión del Dato, el artículo 18 señala que los procedimientos para dicho efecto deben incluirse en la política de Tratamiento de información y ser comunicados a los Titulares de los Datos11.
El artículo 22, por su parte, establece que el Responsable o Encargado del Tratamiento debe adoptar “las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean (…) actualizados, rectificados o suprimidos (…)”12. Conforme con Cfr. Corte Constitucional, sentencia T-227 de 2003. El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.
En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.
La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.
El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento [sic] de los datos [sic] personales. Los procedimientos de acceso, actualización, supresión y rectificación de datos [sic] personales y de revocatoria de la autorización [sic] deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento [sic] de la información.” El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento [sic] de los datos [sic] personales deberán adoptarse las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean precisos y suficientes y, cuando así lo solicite el HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al Titular la posibilidad de supresión de sus Datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del dato [sic] personal, siempre y cuando sea procedente y permitida por el ordenamiento jurídico.
Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada13(accountability)14”. El término “accountability”15, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos [sic] (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.
Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza16 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos Personales.
El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.
El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos Personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar; llevar a cabo; revisar; actualizar y/o evaluar, los programas de gestión de Datos.
Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 17.
(Énfasis añadido). El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento [sic]”.
El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf “El término inglés accountability puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019.
Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.
Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.
HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía18, es destacable que el Principio de Responsabilidad Demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”19.
También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a [sic] las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 20. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.
Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”21. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.
La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el Principio de Responsabilidad Demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento [sic] de datos [sic] personales”22 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”23.
Cuarto. Sin perjuicio de lo establecido, se concluye, entre otras, lo siguiente: 1) Google LLC es una empresa con domicilio social en California de Estados Unidos de Norteamérica, y con filial en Colombia que actúa bajo la forma jurídica de sociedad limitada, con la denominación Google Colombia Limitada, que desarrolla una actividad de carácter económico y que tiene como objeto proveer “servicios de marketing y capacitación a clientes o potenciales clientes de Google LLC, sobre las herramientas disponibles para crear y administrar campañas de publicidad online”. 2) La actividad de promoción y venta de espacios publicitarios, de la que Google Colombia es responsable para Colombia, constituye la parte esencial de la actividad comercial de Google LLC y puede considerarse que está estrechamente vinculada a dicha plataforma. 3) No es necesario que el Responsable del Tratamiento tenga un control total sobre los medios.
El Responsable del Tratamiento puede tener un control variable de estos aquellos. 4) GOOGLE COLOMBIA LIMITADA es corresponsable del Tratamiento de los Datos personales recolectados en este país, en razón a que participa en el mismo, al promover e instruir en el uso de esos Datos – por parte de los servicios del Grupo Google – para ofrecer la publicidad dirigida a sus clientes, que en últimas son quienes le generarán considerables rendimientos económicos. 5) Si bien, la sistematización de los Datos Personales recolectados no ocurre en Colombia, la sociedad GOOGLE COLOMBIA LIMITADA asesora a las compañías que buscan invertir en la publicidad específica que ofrece el Grupo Google en sus productos y servicios. 6) El diseño jurídico-formal de la estrategia global de GOOGLE LLC no es óbice para que las organizaciones que hacen parte del mismo asuman responsabilidades frente a los Titulares de los Datos personales cuya información es explotada comercialmente por GOOGLE COLOMBIA LIMITADA y GOOGLE LLC. 7) El cumplimiento de las órdenes por parte de Google Colombia Ltda. no es independiente, sino en conjunto con Google LLC.
Para esta autoridad, la comunicación que debe realizar Google El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018). Cfr. Bonatti, Francisco.
Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-de-compliance-iii/ Idem. Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18.
Ibidem. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Colombia Ltda. y Google LLC es la misma comunicación que tiene la sociedad recurrente con las demás compañías Google para cumplir su objeto social y ejecutar sus políticas comerciales. 8) Esta superintendencia busca el cumplimiento de las leyes sobre protección de Datos personales por parte de los servicios que ofrece Google, específicamente, los servicios que ofrece en el territorio de la República de Colombia. 9) GOOGLE COLOMBIA LIMITADA tiene la obligación y capacidad, en conjunto con GOOGLE LLC; de conformidad con lo establecido en el artículo 4 de la Constitución Política de Colombia, para dar cumplimiento a las órdenes impartidas en la Resolución No. 53593 de 3 de septiembre del 2020.
Quinto. Que, en virtud de la situación actual, en particular la emergencia sanitaria, se ha restringido el ingreso a las instalaciones de la Superintendencia de Industria y Comercio, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando el número de radicado del expediente;
(ii) una vez reciba respuesta respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo, luego del registro, puede consultar el expediente digitalmente. No obstante, en aras de garantizar los derechos de defensa y contradicción de la investigada, en el caso en que la misma considere necesario el acceso físico del expediente, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.
Sexto. Una orden administrativa no es una sanción, sino una medida necesaria para la adecuación de las actividades u operaciones de los Responsables del Tratamiento a las disposiciones de la regulación colombiana sobre protección de datos personales. Las sanciones por infringir la Ley Estatutaria 1581 de 2012 -multas, suspensión de actividades, cierre temporal o definitivo- están previstas en el artículo 23 de dicha norma.
Allí se puede constatar que las órdenes no son sanciones. En mérito de lo expuesto, este Despacho RESUELVE ARTÍCULO PRIMERO. Confirmar en todas sus partes la Resolución No 70315 de 4 de noviembre de 2020 por las razones expuestas en la parte motiva de este acto administrativo. ARTÍCULO SEGUNDO. Conceder el recurso subsidiario de apelación interpuesto en contra de la Resolución No 70315 de 4 de noviembre de 2020, y en consecuencia dar traslado del presente expediente al despacho del Superintendente Delegado para la Protección de Datos Personales para que proceda de acuerdo con su competencia. ARTÍCULO TERCERO. Notificar personalmente el contenido de la presente resolución a la sociedad GOOGLE COLOMBIA LIMITADA identificada con el Nit 900.214.217-5, a través de su apoderado o quien haga sus veces.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 24 JUNIO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.06.24 15:37:46 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ ALC/CEZ HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” NOTIFICACIÓN: Sociedad: Identificación: Dirección: Ciudad: País: Representante: Identificación: GOOGLE COLOMBIA LIMITADA Nit. 900.214.217-5 Carrera 11 A No. 94-45 Oficina 801 Bogotá D.C. República de Colombia.
Hayazaki Sheimi P.P No. 0000000GA369234 Apoderado: Nombre: Identificación: Correo Electrónico: Dirección: Ciudad: País: María Camila Piedrahita Tovar C.C. 1.019.045.073 maria.piedrahita@cms-ra.Com Calle 75 No. 3-35 Bogotá D.C. República de Colombia