Decisión 83340 de 2021 — SIC

REPÚBLICA DE COLOMBIA (Diciembre 23 de 2021) Radicación No. 18-105913 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 7 del artículo 16 del Decreto 4886 de 2011 y,

CONSIDERANDO

PRIMERO. Que mediante Resolución N°. 82702 del 30 de diciembre del 2020, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a: • • • La sociedad FARROW COLOMBIA S.A.S., identificada con Nit. 900.894.894 - 8 de VEINTIÚN MILLONES TRESCIENTOS SESENTA Y CUATRO MIL DOSCIENTOS PESOS ($21.364.200) correspondiente a 600 Unidades de Valor Tributario (UVT), por el incumplimiento del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, La sociedad FARROW MÉXICO S.A.P.I. de C.V. de CIENTO DIEZ MILLONES TRESCIENTOS OCHENTA Y UN MIL SETECIENTOS PESOS ($110.381.700) correspondiente a 3100 Unidades de Valor Tributario (UVT), por el incumplimiento de los deberes establecidos: (i) literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención; y (iii) el literal o) del artículo 17 de la Ley 1581 de 2012 y La sociedad FARROW VENTURES INC. de CIENTO DIEZ MILLONES TRESCIENTOS OCHENTA Y UN MIL SETECIENTOS PESOS ($110.381.700) correspondiente a 3100 Unidades de Valor Tributario (UVT), por el incumplimiento de los deberes establecidos: (i) literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención; y (iii) el literal o) del artículo 17 de la Ley 1581 de 2012. Adicionalmente, en el artículo 4 de la citada resolución se ordenó lo siguiente a las tres (3) sociedades: RESOLUCIÓN NÚMERO 83340 DE 2021 SEGUNDO. Que mediante escrito radicado el 25 de enero de 2020 con número de radicado 18- 105913-83-1, la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, a través de apoderada especial, interpuso recurso de reposición y en subsidio de apelación contra la Resolución N°. 82702 del 30 de diciembre del 2020, con los siguientes argumentos: • Se pronunció sobre la oportunidad procesal para interponer el recurso de reposición y en subsidio de apelación. Luego, trae a colación el monto de la sanción, así como las ordenes proferidas. • Alega una supuesta carencia de sustento fáctico y jurídico a lo largo del procedimiento administrativo, basándose en la afirmación de que el bloqueo temporal de la aplicación “Pig.gi” se produjo teniendo como único fundamento una información periodística.

Sobre este punto, manifiesta que este Despacho menciono que el proceso administrativo sancionatorio no tenía relación con la orden de bloqueo y sostiene que, dada la carencia de sustento jurídico y la forma de proceder con el trámite procesal “culminó en la quiebra de las compañías investigadas, el cierre de operaciones de la aplicación “Pig.gi” y la pérdida de una oportunidad para promover la conectividad en el territorio colombiano. • Además, menciona que las órdenes son imposibles de cumplir dado que la aplicación dejó de operar desde el año 2018. • Sobre el cargo por el que la sociedad fue sancionada, alega que la sanción solo puede ser aplicable a los Responsables del Tratamiento y sostiene que la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN no ostenta esta calidad, por lo que, en sus palabras, la falta de respuesta de dicho requerimiento no es reprochable a la luz de la Ley 1581 de 2012 y por ello la multa no podía ser aplicable.

Sobre este punto, afirma que: “( ) la Superintendencia se refiere específicamente a la falta de respuesta del requerimiento para allegar los estados financieros de la sociedad, junto con las RESOLUCIÓN NÚMERO 83340 DE 2021 actas de asamblea general de accionistas y sus informes de gestión desde la creación de la sociedad. Al respecto, Farrow Colombia ha precisado que su inatención se debió un error involuntario y que de ninguna manera estuvo precedido de mala fe ni tuvo como intención la de obstruir la investigación. Ahora, posteriormente se allegó la información completa que se tiene en los libros de comercio de la Sociedad, no existe nada más no dejó de entregar nada como supone la SIC que se hizo.

( )”1 Posteriormente, afirma que la respuesta parcial o falta de ella no constituye una violación al literal o) del artículo 17 de la Ley 1581 de 2012 y precisa que la sociedad si dio “( ) respuesta a los requerimientos formulados por la Superintendencia con base en la información con la que contaba a la fecha del requerimiento ( )”2. Sobre este punto, culmina haciendo las siguientes afirmaciones: “( ) Ahora bien, es cierto que para la de conformidad con los estatutos sociales, la Compañía debía adelantar reuniones anuales de la Asamblea General de Accionistas, así como aprobar los estados financieros de fin de ejercicio.

Sin embargo, la realidad es que la Compañía no había cumplido con dichas obligaciones, luego era imposible que entregara actas de reuniones que no han tenido lugar y por, ende, no constan en actas. Fue por ello que hasta el momento de la presentación del escrito de descargos se allegaron los estados financieros, los cuáles fueron elaborados de manera urgente para acreditar ante la autoridad, como desde entonces se ha enfatizado, la situación económica de la Compañía y la inoperatividad de la misma.

En este orden de ideas, la Superintendencia ignoró por completo estas situaciones y en su lugar prefirió asumir que Farrow Colombia pretendía ocultar información, obstruir la investigación y, en general, obrar de mala fe. Todo lo anterior, en contravención del principio general de derecho colombiano de conformidad con el cual se presume la buena fe.

( )”3. • Finalmente, solicita que se revoque la resolución y en su lugar archive la investigación, absteniéndose de imponer una sanción a la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, o de manera alternativa que se reduzca la sanción impuesta.

TERCERO. Que mediante escrito radicado el 25 de enero de 2020 con número de radicado 18- 105913-84-1 y 18-105913-85-1, las sociedades FARROW MÉXICO S.A.P.I. de C.V y FARROW VENTURES INC, a través de apoderada especial, interpusieron recurso de reposición y en subsidio de apelación contra la Resolución N°. 82702 del 30 de diciembre del 2020, con los siguientes argumentos: • Se pronunció sobre la oportunidad procesal para interponer el recurso de reposición y en subsidio de apelación. Luego, se refirió sobre el monto de la sanción, así́ como las ordenes proferidas.

Radicado 18-105913-83-1, página 9 Radicado 18-105913-83-1, páginas 9 y 10 Radicado 18-105913-83-1, página 11 RESOLUCIÓN NÚMERO 83340 DE 2021 • Posteriormente alega una violación al debido proceso por la práctica de las pruebas dentro del procedimiento administrativo sancionatorio, ya que considera que (i) solicitó que se formularan a las compañías Facebook Colombia S.A.S. y Google Colombia Limitada una serie de interrogantes y sostiene que “la Superintendencia de manera injustificada decidió́ reducir este número de preguntas a cuatro”4. • Sobre este punto, continúa aseverando que: “( ) una vez practicadas las referidas pruebas, las compañías oficiadas indicaron que ellas no eran competentes para atender el requerimiento de la autoridad, e incluso indicaron quienes eran las compañías que podían hacerlo.

Sin embargo, la Superintendencia dio por practicada la prueba y no cumplió́ su DEBER como ente investigador de decretar de oficio una prueba adicional, con el fin de realizar el requerimiento de información respectivo a las compañía (sic) en capacidad de resolverlo. ( ) evidencia de lo anterior, en segundo lugar, fue la práctica del testimonio del señor Xxxxx Xxxxxx, Director de Tecnología de Farrow México.

Esta prueba fue decretada y se citó al testigo para el 29 de julio de 2020. Sin embargo, el testigo no compareció́ y la Superintendencia se abstuvo de programar nueva fecha para practicar la prueba, aún cuando la apoderada no prescindió́ de ella y tampoco lo hizo la SIC”5. Sobre este punto, manifiesta que “( ) por un lado, una vez más la Dirección de Investigaciones habiendo decretado una prueba, prescindió́ de su práctica, y aunque en principio decretó la prueba para buscar llegar a la verdad de los hechos investigados, no la practicó sin argumentación alguna.

Lo anterior particularmente teniendo en cuenta que esta era la ÚNICA prueba técnica solicitada por las investigadas y decretada por la autoridad. Ya que rechazó decretar y practicar los testimonios de los representantes legales de Facebook Colombia S.A.S. y Google Colombia Limitada, así́ como de oficiar a las compañías extranjeras de acuerdo con las consideraciones ya plasmadas.

Por otro lado, la Dirección confunde elevar una acta (sic) de inasistencia, que fue lo que efectivamente realizó la autoridad, con desistir de su práctica. Contrario a lo que afirma la entidad, la apoderada no accedió́ a desistir de la prueba, sino exclusivamente a elevar un acta que daba cuenta que el testigo citado, no compareció́ a la diligencia para la toma de su testimonio.

Si la intención de la Dirección era no practicar la prueba, debió́ expresamente desistir de ella en la audiencia o antes de dar por terminado el periodo probatorio. Sin embargo, sencillamente decidió́ omitir por completo por la prueba y asumió́ que la suscrita apoderada no quería practicarla. ( )”6. Radicado 18-105913-84-1, página 8 Ibíd. Radicado 18-105913-84-1, página 9 RESOLUCIÓN NÚMERO 83340 DE 2021 Con base en lo anterior, concluye que no pudo ejercer su derecho de defensa y que tal circunstancia genera una nulidad procesal. • Reitera la supuesta falta de competencia de esta autoridad para investigar a las sociedades FARROW MÉXICO S.A.P.I. de C.V y FARROW VENTURES INC en la medida en que considera que las mencionadas sociedades no realizaron tratamiento de datos personales de los ciudadanos colombianos en el territorio colombiano. Sobre este punto, argumenta que esta autoridad ignora la aplicación del artículo segundo de la Ley 1581 de 2012 al considerar que “( ) En opinión de la autoridad, la regulación colombiana es aplicable por el hecho de haber tratado “datos personales de ciudadanos que se encuentran en territorio colombiano”.

Sin embargo, el referido artículo 2 de la ley 1581 de 2012 establece que solo aplicará al TRATAMIENTO REALIZADO EN TERRITORIO COLOMBIANO. Así las cosas, el criterio para determinar la aplicación de la ley no es meramente subjetivo en el sentido de identificar el lugar de residencia de los titulares, sino de evaluar dónde tiene lugar el tratamiento.

( )”7 • En relación con el cargo primero, afirma que “( ) basta precisar que la Superintendencia resta de todo valor probatorio los videos y capturas de pantalla allegados por Farrow Ventures y las otras investigadas para desvirtuar la insuficiencia de las capturas de pantalla del Laboratorio Forense. Justamente las pruebas aportadas por Farrow Ventures dan cuenta de cómo las capturas de pantalla incluidas en la resolución por medio de la cual se formuló pliego de cargos y que se replican en la Resolución N°. 82702 del 30 de diciembre del 2020, no representaban la realidad de la información requerida y del método utilizado por Farrow Ventures para obtener la autorización de los titulares.

Así́ las cosas, dichas pruebas, en conjunto con lo indicado por Joel Phillips en su declaración, dan cuenta de que en efecto la autorización requerida cumplía los requisitos de la Ley 1581 de 2012. En esta medida, dicha autorización es previa a la recolección. Mal puede la Superintendencia esperar que la autorización se solicite antes de la descarga de la aplicación, cuando el único requisito contenido en la ley, es que sea cuando menos al momento de la recolección de los datos, la cual sólo tenía lugar en el momento en que los usuarios se registraban a la aplicación. ( )”8.

Finalmente, agrega que: “( ) Radicado 18-105913-84-1, página 11 Radicado 18-105913-84-1, páginas 12 y 13 RESOLUCIÓN NÚMERO 83340 DE 2021 En todo caso, es de aclarar que la carga de la prueba en los procedimientos administrativos sancionatorios recae en cabeza de la autoridad administrativa, y no del investigado, quien se encuentra protegido por la presunción de inocencia a la luz del artículo 29 de la Constitución Política.

En relación con la referida presunción, la Corte Constitucional ha afirmado que “tal presunción cabe ciertamente tanto en el ámbito del derecho penal como en el de las infracciones administrativas. Naturalmente como surge de la lógica del proceso, la carga de la prueba está a cargo del Estado, sin perjuicio de que los acusados también ejerzan la iniciativa probatoria a fin de buscar el esclarecimiento de los hechos.

En este orden de ideas, fue la Superintendencia quien no pudo desvirtuar las pruebas allegadas por Farrow Ventures que claramente dan cuenta de que efectivamente esta Compañía, en conjunto con Farrow México en su calidad de responsables, solicitaban la autorización previa de los titulares de los datos. ( )”9. • En cuanto al cargo segundo, manifiesta que: “( ) Ahora bien, en relación con este cargo, tal y como se puso de presente en la Sección anterior, Farrow Ventures acreditó que obtenía autorización previa, expresa e informada de los titulares.

Ahora bien, tratándose de los datos de los menores, Farrow Ventures reconoció́ la infracción en su escrito de descargos, al indicar que la Compañía “acepta que durante el proceso de registro no se informa sobre el carácter facultativo en el otorgamiento de los datos sensibles o sobre los datos de las niñas, niños y adolescentes. Sin embargo, es preciso mencionar, que la posibilidad de otorgar o no los datos es posible para todos los usuarios, independientemente de su calidad.

Por lo tanto, ningún usuario está obligado a otorgar datos sensibles a la aplicación”. Dicho allanamiento no fue considerado por la autoridad de cara a la fijación de la sanción que hubiere lugar. ( )”10. • Sobre el cargo tercero, manifiesta la apoderada en cuanto a la sociedad FARROW MÉXICO S.A.P.I. de C.V. que: “( ) el requerimiento dejado de contestar recaía sobre derechos que no se encuentran en cabeza de Farrow México (cómo es el código fuente de la Aplicación) y, en consecuencia, no se encontraba en condiciones de suministrarlos y no podía dar respuesta al requerimiento referido.

Es de recalcar que la SIC para efectos de la respuesta del requerimiento a Google Colombia S.A.S., entiende y acepta que esta persona jurídica no tuviera la competencia para allegar la información solicitada, teniendo en cuenta, que Radicado 18-105913-84-1, página 14 Radicado 18-105913-84-1, página 15 RESOLUCIÓN NÚMERO 83340 DE 2021 según la respuesta de dicha empresa, esta información la puede aportar Google LLC.

( )”11. Sobre la respuesta de la sociedad Google Colombia SAS, la apoderada transcribe un apartado de la Resolución y agrega: “(..) el trato es discriminatorio cuando se trata de la respuesta otorgada por Farrow México, ya que la información sobre el código fuente no puede ser atendido por alguien a quien no le pertenece el código fuente.

( ) La Superintendencia de Industria y Comercio no le solicitó dicha información a Farrow Ventures, cuando lo hubiera podido hacer, por lo que no tiene sentido que por una falta de la SIC de no requerir la información a la sociedad adecuada, aún cuando se le dijo quién se la podía dar, no lo haya hecho y ahora quien paga por eso es mi investigada”12. • De otra parte, la apoderada de FARROW VENTURES INC menciona que su poderdante respondió el requerimiento realizado por este Despacho en la medida en que le solicitó “( ) a la autoridad que le explicara el sustento normativo con base en el cual adquiría competencia para realizar requerimientos a la entidad, sin embargo, la Compañía nunca recibió́ respuesta por parte de la Superintendencia y, por ende, no dio respuesta a fondo al requerimiento ( )”. • Frente a las órdenes administrativas impartidas, las tres sociedades, a su turno, ponen de presente lo siguiente: Manifiestan que la aplicación no existe en el mercado comercial de aplicaciones móviles y que, con ocasión de las actuaciones de esta entidad, las sociedades no están en funcionamiento.

Por ende, concluyen, “las órdenes impuestas son imposibles de cumplir”. Mencionan lo siguiente respecto de cada una de las órdenes13: - Implementar un mecanismo para obtener la autorización previa, expresa e informada de los Titulares de información previo al registro de los Titulares dentro de la aplicación “Pig.gi”, que permita la identificación plena del titular del dato como de los tutores o representantes legales de los menores de edad.

Según se ha puesto de presente en repetidas oportunidades, LA APLICACIÓN PIG.GI NO ESTÁ EN OPERACIÓN desde 2018, en el momento en que la Delegatura de Protección de Datos Personales emitió la orden de bloqueo. Sin perjuicio de lo anterior, aun cuando la aplicación siguiera en operación, se ha insistido en que (como la misma Superintendencia así lo ha reconocido) Farrow Colombia no es un responsable del tratamiento de datos personales recolectados por medio de “Pig.gi” y en general, no ejecuta ninguna actividad relacionada con esta aplicación. Por ende, resulta IMPOSIBLE para Farrow Colombia implementar el mecanismo solicitado para obtener la autorización para el tratamiento de datos personales de los usuarios de una aplicación que YA NO EXISTE Y RESPECTO DE LA CUAL FARROW COLOMBIA NO OSTENTA LA CALIDAD DE RESPONSABLE DEL TRATAMIENTO.

Radicado 18-105913-84-1, página 16 Radicado 18-105913-84-1, página 17 En cada caso modifican el nombre de la sociedad recurrente RESOLUCIÓN NÚMERO 83340 DE 2021 - - - • Informar a los Titulares de información, de acuerdo con lo dispuesto en el artículo 12 de la Ley 1581 de 2012, el tratamiento y la finalidad de la información con carácter sensible de en caso de que la misma sea recolectada y los derechos que tiene el titular de la información, según el artículo 8 de la misma ley.

Bajo el mismo análisis anteriormente expuesto, la aplicación “Pig.gi” no se encuentra en operación, actualmente no se está realizando el tratamiento de datos personales, y particularmente, no se están recolectando datos personales de nuevos titulares. Aunado a lo anterior, se insiste en que, aun cuando la aplicación continuara en operación, Farrow Colombia no ostenta ni ostentó en ningún momento la calidad de responsable del tratamiento de datos personales.

En consecuencia, es IMPOSIBLE para Farrow Colombia comprometerse a implementar una orden relacionada con suministrar información a los titulares cuyos datos no son y nunca fueron tratados por la Compañía”. Señalar dentro de la identificación de FARROW MÉXICO S.A.P.I de C.V., contenida en el aviso de privacidad, la dirección electrónica y el teléfono de su organización. Nuevamente se insiste en que la aplicación “Pig.gi” NO existe, NO está en operación, NO realiza el tratamiento de datos personales y, en consecuencia, actualmente NO tiene publicado ningún aviso de privacidad ni política de tratamiento aplicables a un tratamiento que NO REALIZA.

Sin perjuicio de lo anterior, y aun cuando todas las anteriores consideraciones no fueran ciertas, la aplicación continuara en operación y se realizara el tratamiento de datos, Farrow Colombia no ostenta la calidad de responsable de dicho tratamiento y en consecuencia no tiene ningún control sobre el aviso de privacidad que haga referencia al mismo.

En consecuencia, es IMPOSIBLE para Farrow Colombia cumplir una orden relacionada con la modificación de un aviso de privacidad que regula el tratamiento de datos del cual no es responsable. Implementar un mecanismo para dar respuesta a todos los requerimientos de este Despacho y de la Delegatura de Protección de Datos Personales. En relación con esta orden baste afirmar que, según se ha expuesto en detalle en el curso, Farrow Colombia ha dado respuesta a todos los requerimientos formulados por la autoridad, con fundamento en la información que tiene disponible al momento de la respuesta.

Así las cosas, queda claro que la Compañía sí contaba con un mecanismo para atender dichos requerimientos. Sin perjuicio de lo anterior, según se ha puesto de presente en el curso del procedimiento administrativo de la referencia, la Compañía se encuentra pendiente de adelantar el proceso de disolución y liquidación, sin embargo, no cuenta ni siquiera con los recursos para levantar la información que necesita para este proceso.

Mucho menos tiene recursos para diseñar e implementar políticas que no va a cumplir en tanto está próxima a su extinción sobre datos que no trata, no controla, no trata bases de datos personales”14. En cuanto a los criterios de graduación de la sanción, alega que la Dirección se abstuvo de analizar los criterios contenidos en lis literales b), c), d) e) y f) del artículo 24 de la Ley 1581 de 2012.

Sobre el particular, las tres sociedades, a su turno, mencionan que: “( ) Así las cosas, la Dirección se abstuvo de analizar los siguientes criterios: “b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción” Radicado 18-105913-83-1, páginas 12 y 13; Radicado 18-105913-84-1, páginas 17 y 18 y Radicado 18-105913-85-1, páginas 17 y

18. RESOLUCIÓN NÚMERO 83340 DE 2021 Contrario a lo que afirma la Dirección, este criterio sí es de aplicación de cara a reducir la sanción a imponer toda vez que la infracción imputada, no representó ningún beneficio económico para Farrow México ni para terceros. Por el contrario, esta investigación resultó gravosa para la Compañía a tal punto que la Compañía no solo no cuenta con los recursos para pagar la multa impuesta por la autoridad, sino que ni siquiera cuenta con los recursos suficientes para elaborar sus estados financieros (como pagar a un contador su elaboración), o adelantar los trámites necesarios para adelantar y registrar la disolución y liquidación de la Compañía. “c) La reincidencia en la comisión de la infracción” En el mismo sentido que el anterior, este criterio deberá aplicarse en el sentido de reducir la sanción a imponer, toda vez que no existen antecedentes de investigaciones o sanciones contra Farrow México en el territorio colombiano. “d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio” Este criterio debe llevar también a la reducción de la sanción a imponer teniendo en cuenta que Farrow México estuvo siempre dispuesta a atender todos los requerimientos de la autoridad, con base en la información a su disposición y a pesar de obrar bajo el convencimiento de la falta de competencia de la autoridad.

“e) La renuencia o desacato a cumplir las órdenes impartidas por la Igualmente, este criterio debe llevar a la reducción de cualquier sanción a imponer teniendo en cuenta que Farrow México procuró atender en todo momento las órdenes e instrucciones de la autoridad en el curso de la investigación. “f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar” Finalmente, contrario a lo que afirma la Superintendencia, en distintos escritos y oportunidades procesales, Farrow México reconoció que no cumplió́ con los requisitos fijados en la ley colombiana en relación con la obtención de la autorización del tratamiento de datos de menores de edad.

( )”15. Finalmente, solicitan lo siguiente: • • Que se “archive la investigación respecto de las imputaciones realizadas respecto de Farrow (…), en atención a la falta de competencia de la Superintendencia de Industria y Comercio para investigar y sancionar el tratamiento de datos realizados por dicha Compañía “En caso que la Superintendencia encuentre como improcedente la anterior solicitud, archive la investigación sobre las presuntas infracciones al régimen de datos personales respecto de Farrow (…), de conformidad con las consideraciones expuestas anteriormente, sin perjuicio del allanamiento ya referido.

Radicado 18-105913-83-1, páginas 17 y 18; radicado 18-105913-84-1, páginas 22 y 23 y 18-105913-85-1, páginas 21 y 22 RESOLUCIÓN NÚMERO 83340 DE 2021 • • • • “Como consecuencia de lo anterior, se limite a imponer una sanción a Farrow (…) exclusivamente en relación con la violación del literal b) del artículo 12 de la Ley 1581 de 2012, en consideración a los criterios de graduación de la pena previstos en el artículo 24 de la Ley 1581 de 2012.

Es importante que tengan en cuenta el estado financiero de la empresa, ya que la sanción no puede ser mayor al patrimonio de la sociedad que como se les comentó, la sociedad no tiene los recursos para levantar estados financieros por lo que es imposible allegarlos para conocimiento de la Superintendencia. “En caso de que la Superintendencia encuentre como improcedentes las anteriores solicitudes, aplique todos y cada uno de los criterios de graduación de la pena previstos en el artículo 24 de la Ley 1581 de 2012, imponiendo así una sanción significativamente menor a la impuesta por medio de la Resolución Impugnada.

“Como consecuencia de lo anterior, reduzca significativamente la sanción impuesta a Farrow (…) mediante la Resolución Impugnada. “Que este escrito se remita al Superintendente Delegado para la Protección de Datos Personales de la Superintendencia de Industria y Comercio de Colombia en caso de no prosperar la totalidad de las solicitudes aquí enunciadas, para que inicie el trámite de la solicitud de subsidiariedad del recurso de apelación mencionado en la referencia.”

CUARTO. Que mediante Resolución Nº 57230 del 3 de septiembre de 2021 la Dirección de Investigación de Protección de Datos Personales decidió lo siguiente: “ARTÍCULO PRIMERO: REVOCAR el artículo primero de la parte resolutiva de la Resolución N°. 82702 del 30 de diciembre del 2020, el cual quedará así: “ARTÍCULO PRIMERO: Archivar la presente investigación respecto de los cargos impuestos a la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, identificada con Nit. 900.894.894 – 8, de acuerdo con lo expuesto en la parte motiva de la presente Resolución respecto de la investigación abierta por la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012”.

ARTÍCULO SEGUNDO: MODIFICAR el artículo segundo de la parte resolutiva de la Resolución N°. 82702 del 30 de diciembre del 2020, el cual quedará así: ARTÍCULO SEGUNDO: IMPONER una sanción pecuniaria a la sociedad FARROW MÉXICO S.A.P.I. de C.V. de NOVENTA Y DOS MILLONES QUINIENTOS SETENTA Y OCHO MIL DOSCIENTOS PESOS M/CTE ($92.578.200) correspondiente a 2600 Unidades de Valor Tributario (UVT), por el incumplimiento de los deberes establecidos: (i) literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención; y (iii) el literal o) del artículo 17 de la Ley 1581 de 2012 PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

En el RESOLUCIÓN NÚMERO 83340 DE 2021 recibo deberá indicarse el número del expediente y el número de la presente resolución. El pago deberá acreditarse ante la pagaduría de esta Superintendencia, con el original de la consignación, dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución. ARTÍCULO TERCERO: MODIFICAR el artículo tercero de la parte resolutiva de la Resolución N°. 82702 del 30 de diciembre del 2020, el cual quedará así: ARTÍCULO TERCERO: IMPONER una sanción pecuniaria a la FARROW VENTURES INC. de NOVENTA Y DOS MILLONES QUINIENTOS SETENTA Y OCHO MIL DOSCIENTOS PESOS M/CTE ($92.578.200) correspondiente a 2600 Unidades de Valor Tributario (UVT), por el incumplimiento de los deberes establecidos: (i) (ii) (iii) literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015; el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención; y el literal o) del artículo 17 de la Ley 1581 de 2012 PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

En el recibo deberá indicarse el número del expediente y el número de la presente resolución. El pago deberá acreditarse ante la pagaduría de esta Superintendencia, con el original de la consignación, dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución. ARTÍCULO CUARTO: CONFIRMAR en todo lo demás la Resolución N° 82702 del 30 de diciembre del 2020”.

QUINTO. Que la apoderada de FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN solicitó lo siguiente en el recurso de reposición y subsidio apelación: “que este escrito se remita al Superintendente Delegado para la Protección de Datos Personales de la Superintendencia de Industria y Comercio de Colombia en caso de no prosperar la totalidad de las solicitudes aquí enunciadas, para que inicie el trámite de la solicitud de subsidiariedad del recurso de apelación mencionado en la referencia” (Énfasis añadido).

Dado que se archivó la investigación contra esa sociedad, este Despacho no se pronunciará en apelación respecto de FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN.

SEXTO. Que de acuerdo con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver los recursos de apelación interpuesto contra la Resolución Resolución N° 82702 del 30 de diciembre del 2020, de acuerdo con las siguientes: CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES RESOLUCIÓN NÚMERO 83340 DE 2021 El artículo 16 del Decreto 4886 de 26 de diciembre de 2011 16 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “( ) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así́ como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

( )”.

2. DE LA RESOLUCIÓN Nº 57230 DEL 3 DE SEPTIEMBRE DE 2021 La Dirección de Investigación de Protección de Datos Personales mediante Resolución Nº 57230 del 3 de septiembre de 202117 resolvió lo siguiente: Por tanto, toda vez que la citada dirección decidió archivar la presente investigación a la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, identificada con Nit. 900.894.894 – 8, no se estudiará el recurso de apelación presentado por dicha sociedad.

Visto lo anterior, se procederá a verificar si las multas impuestas y la órdenes emitidas se ajustan a Derecho.

3. LA LEY 1581 ES APLICABLE A LAS SOCIEDADES FARROW VENTURES Y FARROW MÉXICO PORQUE RECOLECTAN DATOS PERSONALES EN EL TERRITORIO DE LA REPÚBLICA DE COLOMBIA En los recursos de apelación se afirma lo siguiente: “Resulta imperativo insistir en la falta de competencia de la Superintendencia de Industria y Comercio para investigar y sancionar a Farrow Ventures, lo cual no se deriva del mero hecho de tratarse de una sociedad extranjera sino de que la Compañía NO REALIZÓ EL TRATAMIENTO DE DATOS PERSONALES EN COLOMBIA”.

(Destacamos). “Resulta imperativo insistir en la falta de competencia de la Superintendencia de Industria y Comercio para investigar y sancionar a Farrow México, lo cual no se deriva del mero hecho de tratarse de una sociedad extranjera sino de que la Compañía NO REALIZÓ EL TRATAMIENTO DE DATOS PERSONALES EN COLOMBIA”. (Destacamos). No son de recibo los argumentos expuestos sobre la falta de competencia de esta autoridad porque mediante el aplicativo móvil PIG.GI se recolectaron datos personales en el territorio colombiano. En efecto, el artículo 2 de la Ley Estatutaria 1581 de 2012 dispone: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”. RESOLUCIÓN NÚMERO 83340 DE 2021 Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido). Por su parte, el artículo 15 de la Constitución Política Colombiana establece el Derecho Fundamental al debido Tratamiento de Datos personales, de la siguiente manera: “Todas las personas tienen (…) derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución ( )”. (Énfasis añadido). Nótese como para la propia Constitución de la República de Colombia es importante la recolección y el Tratamiento de Datos sin que sea relevante si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías conocidas o por conocer para dicho efecto.

Para la Constitución lo determinante es que la recolección o el tratamiento de datos no se haga de cualquier manera sino respetando la libertad y demás garantías establecidas en la misma. Como es sabido, el literal g) del artículo 3 de la Ley Estatutaria 1581 de 2012 define Tratamiento como, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

(Énfasis añadido). El significado legal de Tratamiento tiene varias características: • En primer lugar, es omnicomprensiva porque incluye toda actividad, operación o conjunto de operaciones sobre Datos personales. Además, no se limita a los ejemplos enunciativos del citado concepto legal, sino que, abarca cualquier otro que involucre directa o indirectamente el uso, almacenamiento o circulación de Datos personales.

Sobre este punto, la Corte Constitucional señaló en el numeral 2.5.9. de la Sentencia C-748 de 2011 que, “lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia”.

(Destacamos). • En segundo lugar, la operación o conjunto de operaciones sobre Datos personales puede ser realizada directa o indirectamente por una o varias personas de forma tal que, en un Tratamiento de Datos personales pueden existir varios Responsables o corresponsables. Debe precisarse que, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo.

Puede ser un Tratamiento diseñado por una organización en la que se divide el trabajo para alcanzar ciertos objetivos, pero, al final, unos y otros son Responsables y corresponsables del Tratamiento de Datos personales. • En tercer lugar, la regulación sobre Tratamiento de Datos Personales debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para Tratar Datos pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico.

Quienes crean, diseñan o usan “innovaciones tecnológicas” deben cumplir todas las normas sobre tratamiento de datos personales Como se señaló, el artículo 2 de la Ley Estatutaria 1581 de 2012 ordena que “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o RESOLUCIÓN NÚMERO 83340 DE 2021 cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales”.

(Énfasis añadido). El término “Tratamiento” no solo se menciona en el artículo 15 de la Constitución Política de la República de Colombia, sino que, es determinante para establecer el campo de aplicación de la citada ley, la cual lo define de la siguiente manera: “Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a. El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “Tratamiento de Datos personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b. El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el presente caso, las sociedades recurrentes están dentro de la hipótesis señalada en el literal a) porque recolectan Datos personales en el territorio de la República de Colombia mediante el aplicativo móvil Pig.gi. Según la evidencia que reposa en el expediente, existe el concepto técnico denominado “peritaje del aplicativo móvil pig.gi (136-18)” del 20 de abril de 2018.

Respecto del mismo, este Despacho solicitó responder lo siguiente: “De la manera más amable y cordial solicito responder lo siguiente que considero relevante para decidir el recurso de apelación del expediente No. 18-105913: 1. ¿En el PERITAJE DEL APLICATIVO MOVIL PIG.GI (136-18) -realizado por usted a los veinte (20) días del mes de abril de 2018- se pudo establecer que dicha aplicación, a través de cualquier medio electrónico ubicado en el territorio colombiano recolectaba, usaba, almacenaba o trataba Datos personales en el territorio de la República de Colombia? 2.En caso positivo: 2.1.

Explicar qué medio electrónico se utilizó para recolectar o tratar datos personales en el territorio colombiano. 2.2. ¿Se utilizaron "cookies" u otras herramientas tecnológicas para recolectar datos personales en la República de Colombia?” Dicho requerimiento fue respondido el 14 de diciembre de 2021 en los siguientes términos manera18: “1.

¿En el PERITAJE DEL APLICATIVO MOVIL PIG.GI (136-18) -realizado por usted a los veinte (20) días del mes de abril de 2018- se pudo establecer que dicha aplicación, a través de cualquier medio electrónico ubicado en el territorio Documento con radicado Nº 21-490648-1-2 del 14 de diciembre de 2021 RESOLUCIÓN NÚMERO 83340 DE 2021 colombiano recolectaba, usaba, almacenaba o trataba Datos personales en el territorio de la República de Colombia?” Respuesta 1: en el peritaje del aplicativo móvil Pig.gi, se estableció que la aplicación se instalaba y funcionaba en dispositivos móviles con sistema operativo Android que tuviera acceso a las redes móviles desde el territorio Colombiano y los datos recolectados por medio de registro o los permisos de recolección móviles eran enviados a servidores ubicados en estados unidos.

“2. En caso positivo 2.1. Explicar qué medio electrónico se utilizó para recolectar o tratar datos personales en el territorio colombiano”. Respuesta 2.1: la aplicación se instalaba y funcionaba en dispositivos móviles con sistema operativo Android, desde donde se realizó registro 2.2. ¿Se utilizaron \\\"cookies\\\" u otras herramientas tecnológicas para recolectar datos personales en la República de Colombia?” Respuesta 2.2: Desde el dispositivo móvil huésped se estableció que recolectan datos personales en la república (sic) de Colombia mediante el registro y desde el código fuente de la APK se estableció que se recolectan datos adicionales mediante los permisos dados durante la instalación o posterior a ella en el dispositivo para el funcionamiento de la aplicación así: 1.

Registro: • Nombres • Apellidos • Correo electrónico • Genero 2. Código Fuente: • Estado civil • Geolocalización “ Así las cosas, mediante el aplicativo móvil PIG.GI se recolectaron datos personales en el territorio colombiano. Según el citado concepto técnico, “la aplicación se instalaba y funcionaba en dispositivos móviles con sistema operativo Android que tuviera acceso a las redes móviles desde el territorio Colombiano y los datos recolectados por medio de registro o los permisos de recolección móviles eran enviados a servidores ubicados en estados unidos (sic)”19.

(Destacamos). Por tanto, desde el dispositivo móvil del Titular se “(…) recolectan datos personales en la república (sic) de Colombia mediante el registro y desde el código fuente de la APK se estableció que se recolectan datos adicionales mediante los permisos dados durante la instalación o posterior a ella en el dispositivo para el funcionamiento de la aplicación (…)”.

(Destacamos). La Ley Estatutaria 1581 de 2012 fija de manera expresa su ámbito de aplicación “al tratamiento de datos personales efectuado en territorio colombiano”. (Destacamos). Por ende, como los dispositivos móviles en los que se descarga el aplicativo móvil Pig.gi están ubicados en Colombia, la recolección y tratamiento de los datos personales se debe someter al cumplimiento de la Ley Estatutaria 1581 de 2012.

Cfr. Página 5 del documento con radicado No 21-490648—1. RESOLUCIÓN NÚMERO 83340 DE 2021 En suma, el Tratamiento de Datos Personales que realizan Farrow Ventures y Farrow México S.A.P.I. de C.V está cobijado dentro del ámbito de aplicación de la Ley Estatutaria 1581 de 2012 porque mediante la citada aplicación recolectan datos personales en el territorio de la República de Colombia.

Por ende, no se ajustan a derecho los argumentos de la recurrente.

4. LA LEY COLOMBIANA APLICA AL TRATAMIENTO DE DATOS EFECTUADO EN EL TERRITORIO COLOMBIANO SIN DISTINGUIR SI EL MISMO SE REALIZA MEDIANTE MECANISMOS FÍSICOS O HERRAMIENTAS TECNOLÓGICAS La apoderada de Farrow Ventures y Farrow México S.A.P.I. de C.V aduce, “Sin embargo, la autoridad misma ignora la aplicación de la norma que cita. En opinión de la autoridad, la regulación colombiana es aplicable por el hecho de haber tratado “datos personales de ciudadanos que se encuentran en territorio colombiano”.

Sin embargo, el referido artículo 2 de la ley 1581 de 2012 establece que solo aplicará al TRATAMIENTO REALIZADO EN TERRITORIO COLOMBIANO. Así las cosas, el criterio para determinar la aplicación de la ley no es meramente subjetivo en el sentido de identificar el lugar de residencia de los titulares, sino de evaluar dónde tiene lugar el tratamiento”.

La ley colombiana no distingue si el Tratamiento se debe hacer de determinada manera ni excluye ninguna forma, herramienta, tecnología o proceso para recolectar o tratar datos personales en el territorio colombiano. De esta manera, si se recolectan o tratan Datos en el territorio colombiano aplica la ley colombiana. No debe olvidarse que existe un principio general de interpretación jurídica según el cual en donde la ley no distingue, no le es dado al intérprete hacerlo.

Principio que en este caso resulta plenamente aplicable porque Farrow Ventures y Farrow México S.A.P.I. de C.V realizan Tratamiento de Datos en el territorio colombiano mediante el uso del citado aplicativo Si la ley colombiana no distingue la forma ni los mecanismos como se realiza el Tratamiento en el territorio colombiano, pues no le corresponde a esta autoridad excluir el uso del mismo como una de tales herramientas.

La citada regla de interpretación jurídica ha sido utilizada por la Corte Constitucional y la Corte Suprema de Justicia para adoptar algunas decisiones. A continuación nos permitimos transcribir lo esencial, no solo para recordar la existencia de ese principio sino para reiterar que esta autoridad no ha hecho nada diferente a aplicar la ley colombiana: • CORTE SUPREMA DE JUSTICIA. SALA DE CASACIÓN PENAL.

AUTO INTERLOCUTORIO DE 3 DE MAYO DE 2017 (AP2789-2017. RADICACIÓN N.° 49891. APROBADO ACTA N.º 124) MP. DR. FERNANDO ALBERTO CASTRO CABALLERO20.: “ Acorde con el principio interpretativo que reza que donde la ley no distingue no le es dado al interprete hacerlo, se concluye que si la Ley 1820 no excluyó de manera explícita como destinatarios de sus preceptos a los ex integrantes de las FARC - EP, por ejemplo a causa de anterior desmovilización en los términos de la Ley 975 de 2005 u otra normatividad, mal podría haberlo hecho como lo hizo en este caso la Sala de Justicia y Paz del Tribunal Superior de Bogotá” • CORTE CONSTITUCIONAL, SENTENCIA C-317 DEL 3 DE MAYO DE 2012.

MP. DRA MARÍA VICTORIA CALLE CORREA21. “Al respecto la Corte considera que no le El texto puede leerse en: En: https://www.cortesuprema.gov.co/corte/wp-content/uploads/relatorias/pe/b2may2017/AP2789-2017.pdf El texto completo de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2012/C-317-12.htm RESOLUCIÓN NÚMERO 83340 DE 2021 asiste razón al demandante pues si bien la Constitución contiene una atribución expresa de representación gubernamental para la iniciativa legislativa en cabeza de los Ministros, y no una atribución similar para la iniciativa constituyente, resulta plenamente aplicable al tema, el principio general de interpretación jurídica según el cual donde la norma no distingue, no le corresponde distinguir al intérprete, no resultando jurídicamente viable deducir, por esta vía, reglas constitucionales implícitas que contrarían el texto mismo del artículo 208 Superior, cuyo mandato general de vocería gubernamental no establece tal diferenciación.” (Énfasis añadido) • CORTE CONSTITUCIONAL, SENTENCIA C-127 DE 22 DE ABRIL DE 2020.

MP. DRA. CRISTINA PARDO SCHLESINGER22.: “Por lo anterior, en desarrollo del principio general de interpretación jurídica según el cual donde la norma no distingue, no le corresponde distinguir al intérprete, no resulta viable deducir la existencia de la regla de exclusión implícita a que aluden los demandantes.” (Énfasis añadido). Como se mencionó, tanto para la Constitución de la República de Colombia como para la precitada ley es importante la recolección y el Tratamiento de Datos sin que sea relevante si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías conocidas o por conocer para dicho efecto.

Se recalca que, el literal g) del artículo 3 de la Ley Estatutaria 1581 de 2012 define Tratamiento como, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”. (Énfasis añadido). Esa definición legal es neutral tecnológicamente porque cobija el Tratamiento realizado mediante cualquier medio físico o electrónico como, entre otras, el aplicativo móvil PIG.GI.

Las citadas sociedades realizan Tratamiento de Datos personales en territorio colombiano porque usan ese aplicativo para recolectar Datos personales en el territorio de la República de Colombia. Razón suficiente, para que de conformidad con lo establecido en el artículo 2 de la Ley Estatutaria 1581 de 2012 cumpla con lo estipulado en dicha ley y sus normas reglamentarias.

En conclusión, Farrow Ventures y Farrow México S.A.P.I. de C.V mediante mecanismos electrónicos recolectan Datos personales en el territorio de la República de Colombia. Por ende, ese Tratamiento de Datos personales está sujeto a la legislación colombiana. En virtud de lo anterior, no asiste razón a apoderada en cuanto a que no le es aplicable la Ley Estatutaria 1581 de 2012.

5. DEL BLOQUEO TEMPORAL Farrow Ventures y Farrow México S.A.P.I. de C.V plantean que “(…) la orden de bloqueo fue adoptada tomando como único soporte, información periodística, sin que reposen en el expediente pruebas relacionadas con la verificación de dicha información”. El bloqueo es una medida preventiva, necesaria, excepcional, temporal y urgente para, entre otras y según el caso: a) Salvaguardar los derechos fundamentales de los seres humanos Titulares de datos personales b) Evitar la vulneración de los derechos de los Titulares de los Datos c) Reducir o minimizar la afectación de los derechos de las personas.

La sentencia puede consultarse en: https://www.corteconstitucional.gov.co/Relatoria/2020/C-127-20.htm RESOLUCIÓN NÚMERO 83340 DE 2021 Bloquear datos personales significa adoptar medidas para impedir o limitar el tratamiento 23 de los mismos. El bloqueo tiene como finalidad obstruir o dificultar el acceso, el uso, la circulación y cualquier otra actividad sobre datos personales para, entre otras, evitar que la amenaza a un derecho se convierta en violación o que se produzca un daño más gravoso.

Mediante la Resolución 20568 del 23 de marzo de 2018 ser ordenó el bloqueo temporal de la aplicación pig.gi. Allí, entre otras, se señaló lo siguiente: Esa orden de bloqueo fue levantada por este Despacho mediante la Resolución 1323 del 24 de enero del 2019. Por ende, no tiene sentido pronunciarse sobre la misma porque no está vigente. No obstante lo anterior, -como se señaló en la Resolución 1323 del 24 de enero del 201924, la decisión de bloqueo temporal se adoptó teniendo en cuenta el riesgo potencial que existe para los derechos y libertades de los titulares derivados, en este caso, de un posible uso indebido de los datos para fines electorales.

En la citada Resolución 1323 se precisó lo siguiente: El término Tratamiento se refiere a “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión” (Literal g del artículo 3 de la ley 1581 de 2012. RESOLUCIÓN NÚMERO 83340 DE 2021

6. DE LA FACULTAD LEGAL DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO PARA EMITIR ÓRDENES Como es sabido, el artículo 19 de la Ley Estatutaria 1581 de 2012, le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “(…) la vigilancia necesaria para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, el artículo 21 determina las funciones que debe cumplir la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: “ARTÍCULO 21.

FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; (…) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.

(Destacamos). Visto lo anterior, existen expresas y suficientes facultades legales para que esta autoridad pueda impartir órdenes o instrucciones con miras a proteger el derecho al debido tratamiento de los datos personales. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales.

Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del RESOLUCIÓN NÚMERO 83340 DE 2021 cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.” Así, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales.

Por eso, emitir una orden es un acto respetuoso del marco legal. Finalmente, y no menos importante, de la lectura del artículo 23 de la Ley Estatutaria 1581 de 2012 se puede constatar que las órdenes no son sanciones: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: “a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” Dado lo anterior, para la emisión de una orden no es necesario observar las pautas del procedimiento administrativo sancionatorio a que se refiere el artículo 47 y siguientes de la ley 1437 de 2011.

En suma, las órdenes no son sanciones sino son medidas necesarias para, entre otras, hacer efectivo el derecho al debido tratamiento de datos personales o para que los Responsables del Tratamiento y Encargados del Tratamiento cumplan correctamente los previsto en regulación con miras a garantizar el debido tratamiento de los datos personales y el respeto de los derechos de los Titulares de los datos.

Por ende, son consistentes con la regulación de tratamiento de datos personales las órdenes emitidas mediante la resolución 82702 de 2020.

7. DE LA VALORACIÓN PROBATORIA Las sociedades FARROW MÉXICO S.A.P.I. DE C.V. y FARROW VENTURES INC. manifiestan que hubo una violación al debido proceso por la práctica de las pruebas dentro del procedimiento administrativo sancionatorio. Entre otras cosas, afirman que: RESOLUCIÓN NÚMERO 83340 DE 2021 “(…) la Dirección de Investigaciones incurrió en una clara violación al derecho al debido proceso, en general, y al debido proceso en particular, durante la práctica de pruebas en el procedimiento administrativo sancionatorio.

(…) Este tipo de conductas evidencian como la Dirección de Investigaciones en oportunidades olvida que las competencias sancionadoras que ejerce requieren del ejercicio de una actividad investigadora y que sólo cuando efectivamente pueda desvirtuar la presunción de inocencia y acreditar la infracción cometida por el investigado. (…) la Dirección asume un rol de “contraparte” que no le corresponde, en lugar de colaborar con los investigados de cara a encontrar la verdad y sólo sancionar cuando corresponda”.

(Destacamos). Previo a analizar esas aseveraciones, es fundamental tener presente lo siguiente: Las pruebas son determinantes para la toma de decisiones. De hecho, el artículo 29 de nuestra Constitución ordena que “quien sea sindicado tiene derecho a (…) a presentar pruebas y a controvertir las que se alleguen en su contra; (..)” y es tajante en señalar que “es nula, de pleno derecho, la prueba obtenida con violación del debido proceso”.

Ahora bien, dicho mandato constitucional debe aplicarse teniendo en cuenta, entre otras, las disposiciones de los códigos procesales. Adicionalmente, no debe olvidarse que la regulación colombiana permite que se rechacen las pruebas “ilícitas, las notoriamente impertinentes, las inconducentes y las manifiestamente superfluas o inútiles”25 para que en el proceso no se pierda tiempo analizando evidencias que reúnan cualquiera de las siguientes características: • Que no aportan nada a lo que se pretende probar ni son conducentes (impertinente, inconducente) • Son innecesarias, sobran o no son útiles (superfluas o inútiles) • Ilegales porque están prohibidas por la ley o porque se obtuvieron ilícitamente Sobre el particular y refiriéndose al testimonio, el Consejo de Estado señaló lo siguiente: “No obstante, y pese a la utilidad de los testimonios su decreto y práctica no es automática, toda vez que, previo a tomar cualquier decisión respecto a las pruebas, el juez deberá analizar si aquel es conducente, pertinente y útil.

Lo anterior, porque según el tenor del artículo 168 del Código General del Proceso se deben rechazar aquellos medios de convicción que no satisfagan las citadas características. Así las cosas, la Sala observa que la prueba testimonial solicitada por la parte actora no puede ser decretada, debido a que, como se pasará a explicar, aquella es impertinente.

La doctrina ha entendido que la pertinencia de la prueba hace alusión a la relación del medio de convicción y el objeto del proceso y significa que las pruebas “deben versar sobre hechos que conciernan al debate, porque si en nada tienen que ver con el mismo entran en el campo de la impertinencia”. Bajo la misma línea argumental el profesor Hernán Fabio López Blanco, sostiene que la prueba impertinente es aquella que nada aporta a la Litis, pues busca probar un hecho inocuo para los fines perseguidos dentro del proceso.”26 Cfr. Artículo 168 de la Ley 1564 de 2012 por medio de la cual se expide el Código General del Proceso y se dictan otras disposiciones.

CONSEJO DE ESTADO. SALA DE LO CONTENCIOSO ADMINISTRATIVO.SECCION QUINTA. Consejero ponente: ALBERTO YEPES BARREIRO (E). Bogotá D.C., cinco (05) de marzo de dos mil quince (2015). Radicación número: 11001-03-28-000-2014-0011100(S). En: https://www.consejodeestado.gov.co/documentos/boletines/161/S5/11001-03-28-000-2014-00111-00(S).pdf RESOLUCIÓN NÚMERO 83340 DE 2021 Adicionalmente, el primer inciso del artículo 217 del Código General del Proceso establece lo siguiente: “La parte que haya solicitado el testimonio deberá procurar la comparecencia del testigo.

Cuando la declaración de los testigos se decrete de oficio o la parte que solicitó la prueba lo requiera, el secretario los citará por cualquier medio de comunicación expedito e idóneo, dejando constancia de ello en el expediente”. (Destaco). Así las cosas, existe una carga procesal en cabeza de la parte que solicita la comparecencia de un testigo.

Esto es, procurar que comparezca ante la autoridad el testigo que ha solicitado. Ahora bien, en caso de que el testigo no asista a la audiencia, el artículo 218 del Código General del Proceso establece lo siguiente: “En caso de que el testigo desatienda la citación se procederá así: 1. Sin perjuicio de las facultades oficiosas del juez, se prescindirá del testimonio de quien no comparezca. 2.

Si el interesado lo solicita y el testigo se encuentra en el municipio, el juez podrá ordenar a la policía la conducción del testigo a la audiencia si fuere factible. Esta conducción también podrá adoptarse oficiosamente por el juez cuando lo considere conveniente. 3. Si no pudiere convocarse al testigo para la misma audiencia, y se considere fundamental su declaración, el juez suspenderá la audiencia y ordenará su citación. Al testigo que no comparezca a la audiencia y no presente causa justificativa de su inasistencia dentro de los tres (3) días siguientes, se le impondrá multa de dos (2) a cinco (5) salarios mínimos legales mensuales vigentes (smlmv)”.

(Destaco). Es decir, la autoridad tiene la facultad para prescindir del testimonio solicitado por la parte. O, en caso de que aquel justifique su inasistencia, la autoridad estará en la facultad para reprogramar dicha diligencia. Téngase presente que con ocasión del recurso de reposición y en subsidio de apelación el investigado tiene una nueva oportunidad procesal para solicitar y hacer valer las pruebas que pretende sean prácticas en la instancia. Precisamente, el artículo 77 del CPACA establece lo siguiente: “Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.

Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. RESOLUCIÓN NÚMERO 83340 DE 2021 4.

Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio”. (Destaco). Si bien no es un requisito27 del recurso de apelación, el investigado puede solicitar o aportar a la autoridad aquellas pruebas que pretenda hacer valer ante la instancia. En ambas situaciones estamos frente a cargas procesales.

Las cargas procesales, “Como se ve, las cargas procesales se caracterizan porque el sujeto a quien se las impone la ley conserva la facultad de cumplirlas o no, sin que el Juez o persona alguna pueda compelerlo coercitivamente a ello, todo lo contrario de lo que sucede con las obligaciones (…)”28. Por tanto, el investigado no estaba en la obligación de hacerlo.

Sin embargo, como en el caso bajo estudio, la “omisión trae aparejadas para él consecuencias desfavorables(…)”29. Visto lo anterior, es relevante tener presente lo que sigue a continuación: • Del presunto rol de contraparte de la Dirección de Investigación de Protección de Datos Personales La decisión adoptada mediante la Resolución N°. 82702 del 30 de diciembre del 2020 no fue selectiva ni caprichosa sino objetiva, lícita y necesaria para proteger los derechos de los Titulares de sus Datos personales y dar cumplimiento al régimen de protección de datos personales de nuestro país. En ningún momento la Dirección de Investigación de Protección de Datos Personales asumió un rol de “contraparte” como lo afirma la apoderada de las sociedades recurrentes.

Temas tan serios y delicados, como el profesionalismo y la probidad de los funcionarios públicos, no pueden ser objeto de meras elucubraciones carentes de objetividad, sino que deben estar acompañadas de pruebas pertinentes y conducentes. El hecho de que la actuación administrativa no favorezca los intereses de las recurrentes, no significa que la misma se hubiese realizado por fuera de los mandatos legales pertinentes. • Del ejercicio investigativo de la Dirección de Investigación de Protección de Datos Personales Afirma la apoderada que esta autoridad no realizó a cabalidad su actividad investigativa para poder acreditar la infracción cometida por las sociedades recurrentes.

Dicha aseveración no es consistente con lo establecido en el ordenamiento jurídico por lo siguiente: Las recurrentes desconocen los preceptos legales especiales que existen en materia probatoria respecto del Tratamiento de datos personales. En efecto, la regulación colombiana sobre Tratamiento de datos impone al Responsable del Tratamiento el deber demostrar que ha adoptado medidas efectivas para cumplir la ley (Deber de Responsabilidad demostrada).

Esto se deriva de lo expresamente señalado en el Decreto 1377 de 201330que ordena lo siguiente: “Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas De acuerdo con el artículo 78 del CPACA, sólo se rechazarán los recursos cuando “no se presenta con los requisitos previstos en los numerales 1, 2 y 4 del artículo anterior”.

Es decir, el numeral 3 no es un requisito para la viabilidad de los recursos de reposición y apelación. Sala de Casación Civil, M.P. Dr. Horacio Montoya Gil, auto del 17 de septiembre de 1985, que resolvió una reposición, Gaceta Judicial TOMO CLXXX – No. 2419, Bogotá, Colombia, Año de 1985, pág. 427. Ibídem. Incorporado en el Decreto 1074 de 2015 RESOLUCIÓN NÚMERO 83340 DE 2021 apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)”.

(Destacamos y subrayamos). Sobre este punto, en la Sentencia C-32 del 18 de febrero de 2021 la Corte Constitucional reiteró lo anterior en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013.

El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

(…) “El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.” (…) “el principio de responsabilidad demostrada no se opone a la Constitución sino que, antes bien, es desarrollo propio de la eficacia del derecho al habeas data.

(…) “. (Destacamos) Adicionalmente, de la lectura de la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios se advierten las siguientes cargas probatoria: • • • • • • • Acreditar prueba de la autorización del Titular del dato31. Demostrar que se informó lo que ordena el parágrafo del artículo 12 de dicha ley Suministrar una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso32 Documentar los procedimientos para el tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate33 Desarrollar sus políticas para el tratamiento de los datos personales y velar porque los encargados del tratamiento den cabal cumplimiento a las mismas34 Conservar el modelo del aviso de privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven35 Adoptar las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el titular o cuando el responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento36.

Cfr. Literal b) del artículo 17 de la Ley 1581 de 2012 Artículo 4 del Decreto 1377 de 2013. Artículo 11 del Decreto 1377 de 2013. Artículo 13 del Decreto 1377 de 2013. Artículo 16 del Decreto 1377 de 2013. Artículo 22 del Decreto 1377 de 2013. RESOLUCIÓN NÚMERO 83340 DE 2021 En el presente caso, no estamos frente a una investigación mediante la cual se esté estableciendo la eventual responsabilidad penal de una persona.

Bajo estas premisas, las sociedades recurrentes estaban en el deber de demostrarle a esta Esto es, aquellos establecidos en la Resolución N° 50791 del 19 de julio de 2018, por medio de la cual se formularon cargos a las sociedades: 1. “La presunta vulneración de las compañías FARROW MEXICO S.A.P.I. de C.V. y FARROW VENTURES INC del deber contenido en el literal b) del artículo 17, en concordancia con el literal c) del articulo 4 y el articulo 9, de la Ley 1581 de 2012, asi como el inciso primero del articulo 2.2.2.25.2.2 y el articulo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015”. 2.

“La presunta vulneración de las compañías FARROW MEXICO S.A.P.I. de C.V. y FARROW VENTURES INC. del deber contenido en el literal c) del articulo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del articulo 4 y el articulo 12 de la norma en mención”. De todas formas, no puede perderse de vista que esta autoridad mediante Resolución N° 71930 del 10 diciembre de 2019, procedió a incorporar el material probatorio obrantes en el expediente y a pronunciarse sobre las pruebas solicitadas por las sociedades investigadas. • De la práctica de pruebas en este procedimiento administrativo Frente a las inconformidades de la recurrente respecto de la práctica de pruebas es necesario señalar lo que sigue a continuación: • De los requerimientos a las sociedades Google Colombia Ltda y Facebook Colombia S.A.S. Si bien esta autoridad concedió la práctica de esas pruebas, encontró que en varias de las preguntas solicitadas no se obtendrían los elementos de juicio necesarios para demostrar el cumplimiento de los deberes imputados en la presente investigación. Por tanto, se rechazaron las preguntas que solicitaba información general de las actividades realizadas en las plataformas de dichas compañías, temas que no eran objeto de la presente investigación. Adicionalmente, dichas preguntas no guardaban relación con el motivo de la sanción impuesta a la recurrentes, a saber: (i) recolectar datos sin autorización de los Titulares de los datos, y (ii) no responder debidamente los requerimientos de esta autoridad. • De la práctica de la prueba testimonial de los gerentes generales de Facebook Colombia S.A.S. y Google Colombia Ltda. La Dirección rechazó la práctica de dicha prueba puesto que las sociedades recurrentes pretendían recolectar las mismas pruebas en distintos medios probatorios, y lo que se quería esclarecer con las diligencias ya se estaba solicitando dentro de los requerimientos anteriormente mencionados. • De la solicitud de la visita a las oficinas Farrow México.

La Dirección rechazó la práctica de esta prueba por no considerarla necesaria. Lo anterior, considerando que en su momento la aplicación “Pig.gi”, no estaba funcionado en el territorio nacional. Más aún, revisar el funcionamiento actual no desvirtuaba los cargos y los RESOLUCIÓN NÚMERO 83340 DE 2021 hechos por los cuales se imputaron los cargos, los cuales fueron evidenciados en las inspecciones realizadas por el Laboratorio Forense de esta entidad. • De la prueba testimonial de Joel Phillips, Isaac Phillips y Xxxxx Xxxxxxx.

Esta autoridad procedió a decretar las pruebas solicitadas y citar a los testigos. Con respecto al señor Xxxxx Xxxxxxxx, no es cierto que esta entidad tenga la obligación legal de buscar al testigo las veces que fueran necesarias para poder realizar la práctica de su testimonio. Dicha prueba fue solicitada a petición de parte, por tanto, las sociedades recurrentes debieron percatarse de que su testigo asistiera a la diligencia, y dado el caso de que no que fuera posible, allegar las excusas pertinentes.

En este punto, nos remitimos a lo señalado por el numeral 1 del artículo 218 del Código General del Proceso. Salta a la vista de este Despacho que las sociedades recurrentes no insistieron en la práctica de estas pruebas en sus respectivos escritos de apelación pudiendo hacerlo. Por tanto, se infiere que la práctica de estas no era tan necesaria como se alegan.

En suma, no se evidencia alguna falta al procedimiento administrativo por parte de esta entidad que amerite corregir irregularidades que se hayan presentado en la actuación administrativa para ajustarla a derecho, y adoptar las medidas necesarias. Por ende, no son de recibo los alegatos de la recurrente.

8. DEL DEBIDO PROCESO. Ordena lo siguiente el artículo 29 de la Constitución: “ARTICULO 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio.

En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable. Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.

Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso.” Como se observa el debido proceso debe garantizarse en toda actuación administrativa o judicial para que se respeten los derechos de las personas y el Estado de Derecho. De esta forma, la jurisprudencia de la Corte Constitucional ha señalado que el debido proceso busca: “( ) “(i) asegurar el ordenado funcionamiento de la administración, (ii) la validez de sus propias actuaciones y, (iii) resguardar el derecho a la seguridad jurídica y a la defensa de los administrados”37.

Corte Constitucional. Sentencia T-051 de 2016. M.P. Gabriel Eduardo Mendoza Martelo. RESOLUCIÓN NÚMERO 83340 DE 2021 De igual forma, dicha Corte se refirió́ a los elementos esenciales que comprende el debido proceso administrativo, como sigue: “( ) (i) ser oído durante toda la actuación,(ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso”38.

(Negrilla fuera de texto) Así, ordena lo siguiente la Constitución Política de Colombia: “ARTICULO 6o. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.” “ARTICULO 209.

La función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones”. (Destacamos). La Ley 143739 de 2011, por su parte, estable lo que sigue a continuación: “ARTÍCULO 3o.

PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1.

En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in ídem.”.

(Destacamos). El principio de legalidad ha sido entendido por la Corte Constitucional en los siguientes términos: “El principio constitucional de la legalidad tiene una doble condición de un lado es el principio rector del ejercicio del poder y del otro, es el principio rector del derecho sancionador. Como principio rector del ejercicio del poder se entiende que no existe facultad, función o acto que puedan desarrollar los servidores públicos que no esté prescrito, definido o establecido en forma expresa, clara y precisa en la ley.

Este Ibidem. Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. RESOLUCIÓN NÚMERO 83340 DE 2021 principio exige que todos los funcionarios del Estado actúen siempre sujetándose al ordenamiento jurídico que establece la Constitución y lo desarrollan las demás reglas jurídicas”40. (Énfasis añadido).

Frente a la valoración probatoria por parte de esta Superintendencia y a la cual hace referencia la recurrente se considera necesario hacer las siguientes precisiones. La Ley 1437 de 2011 en su artículo 40 se refiere a las pruebas así: “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.

Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo. ( ) Serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil.” (Destacamos) De esta manera, la misma norma hace una remisión expresa a los medios de prueba del hoy Código General del Proceso.

Ahora, la jurisprudencia se ha pronunciado frente a la carga probatoria así: “Desde luego, al juez no le basta la mera enunciación de las partes para sentenciar la controversia, porque ello sería tanto como permitirles sacar beneficio del discurso persuasivo que presentan; por ende, la ley impone a cada extremo del litigio la tarea de traer al juicio de manera oportuna y conforme a las ritualidades del caso, los elementos probatorios destinados a verificar que los hechos alegados efectivamente sucedieron, o que son del modo como se presentaron, todo con miras a que se surta la consecuencia jurídica de las normas sustanciales que se invocan”41 De conformidad con lo indicado, tal y como lo estableció la primera instancia al resolver el recurso de reposición, a lo largo de la presente actuación administrativa FARROW MEXICO S.A.P.I. de C.V. y FARROW VENTURES INC., contaron con todas y cada una de las oportunidades procesales para ejercer su derecho de defensa.

Es así como durante el procedimiento administrativo pudieron, entre otras, lo siguiente: • • • • • Dar respuesta o guardar silencio frente a los requerimientos de esta autoridad. Aportar documentos que respalden sus afirmaciones. Solicitar pruebas en el proceso. Rendir descargos. Presentar el recurso de reposición y en subsidio de apelación. Debe resaltarse que el ejercicio de las facultades que otorgan esos derechos, son potestativas para cada interesado.

Por ejemplo, frente a la investigación de un hecho, el directamente involucrado puede guardar silencio; controvertir el hecho; solicitar la práctica de una prueba; etc., y cada una de esas actuaciones la hará dentro del ejercicio de sus derechos de defensa y contradicción. Es decir, las actuaciones garantizadas por esos derechos son optativas de cada administrado.

Corte Constitucional. Sentencia C-710 del 2001. M.P. JAIME CÓRDOBA TRIVIÑO. Corte Suprema de Justicia, Sala de Casación Civil, Sentencia de 28 de mayo de 2010. Exp. 23001-31-10-002-1998- 00467-01.M.P. Edgardo Villamil Portilla. RESOLUCIÓN NÚMERO 83340 DE 2021 A su vez, en cumplimiento del artículo 36 de la Ley 1437 de 2011, el expediente físico y digital 18-105913 en todo momento, y desde el inicio de la investigación ha estado a disposición de las sociedades recurrentes, para que sea consultado; se pronuncie sobre cualquier aspecto de este.

Así como también, ha tenido la posibilidad de presentar oposiciones y de aportar y/o solicitar la práctica de las pruebas que considere pertinentes. Este análisis concuerda con lo considerado por la Corte Constitucional en relación con el derecho de defensa: “La jurisprudencia constitucional define el derecho a la defensa como la ‘oportunidad reconocida a toda persona, en el ámbito de cualquier proceso o actuación judicial o administrativa, de ser oída, de hacer valer las propias razones y argumentos, de controvertir, contradecir y objetar las pruebas en contra y de solicitar la práctica y evaluación de las que se estiman favorables, así como ejercitar los recursos que la ley otorga’”42 (Destacamos) Así las cosas, vale la pena llamar la atención sobre el hecho de que FARROW MEXICO S.A.P.I. de C.V. y FARROW VENTURES INC. siempre tuvieron la oportunidad de expresar sus opiniones, controvertir las pruebas y de acceder al expediente.

No obstante, si los resultados de la actuación administrativa no son los deseados por esa sociedad, no es dable endilgarle tal responsabilidad a esta entidad, y tampoco afirmar que la misma obró contrario a derecho. Adicionalmente, los recursos de reposición y apelación interpuestos por las sociedades recurrentes son otras alternativas previstas por la Ley 1437 de 2011 para debatir las conclusiones del acto administrativo definitivo que pone fin a la investigación en curso.

Esta posibilidad está en el artículo 74 de la Ley 1437 de 2011: “Por regla general, contra los actos definitivos procederán los siguientes recursos: 1. El de reposición ( ) 2. El de apelación ( )”. (Énfasis añadido). Luego de emitido el acto administrativo, es la sociedad recurrente la que tiene la potestad que no es obligatoria-, de interponer los recursos señalados en el artículo referido y aportar con estos las pruebas que pretende hacer valer.

Así, por medio del presente acto administrativo se analizan los recursos de apelación interpuestos por la apoderada de los recurrentes donde tienen la oportunidad de controvertir las conclusiones y pruebas consideradas en el acto recurrido. Así las recurrentes han contado con todas las oportunidades de ley para ejercer su derecho de defensa, la inconformidad con el resultado de la presente actuación de ninguna manera, significan que esta entidad haya vulnerado el derecho fundamental al debido proceso.

Se reitera que esta autoridad: 1.Garantizó el derecho de las sociedades a ser oídas, aportar y solicitar pruebas; y, 2.Garantizó el derecho de defensa y contradicción, a lo largo de la actuación y con el análisis del recurso en cuestión. En síntesis, esta superintendencia cumplió a cabalidad el procedimiento legal aplicable a este tipo de investigaciones, sujetándose estrictamente al procedimiento administrativo sancionatorio, sin incurrir en la violación del debido proceso y del derecho de defensa o contradicción de las recurrentes.

Corte Constitucional, Sentencia T-018 de 2017, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 4.2; Corte constitucional, Sentencia C-025 de 2009, Magistrado Ponente Rodrigo Escobar Gil, Considerando

3.2. RESOLUCIÓN NÚMERO 83340 DE 2021

9. DEL DEBER DE SOLICITAR Y CONSERVAR COPIA DE LA RESPECTIVA AUTORIZACIÓN OTORGADA POR EL TITULAR Según el artículo 17 de la Ley Estatutaria 1581 de 2021, “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)” En su escrito de apelación, la apoderada afirma que “(…) fue la Superintendencia quien no pudo desvirtuar las pruebas allegadas por Farrow Ventures que claramente dan cuenta de que efectivamente esta Compañía, en conjunto con Farrow México en su calidad de responsables, solicitaban la autorización previa de los titulares de los datos”.

Más aún, afirma que esta autoridad “( ) resta de todo valor probatorio los videos y capturas de pantalla allegados por Farrow Ventures y las otras investigadas para desvirtuar la insuficiencia de las capturas de pantalla del Laboratorio Forense. Justamente las pruebas aportadas por Farrow Ventures dan cuenta de cómo las capturas de pantalla incluidas en la resolución por medio de la cual se formuló pliego de cargos y que se replican en la Resolución Impugnada, no representaban la realidad de la información requerida y del método utilizado por Farrow Ventures para obtener la autorización de los titulares”.

Dicho argumento no se ajusta a la verdad ni a derecho por los siguientes motivos: En primer lugar, las capturas de las imágenes y de cada una de la información recolectada de las inspecciones y preservaciones realizadas por el Laboratorio de Informática Forense (LIF) se hacen, usando el software FTK Imager, licenciado para uso de la genera la huella digital de la información recaudada usando los algoritmos MD5 y SHA1.

El “HASH” que indican la prueba de integridad del documento electrónico con relación al original de donde fue copiado; la relación de la información recolectada con fechas y horas y el dispositivo exacto de donde fue extraída, información que contienen cada uno de los informes con los cuales se soportó la decisión tomada por esta entidad.

Con esto, se reitera lo establecido en la Resolución Nº 57230 de 202143. Las imágenes aportadas por las investigadas y las imágenes recolectadas por el Laboratorio de Informática Forense (LIF) de esta Superintendencia, son tomadas en momentos distintos: 1. La Versión de la aplicación Pig.gi inspeccionada y documentada en el “ACTA DE PRESERVACIÓN DE PÁGINAS WEB - PRE INVESTIGACIÓN” N° 127-18, preservación finalizada el 2 de abril de 2018 a las 10:28 am fue la 3.2.1 tal como se evidencia en la siguiente imagen44: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”.

Obrante en el acta de preservación N°127-18, obrante en el folio 4 del cuaderno de reserva. RESOLUCIÓN NÚMERO 83340 DE 2021 2. La versión de la aplicación Pig.gi inspeccionada y documentada en el “ACTA DE PERITAJE APLICATIVO MOVIL PIG.GI, Finalizada el quince (15) de junio de dos mil dieciocho (2018) a las horas 12h: 30 p.m.”, fue la 3.2.1 como se encuentra registrada en la siguiente Tabla 1045. 3.

Por su parte, en el video aportado por la sociedad FARROW VENTURES INC denominado “5.12. Video modificación de permisos.mp4, con fecha de modificación 2018:10:25” en el segundo 00:19 se observa que la versión de la aplicación Pig.gi es la 3.0.9, como se observa en la imagen: De esta manera, las versiones analizadas tanto por el Laboratorio de Informática Forense (LIF) de esta Superintendencia como las aportadas por la sociedad FARROW VENTURES INC, con su escrito de descargos, no son las mismas.

Por ende, las recurrentes no pueden pretender desvirtuar las pruebas recolectadas mediante las preservaciones finalizadas el 2 de abril y 15 de junio de 2018 con las imágenes y videos de una versión de la aplicación distinta a la que da todo el sustento factico del incumplimiento de las recurrentes. En consecuencia, con la versión 3.2.1 de la aplicación pig.gi no se solicitó dicho consentimiento de manera previa, expresa e informada, deberes que son exigidos por la Ley 1581 de 2012 desde su entrada en vigencia, y por ende son sujetas de las sanciones y órdenes impuestas por esta Superintendencia. En suma, esta entidad logró desvirtuar las pruebas allegadas por las sociedades recurrentes mediante la práctica de las preservaciones realizadas por el Laboratorio de Informática Forense (LIF), finalizadas el 2 de abril y 15 de junio de 2018.

En dichas preservaciones, se puede evidenciar que en el registro que los titulares debían hacer para usar la aplicación, tanto por correo electrónico como por su perfil de Facebook, no se les solicitó en ningún momento la autorización para el tratamiento de los datos personales, de hecho, solo se pudo acceder al aviso de privacidad y a los términos de condiciones de la aplicación, luego de que el usuario fuera debidamente registrado.

Obrante en el acta de peritaje 136-18, obrante en el folio 118 del cuaderno de reserva. RESOLUCIÓN NÚMERO 83340 DE 2021 En otras palabras, quedó técnicamente demostrado que las recurrentes utilizaron la versión 3.2.1 de la aplicación pig.gi para recolectar y tratar datos personales sin solicitar la autorización previa, expresa e informada a los Titulares de los Datos personales.

Ello es contrario a lo ordenado el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley Estatutaria 1581 de 2012. Por ende, fue ilícita la recolección de datos mediante dicha aplicación y no son de recibo los argumentos de las recurrentes. Dado el uso frecuente de aplicativos para recolectar y tratar masivamente datos personales, este Despacho considera relevante referirse brevemente a la privacidad desde del diseño y por defecto.

10. DE LA PRIVACIDAD DESDE EL DISEÑO Y POR DEFECTO PARA GARANTIZAR EL DEBIDO TRATAMIENTO DE DATOS PERSONALES La privacidad desde el diseño y por defecto no está incorporada en la Ley Estatutaria 1581 de 2012. No obstante, desde agosto de 2017 fue incorporada en la regulación colombiana46 para efectos del uso y operación de los servicios ciudadanos digitales.

En todo caso, y como medida preventiva para proteger los derechos de los Titulares de los Datos, es crucial que, antes del lanzamiento de aplicativos o el uso de tecnologías similares por medio de las que se recolecte o trate información de los ciudadanos, se incorpore el debido tratamiento de datos personales como principio y piedra angular dentro de los procesos de diseño, operación y gestión de dichos aplicativos o herramientas tecnológicas.

La privacidad desde el diseño y por defecto (Privacy by Design and by Default), es considerada una medida proactiva para, entre otras, cumplir con el Principio de Responsabilidad Demostrada (Accountability). Al introducir la privacidad desde el diseño, se busca garantizar el correcto Tratamiento de los datos utilizados en los proyectos que involucren recolección, uso o tratamiento de datos personales.

Así las cosas, el debido tratamiento de la información debe ser un componente esencial del diseño y puesta en marcha de proyectos de inteligencia artificial. La Privacidad por Diseño "promueve la visión de que el futuro de la privacidad no puede ser garantizada sólo por cumplir con los marcos regulatorios; más bien, idealmente el aseguramiento de la privacidad debe convertirse en el modo de operación predeterminado de una organización”47.

Por eso, desde antes que se recolecte información y durante todo el ciclo de vida de la misma, se deberían adoptar medidas preventivas de diversa naturaleza (tecnológica; organizacional; humana; procedimental; entre otras) con el objeto de evitar vulneraciones al debido tratamiento de los datos personales. En el decreto 1413 del 25 e agosto de 2017 lineamientos generales en el uso y operación de los servicios ciudadanos digitales se estableció lo siguiente: “ Artículo 2.2.17.1.5.

Principios. Además de los previstos en el artículo 209 de la Constitución Política, 2° de la Ley 1341 de 2009, 3° de la Ley 1437 de 2011 y los atinentes a la estrategia de Gobierno en Línea contenida en el presente decreto, la prestación de los servicios ciudadanos digitales se orientará por los siguientes principios: (…) 6. Privacidad por diseño y por defecto.

Desde antes que se recolecte información y durante todo el ciclo de vida de la misma, se deben adoptar medidas preventivas de diversa naturaleza (tecnológica, organizacional, humana, procedimental) para evitar vulneraciones al derecho a la privacidad o a la confidencialidad de la información, así como fallas de seguridad o indebidos tratamientos de datos personales.

La privacidad y la seguridad deben hacer parte del diseño, arquitectura y configuración predeterminada del proceso de gestión de información y de las infraestructuras que lo soportan.” (Este decreto fue derogado por el decreto 620 del 2 de mayo de 2020, pero la nueva normatividad mantiene todo lo que existía sobre el tema en el decreto 1413) Cfr. Cavoukia, Ann.

Privacidad por Diseño: Los 7 principios fundamentales. Disponible en: https://www.mediascope.es/wpcontent/uploads/2016/10/privacidad-por-disen%CC%83o-1.pdf. Ana Brian Nougreres también explica este tema en su artículo de 2012 publicado en la Revista Internacional de Protección de Datos Personales (RIPDP) y titulado “La protección inteligente de los datos personales: Privacy by Design (PbD)”.

El texto puede consultarse en: https://habeasdatacolombia.uniandes.edu.co/wpcontent/uploads/ok6_-Ana-Brian-Nougreres_FINAL.pdf completar RESOLUCIÓN NÚMERO 83340 DE 2021 Previo al diseño y desarrollo del proyecto de comercio electrónico, se recomienda efectuar una evaluación de impacto en la privacidad (Privacy Impact Assessment - PIA por sus siglas en inglés).

Con el fin de poner en funcionamiento un sistema efectivo de manejo de riesgos y controles internos, para garantizar que los datos se tratarán debidamente y conforme con la regulación existente. Dicha evaluación debería incluir, como mínimo, lo siguiente: • • • Una descripción detallada de las operaciones de Tratamiento de datos personales que involucra el proyecto a realizar.

Una evaluación de los riesgos específicos para los derechos y libertades de los Titulares de los datos personales. La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos, son elementos cardinales del Principio de Responsabilidad Demostrada. Es fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”48 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”49.

Las medidas previstas para afrontar los riesgos, incluidas garantías; medidas de seguridad; diseño de software; tecnologías y mecanismos que garanticen la protección de datos personales, teniendo en cuenta los derechos e intereses legítimos de los Titulares de los datos y de otras personas eventualmente afectadas. Los resultados de este estudio, junto con las medidas para mitigar los riesgos, hacen parte de la aplicación del principio de privacidad desde el diseño y por defecto.

Es importante precisar que, si bien en Colombia no está consagrada expresamente la implementación de “La Privacidad desde el Diseño y por Defecto” como una obligación del Responsable del Tratamiento, su ejecución es una medida proactiva que coadyuva a dar cumplimiento al Principio de Responsabilidad Demostrada. En suma, se busca que desde antes de iniciar algún tipo de Tratamiento de la información y durante todo el ciclo de vida de dicho Tratamiento, se adopten medidas preventivas de diversa naturaleza (tecnológica; organizacional; humana; procedimental; entre otras) que sean efectivas, útiles, necesarias y demostrables y que garanticen un debido Tratamiento de los datos personales de los ciudadanos. En este punto, vale la pena hacer énfasis como la Organización de las Naciones Unidas (ONU)50, ha sido enfática en señalar la importancia de “utilizar al máximo el progreso científico y tecnológico en beneficio del hombre y de neutralizar las actuales consecuencias negativas de algunos logros científicos y tecnológicos, así como las que puedan tener en el futuro”.

También, ha destacado que “los logros científicos y tecnológicos pueden entrañar peligro para los derechos civiles y políticos de la persona o del grupo y para la dignidad humana”. De esta manera, es necesario alcanzar un punto de equilibrio entre la innovación, el desarrollo y la protección de los derechos humanos. (accountability)”. Págs 16-18.

Ibid. Pág. 16 Cfr. ONU. Declaración sobre la utilización del progreso científico y tecnológico en interés de la paz y en beneficio de la humanidad. Proclamada por la Asamblea General en su resolución 3384 (XXX), de 10 de noviembre de 1975. Disponible en: https://www.ohchr.org/sp/professionalinterest/pages/scientificandtechnologicalprogress.aspx RESOLUCIÓN NÚMERO 83340 DE 2021 Por su parte, la Red Iberoamericana de Protección de Datos Personales ha reconocido que, “(…) aunque cada día el mundo es más transfronterizo, global e hiperconectado, ello no significa que las normas nacionales sobre tratamiento de datos personales hayan desaparecido o que no sean de obligatorio cumplimiento.

Por eso, para que su producto (…) no sea objetado o cuestionado jurídicamente es muy relevante que desde el inicio realice un estudio de riesgos legales de las regulaciones nacionales. Lo anterior le permitirá definir una estrategia inteligente, para, entre otros, (i) mitigar dichos riesgos; (ii) Ganar y mantener la confianza de los usuarios de las tecnologías (…);

(iii) no afectar la buena reputación de su organización y (iv) evitar eventuales investigaciones de las autoridades de protección de datos o de otras entidades”51. (Destacamos). Volviendo al caso concreto, la versión 3.2.1 de la aplicación pig.gi carecía de mecanismos para dar cumplimiento a obligaciones legales elementales e importantes en esta materia como solicitar la autorización previa, expresa e informada a los Titulares de los Datos personales.

11. DEL CUMPLIMIENTO DE LAS ÓRDENES Como se mencionó, en el artículo 4 de la Resolución N°. 82702 del 30 de diciembre del 2020 se ordenó lo siguiente a las sociedades recurrentes: Recomendaciones Generales para el Tratamiento de Datos Personales en la Inteligencia Artificial. Red Iberoamericana de Protección de Datos Personales en: https://www.sic.gov.co/sites/default/files/files/pdf/1%20RIPD%20(2019)%20RECOMENDACIONES%20GENERALES%20PARA%20EL% 20TRATAMIENTO%20DE%20DATOS%20EN%20LA%20IA.pdf RESOLUCIÓN NÚMERO 83340 DE 2021 Las sociedades recurrentes ponen de presente la imposibilidad de cumplir las órdenes impartidas toda vez que, según ellas, la aplicación no existe en el mercado comercial de aplicaciones móviles y que, con ocasión de las actuaciones de esta entidad, las sociedades no están en funcionamiento y agregan que por ende “las órdenes impuestas son imposibles de cumplir”.

Como es sabido, el artículo 165 del Código General del Proceso establece la libertad para acreditar los hechos por cualquier medio útil en los siguientes términos: “Son medios de prueba la declaración de parte, la confesión, el juramento, el testimonio de terceros, el dictamen pericial, la inspección judicial, los documentos, los indicios, los informes y cualesquiera otros medios que sean útiles para la formación del convencimiento del juez.

El juez practicará las pruebas no previstas en este código de acuerdo con las disposiciones que regulen medios semejantes o según su prudente juicio, preservando los principios y garantías constitucionales”. (Destacamos). La jurisprudencia de la Corte Suprema de Justicia52, por su parte, ha establecido la diferencia entre deberes, obligaciones y cargas procesales, en los siguientes términos: “Son deberes procesales aquellos imperativos establecidos por la ley en orden a la adecuada realización del proceso y que miran, unas veces al Juez (Art. 37 C. de P. C.), otras a las partes y aun a los terceros (Art. 71 ib.), y su incumplimiento se sanciona en forma diferente según quien sea la persona llamada a su observancia y la clase de deber omitido (arts. 39, 72 y 73 ibídem y Decreto 250 de 1970 y 196 de 1971).

Se caracterizan porque emanan, precisamente, de las normas procesales, que son de derecho público, y, por lo tanto, de imperativo cumplimiento en términos del artículo 6° del Código. Las obligaciones procesales son, en cambio, aquellas prestaciones de contenido patrimonial impuestas a las partes con ocasión del proceso, como las surgidas de la condena en costas que, según lo explica Couture, obedecen al concepto de responsabilidad procesal derivada del abuso del derecho de acción o del derecho de defensa.

“El daño que se cause con ese abuso, dice, genera una obligación de reparación, que se hace efectiva mediante la condenación en costas”. (“Fundamentos del Derecho Procesal Civil”, número 130). Finalmente, las cargas procesales son aquellas situaciones instituidas por la ley que comportan o demandan una conducta de realización facultativa, normalmente establecida en interés del propio sujeto y cuya omisión trae aparejadas para él consecuencias desfavorables, como la preclusión de una oportunidad o un derecho procesal e inclusive hasta la pérdida del derecho sustancial debatido en el proceso.

Como se ve, las cargas procesales se caracterizan porque el sujeto a quien se las impone la ley conserva la facultad de cumplirlas o no, sin que el Juez o persona alguna pueda compelerlo coercitivamente a ello, todo lo contrario de lo que sucede con las obligaciones; de no, tal omisión le puede acarrear consecuencias desfavorables. Así, por ejemplo probar los supuestos de hecho para no recibir una sentencia adversa”.

(Subrayado fuera del texto). Sala de Casación Civil, M.P. Dr. Horacio Montoya Gil, auto del 17 de septiembre de 1985, que resolvió una reposición, Gaceta Judicial TOMO CLXXX – No. 2419, Bogotá, Colombia, Año de 1985, pág. 427. RESOLUCIÓN NÚMERO 83340 DE 2021 Con esto en mente, las sociedades recurrentes tenían la carga procesal de probarle a esta Superintendencia que la aplicación no existe en el mercado comercial de aplicaciones móviles.

Sin embargo, un estudio completo e integro del expediente da cuenta como las sociedades investigadas no acompañaron sus afirmaciones con las pruebas idóneas y útiles que demostrará la inoperancia de la aplicación, como tampoco los documentos idóneos que demuestren el estado legal y financiero de las sociedades investigadas. En otras palabras, no basta la mera afirmación de las recurrentes para acreditar debidamente un hecho.

Es necesario, presentar evidencia para corroborar esas aseveraciones. Por ende, no se revocarán las órdenes.

12. DEL DEBER DE CUMPLIR LAS INSTRUCCIONES Y LOS REQUERIMIENTOS QUE IMPARTA ESTA SUPERINTENDENCIA El literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”.

(Destacamos). Por su parte, la Real Academia Española (RAE) define la palabra cumplir como “Llevar a efecto algo”53. Es decir, los Responsables del Tratamiento deben materializar las instrucciones (órdenes) impartidas por esta Superintendencia de Industria y Comercio. Respecto de la transgresión del citado deber legal, este Despacho considera importante traer a colación lo siguiente: La sociedad FARROW VENTURES INC no dio respuesta de fondo al requerimiento realizado por este Despacho, mediante los oficios radicados bajo los N° 18-105913-21 del 3 de mayo de 2018 y 18-105913-23 de fecha 21 de mayo del 2018.

De acuerdo con lo establecido en este acto administrativo, la Superintendencia de industria y Comercio sí tiene competencia sobre el Tratamiento de Datos personales que la sociedad FARROW VENTURES INC realiza en el territorio colombiano. Por tanto, no es de recibo que la sociedad recurrente decida no dar respuesta al requerimiento de información por considerar que primero requería una explicación sobre el “(…) sustento normativo con base en el cual adquiría competencia para realizar requerimientos a la entidad (…)”.

La sociedad recurrente hubiese podido dar respuesta a la autoridad en virtud del principio de la buena fe, en aras de resaltar la buena disposición y constante interés de la compañía por atender los estándares requeridos por las autoridades de vigilancia y protección del mundo. Sin embargo, dicha situación no se vio reflejada en su actuar.

En adición, se destaca que la misma sociedad admite que no respondió el requerimiento de esta entidad cuando afirma que, “( ) a la autoridad que le explicara el sustento normativo con base en el cual adquiría competencia para realizar requerimientos a la entidad, sin embargo, la Compañía nunca recibió respuesta por parte de la Superintendencia y, por ende, no dio respuesta a fondo al requerimiento.

( )”. (Destacamos). Consulta en https://dle.rae.es/cumplir RESOLUCIÓN NÚMERO 83340 DE 2021 Dentro de la presente actuación tampoco obra respuesta al requerimiento54 realizado a la sociedad FARROW MEXICO, S.A.P.I. de C.V., para que aportara el código fuente de la aplicación "Pig-gi". Por ende, las sociedades recurrentes incumplieron lo ordenado por el literal o) del artículo 17 de la Ley Estatutaria 1581 de 2012.

13. DE LA GRADUACIÓN Y PROPORCIONALIDAD DE LA SANCIÓN. Según la Corte Constitucional, “(…) es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”55. En primer lugar, se resalta que el monto de la multa impuesta a las investigadas es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

A lo largo de la presente actuación administrativa se logró demostrar que las sociedades vulneraron los siguientes deberes: 1. El deber contenido en el literal b) del artículo 17, en concordancia con el literal c) del articulo 4 y el articulo 9, de la Ley 1581 de 2012, asi como el inciso primero del articulo 2.2.2.25.2.2 y el articulo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015. 2.

El deber contenido en el literal c) del articulo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del articulo 4 y el articulo 12 de la norma en mención. 3. El deber contenido en el literal o) del artículo 17 de la Ley 1581 de 2012. Ahora, el artículo 2356 de la Ley Estatutaria 1581 de 2012 determina las sanciones que puede imponer esta Superintendencia a los Responsables y Encargados del Tratamiento.

Revisado el expediente y el contenido de la resolución recurrida, se encuentra entonces que los criterios del artículo 24 de la Ley 1581 de 2012, literales b), d) y e) no fueron aplicados como agravante de la sanción, por cuanto (i) no se encontró un beneficio económico por la comisión de la infracción; (ii) no hubo resistencia u obstrucción a la acción investigativa (ii) no hubo reincidencia en la comisión de la infracción y;

(iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del despacho. Requerimiento con radicados N°.18-105913-12, N°.18-105913-13 y N°.18-105913-14 de fecha 12 de abril del 2018. Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm “Artículo 23.

Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

RESOLUCIÓN NÚMERO 83340 DE 2021 Respecto del criterio de atenuación establecido en el literal f) del artículo 2457 la Dirección de Investigación de Protección de Datos Personales en la Resolución Nº 57230 de 2021 reconoció que, “(…) debido a un error involuntario se pasó por alto la manifestación de la investigadas en cuanto a su reconocimiento de que las sociedades no informan el tratamiento de los datos de los menores de edad, razón por la cual se procederá a modificar el acto administrativo, reduciendo el monto de la sanción impuesta a FARROW MÉXICO S.A.P.I. de C.V. y a FARROW VENTURES INC de 1.100 Unidades de Valor Tributario Vigentes a 600 Unidades de Valor Tributario Vigentes”.

(Destacamos) Así las cosas, se encuentra que el monto de la sanción en el citado acto administrativo es proporcional, en consideración a los hechos que le sirvieron de causa y la motivación de la resolución recurrida. No sobra señalar que la sanción aquí impuesta, tiene como objetivo que la sociedad en el futuro no incurra en violaciones al debido tratamiento de los datos personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley Estatutaria 1581 de 2012 y demás normas que rigen el sistema de protección de datos personales en Colombia.

Finalmente, resulta pertinente resaltar lo siguiente: I. La multa de NOVENTA Y DOS MILLONES QUINIENTOS SETENTA Y OCHO MIL DOSCIENTOS PESOS M/CTE ($92.578.200) equivale al 5,09% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). II. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

Así como del incumplimiento de los deberes impuestos por la Ley 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. III. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración de los preceptos legales señalados en la parte resolutiva de la resolución recurrida.

IV. Las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales. Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos.

V. La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de “f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” RESOLUCIÓN NÚMERO 83340 DE 2021 desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”58. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia59.

Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

14. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) EN EL TRATAMIENTO DE DATOS PERSONALES La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”60. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. El artículo 2661 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Cfr. Corte Constitucional, sentencia T-227 de 2003. El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” RESOLUCIÓN NÚMERO 83340 DE 2021 para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic].”62 Es de resaltar que la Corte Constitucional mediante la Sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219.

El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic). El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal.

Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable;

(ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales. El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal”63.

(Destacamos). Como se observa, la Corte Constitucional pone de presente en la obligación de demostrar que se han adoptado medidas para cumplir la regulación de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza64 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos Personales.

El mismo, exige que los El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021. M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

RESOLUCIÓN NÚMERO 83340 DE 2021 Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos Personales. El éxito del mismo, dependerá del compromiso real y ético de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 65.

(Énfasis añadido). El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos.

15. RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES El artículo 2 de la Constitución Política de Colombia señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

RESOLUCIÓN NÚMERO 83340 DE 2021 Las normas que regulan el debido tratamiento de los datos personales, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, la protección de los derechos humanos, los cuales, son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto. En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el fin justifica los medios. En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

Ahora, según el artículo 22 de la Ley 222 de 199566 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”. (Énfasis añadido).

En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2467 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” Artículo 24, Ley 222 de 1995 “"Responsabilidad de los administradores. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros.

No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. RESOLUCIÓN NÚMERO 83340 DE 2021 presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto.

Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”68. Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. 16.

CONCLUSIONES Sin perjuicio de todo lo anterior, no se accederá a las solicitudes de las recurrentes por, entre otras, lo siguiente: 1. Según concepto técnico, mediante el aplicativo móvil PIG.GI se recolectaron datos personales en el territorio colombiano. Por ende, dicho Tratamiento de datos se rige por la Ley Estatutaria 1581 de 2012. 2.

La Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a) El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “tratamiento [sic] de datos [sic] personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b) El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el presente caso, las sociedades recurrentes están dentro de lo señalada en el literal a) porque recolectan Datos personales en el territorio de la República de Colombia mediante el aplicativo móvil Pig.gi. 3. Quedó técnicamente demostrado que las recurrentes utilizaron la versión 3.2.1 de la aplicación pig.gi para recolectar y tratar datos personales sin solicitar autorización previa, expresa e informada a las personas Titulares de esa información. Por ende, fue ilícita la recolección de datos realizada mediante dicha herramienta. 4.

La Resolución N° 82702 del 30 de diciembre del 2020 se emitió teniendo en cuenta las particularidades del presente caso. Por ende, sus consideraciones y conclusiones no deben replicarse a otros casos porque todo depende de la situación concreta, de las peculiaridades de cada situación y del material probatorio. 5. La multa de NOVENTA Y DOS MILLONES QUINIENTOS SETENTA Y OCHO MIL DOSCIENTOS PESOS M/CTE ($92.578.200) equivale al 5,09% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). 6.

La regulación sobre de datos personales impone cargas probatorias a los responsables del tratamiento. Los preceptos legales especiales que existen en materia probatoria respecto del tratamiento de datos personales asignan al De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”.

Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995. RESOLUCIÓN NÚMERO 83340 DE 2021 Responsable del Tratamiento el deber demostrar que ha adoptado medidas efectivas para cumplir la ley (Deber de Responsabilidad demostrada). El artículo 26 del decreto 1377 de 2013 es claro en exigir que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)”.

(Énfasis añadido). De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la Resolución N° 82702 del 30 de diciembre del 2020. En mérito de lo expuesto, este Despacho

RESUELVE

PRIMERO. CONFIRMAR en todas sus partes la Resolución N° 82702 del 30 de diciembre del 2020, modificada por la resolución 57230 del 3 de septiembre de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad FARROW MÉXICO S.A.P.I de C.V. a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

TERCERO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad FARROW VENTURES INC a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

CUARTO. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., diciembre 23 de 2021 El Superintendente Delegado para la Protección de Datos Personales Firmado digitalmente NELSON por NELSON REMOLINA REMOLINA ANGARITA Fecha: 2021.12.23 ANGARITA 11:06:44 -05'00' NELSON REMOLINA ANGARITA ALC RESOLUCIÓN NÚMERO 83340 DE 2021 Notificación Investigada: Identificación: Representante legal: Identificación: Dirección: Ciudad: País: FARROW MÉXICO, S.A.P.I. de C.V. 530.712-1 ISAAC.

PHILLIPS P.P 499023674 Bahía de Santa Bárbara N°. 145 Col. Verónica Anzures, C.P. 11300. México, Distrito Federal Estados Unidos Mexicanos Apoderada: Identificación: Correo electrónico: Dirección: Ciudad: Maria Claudia Martínez Beltrán C.C 53.907.508 mcmartinez@dlapipermb.com Carrera 7 N° 71-21 Torre B Oficina 602 Bogotá, D.C. Investigada: Identificación: Representante legal: Identificación: Dirección: Ciudad: País: FARROW VENTURES INC. 47-1340603 ISAAC.

PHILLIPS P.P 499023674 2140 South Dupont Highaway Camden – Delaware Estados Unidos de América Apoderada: Identificación: Correo electrónico: Dirección: Ciudad: Maria Claudia Martínez Beltrán C.C 53.907.508 mcmartinez@dlapipermb.com Carrera 7 N° 71-21 Torre B Oficina 602 Bogotá, D.C.

Resolución sancionatoria N° 83340 de 2021

CONSIDERANDO

RESUELVE