Decisión 72775 de 2021 — SIC

REPÚBLICA DE COLOMBIA (Noviembre 11 de 2021) VERSIÓN ÚNICA Radicado 19-202397 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 53593 de 3 de septiembre de 2020 la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio con el fin de garantizar el debido Tratamiento de Datos personales en el territorio colombiano emitió las siguientes órdenes administrativas de carácter preventivo a la sociedad GOOGLE LLC: “ARTÍCULO PRIMERO. ORDENAR a la sociedad GOOGLE COLOMBIA LIMITADA que respecto de los Datos personales que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informe de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

“b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” GOOGLE COLOMBIA LIMITADA, como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá́ conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” PARÁGRAFO.

La sociedad GOOGLE COLOMBIA LIMITADA deberá́ cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO SEGUNDO: ORDENAR a la sociedad GOOGLE COLOMBIA LIMITADA crear una Política de Tratamiento de Información (PTI) que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA 2.2.2.25.3.1 del Decreto 1074 de 2015), y, ponerla en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano. PARÁGRAFO.

La sociedad GOOGLE COLOMBIA LIMITADA deberá́ cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá́ que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO TERCERO. ORDENAR a la sociedad GOOGLE COLOMBIA LIMITADA que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 (incorporado en el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015) para la recolección y Tratamiento de los Datos personales de niños, niñas y adolescentes (menores de dieciocho -18- años edad).

PARÁGRAFO. La sociedad GOOGLE COLOMBIA LIMITADA deberá́ cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá́ que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO CUARTO: ORDENAR a la sociedad GOOGLE COLOMBIA LIMITADA que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registre sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.

PARÁGRAFO. La sociedad GOOGLE COLOMBIA LIMITADA deberá́ cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. ARTÍCULO QUINTO: ORDENAR a la sociedad GOOGLE COLOMBIA LIMITADA que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho -18años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012.

( )”

SEGUNDO. Que mediante la Resolución No. 70315 de 4 de noviembre de 2020 la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio ordenó a la sociedad GOOGLE COLOMBIA LIMITADA para que en conjunto con la sociedad GOOGLE LLC, cumpliera a cabalidad las instrucciones y órdenes impartidas en la Resolución No. 53593 de 3 de septiembre de 2020.

TERCERO. Que el 25 de noviembre de 2020, GOOGLE COLOMBIA LIMITADA (en adelante, la recurrente) presentó recurso de reposición y en subsidio apelación contra la Resolución No. 70315 de 4 de noviembre de 2020, con fundamento en los siguientes hechos y argumentos: RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Relación jurídica entre Google LLC y Google Colombia Ltda. La SIC, a través de la Decisión Recurrida, realiza múltiples afirmaciones, no probadas, para llegar a la conclusión de que Google Colombia realiza el tratamiento de datos personales de personas en Colombia, en directa relación con el tratamiento de datos personales que realiza Google LLC en el exterior.

Dentro de los argumentos que sustentan esta conclusión, se encuentra una supuesta relación de control o grupo empresarial que existiría entre mi representada y Google LLC. Al respecto, sea lo primero indicar que esa afirmación sobre la supuesta existencia de control o grupo empresarial entre Google LLC y Google Colombia es totalmente apresurada debido a que: (i) los hechos que la sustentan no han sido probados, (ii) porque en todo caso, la SIC no es la autoridad competente para pronunciarse sobre temas corporativos de esa índole, situación que la misma entidad admite en la Decisión Recurrida, y (iii) porque el análisis superficial que se realiza por parte de la Delegatura encargada de la presente investigación, no logra demostrar, de manera sustancial, cómo la estructura corporativa define de manera tajante que dos sociedades distintas sean corresponsables del tratamiento de datos personales que realiza, por el mero hecho de que una de ellas sea inversionista en la otra, cuando en todo caso, es imposible definirlo sin conocer siquiera las operaciones propias del día a día de cada una de las sociedades investigadas ( ) En la Ley No. 1581 no existe ningún supuesto que permita asignar la responsabilidad en el tratamiento de datos a una entidad por el hecho de la existencia de una estructura corporativa que ligue directa o indirectamente a dos personas jurídicas distintas.

La base sustancial para asignar el rol de Responsable del tratamiento se debe fundar en la capacidad y efectiva determinación de las finalidades y medios del tratamiento, situación que, como se expondrá más adelante, no ocurre en el presente caso. De la situación de control “Si bien la SIC asume la existencia de una situación de control en virtud de la presunción legal consagrada en el numeral 1 del artículo 261 del Código de Comercio, según el cual, existirá subordinación ‘( ) Cuando más del cincuenta por ciento (50%) del capital pertenezca a la matriz, directamente o por intermedio o con el concurso de sus subordinadas, o de las subordinadas de éstas.

( )’, esta Autoridad erró al asumir que, por cumplir esta situación, inmediatamente se configura una situación de control entre las citadas sociedades, toda vez que dicha presunción se trata de una presunción legal la cual puede ser desvirtuada. ( ) la SIC en la Decisión Recurrida ( ) abiertamente reconoce que no es competente para concluir o declarar la existencia de una situación de control.

En efecto, de conformidad con el artículo 30 de la Ley No. 222 de 1995 la competencia para concluir o declarar la existencia de la situación de control corresponde a la Superintendencia de Sociedades. No obstante, resulta incomprensible que, a pesar de reconocer su incompetencia para referirse sobre el asunto del control, la SIC procede a tomar la supuesta existencia de una situación de control como cierta, atribuyéndose no solo la facultad de declararla sino además utilizando esa supuesta existencia de situación de control como base para concluir que existe corresponsabilidad en el tratamiento de datos personales por parte de mi representada en una investigación que versa de manera puntual sobre el tratamiento de datos personales de terceros relacionado con la plataforma YouTube.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA ( ) Es evidente que la SIC, respecto a lo sustancial de la investigación, tampoco puede establecer que el resultado de su análisis corporativo derive en la existencia de una corresponsabilidad en materia de protección de datos personales entre mi representada y Google LLC, debido a que la estructura corporativa no define el tratamiento de datos que lleva a cabo cada entidad relacionada ni determina que dichas entidades establezcan conjuntamente las finalidades y los medios de dichos tratamientos.

( )” La existencia de grupo empresarial implica necesariamente que exista control y una unidad de propósito y dirección, elementos que no ha probado la SIC y que en todo caso no le compete analizar ( ) Google LLC es el proveedor exclusivo de las plataformas y servicios mencionados por la SIC para Colombia y es quien los crea, diseña, provee, administra y opera sin intervención ni participación alguna de Google Colombia.

Estas plataformas y servicios de Google LLC se sujetan a la política de privacidad de Google LLC y, como se demuestra en este escrito, Google Colombia no tiene ningún control, dirección ni definición sobre ningún aspecto de estos. Google Colombia tampoco determina, por sí misma o en conjunto con Google LLC, las finalidades ni los medios del tratamiento de datos personales realizado por dichos servicios.

Los anteriores servicios son prestados a los usuarios de Colombia por Google LLC desde el extranjero y es esta sociedad la que administra y opera la plataforma YouTube para Colombia, y la que determina las finalidades, los medios y cualesquiera otros aspectos del tratamiento de datos personales de los usuarios de Colombia. La SIC utiliza argumentos y elementos que no han sido probados y sobre los cuales no es competente (i) Respecto del Control: La SIC utilizando como base la presunción legal consagrada por el numeral 1 del artículo 261 de Código de Comercio, pretende dar por probada la existencia de una situación de control entre Google LLC y Google Colombia, desconociendo de forma tajante la posibilidad de desvirtuar dicha presunción legal y, aún más grave, extralimitando su competencia para declarar una situación de control entre esas sociedades.

(ii) Respecto del Grupo Empresarial: La SIC utiliza la conclusión a la que ha llegado mediante hechos no probados, según la cual, existe una situación de control entre Google LLC y Google Colombia para asegurar que se cumple el elemento de control necesario para que se dé la existencia de un grupo empresarial. Sumado a esto, con el objetivo de dar por probada la existencia de unidad de propósito y dirección procede a argumentar que “( ) la relación jurídica, consiste en que el socio mayoritario de GOOGLE COLOMBIA LIMITADA es GOOGLE INTERNARIONAL LLC.

Esta sociedad, a su vez es controlada por GOOGLE LLC, Lo anterior implica que la acción, voluntad y poder de decisión de GOOGLE COLOMBIA LIMITADA está determinada por el interés económico de GOOGLE, encabezado por GOOGLE LLC ( ). Esta argumentación a todas luces constituye una falacia ( ), la cual consiste en suponer que un evento es causa de otro porque los dos están relacionados de alguna manera. pretender la SIC RESOLUCIÓN NÚMERO 72775 DE 2021 (iii) VERSIÓN ÚNICA llegar a la conclusión de que el hecho de que Google LLC sea el accionista mayoritario de Google International LLC, quien a su vez es el socio mayoritario de Google Colombia, necesariamente implica que la acción, voluntad y poder de decisión de Google Colombia está determinada por el interés económico de Google LLC.

La SIC utiliza los anteriores argumentos no probados para concluir sobre la existencia de un grupo empresarial (lo cual no es de su competencia como ya fue resaltado), lo que resulta evidente cuando, a lo largo de la Decisión Recurrida, la SIC se atribuye la facultad de denominar a Google Colombia, Google Internacional LLC y Google LLC como “Grupo Google” ( ) Una eventual declaratoria de control o grupo empresarial no configura corresponsabilidad entre Google Colombia y Google LLC “ ( ) atribuir efectos adicionales a las figuras de control y grupo empresarial es abiertamente violatorio del principio de legalidad y, en particular, de las normas en materia de sociedades en Colombia, debido a que estas figuras en ningún momento pueden servir de excusa para desconocer la personalidad jurídica de las sociedades que eventualmente pueden pertenecer a un grupo y el nivel de autonomía en campos paralelos al derecho corporativo que estas pueden manejar en su operación, como por ejemplo respecto a asuntos relacionados con el tratamiento de datos personales.

(i) La SIC atribuye efectos erróneos al régimen de control y grupo empresarial: en ningún lugar de la legislación colombiana se establece que la declaración de situación de control o grupo empresarial implique corresponsabilidad de las empresas que hagan parte de aquél, frente al tratamiento de los datos personales que sean recolectados por alguna de ellas, como pretende declarar la SIC al establecer que “( ) no es equivocado afirmar que GOOGLE COLOMBIA LIMITADA también es Responsable del Tratamiento de los Datos Personales recolectados en este país ( )” (ii) La SIC confunde el régimen de subordinadas con el de sucursales en Colombia: La SIC establece a su vez que “( ) sin perjuicio de los requisitos establecidos en el artículo 469 y siguientes del Código de Comercio, en este procedimiento administrativo de puede considerar a GOOGLE COLOMBIA LIMITADA como una extensión real del Grupo Google, encabezado por GOOGLE LLC, en este país ( )”.

Frente a lo anterior, es pertinente recordar a la SIC que las normas citadas son relevantes para sociedades extranjeras y sucursales de sociedades extranjeras, estas últimas como establecimientos de comercio sin personería jurídica. Resulta entonces pertinente mencionar que Google Colombia es una sociedad con personería jurídica independiente a la de Google LLC y no una sucursal de sociedad extranjera como lo ha asumido erróneamente esa entidad.

En tal medida, no es procedente considerar a Google Colombia como una extensión de Google LLC como lo ha querido realizar la SIC. En efecto, Google Colombia como sociedad colombiana ostenta una personalidad jurídica propia totalmente independiente a la de Google LLC. (iii) La SIC desconoce preceptos legales y constitucionales respecto de la personalidad jurídica: Es pertinente recordar a la SIC que el segundo inciso del artículo 98 del Código de Comercio establecr que “( ) la sociedad, una vez constituida legalmente, forma una persona jurídica distinta de los socios.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA individualmente considerados ( )” disposición legal que es desconocida por la SIC al declarar que Google Colombia es una extensión de Google LLC” ( ) la SIC desconoce los preceptos yjurisprudencia constitucional y en particular, de forma evidente, el precepto constitucional incorporado en el artículo 14 de la Constitución Política de Colombia, según el cual toda persona tiene derecho al reconocimiento de su personalidad jurídica, lo que vulnera el derecho fundamental de Google Colombia Limitada a la personalidad jurídica pues este particular atributo de las sociedades ha sido definido por la Corte Constitucional como “( ) un derecho fundamental, que brinda a los seres humanos, y a algunas entidades jurídicas, la posibilidad de individualizarse como sujetos de derechos y obligaciones ( )” Sobre la obligación de Google Colombia de cumplir con la legislación colombiana y en especial la Ley 1581 de 2012 “( ) Google Colombia, como lo ha reconocido, es Responsable por el tratamiento de datos personales que se encuentran en las bases de datos que mi representada ha registrado debidamente ante el Registro Nacional de Bases de Datos (en adelante, RNBD) y ha dispuesto sus políticas internas aplicables a aquellos tratamientos que ocurren bajo su operación como Responsable.

No obstante, estas bases de datos de las que Google Colombia es Responsable nada tienen que ver con los datos de los usuarios de las plataformas de Google LLC sujetas a la presente actuación, es decir, respecto de los datos personales de menores de edad que puedan ser recolectados o tratados a través de la plataforma YouTube por parte de Google LLC.

( ) No obstante, lo anterior, si bien la ley colombiana aplica a Google Colombia, lo cual reconocemos, esto no significa que Google Colombia sea responsable, de modo alguno por la prestación de servicios de Google LLC, incluyendo cualquier tratamiento que realice Google LLC durante la prestación de servicios relacionados con YouTube, YouTube Kids y/o Family Link, entre otros.

( ) Así las cosas, cuando Google Colombia insiste en que la SIC no debería tenerla en cuenta en la presente actuación administrativa no se debe a que la ley colombiana no aplique a Google Colombia, sino a que esta empresa no tiene ningún control, injerencia, responsabilidad o administración de la herramienta YouTube suministrada por Google LLC y, como se verá a continuación, Google Colombia no es Responsable ni “corresponsable” en el tratameinto de datos personales relacionados con el contexto de la presente investigación, es decir respecto del tratamiento de datos personales a través de la plataforma YouTube, lo cual corresponde a Google LLC.

Sobre el rol de Responsable de Google Colombia por el Tratamiento de Datos presuntamente realizado por Google LLC (i) En primer lugar, como se ha indicado, la existencia del “Grupo google” no se encuentra probada ni ha sido declarada por la Superintendencia de Sociedades, la cual es la autoridad competente para hacerlo. La SIC, además de expresar ideas sueltas sobre esto, de manera infundada asevera la existencia de este Grupo para poder ajustar su argumento, pero no presenta ninguna prueba de su real existencia y en todo caso no le corresponde a ella declararlo.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA (ii) En segundo lugar, si bien Google Colombia puede desplegar actividades y operaciones destinadas a generar utilidades y beneficios a sus inversionistas (como cualquier otra empresa), de esto no se puede concluir de modo alguno que Google Colombia también participe del tratamiento de datos que realizar Google LLC durante la prestación de ciertos servicios a usuarios localizados en Colombia, específicamente y para el caso en concreto los datos de los Usuarios recolectados a través de la plataforma YouTube que son objeto de la presente investigación, y menos que decida sobre los medios o fines del tratamiento y sobre la base de datos.

La relación económica o corporativa entre dos personas jurídicas no conlleva a que ambas, necesariamente, participen en el tratamiento de datos bajo el rol de Responsables ( ). (iii) ( ) la SIC desconoce las actividades a las que se dedica Google Colombia. Google Colombia solamente asiste y soporta a Google LLC con el marketing y la demostración de los servicios de Google LLC en Colombia.

Es claro de la relación entre Google Colombia y Google LLC, que mi representada no tiene autoridad para comprometer ni obligar a Google LLC, ni suscribir ningún tipo de acto o contrato en su nombre o representación, no puede actuar como agente, ni negociar contratos o licencias o aceptar órdenes en nombre de Google LLC. Esto es además claro para los terceros y clientes de Google LLC.

( ) es necesario destacar que la actividad de “asesoramiento” nada tiene que ver con el tratamiento de datos personales involucrado en la prestación del servicio sobre el que se asesora, ni implica ningún tipo de injerencia en la provisión del servicio por parte de Google LLC. Por ejemplo, las bancas de inversión o las consultoras asesoran a empresas sobre cómo invertir o dirigir sus actividades; esto no las hace Responsables del tratamiento que dichas empresas asesoradas hagan con los datos personales ( ) Las actividades de Google Colombia y el hecho de que uno de sus inversionistas sea Google LLC (de manera muy minoritaria) no son circunstancias suficientes para concluir que mi representada sea Responsable del tratamiento de datos que realiza Google LLC, como se expondrá en el acápite siguiente.

Sobre el presunto Tratamiento de los Datos personales por parte de Google Colombia La SIC parte de una premisa errada, pues el mero hecho de realizar gestiones comerciales para otro (si ese fuera el caso), no implica el efectivo tratamiento de datos personales ni mucho menos la calidad de Responsable, por parte de quien realiza la gestión comercial para el otro como una regla general, que, para este caso, la SIC pretende extender dentro de un contexto específico del tratamiento de datos de terceros dentro de la plataforma YouTube.

Lo anterior, por cuanto la ley es meridianamente clara al definir el tratamiento como “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”. ( ) En cualquier caso, también es fundamental resaltar que mi representada no interviene en la determinación de los medios y finalidades del tratamiento de los datos personales de los usuarios de YouTube ni de los demás servicios de Google LLC y que cualquier tipo de gestión comercial que realice mi representada excede la esfera del tratamiento sobre los datos RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA personales que pretende endilgar la SIC.

Es decir, es errado pretender que la gestión comercial que realiza Google Colombia, cuando no se tiene ningún tipo de control o definición sobre los medios o fines del tratamiento de los datos personales, se haga equivalente al tratamiento mismo de datos personales en calidad de Responsable. Bajo la lógica que utiliza la SIC hasta el voceador de un periódico o la empresa de logística que lo distribuye en los supermercados y contribuye a la comercialización del producto estaría tratando datos personales.

Esta situación pone en evidencia la falta de sustento jurídico y argumentativo que ofrece la SIC para soportar su decisión, cuando en todo caso tampoco conoce materialmente en qué consiste la operación de mi representada que, de hecho, la cataloga como una actividad de publicidad, cuando en realidad y conforme al objeto social de Google Colombia, las gestiones de esta compañía corresponden a actividades de asistencia y soporte en temas de marketing.

La SIC también desconoce la separación de funcionamiento y operación del día a día que existe entre las gestiones de Google Colombia y las tareas de administración de herramientas digitales por parte de Google LLC, en especial lo relacionado propiamente con la plataforma de YouTube. La noción de Responsable del Tratamiento en la Ley 1581 de 2012 “( ) Esta definición trae varios elementos sobre quién puede ser Responsable: (i) Persona natural o jurídica, pública o privada, (ii) que por sí misma o en asocio con otros, (iii) decide sobre la base de datos y/o el tratamiento.

( ) El elemento de “decisión sobre el tratamiento de datos y/o la base de datos” como criterio esencial de la definición de Responsable. En ese sentido, para que Google Colombia pudiese ser Responsable del tratamiento de datos personales, en este caso relacionados con los usuarios de la plataforma YouTube, debería poder decidir sobre la base de datos y/o el tratamiento específicamente de estos datos.

Es decir, Google Colombia debería tener el poder o la facultad de determinar el resultado de la base de datos y/o el tratamiento y esto no sucede de manera alguna en cuanto a los datos personales de los usuarios de la plataforma de YouTube, de YouTube Kids, ni de sus servicios de publicidad online. Si bien es claro que el Responsable no necesariamente tiene que ser el propietario de la base de datos, para la Corte sí es contundente el hecho de que el Responsable es quien decide (determina) las finalidades del tratamiento y los medios empleados para el efecto.

En el caso que nos ocupa, Google Colombia no determina de modo alguno (ni siquiera participa en esta definición bajo ningún título) sobre la base de datos personales relacionada con el objeto de la presente investigación, ni los fines del tratamiento (los cuales son definidos por Google LLC) ni los medios empleados para realizar este tratamiento (los cuales son también definidos por Google LLC).

Lo anterior, teniendo en cuenta que la relación comercial de mi representada con Google LLC tiene como objeto el soporte y la asistencia en gestiones de mercadeo, actividad que no fue identificada por la Autoridad y de hecho fue confundida con trabajos de publicidad en el territorio, los cuales no corresponden a la realidad. En todo caso, es evidente que las actividades que realiza Google Colombia a favor de Google LLC no tienen nada que ver con el funcionamiento propio de la plataforma de YouTube y mucho menos con el tratamiento de datos objeto de la presente investigación, derivado de dicho funcionamiento y de la RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA administración que realiza Google LLC como única responsable de dicha plataforma para Colombia.

( ) El alcance de las actividades comerciales que realiza Google Colombia no permite inferir que mi representada esté en condiciones de definir o determinar el tratamiento de datos al que Google LLC sujeta sus bases de datos. Por otro lado, el asesoramiento comercial que se imparte a los clientes de Google LLC sobre sus herramientas de publicidad no tiene relación alguna con el tratamiento de los datos personales de usuarios de las plataformas de Google LLC donde aparece dicha publicidad, en específico YouTube.

La SIC en el presente caso, no realiza ningún esfuerzo probatorio para demostrar que existe un control real por parte de Google Colombia (así no sea total). Tampoco Google Colombia se ha presentado nunca frente a alguna autoridad o a los interesados (los usuarios de las herramientas de Google LLC) como el Responsable del tratamiento de datos usados por las herramientas de Google LLC ni como representante de Google LLC.

Esta diferencia entre Google LLC y Google Colombia ha sido incluso destacada por la misma Corte Constitucional, indicando que se trata de dos personas jurídicas independientes con objetos sociales distinto.. No existe ningún contrato entre Google Colombia y Google LLC que permita concluir, desprender, derivar, inferir que Google Colombia tiene alguna injerencia en la definición del tratamiento y/o bases de datos de Google LLC.

Esto es solo una conjetura de la SIC y como toda conjetura debe ser demostrada y sustentada, en este caso por la SIC, para poder ser tenida como cierta. Así, como dice el Grupo de Trabajo del Artículo 29 (opinión del 16 de febrero de 2010) una entidad que no tiene la influencia ni legal ni fáctica para determinar cómo se procesan los datos personales no puede considerarse un Responsable.

( )” Sobre la presunta corresponsabilidad en el tratamiento de datos personales “( ) la existencia de lo que la SIC denomina como “Grupo Google” no ha sido probada por la autoridad competente. En todo caso, es necesario recordarle a la SIC que, incluso ante una eventual declaración de la existencia del “Grupo” que alega sin tener competencia para ello, la consecuencia jurídica que arropa tal declaración no es e la solidaridad frente a las obligaciones que cada sociedad tenga ni mucho menos frente a la supuesta “corresponsabilidad” en el tratamiento de los datos personales de menores de edad usuarios de YouTube.

Este punto es neurálgico para entender el pleno desconocimiento de la SIC sobre el derecho de sociedades del cual se vale dicha Autoridad para hacer un hilo argumentativo que resulta insostenible. En segundo lugar, Google Colombia no promueve ni instruye (pero especialmente, no instruye) en el uso de los datos personales a Google LLC para ofrecer publicidad a sus clientes.

Pues como se ha venido probando, las operaciones propias de mi representada no tienen como finalidad instruir ni promover el tratamiento de datos personales de terceros por parte de Google LLC. Pues nuevamente se le recuerda a la Autoridad que: i) Google LLC es la única operadora de la plataforma YouTube en Colombia, y ii) la relación de Google Colombia con la compañía extranjera estaba estructurada para el soporte y asistencia por parte de la compañía colombiana en materia de marketing a favor de Google LLC y sus afiliadas.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Así, es necesario aclarar una vez más que Google Colombia es un proveedor de servicios de marketing y capacitación a clientes o potenciales clientes de Google LLC, sobre las herramientas disponibles para crear y administrar campañas de publicidad online. La contraprestación percibida por Google Colombia no guarda ninguna relación con los ingresos de Google LLC provenientes de publicidad online de clientes residentes en Colombia.

( ) Conforme a lo anterior, es claro que Google Colombia no es corresponsable por el tratamiento de datos que realiza Google LLC, en cuanto a los usuarios y el funcionamiento de la plataforma YouTube pues como se ha indicado previamente, Google Colombia no determina ni las finalidades ni los medios del tratamiento de los datos personales de los usuarios de YouTube, los cuales son definidos por Google LLC.

Si bien es posible que en un tratamiento de datos varios agentes puedan determinar conjuntamente el propósito y los medios de tratamiento, esto no ocurre en el caso bajo análisis. De hecho, la SIC no demuestra que Google Colombia sea corresponsable ni en qué medida determina o define los fines o medios del tratamiento, por cuanto dicha responsabilidad no existe en cabeza de mi representada.

Google Colombia no comparte con Google LLC, ni siquiera en un pequeño grado, la determinación de las finalidades o medios del tratamiento relacionado con datos personales de los usuarios de YouTube. Google Colombia no tiene capacidad de determinar ninguna (así fuese siquiera una) de las finalidades previstas por Google LLC para el tratamiento de los datos personales en comento dentro de la presente investigación. ( ) Como afirmamos en un acápite anterior, Google Colombia es Responsable únicamente del tratamiento de datos personales que reposan en las bases de datos que se encuentran inscritas en el RNBD, y no tiene ningún grado de responsabilidad en el tratamiento de datos personales que realiza Google LLC y a los que se refiere la Decisión Recurrida.

Además, en los casos de control conjunto, no todos los Responsables son capaces de cumplir directamente con todas las obligaciones de los Responsables y solo pueden ser garantizadas a diferentes niveles por diferentes actores. La consecuencia de esto es que la corresponsabilidad no implica que las cargas de unos de los Responsables puedan reenviarse sin mayor análisis a los otros, dado que los distintos Responsables pueden ser Responsables del tratamiento de datos personales en diferentes etapas y en diferentes grados.

( )”. Sobre el supuesto tratamiento de datos de Google Colombia mediante cookies “Finalmente, la SIC, en una maroma argumentativa que atenta contra cualquier principio de la lógica y de derecho, afirma que Google LLC (y el denominado “Grupo Google”, cuya existencia no ha sido probada o declarada por una autoridad competente) realiza tratamiento de datos en Colombia mediante la utilización de cookies y que, como Google Colombia supuestamente promociona y asesora el uso de dichos datos personales como corresponsable.

Además de los argumentos ya esgrimidos anteriormente y que demuestran que Google Colombia no es corresponsable del tratamiento de los datos personales de los usuarios de YouTube, con relación al supuesto tratamiento de datos personales por parte de Google Colombia mediante cookies nos permitimos señalar lo siguiente: RESOLUCIÓN NÚMERO 72775 DE 2021 (i) (ii) (iii) VERSIÓN ÚNICA No hay ninguna relación entre Google Colombia y el supuesto tratamiento de datos personales que realizaría Google LLC mediante cookies, relacionado específicamente con la plataforma YouTube.

Google Colombia no promociona ni asesora a Google LLC ni a ningún otro sujeto o entidad sobre el tratamiento de datos personales. Tampoco dispone, instruye ni determina en ninguna medida y en ninguna circunstancia el uso de dicha tecnología en las herramientas de Google LLC. La SIC menciona y cita la política de tratamiento de datos de Google LLC.

Por su parte, nos permitimos señalar a la SIC que Google Colombia tiene su propia política de tratamiento de datos en relación con las bases de datos de las que es responsable que ha registrado con la SIC. Dicha política fue reportada a la SIC al realizar su RNBD y, en todo caso, puede consultarse a solicitud del interesado en las oficinas de Google Colombia, ubicadas en la Cra. 11a #94-31, en Bogotá. Omitir la política de Google Colombia denota el pleno desconocimiento jurídico de las normas del Código de Comercio y de la Constitución al obviar la personalidad jurídica de mi representada y de las consecuencias que se derivan y reconocen al ostentar una personalidad jurídica propia.

Igualmente, la SIC, con esta argucia argumentativa, desconoce la propia Ley No. 1581 al omitir la política de mi representada que se ha reportado ante la propia autoridad. En tercer lugar, Google Colombia no realiza tratamiento de datos personales mediante cookies en Colombia ni en el extranjero en relación con el servicio YouTube, ni hace uso de esta información para realizar sus actividades en Colombia.

Google Colombia no presta ningún servicio informático ni es dueña de ninguna plataforma informática ni sitio web de YouTube que utilice cookies. Adicionalmente, es claro que Google Colombia no tiene nada que ver con las cookies que pudiesen utilizar las plataformas de Google LLC pues se repite que esta sociedad colombiana no tiene ninguna injerencia en el funcionamiento, administración y mucho menos titularidad sobre YouTube.

Finalmente, no corresponde a esta decisión referirse y analizar las actividades de Google LLC que son diferentes e independientes a las actividades de Google Colombia. El hecho de que Google Colombia realice actividades lícitas en el territorio colombiano que puedan generar beneficios y ganancias a sus inversionistas, no implica que realice tratamiento de datos personales en calidad de corresponsable del tratamiento con sus inversionistas y tampoco significa, como quiere hacer ver la SIC, que se esté desconociendo la regulación colombiana.

Google Colombia es respetuosa de la ley colombiana y realiza el tratamiento de datos personales conforme a la Ley No. 1581. No hay en la presente actuación prueba alguna de lo contrario. Sobre la participación de Google Colombia en el modelo de negocio de Google LLC “( ) En primer lugar, se debe advertir que entre Google Colombia y Google LLC existe una relación comercial para la prestación de servicios de marketing en el territorio colombiano, en donde Google LLC es la compañía que recibe dichos servicios y Google Colombia es el proveedor de los servicios de marketing.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Dentro de la relación entre compañías, queda claro que Google LLC se dedica al desarrollo, licenciamiento, marketing y venta de servicios de publicidad y tecnologías de la información entre otros. Por otro lado, Google Colombia es una compañía local colombiana que se dedica a prestarle servicios a Google LLC relacionados con el soporte y la asistencia en gestiones de marketing dentro del territorio.

En específico, la definición de servicios de marketing dentro de la relación contractual incluye actividades como: investigación de mercado, soporte y asistencia a Google LLC y sus afiliadas respecto de gestiones de marketing, demostración de los productos y soporte a clientes que consumen los servicios y/o los productos (como por ejemplo, generar reuniones educativas para que los que se dedican a generar publicidad en Internet encuentren el valor agregado de las herramientas que administra y opera Google LLC que factura y maneja la empresa contratante, es decir, Google LLC.

Google Colombia no actúa en ningún caso como agente o representante de Google LLC en el territorio colombiano y, por tanto, Google Colombia no tiene la autoridad para contraer obligaciones y/o celebrar contratos en nombre o representación de Google LLC, ni puede crear o asumir obligaciones por Google LLC y, por tanto, no puede suscribir contratos por esta.

Específicamente, Google Colombia no puede negociar contratos o licencias por Google LLC ni tampoco puede aceptar órdenes en nombre de esta y, por tanto, está obligada a informarle a los posibles clientes sobre estas limitaciones en materia de autoridad para tomar decisiones o generar negocios en nombre de Google LLC. Todo lo anterior, deja en evidencia que la relación comercial que tienen Google Colombia y Google LLC no corresponde a una relación de cercanía y control absoluto como la SIC lo quiere hacer ver en su narrativa sin siquiera poder probarlo.

Por el contrario, los anteriores extractos demuestran que Google Colombia y Google LLC sostienen una relación comercial dirigida a un objetivo específico y es que Google Colombia cumpla con proveer a Google LLC servicios relacionados con asistencia y soporte las gestiones de marketing en el territorio, dejando sin cabida cualquier relación frente al tratamiento de datos personales de los usuarios de YouTube.

Sobre el presunto Tratamiento de Datos de niños, niñas y adolescentes por parte de Google Colombia “( ) Google Colombia no tiene control sobre las finalidades y los medios del tratamiento de datos personales de usuarios (cualquiera sea su edad) de los servicios de Google LLC, incluido YouTube. El hecho de que Google LLC dirija cierta publicidad online en el servicio de YouTube a residentes colombianos no tiene relación alguna con las actividades de soporte de Google Colombia.

Como ya se indicó anteriormente, las plataformas de publicidad online son operadas por Google LLC, quien administra, ofrece y establece las condiciones de contratación y uso de los servicios de Google Ads. Las gestiones comerciales de Google Colombia no constituyen un tratamiento de datos personales, pues a lo sumo las actividades de Google Colombia pueden considerarse de mera promoción comercial sin contacto alguno con los datos personales objeto del presente procedimiento, y sin la capacidad de fijar ninguna de las condiciones comerciales que rigen la relación contractual entre las partes, es decir Google LLC y los clientes que usan Google Ads para crear y administrar sus campañas de publicidad.

Mi representada ni siquiera conoce (ni tiene forma de conocer) qué cuentas de la herramienta de YouTube pertenecen a menores de edad y cuáles no, por no tener acceso a los datos de los usuarios de los servicios de Google LLC. Así las cosas, aun si los receptores de la publicidad fuesen menores de edad (que no se alega), no es Google Colombia quien define, controla, determina y traza, de modo RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA alguno, tal situación, puesto que no tiene control alguno de los servicios que provee Google LLC, entre ellos cualquier servicio de publicidad o cualquier servicio relacionado con las herramientas de las que dicha compañía es propietaria y/o administradora.

La misma SIC reconoce que Google Colombia no es propietaria ni administradora de las herramientas de Google LLC, de lo que se colige que no existe poder de decisión alguno frente a las tecnologías que se incorporen en las herramientas de Google LLC, ni los datos de usuarios (adultos o menores de edad), ni el posterior y/o eventual tratamiento de datos personales que realice Google LLC, dentro de la operación y/o funcionamiento de sus plataformas y herramientas, por ejemplo YouTube.

Sobre el uso de la marca Google por parte de Google Colombia y la responsabilidad en el Tratamiento de Datos personales realizado por Google LLC “(…) Google LLC le ha otorgado a Google Colombia una licencia no exclusiva para el uso de diferentes marcas y otros signos distintivos, con el solo propósito de que Google Colombia pueda proveer sus servicios a Google LLC, descritos anteriormente.

Esta licencia es clara en no otorgar derecho alguno a Google Colombia sobre cualquiera de los servicios y/o herramientas de Google LLC. Google LLC también ha autorizado, por ejemplo, que otros terceros, como sus partners de ventas en Colombia (con quienes tiene relaciones directas), hagan uso de su marca, para la venta de sus servicios. Estos partners, a pesar de hacer uso de la marca y promover y vender servicios de Google LLC, no podrían ser considerados Responsables per se del tratamiento de datos personales que haga Google LLC.

( ) No existe ninguna norma jurídica ni interpretación legal factible que permita concluir, como lo hace la SIC, que el hecho de ser licenciatario de una marca de un tercero o hacer uso de ella implique la corresponsabilidad en el tratamiento de datos personales. El hecho de ser o no corresponsable del tratamiento de datos se relaciona con el hecho de decidir sobre el tratamiento y/o la base de datos, no sobre el uso de una marca.

Una interpretación de este tenor haría que, por ejemplo, una agencia de viajes que promociona la marca de una aerolínea fuese responsable solidariamente per se a la aerolínea en el tratamiento de datos personales que realiza aquella. ( ) Reiteramos que la SIC a lo largo de la Decisión Recurrida realiza afirmaciones carentes de sustento probatorio con el fin de ordenarle a mi representada el cumplimiento de obligaciones que le resultan materialmente imposibles de cumplir, como se ha demostrado en los acápites anteriores.

( ) Sobre las conclusiones “( ) Google Colombia es una sociedad con personería jurídica independiente a la de Google LLC. No es procedente considerar a Google Colombia como una extensión de Google LLC y como sociedad colombiana ostenta una personalidad jurídica propia totalmente RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA independiente a la de Google LLC.

El hecho de que Google LLC sea el accionista mayoritario de Google International LLC, quien a su vez es el socio mayoritario de Google Colombia, no implica necesariamente que la acción, voluntad y poder de decisión de Google Colombia está determinada por el interés económico de Google LLC. ( ) No existe prueba alguna en este procedimiento que permita concluir que lo dicho es cierto.

En todo caso y conforme a todos los argumentos anteriormente expuestos, se reitera que el tratamiento de datos personales de usuarios de la plataforma YouTube no se realiza dentro del territorio ni tampoco está bajo el control de Google Colombia, recordando que esta compañía se dedica de manera especial a prestar servicios de soporte y asistencia en temas de marketing, completamente alejadas del funcionamiento y tratamiento derivado de YouTube.

( ) Google Colombia no asesora ni promociona el uso de datos personales de los usuarios ubicados en Colombia para que Google LLC u otro tercero amplíen sus ganancias económicas. Se reitera que Google Colombia no es responsable de la publicidad online ofrecida a los usuarios de las plataformas de Google LLC y mucho menos alienta o invita a generar tratamientos de datos personales de terceros.

( ) Google Colombia no es corresponsable del tratamiento de datos personales en conjunto con Google LLC. Google Colombia no define ni controla los fines ni medios del tratamiento en conjunto con Google LLC. Google Colombia no promueve ni instruye a nadie en el uso de datos personales para ofrecer publicidad dirigida a los clientes de Google LLC.

Reiteramos que no ha quedado probado que exista el “Grupo Google”, en los términos de la ley colombiana. ( ) Google Colombia es Responsable del tratamiento de datos personales en lo que refiere a las bases de datos que han sido reportadas por esta al RNBD. El tratamiento de datos personales que realice Google LLC para la explotación de sus servicios y productos es exclusivamente definido por esa empresa.

Google Colombia no decide ni controla de modo alguno los medios o fines del tratamiento de los datos personales que se puedan utilizar para la prestación de estos servicios y productos de Google Colombia. ( ) Google Colombia es una sociedad colombiana respetuosa de las leyes y normas jurídicas colombianas, incluyendo la Ley No. 1581. Esto no implica que Google Colombia sea corresponsable por el tratamiento de datos personales realizado por Google LLC.

El concepto de responsable o corresponsable es un concepto definido por la ley, que no puede ser modificado arbitrariamente en miras de tratar de encuadrar una situación de hecho que no le aplica al concepto de responsable, como es lo que se pretende para el caso de Google Colombia en la Decisión Recurrida. ( ) Google Colombia es un proveedor de servicios de marketing y capacitación a clientes o potenciales clientes de Google LLC, sobre las herramientas disponibles para crear y RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA administrar campañas de publicidad online.

Google Colombia no presta servicios de publicidad. Para el ejercicio de estas actividades, Google Colombia no define, controla o decide en grado alguno sobre los fines o medios del tratamiento de estos datos personales. Google Colombia no es quien presta servicios publicitarios, solo hace una labor de soporte y asistencia en temas de marketing.

Google Colombia es una sociedad respetuosa de la ley colombiana y de las autoridades competentes. No obstante, dado que, tanto de hecho como de derecho, Google Colombia no tiene ningún poder de control, definición o decisión sobre las bases de datos y datos personales referidos en la presente actuación y a los que se refieren las órdenes, estas órdenes son de imposible cumplimiento por parte de mi representada.

No tiene sentido alguno ni respaldo jurídico alguno imponer cargas desproporcionadas e imposibles de cumplir a un administrado, que se desprenderán en posteriores sanciones por su falta de cumplimiento. Esto sería una decisión injusta y violatoria plenamente de la ley y la constitución. Reiteramos, no es que Google desconozca la autoridad de la SIC, ni su competencia; no es que Google desconozca la ley; lo que insistimos es que Google Colombia no tiene forma alguna de dar cumplimiento a las órdenes impartidas a Google LLC.

( ) Solicitud 1. Reponer, y en subsidio apelar, la Resolución No. 70315 de 2020 ·Por la cual se imparten órdenes dentro de una actuación administrativa”. 2. Se revoquen, en consecuencia, las órdenes dirigidas a mi representada contenidas en la Resolución No. 70315 de 2020 “Por la cual se imparten órdenes dentro de una actuación administrativa”. 3.

Se archive la actuación administrativa bajo el Radicado No. 19-202397 en contra de mi representada.

CUARTO. Que mediante Resolución No. 38869 de 24 de junio 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 70315 de 4 de noviembre de 2020.

QUINTO. Que el 19 de agosto de 2021 mediante escrito 19-202397-68 la apoderada de la investigada presentó un memorial de alcance frente a la Resolución No. 38869 de 24 de junio 2021.

SEXTO. Que mediante Resolución No. 60478 del 21 de septiembre de 2021 este Despacho decidió, entre otras, lo siguiente: “ARTÍCULO PRIMERO. REVOCAR el Artículo Quinto (5) de la Resolución No. 53593 de 3 de septiembre de 2020.

ARTÍCULO SEGUNDO. CONFIRMAR los artículos primero; segundo; tercero y cuarto de la Resolución No. 53593 de 3 de septiembre de 2020, cuyo texto es el siguiente:

ARTÍCULO PRIMERO. ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos personales que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Autorización al Titular, le informe de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

“b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” GOOGLE LLC, como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.”

PARÁGRAFO. La sociedad GOOGLE LLC deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad GOOGLE LLC crear una Política de Tratamiento de Información (PTI) que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015), y, ponerla en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano.

ARTÍCULO TERCERO. ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 (incorporado en el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015) para la recolección y Tratamiento de los Datos personales de niños, niñas y adolescentes.

ARTÍCULO CUARTO: ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registre sus bases de datos en el Registro RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.

PARÁGRAFO. La sociedad GOOGLE LLC deberá cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.”

ARTÍCULO TERCERO. ACLARAR que de conformidad con el artículo 3 de la Ley 1098 de 2006 (Por la cual se expide el Código de la Infancia y la Adolescencia) “se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad”.

SÉPTIMO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución No. 70315 de 4 de noviembre de 2020, y en el memorial de alcance presentado mediante escrito 19-202397-68 de 19 de agosto de 2021, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)” (Énfasis añadido)

2. NO ES CIERTO QUE ESTA SUPERINTENDENCIA HAYA DECLARADO “SITUACIÓN DE CONTROL” ENTRE GOOGLE LLC Y GOOGLE COLOMBIA LIMITADA Afirma lo siguiente la apoderada María Camila Piedrahita Tovar, apoderada de Google Colombia Limitada: “La SIC utilizando como base la presunción legal consagrada por el numeral 1 del artículo 261 de Código de Comercio, pretende dar por probada la existencia de 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA una situación de control entre Google LLC y Google Colombia, desconociendo de forma tajante la posibilidad de desvirtuar dicha presunción legal y, aún más grave, extralimitando su competencia para declarar una situación de control entre esas sociedades” (Énfasis añadido) Es notoria la falsedad de la anterior afirmación porque, contrario a lo señalado por Google Colombia, esta Delegatura NO declaró ninguna situación de control entre Google LLC y Google Colombia Limitada.

Ello se puede corroborar con la simple lectura de la parte resolutiva del acto administrativo 70315 de 4 de noviembre de 2020: Como autoridad administrativa respetamos el derecho de defensa de la recurrente, pero nos parece muy grave que se acuda a la mentira como estrategia argumentativa para cuestionar la validez jurídica de un acto administrativo.

Ello no solo es reprochable, sino que es inconsistente con el decoro, la ética y el profesionalismo que debe guiar la labor de los abogados. Esta entidad expresamente reconoció que no era competente para decidir si se configuraba un grupo empresarial o una situación de control. En efecto, en las páginas 6 y 7 de la Resolución No. 70315 de 2020 se dejó constancia de lo siguiente: “De lo anterior, es inocultable que GOOGLE COLOMBIA LIMITADA, en el territorio de la República de Colombia, es una extensión directa de GOOGLE INTERNATIONAL LLC e, indirectamente, de GOOGLE LLC.

Lo anterior, sin perjuicio de la verificación de los requisitos establecidos en el artículo 469 y siguientes del Código de Comercio. Entonces se concluye que, GOOGLE COLOMBIA LIMITADA es una materialización de la voluntad y finalidad económica de las compañías mencionadas en el territorio de la República de Colombia. “Como corolario de este razonamiento, la Superintendencia de Sociedades por medio del Concepto 220-002605 de 15 de enero de 2018 dispuso que: RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA “(…) Entre dos sociedades, una extranjera y su filial colombiana, puede darse la situación de control, en tanto que aquella ejerza el poder de decisión sobre la colombiana; y, adicionalmente, puede configurarse la situación de Grupo Empresarial, si se presenta como elemento adicional, que, en el direccionamiento organizacional, exista la unidad de propósito y dirección entre la controlante y la filial, caracterizada por la consecución de un objetivo común. (…) La configuración de grupo empresarial podría establecerse entre una sociedad extranjera y una sola sociedad colombiana, en donde la sociedad extranjera sea dueña de más del 50% de las acciones de la sociedad colombiana, siempre y cuando se presente, adicionalmente, unidad de propósito y dirección. (…) Si se configura la situación de control, esta debe revelarse mediante la inscripción en el Registro Mercantil; y si, además, concurre la incorporación de Grupo Empresarial, esta situación también debe ser revelada a través de la inscripción en el Registro Mercantil, Artículo 30 de la Ley 222 de 1995”.

Sin perjuicio de lo anterior, y considerando que esta autoridad encontró que no existe en el certificado de existencia y representación legal de la sociedad GOOGLE COLOMBIA LIMITADA una anotación donde se manifiesta la situación de control, esta Superintendencia de Industria y Comercio remitirá el expediente de esta actuación a la Superintendencia de Sociedades para que en el marco de su competencia proceda como considere del caso.” (Énfasis y subrayado añadido) Como se observa, esta entidad no ha ejercido las competencias legales de otras entidades ni ha declarado una situación de control como lo afirma Google Colombia Limitada.

Al contrario, respetuosa de la regulación sobre la materia, procedió a remitir copia del expediente No. 19-202397 a la Superintendencia de Sociedades para lo de su competencia, tal y como se puede constatar en el artículo segundo de la citada resolución. La decisión del artículo 2 de la Resolución No. 70315 de 2020 tiene fundamento en lo establecido en el artículo 30 de la Ley 222 de 1995, a saber: “Cuando de conformidad con lo previsto en los artículos 260 y 261 del Código de Comercio, se configure una situación de control, la sociedad controlante lo hará constar en documento privado que deberá contener el nombre, domicilio, nacionalidad y actividad de los vinculados, así como el presupuesto que da lugar a la situación de control.

Dicho documento deberá presentarse para su inscripción en el registro mercantil correspondiente a la circunscripción de cada uno de los vinculados, dentro de los treinta días siguientes a la configuración de la situación de control. Si vencido el plazo a que se refiere el inciso anterior, no se hubiere efectuado la inscripción a que alude este artículo, la Superintendencia de Sociedades, o en su caso la de Valores o Bancaria, de oficio o a solicitud de cualquier interesado, declarará la situación de vinculación y ordenará la inscripción en el Registro Mercantil, sin perjuicio de la imposición de las multas a que haya lugar por dicha omisión. En los casos en que se den los supuestos para que exista grupo empresarial se aplicará la presente disposición. No obstante, cumplido el requisito de inscripción RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA del grupo empresarial en el registro mercantil, no será necesaria la inscripción de la situación de control entre las sociedades que lo conforman”.

(Énfasis añadido). Es cierto que en la precitada resolución se utilizó la expresión “Grupo Google” para no repetir a lo largo de la resolución los nombres de varias sociedades. Pero ello no significa que esta entidad haya declarado formalmente la existencia de un grupo empresarial. Por eso, se repite, se remitieron copias del expediente No. 19-202397 a la Superintendencia de Sociedades para lo de su competencia, tal y como se puede constatar en el artículo segundo de la Resolución No. 70315 de 2020.

Visto lo anterior, no son de recibo las afirmaciones de Google Colombia Limitada, ni los argumentos reiterativos que giran en torno a la falacia señalada, como, entre otras, las siguientes afirmaciones de la citada sociedad: (…) (…) (….) Se reitera que, mediante la Resolución No. 70315 de 2020 esta entidad no declaró ninguna situación de control y que, además, remitió el expediente a la Superintendencia de Sociedades para que procediera en el marco de sus competencias administrativas (artículo 30 de la Ley 222 de 1995).

Insiste Google Colombia Limitada en lo siguiente: RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Ese alegato central -la declaración de control- se basa en una mentira que no solo contamina todos los argumentos que se fundan en la misma, sino que, no produce efecto jurídico para desvirtuar la legalidad del acto administrativo recurrido.

3. DEL PODER ECONÓMICO Y DECISORIO DE GOOGLE LLC SOBRE GOOGLE COLOMBIA LIMITADA De acuerdo con el certificado de existencia y representación legal de Google Colombia Ltda. sus cuotas sociales y socios están determinados así: Certificado de existencia y representación legal de Google Colombia Ltda. expedido el 2 de noviembre de 2021 por la Cámara de Comercio de Bogotá SOCIO (S) CAPITALISTA (S) GOOGLE INTERNATIONAL LLC No. CUOTAS PORCENTAJE % VALOR 57.481.00 560.00 99.04% 0.96% $5’748.100.000,00 $56’000.000,00 GOOGLE LLC Como se observa GOOGLE INTERNATIONAL LLC es el socio mayoritario de la sociedad GOOGLE COLOMBIA LIMITADA.

No obstante lo anterior, en la página 6 de la Resolución No. 70315 de 2020 se señaló que Google International LLC es propiedad de Google LLC. Para el efecto, se puso de presente lo siguiente en la nota de pie de página número 11 de dicho acto administrativo: “Según se registró en el State of California Company Registry (https://businesssearch.sos.ca.gov/Document/RetrievePDF?Id=201403110418-26629237) la compañía Google LLC es “Managing Member” de la sociedad Google International LLC.

Por su parte, un miembro gerente (managing member) es alguien que es propietario de la sociedad LLC, pero, además, dirige las operaciones diarias, toma decisiones comerciales y tiene la autoridad para vincular a la sociedad LLC en contratos y acuerdos. En resumen, un miembro gerente es propietario y administrador. Lo anterior, también puede verificarse en el acta de preservación de páginas web del laboratorio forense de la Superintendencia de Industria y Comercio Nº 19-202397-00029-0001.” RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Lo anterior también puede corroborarse con las publicaciones de la SECURITIES AND EXCHANGE COMMISSION2 de los Estados Unidos de Norteamérica en donde se informa que Google LLC es “the managing member of Google International LLC”.

Se reitera que ser “managing member” significa que Google LLC no solo es propietario de Google International LLC sino que, también dirige las operaciones diarias de esa empresa, toma decisiones comerciales y tiene la autoridad para vincular a Google International LLC en contratos y acuerdos. En suma, Google LLC, de una parte, es el managing member de Google International LLC que es el socio mayoritario (99,04%) de Google Colombia Limitada, y, de otra parte, es socio de la citada empresa colombiana.

Lo anterior lo ilustramos a continuación: De conformidad con lo expuesto, es innegable el enorme poder económico y decisorio que tiene GOOGLE LLC sobre GOOGLE COLOMBIA LTDA.. Sostiene Google Colombia Limitada que, “el análisis superficial que se realiza por parte de la Delegatura encargada de la presente investigación, no logra demostrar, de manera sustancial, cómo la estructura corporativa define de manera tajante que dos sociedades distintas sean corresponsables del tratamiento de datos personales que realiza, por el mero hecho de que una de ellas sea inversionista en la otra, cuando en todo caso, es imposible 2 Cfr. UNITED STATES.

SECURITIES AND EXCHANGE COMMISSION. Schedule 13G/A Under the Securities Exchange Act of 1934. (Amendment No. 3)*. En: https://www.sec.gov/Archives/edgar/data/1645494/000119312519038289/d671071dsc13ga.htm. Última consulta: Noviembre 8 de 2021 RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA definirlo sin conocer siquiera las operaciones propias del día a día de cada una de las sociedades investigadas” (Énfasis añadido).

Esta Delegatura no ha realizado un análisis superficial -como lo afirma Google Colombia Limitada- sino un estudio serio y riguroso que demuestra todo lo contrario que pretende desconocer dicha empresa. El hecho que la apoderada no comparta las conclusiones de esta entidad, no le resta valor a las pruebas ni a los hallazgos encontrados durante la actuación administrativa.

Tampoco tienen la entidad suficiente para desconocer que, entre otras, GOOGLE COLOMBIA LTDA. es una extensión directa de GOOGLE INTERNATIONAL LLC, e indirectamente de GOOGLE LLC. Lo anterior, sumado a otras razones expuestas por esta entidad, son suficientes para corroborar la legalidad del acto administrativo recurrido.

4. DEL PRINCIPIO DE PRIMACÍA DE LA REALIDAD SOBRE LAS FORMAS El artículo 53 de la Constitución Política Nacional es el fundamento jurídico de este principio. Según la Corte Constitucional, “La primacía de la realidad sobre las formalidades establecidas por los sujetos de las relaciones laborales, es un principio constitucional (…) El mencionado principio agota su cometido al desentrañar y hacer triunfar la relación de trabajo sobre las apariencias que hayan querido ocultarla..”3 Este principio no solo es aplicable a las relaciones laborales sino a otras situaciones.

En este sentido, en relación con otros campos del derecho, la Corte Suprema de Justicia, en Sentencia de 24 de julio de 2012 (radicado No. 2005-00595-01), consideró que: “Para averiguar el querer de los obligados, a más del tenor literal de sus cláusulas y las directrices establecidas en los artículos 1618 a 1624 del Código Civil, 5 y 823 del Código de Comercio, debe tener en cuenta el intérprete diversos factores que inciden en el acuerdo, tales como las condiciones particulares de los intervinientes y su proceder en los diferentes momentos contractuales, esto es, antes, durante y después de su celebración, de tal manera que se refleje de manera precisa el ánimo que los inspiró a vincularse (…)” Dado lo anterior, para este Despacho es relevante determinar lo que ocurre en la realidad y lo que se ha definido “formalmente” entre las empresas en cuestión. Así pues, en este caso, se dio prevalencia a lo que ha pasado en la práctica entre Google Colombia Limitada y las demás compañías de Google.

Es bien conocido el aforismo del derecho que señala, “las cosas son lo que define su naturaleza y no lo que su denominación determina”. O, lo que es igual, el principio de irrelevancia del nomen iuris, o principio de primacía de la realidad (las cosas son lo que son y no lo que las partes dicen que son). Frente al punto anterior, la recurrente manifestó: “Finalmente, el artículo 53 de la Constitución Política que cita la SIC para el presente caso se refiere explícitamente a la primacía de la realidad sobre las formas en las relaciones laborales y así lo ha interpretado también la Corte Constitucional (como cita igualmente la SIC).

Es apropiado advertir que esta norma y la jurisprudencia citada nada tienen que ver con el caso concreto. Tampoco tiene nada que ver con el caso concreto la sentencia de la Corte Suprema de Justicia citada por la SIC. 3 Cfr. Corte Constitucional, sentencia C-555 de 1994. M.P. Dr. Eduardo Cifuentes Muñoz RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Esto solo hace más visible el esfuerzo descomunal que hace la SIC de usar cualquier tipo de argumentación, atropellando el derecho, para tratar de encuadrar la figura de corresponsabilidad para el caso de Google Colombia, a pesar de que ni el derecho ni los hechos lo permiten concluir”.

Al respecto, se equivoca la recurrente en su apreciación, pues, en todo caso se trata de un principio del derecho que se aplica a cualquier tipo de relación, bien sea civil, comercial laboral, etc. De conformidad con este principio, prima la realidad material sobre las formalidades o apariencias jurídicas. La aplicación del mismo implica desestimar la forma y las apariencias e imponer la materialidad de lo que sucede en la práctica.

No se está atropellando el derecho -como lo afirma Google Colombia- sino evitando que se atropellen los derechos de millones de menores de edad. Olvida la recurrente que según el artículo 44 de la Constitución de la República de Colombia, “Los derechos de los niños prevalecen sobre los derechos de los demás” y que la protección de estos debe garantizarse en la práctica.

No es sensato analizar el tema desde una lectura parcial, subjetiva y limitada a ciertas normas, sino que es imperioso aplicar integralmente diferentes normas de la regulación colombiana y dar primacía a los mandatos constitucionales tal y como lo ordena el artículo 4 de nuestra Carta Política de 1991, a saber: “La Constitución es norma de normas.

En todo caso de incompatibilidad entre la Constitución y la ley u otra norma jurídica, se aplicarán las disposiciones constitucionales. Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. La protección de los derechos de los menores de edad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

5. DE LA CORRESPONSABILIDAD ENTRE GOOGLE COLOMBIA LIMITADA Y GOOGLE LLC La recurrente afirma, “La SIC, a través de la Decisión Recurrida, realiza múltiples afirmaciones, no probadas, para llegar a la conclusión de que Google Colombia realiza el tratamiento de datos personales ( ) en Colombia, en directa relación con el tratamiento de datos personales que realiza Google LLC en el exterior.

Dentro de los argumentos que sustentan esta conclusión, se encuentra una supuesta relación de control o grupo empresarial que existiría entre mi representada y Google LLC. ( ) La SIC parte de una premisa errada, pues el mero hecho de realizar gestiones comerciales para otro (si ese fuera el caso), no implica el efectivo tratamiento de datos personales ni mucho menos la calidad de Responsable, por parte de quien realiza la gestión comercial para el otro como una regla general, que, para este caso, la SIC pretende extender dentro de un contexto específico del tratamiento de datos de terceros dentro de la plataforma YouTube.

Lo anterior, por cuanto la ley es meridianamente clara al definir el tratamiento como “cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”. RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Al respecto, es importante recordar que es la misma Constitución Política Nacional la que ordena el cumplimiento de las normas legales a los extranjeros y nacionales en su artículo 4: Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

Asimismo, es importante tener presente que, tal y como lo expresó la recurrente en el documento bajo estudio, Google Colombia es un proveedor de servicios de marketing y capacitación a clientes o potenciales clientes de Google LLC, sobre las herramientas disponibles para crear y administrar campañas de publicidad online. Resulta innegable que el modelo económico de las compañías en las que tiene participación Google, está basado, entre otras, en la obtención de beneficios a través de la publicidad en línea que está dirigida a los usuarios que utilizan las plataformas que Google administra, y, aunque Google Colombia Limitada no realice una actividad directamente vinculada a la plataforma de YouTube, el hecho de promocionar y vender espacios publicitarios en dicha plataforma, configura una actividad comercial estrechamente vinculada entre dichas empresas y el servicio ofrecido.

Ahora bien, debe tenerse presente que lo anterior no es, per se, determinante, sino que, debe sumarse a otros factores o razones expuestos por esta entidad para emitir la resolución recurrida como, entre otras, el enorme poder económico y decisorio que tiene GOOGLE LLC sobre GOOGLE COLOMBIA LTDA. En otras palabras, el solo hecho de realizar actividades de marketing no fue suficiente para emitir la Resolución No. 70315 de 2020.

Tampoco lo fue el mero uso de la marca Google por parte de la recurrente. Pero, el conjunto de esos elementos sumados a los mandatos constitucionales citados (artículos 4 y 44) justifican jurídicamente la expedición de la citada resolución. Reiteramos que el presente caso no se puede analizar desde una lectura parcial, subjetiva, limitada y aislada de ciertas normas sino que, es imperioso aplicar integralmente diferentes disposiciones de la regulación colombiana para dar primacía a los mandatos constitucionales tal y como lo ordena el artículo 4 de nuestra Constitución Política Nacional, especialmente dar cumplimiento al artículo 44 superior, según el cual, “Los derechos de los niños prevalecen sobre los derechos de los demás”.

Ahora, la recurrente en relación con la corresponsabilidad manifiesta que Google Colombia no promueve ni instruye (pero especialmente, no instruye) en el uso de los datos personales a Google LLC para ofrecer publicidad a sus clientes. Pues como se ha venido probando, las operaciones propias de mi representada no tienen como finalidad instruir ni promover el tratamiento de datos personales de terceros por parte de Google LLC.

Pues nuevamente se le recuerda a la Autoridad que: i) Google LLC es la única operadora de la plataforma YouTube en Colombia, y ii) la relación de Google Colombia con la compañía extranjera estaba estructurada para el soporte y asistencia por parte de la compañía colombiana en materia de marketing a favor de Google LLC y sus afiliadas.

Así, es necesario aclarar una vez más que Google Colombia es un proveedor de servicios de marketing y capacitación a clientes o potenciales clientes de Google LLC, sobre las herramientas disponibles para crear y administrar campañas de publicidad online. La RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA contraprestación percibida por Google Colombia no guarda ninguna relación con los ingresos de Google LLC provenientes de publicidad online de clientes residentes en Colombia.

( ) es claro que Google Colombia no es corresponsable por el tratamiento de datos que realiza Google LLC, en cuanto a los usuarios y el funcionamiento de la plataforma YouTube pues como se ha indicado previamente, Google Colombia no determina ni las finalidades ni los medios del tratamiento de los datos personales de los usuarios de YouTube, los cuales son definidos por Google LLC.

Si bien es posible que en un tratamiento de datos varios agentes puedan determinar conjuntamente el propósito y los medios de tratamiento, esto no ocurre en el caso bajo análisis. Estos mismos argumentos fueron presentados en el memorial de alcance presentado por la recurrente mediante escrito No. 19-202397-68 de 19 de agosto de 2021. Al respecto, el artículo 3 de la Ley 1581 de 2012 define al Responsable del Tratamiento de Datos como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los mismos.

En igual sentido se ha pronunció la Corte Constitucional en la Sentencia C-748 de 2011: “Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado. Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente- los fines y medios del tratamiento.

Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis. Así, el concepto de responsable puede cobijar tanto a la fuente como al usuario, en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera”.

(Destacamos). Como lo reconoce la Corte Constitucional, la definición de Responsable es amplia y no se limita a quien es el “propietario de la base de datos”. Como es sabido, esa corporación ha establecido “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”.

Adicionalmente, quienes recolectan, tratan o usan datos personales no son dueños de esa información sino meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia o dolo en esta materia afecta los derechos humanos de los titulares de los datos. Por eso, el artículo 15 de la Constitución de la República de Colombia ordena, entre otras, lo siguiente: “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” De esta manera tenemos que, no es solo la administración de la Base de Datos lo que interesa para determinar o no el grado de responsabilidad, sino la finalidad perseguida al realizar el Tratamiento de los Datos personales.

Estamos en presencia de un tema de fondo que abarca una corresponsabilidad que va más allá de quién recolecta o no la información. RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Igualmente, este Despacho reitera que con la orden impuesta a la recurrente no se le están endilgando nuevas responsabilidades ni deberes no contemplados en la normatividad colombiana, solo se le está exigiendo el debido respeto y cumplimiento de esta.

La protección de los menores de edad no debe reducirse a un asunto meramente de derecho societario o de derecho comercial. Se trata de un tema de gran calado e importancia en nuestro país que no debe minimizarse a esos escenarios. No es un tema meramente corporativo porque exista o no vínculo societario (que en este caso está comprobado de acuerdo con el certificado de existencia y representación legal de la recurrente).

Acá no se está reemplazando la ley, ni tampoco existe un porcentaje legal que determine a ciencia cierta o no la colaboración en determinado grado para la consecución de nuevos usuarios o el aprovechamiento de las campañas publicitarias promovidas por Google Colombia Ltda. Ahora, a pesar de que la recurrente insista en contradecir la realidad de su función en relación con Google LLC haciendo uso de eufemismos con el fin de tratar de convencer de que no realiza actividades de publicidad sino de marketing4, el escenario real es que la sociedad realiza Tratamiento de Datos personales, y se encarga de efectuar actividades de mercadeo a los clientes -de Google LLC- que quieren pautar publicidad dirigida a los usuarios de la plataforma que hacen parte del mercado objetivo.

El cual se conforma por los usuarios de Google LLC en territorio colombiano. Por esta razón, su interacción y asesoría es con las empresas del sector real con fines de marketing y publicidad, las cuales, buscan lograr el consumo de sus bienes y/o servicios por parte de ese mercado objetivo (target). La tarea de la sociedad es promocionar la publicidad dirigida que se puede ofrecer en la plataforma y asesorar a las compañías que invierten o tienen interés en invertir en ese tipo de publicidad.

En términos precisos, la importancia de Google Colombia Limitada en el modelo de negocios es imprescindible, frente a las utilidades generadas por la pauta dirigida a los usuarios de la plataforma ubicados en el territorio colombiano. Visto lo anterior, vale la pena traer a colación la siguiente manifestación de la recurrente en el memorial de alcance presentado: “Se le recuerda a la SIC que Google Colombia no desarrolla la venta de espacios publicitarios ni ninguna otra que sea esencial para Google LLC, más allá de la promoción y publicidad de sus servicios.

La SIC desconoce las actividades a las que se dedica Google Colombia, que solamente asiste y soporta a Google LLC con el marketing y la demostración de los servicios de Google LLC en Colombia”. (Destacamos). Como se observa, Google Colombia reconoce que “asiste y soporta a Google LLC con el marketing y la demostración de los servicios de Google LLC en Colombia”.

Esto pone de presente su papel protagónico en una actividad que indirectamente implica el tratamiento de datos personales de millones de Datos personales de menores de edad. En todo caso, insistimos que el simple hecho de realizar actividades de marketing no fue suficiente para emitir la Resolución No. 70315 de 2020. Tampoco lo fue el solo uso de la marca Google por parte de la recurrente.

Pero el cúmulo de esos elementos sumados al enorme poder de GOOGLE LLC sobre GOOGLE COLOMBIA y las disposiciones De acuerdo con la Real Academia de la Lengua la palabra marketing (mercadotecnia) conjunto de principios y prácticas que buscan el aumento del comercio, especialmente de la demanda. es el RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA constitucionales citados (artículos 4 y 44) justifican jurídicamente la expedición de ese acto administrativo.

Es necesario insistir en que el presente caso no se puede analizar desde una lectura parcial, subjetiva, limitada y aislada de ciertas normas sino que es imperioso aplicar integralmente diferentes disposiciones de la regulación colombiana para dar primacía a los mandatos constitucionales tal y como lo ordena el artículo 4 de nuestra Constitución Política Nacional y, especialmente dar cumplimiento al artículo 44 de la misma, según el cual, “Los derechos de los niños prevalecen sobre los derechos de los demás”.

La decisión adoptada mediante la Resolución No. 70315 de 2020 fue objetiva, lícita y necesaria para proteger los derechos de los menores de edad como Titulares de sus Datos personales y dar cumplimiento al artículo 44 de la Constitución de la República de Colombia según el cual los derechos de los niños prevalecen sobre los derechos de los demás. Uno de esos derechos es, precisamente, el establecido en el artículo 15 de nuestra Constitución Política -habeas data y debido Tratamiento de Datos personales.

6. DEL USO DE LA MARCA GOOGLE (…) (…) RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA El solo uso de una marca no significa que existe corresponsabilidad en el Tratamiento de Datos personales. No obstante, ese uso es un insumo que, sumado a otros, permite establecer los vínculos existentes entre el titular de la marca y el usuario de la misma.

En el presente caso, Google Colombia Limitada usa la marca (signo) “Google”. La cual, está registrada en la República de Colombia a nombre de Google LLC., tal y como se puede constatar en la siguiente imagen: Trámite Marca Signo GOOGLE Tipo Nominativa Titular GOOGLE LLC GOOGLE LLC GOOGLE LLC Expediente 03079492 Certificado 283580 Clase Estado Registrada Marca GOOGLE Nominativa 03079494 283578 Registrada Marca GOOGLE Nominativa 05122692 368784 Registrada Marca GOOGLE Nominativa GOOGLE LLC 05122699 474076 Registrada Marca GOOGLE Nominativa 05122700 317554 Registrada Marca GOOGLE Nominativa GOOGLE LLC GOOGLE LLC 06082680 330193 Registrada Marca GOOGLE Nominativa 06083890 329414 Registrada Marca Google TV Mixta GOOGLE LLC GOOGLE LLC 12001294 459234 Registrada Marca GOOGLE PLAY Google play Mixta GOOGLE LLC GOOGLE LLC 12138705 469879 Registrada 12138706 478199 Registrada GOOGLE MIRROR GOOGLE MIRROR Nominativa GOOGLE LLC GOOGLE LLC 12221011 493126 Registrada 12221029 501415 Registrada GOOGLE CHROMEB OOK PIXEL GOOGLE CHROME Nominativa GOOGLE LLC 13037715 478241 9, 35, Registrada Nominativa GOOGLE LLC 13134795 481350 9, 35, Registrada GOOGLE KEEP GOOGLE CHROMEC AST GOOGLE CHROMEB ASE Google Developers Launchpad Google Developers Nominativa 13209121 488370 9, 42 Registrada Nominativa GOOGLE LLC Google LLC 15036328 526913 9, 42 Registrada Nominativa Google LLC 15132914 535975 9, 35, Registrada SD2016/000 0618 600315 Registrada Mixta Google LLC SD2017/004 4533 588227 9, 41, Registrada Marca GOOGLE PIXEL Nominativa GOOGLE LLC SD2018/000 2188 659838 Registrada Marca GOOGLE Nominativa GOOGLE LLC SD2018/001 0654 608455 Registrada Marca GOOGLE PIXEL GOOGLE HOME MINI Nominativa GOOGLE LLC GOOGLE LLC SD2018/008 0293 SD2019/005 4530 617383 9, 35, 36, 38, 39, 42 635579 9, 38 Registrada GOOGLE PLAY Mixta GOOGLE LLC SD2020/007 1842 675902 Registrada Marca Marca Marca Marca Marca Marca Marca Marca Marca Marca Marca Marca Mixta Nominativa Nominativa Nominativa Registrada Vigencia 30 de junio de 2024 30 de junio de 2024 28 de noviembre de 2028 31 de octubre de 2031 30 de junio de 2026 30 de marzo de 2027 9 de marzo de 2027 11 de septiembre de 2022 26 de abril de 2023 9 de octubre de 2023 29 de mayo de 2024 15 de octubre de 2024 16 de octubre de 2023 10 de diciembre de 2023 30 de abril de 2024 15 de abril de 2024 21 de marzo de 2024 15 de abril de 2026 3 de noviembre de 2026 25 de agosto de 2030 21 de noviembre de 2028 25 de abril de 2029 13 de diciembre de 2029 4 de marzo de 2031 RESOLUCIÓN NÚMERO 72775 DE 2021 Marca Marca GOOGLE PLAY GOOGLE WORKSPA CE Mixta Nominativa GOOGLE LLC GOOGLE LLC SD2020/007 1843 SD2020/008 8495 VERSIÓN ÚNICA 675896 Registrada 679513 9, 38, Registrada 4 de marzo de 2031 22 de abril de 2031 Google es una de las marcas mas valiosas del mundo tal y como lo señalada interbrand en su estudio Best Global Brands 20215: El uso de una marca tan valiosa por parte de la sociedad colombiana es otro elemento que permite concluir los vínculos estratégicos y comercial existentes de Google LLC y Google Colombia S.A.S. La primera es quien recolecta los Datos de millones de menores de edad y de adultos.

Sus productos o servicios se basan, entre otros, en el uso de esos Datos personales, los cuales son el insumo fundamental de los mismos. Google Colombia Limitada, por su parte, se encarga de realizar marketing y/o publicidad utilizando el citado signo distintivo. En suma, Google Colombia Limitada es determinante para la comercialización de los productos o servicios de Google LLC, los cuales se basan en el uso de los Datos personales tratados y recolectados en el territorio de la República de Colombia y de otros países.

De hecho, Google de Colombia manifestó que: “Google LLC le ha otorgado a Google Colombia una licencia no exclusiva para el uso de diferentes marcas y otros signos distintivos, con el solo propósito de que Google Colombia pueda proveer sus servicios a Google LLC, descritos anteriormente. Esta licencia es clara en no otorgar derecho alguno a Google Colombia sobre cualquiera de los servicios y/o herramientas de Google LLC.

Google LLC también ha autorizado, por ejemplo, que otros terceros, como sus partners de ventas en Colombia (con quienes tiene relaciones directas), hagan uso de su marca, para la venta de sus servicios. Estos partners, a pesar de hacer uso de la marca y promover y vender servicios de Google LLC, no podrían ser considerados Responsables per se del tratamiento de datos personales que haga Google LLC· Tan es así que, sin el consentimiento de Google LLC, Google Colombia Ltda. no podría usar la marca tal y como lo establece el artículo 155 de la Decisión Andina 486 de 2000: Artículo 155.- El registro de una marca confiere a su titular el derecho de impedir a cualquier tercero realizar, sin su consentimiento, los siguientes actos: a. aplicar o colocar la marca o un signo distintivo idéntico o semejante sobre productos para los cuales se ha registrado la marca; sobre productos vinculados a los servicios para los cuales ésta se ha registrado; o sobre los envases, envolturas, embalajes o acondicionamientos de tales productos; b. (…) c. (…) 5 Cfr. Interbrand (2021).

Best Global Brands 2021. En: https://interbrand.com/best-brands/ RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA d. usar en el comercio un signo idéntico o similar a la marca respecto de cualesquiera productos o servicios, cuando tal uso pudiese causar confusión o un riesgo de asociación con el titular del registro. Tratándose del uso de un signo idéntico para productos o servicios idénticos se presumirá́ que existe riesgo de confusión; e. usar en el comercio un signo idéntico o similar a una marca notoriamente conocida respecto de cualesquiera productos o servicios, cuando ello pudiese causar al titular del registro un daño económico o comercial injusto por razón de una dilución de la fuerza distintiva o del valor comercial o publicitario de la marca, o por razón de un aprovechamiento injusto del prestigio de la marca o de su titular; f. usar públicamente un signo idéntico o similar a una marca notoriamente conocida, aun para fines no comerciales, cuando ello pudiese causar una dilución de la fuerza distintiva o del valor comercial o publicitario de la marca, o un aprovechamiento injusto de su prestigio.” En todo caso, insistimos que usar una marca no fue, por sí solo, suficiente para emitir la Resolución No. 70315 de 2020.

Tampoco lo fue la realización de actividades de marketing o publicidad por parte de la recurrente. Pero todos esos elementos sumados al enorme poder de GOOGLE LLC sobre GOOGLE COLOMBIA LIMITADA y las disposiciones constitucionales citadas (artículos 4 y 44) justifican jurídicamente la expedición del acto administrativo recurrido. Insistimos en que el presente caso no se puede analizar desde una lectura parcial, subjetiva, limitada y aislada de ciertas normas sino que es imperioso aplicar integralmente diferentes disposiciones de la regulación colombiana para dar primacía a los mandatos constitucionales tal y como lo ordena el artículo 4 de nuestra Carta Política de 1991 y, especialmente dar cumplimiento al artículo 44 de la Constitución de la República de Colombia, según el cual, “Los derechos de los niños prevalecen sobre los derechos de los demás”.

7. LA ORDEN ADMINISTRATIVA NO SE FUNDA EN EL REGLAMENTO EUROPEO DE PROTECCIÓN DE DATOS NI EN LA LEY ESPAÑOLA DE PROTECCIÓN DE DATOS Afirma lo siguiente Google Colombia: RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Dado que Google Colombia Limitada pone en duda que esta entidad aplica la ley colombiana, a continuación traemos a colación lo planteado en la Resolución No. 60478 de 21 de septiembre de 2021 mediante la cual se resolvió el recurso de apelación de Google LLC, quien, en su momento afirmó lo siguiente: “( ) Google señaló́ de forma clara que el supuesto de hecho en el que la SIC funda su competencia no es válido, puesto que el Tratamiento de datos [sic] personales ocurre fuera del territorio nacional y adicionalmente la norma española en la que se funda la Resolución [sic] recurrida no es equivalente al supuesto de derecho ni de hecho de la norma colombiana, en la medida en que el criterio de aplicación de la norma colombiana es que ocurra un Tratamiento de datos [sic] personales en territorio colombiano y no hace referencia alguna a que el medio de recolección de información se encuentre o no en este último.

(…)”. Como es sabido, esta autoridad inició la investigación porque GOOGLE LLC fue sancionada en los Estados Unidos de Norteamérica por recolectar ilegalmente información personal de niños. A partir de ello se inició actuación administrativa para establecer si esa empresa cumple la regulación colombiana sobre el Tratamiento de los Datos personales de los niños, niñas y adolescentes (NNA).

En efecto, en la resolución recurrida se señaló: “PRIMERO: Que mediante comunicado de prensa del 4 de septiembre de 2019, la Federal Trade Commission -FTC- (Comisión Federal de Comercio de los Estados Unidos de América) comunicó lo siguiente: “Google LLC y su subsidiaria YouTube, LLC pagarán una suma récord de $170 millones de dólares para resolver las alegaciones presentadas por la Comisión Federal de Comercio (FTC, por sus siglas en ingles) y por el Fiscal General de Nueva York que indican que el servicio para compartir videos de YouTube recolectó ilegalmente información personal de niños sin el debido consentimiento de sus padres”.

Dado que el artículo 44 de la Constitución ordena que los derechos de los niños prevalecen sobre los derechos de los demás, este Despacho requirió el 5 de septiembre de 2019 a la sociedad GOOGLE LLC6, para que informara a esta Autoridad: a. Si el procedimiento mencionado en el acuerdo de la FTC – obtención de Datos de menores de edad sin el consentimiento de sus padres – fue utilizado en 6 Folios 5-6.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Colombia por ustedes para recolectar Datos de personas menores de dieciocho (18) años ubicados en la República de Colombia. En caso positivo, indicar el número de personas sobre las cuales se recolectó información y el tipo de Datos recolectados (privados, semiprivados, sensibles o públicos). b. Si en la actualidad, Google por medio de la plataforma YouTube, está recolectando Datos personales de menores de dieciocho (18) años en territorio colombiano. c. Cuál es el procedimiento que está empleando la compañía para la recolección de los Datos personales, por medio de la plataforma YouTube de menores de dieciocho (18) años ubicados en el territorio colombiano. Lo anterior también debía ser acreditado. d. Cuáles son las finalidades del Tratamiento de los Datos personales recolectados de menores de dieciocho (18) años en territorio colombiano. e. Cuáles mecanismos se están empleando para garantizar que los representantes legales y/o tutores autoricen el Tratamiento de los menores de dieciocho (18) años en territorio colombiano. Lo anterior también debía ser acreditado. f. Informe y acredite cómo dicho procedimiento de recolección de datos personales respeta y garantiza el cumplimiento de la Ley 1581 de 2012 y el Decreto 1377 de 27 de junio de 2013 (incorporado en el Decreto 1074 de 2015). g. Informe y acredite cómo dicho procedimiento de recolección de datos personales respeta y garantiza el cumplimiento de los derechos que tienen los Titulares del dato a la luz de la Ley 1581 de 2012, en especial, su artículo 7. h. Informe si ustedes están compartiendo con terceros los datos de menores dieciocho (18) años ubicados en el territorio colombiano.” De la lectura de la Resolución No. 53593 de 2020 se puede constatar que las órdenes fueron emitidas con base en las siguientes normas de la República de Colombia: • Constitución Política de 1991 (Artículos 4 y 333); • Ley Estatutaria 1581 de 2012 (Artículos 2; 3; 9; 12; 14; 17; 19; 21); • Decreto 1074 de 2015 (Artículos 2.2.2.25.2.1; 2.2.2.25.2.2; 2.2.2.25.2.4; 2.2.2.25.2.5; 2.2.2.25.2.9; 2.2.2.25.3.1; 2.2.2.25.4.4; 2.2.2.25.3.6; 2.2.2.25.6.1; 2.2.2.25.6.2.) Así, el simple hecho de que se citen casos y decisiones de otras autoridades (Federal Trade Commission de los Estados Unidos de América -FTC-;

Agencia Española de Protección de Datos -AEPD-; Comisión Australiana de la Competencia y del Consumidor -ACCC- y La Commission Nationale de l'informatique et des libertés, CNIL), no significa que la decisión de esta entidad se funda en normas extranjeras. Adicionalmente, la ley no prohíbe que en los actos administrativos se citen las experiencias de autoridades extranjeras.

Ocultarlas o ignorarlas sería desconocer la realidad jurídica y tecnológica de temas que son objeto de investigación y sobre los cuales existen decisiones en otras partes del mundo. Es útil conocer las decisiones de autoridades extranjeras porque lo que sucede en otros países no solo puede estar pasando o replicándose en nuestro país, sino que, podría estar afectando los derechos de los ciudadanos y residentes de la República de Colombia.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA No debe perderse de vista que otras autoridades extranjeras han adelantado investigaciones y tomado decisiones contra empresas que recolectan y usan los Datos de los ciudadanos o residentes domiciliados en sus territorios. Dichas empresas actúan en muchos países del mundo y recogen Datos de ciudadanos de casi todas partes del mismo.

Aunque no estén domiciliadas físicamente en todos los territorios, utilizan herramientas tecnológicas -como las cookies- para recolectar información en muchos países. Antes del surgimiento de internet, algunas empresas se domiciliaban en varios países para poder emprender negocios o actuar en determinado territorio. Ahora, pueden realizar sus actividades recurriendo al uso de tecnologías sin que sea necesaria su presencia física creando sociedades o abriendo establecimientos de comercio, sucursales o agencias- en cada país. Aunque no existe presencia física, sí existe presencia tecnológica en muchos territorios para poder recolectar, usar o tratar Datos personales.

Tampoco debe olvidarse que algunas empresas obran de la misma manera en diferentes territorios y su labor impacta masivamente a millones de ciudadanos en el mundo. Su actuar global y transfronterizo afecta a ciudadanos de varios países, razón por la cual varias autoridades actúan desde sus territorios y dentro del marco de sus competencias frente a dichas situaciones con miras a lograr una real y efectiva protección de los derechos de todas las personas.

Eso es lo que ha hecho esta autoridad teniendo en cuenta lo que ordena la Constitución Política Nacional y la regulación colombiana. En línea con lo anterior, vale la pena recordar que, por ejemplo, se hizo referencia a la Federal Trade Commission de los Estados Unidos de América -FTC porque, como se indicó en el primer considerando de la resolución recurrida: “mediante comunicado de prensa del 4 de septiembre de 2019, la Federal Trade Commission -FTC- (Comisión Federal de Comercio de los Estados Unidos de América) comunicó lo siguiente: “Google LLC y su subsidiaria YouTube, LLC pagarán una suma récord de $170 millones de dólares para resolver las alegaciones presentadas por la Comisión Federal de Comercio (FTC, por sus siglas en ingles) y por el Fiscal General de Nueva York que indican que el servicio para compartir videos de YouTube recolectó ilegalmente información personal de niños sin el debido consentimiento de sus padres”.

(Énfasis añadido) Ese asunto se desarrolló en el siguiente título del acto administrativo recurrido “IX. Actuaciones y decisiones de autoridades extranjeras respecto de la obtención del consentimiento previo, expreso e informado del representante legal para el Tratamiento de niños, niñas y/o adolescentes” (páginas 32-34). En la página 32 de la Resolución No. 53593 de 2020 se puso de presente lo siguiente: “Para los fines de la presente resolución, esta Dirección considera importante hacer referencia al acuerdo de $170 millones de dólares suscrito entre la COMISIÓN FEDERAL DE COMERCIO DE LOS ESTADOS UNIDOS DE AMÉRICA (“The Federal Trade Commission”), la OFICINA DEL FISCAL GENERAL DEL ESTADO DE NUEVA YORK76, en representación de las personas del Estado de Nueva York, GOOGLE LLC y su subsidiaria YOUTUBE LLC, por la presunta infracción por parte de estas últimas de la Regla de la Ley de Protección de la Privacidad Infantil en Internet (COPPA, por sus siglas en inglés) RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA “La Comisión Federal de Comercio de los Estados Unidos de Norteamérica y la Oficina del Fiscal General del Estado de Nueva York, encontraron que el servicio para compartir videos de YouTube recogió ilegalmente información personal de niños.

Entre ellos, aquellos Datos recolectados a través de “cookies” o tecnologías similares, sin notificar (o informar) esas prácticas de recolección y, según la demanda presentada por esas autoridades, sin obtener el consentimiento verificable de los padres antes de recolectar esa información personal de los menores de edad.” (Énfasis añadido) Adicionalmente, se citaron las autoridades de Australia y Francia para destacar que: “Respecto a la claridad de la Política de Privacidad de Google, es pertinente destacar que la Comisión Australiana de la Competencia y del Consumidor (ACCC por sus siglas en inglés), en su reporte “Digital Platforms Inquiry” determinó que las políticas de privacidad de las plataformas digitales, entre ellas, la de Google, carecen de esa característica.

Señaló que la complejidad del lenguaje empleado hace que sea más difícil para los usuarios promedio procesar la información contenida dentro de estas políticas. También crea dificultades particulares para los niños. A esta misma conclusión llegó la Comisión Nacional de Informática y de las Libertades de Francia (La Commission Nationale de l'informatique et des libertés, CNIL) en su decisión contra GOOGLE.” También se transcribió lo siguiente en la página 10 respecto de la Agencia Española de Protección de Datos (AEPD) que: “ (…) a finales de 2013 la Agencia Española de Protección de Datos (en adelante AEPD) concluyó lo siguiente con ocasión de una investigación que inició contra Google: “En todo caso, (…), la entidad Google Inc. recurre a medios situados en el territorio español con el fin de captar información en nuestro territorio (utilizando, entre otros, los equipos de los usuarios residentes en España para almacenar información de forma local a través de cookies y otros medios, así́ como ejecutando código en dichos dispositivos), sin que la utilización de tales equipos para la recogida de datos se realice exclusivamente con fines de tránsito por el territorio de la Unión Europea, es decir, no se trata de equipos de transmisión, sino que dichos equipos se emplean para la recogida y tratamiento de los datos”(Destacamos).

Si bien, las decisiones de autoridades extranjeras no son fuente de derecho ni sus decisiones son vinculantes para esta autoridad, sí nos permiten conocer lo que está sucediendo en otros países respecto de temas que son objeto de investigación por esta Delegatura. Por eso, hacer referencia a sus decisiones no significa que el acto administrativo recurrido se adoptó con fundamento en la regulación de otros países.

Solo son algunos antecedentes relevantes sobre la recolección de Datos personales y la protección de los menores de edad. Aunque el mundo está dividido territorialmente, no debe olvidarse que, al mismo tiempo, está fusionado tecnológicamente. Por eso, en temas de Tratamiento de Datos personales es frecuente que se utilicen como referencia casos, normas o documentos extranjeros dentro de los considerandos de las decisiones, sin que ello implique que la decisión esté soportada RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA en esas referencias.

De hecho, la Corte Constitucional ha procedido de manera similar en algunas de sus decisiones. En el caso de la Sentencia C-748 de 2011 -mediante la cual efectuó la revisión integral del texto de la Ley Estatutaria 1581 de 2012- dicha corporación cita normas emitidas en Europa; la Organización de las Naciones Unidas; la Organización de Estados Americanos;

Estados Unidos de Norteamérica; España; Portugal; Argentina y Uruguay7. Eso no quiere decir que las decisiones de la Corte Constitucional se basen en esas referencias extranjeras. GOOGLE LLC realiza Tratamiento de Datos personales en territorio colombiano porque usa cookies para recolectar Datos personales en este país. Razón suficiente, para que de conformidad con lo establecido en el artículo 2 de la Ley Estatutaria 1581 de 2012 cumpla con lo estipulado en dicha ley y sus normas reglamentarias. 8.

COOKIES: RECOLECCIÓN Y TRATAMIENTO DE DATOS PERSONALES Señala lo siguiente la apoderada María Camila Piedrahita Tovar, apoderada de Google Colombia Limitada: “Finalmente, la SIC, en una maroma argumentativa que atenta contra cualquier principio de la lógica y de derecho, afirma que Google LLC (y el denominado “Grupo Google”, cuya existencia no ha sido probada o declarada por una autoridad competente) realiza tratamiento de datos en Colombia mediante la utilización de cookies (…).” Esta entidad tampoco ha acudido a “maromas argumentativas” como lo expresa Google Colombia Limitada.

Simplemente ha precisado de qué manera Google LLC recolecta Datos en el territorio colombiano. A continuación, reiteramos lo planteado sobre las “cookies” en la Resolución No. 60478 de 21 de septiembre de 2021 mediante la cual se resolvió el recurso de apelación de Google LLC: Google define el término cookie, en su Política de Privacidad como “( ) un pequeño archivo que incluye una cadena de caracteres que se envía al ordenador del usuario cada vez que visita un sitio web para que, cuando vuelva a visitarlo, el sitio web reconozca el navegador del usuario.

Entre otros datos, las cookies pueden almacenar las preferencias de los usuarios. Estos pueden configurar su navegador para que bloquee todas las cookies o para que avise cuando se esté enviando una. Sin embargo, puede que algunas de las funciones o servicios de un sitio web no funcionen correctamente sin cookies ( )” 8 y recalca, “Utilizamos diversas tecnologías para recoger y almacenar la información, entre las que se incluyen cookies, etiquetas de píxel, almacenamiento local (como el almacenamiento web del navegador o las cachés de datos de aplicaciones), bases de datos y registros de servidor.” (Énfasis añadido).

Autoridades de protección de Datos de varios países -Uruguay, España, Irlanda, Reino Unido, Italia y Estados Unidos- y el Tribunal de Justicia de la Unión Europea (TJUE) se han referido a la definición de “cookies” y su función. De las mismas se concluye, entre otras: a) Las cookies se instalan en los equipos de las personas (teléfonos celulares, tablets, computadoras o cualquier otro dispositivo que almacene información) b) La finalidad de las cookies es recolectar o almacenar Datos personales (nombre de usuario, un identificador único, dirección de correo electrónico, las búsquedas que 7 Cfr. Numerales 2.1.1.1.2, 2.1.1.1.3., 2.1.1.1.4., 2.25.3.1., 2.1.2.1., 2.18.3.1., 8 https://policies.google.com/privacy?hl=es RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA realiza de cada usuario y sus hábitos de navegación en internet, sitios que una persona visita en la web) y otros tipos de información. c) Las cookies son un mecanismo de rastreo o de seguimiento de las personas.

Por ejemplo, permiten realizar trazabilidad detallada de las búsquedas de un usuario en internet o de sus hábitos de navegación d) La recolección o almacenamiento de información mediante las cookies constituye un Tratamiento de Datos personales. Veamos: En el caso de la República Oriental del Uruguay, la Unidad Reguladora y de Control de Datos Personales señala lo siguiente en su guía sobre “Cookies y perfiles”9: “La cookie es un tipo de archivo que almacena información del usuario y es enviada por un sitio web a través de un navegador.

Este archivo se descarga en computadoras, tablets, celulares o cualquier otro dispositivo, con la finalidad de almacenar datos que podrán ser actualizados o recuperados por el responsable de su instalación”. (Énfasis añadido) En el Reino de España, la Agencia Española de Protección de Datos señala lo siguiente en su “Guía sobre el uso de cookies” 10: “La LSSI resulta aplicable a las cookies entendidas en el sentido señalado al comienzo de esta guía, esto es, como cualquier tipo de dispositivo de almacenamiento y recuperación de datos que se utilice en el equipo terminal de un usuario con la finalidad de almacenar información y recuperar la información ya almacenada, según establece el artículo 22.2 de la LSSI.

Las cookies permiten el almacenamiento en el terminal del usuario de cantidades de datos que van de unos pocos kilobytes a varios megabytes.”. (Énfasis añadido). Adicionalmente, la Agencia Española de Protección de Datos (en adelante AEPD) concluyó lo siguiente con ocasión de una investigación que inició contra Google: “En todo caso, (…), la entidad Google Inc. recurre a medios situados en el territorio español con el fin de captar información en nuestro territorio (utilizando, entre otros, los equipos de los usuarios residentes en España para almacenar información de forma local a través de cookies y otros medios, así́ como ejecutando código en dichos dispositivos), sin que la utilización de tales equipos para la recogida de datos se realice exclusivamente con fines de tránsito por el territorio de la Unión Europea, es decir, no se trata de equipos de transmisión, sino República Oriental del Uruguay, Unidad Reguladora y de Control de Datos Personales.

Cookies y perfiles. En: https://www.gub.uy/unidad-reguladora-control-datos-personales/sites/unidad-reguladora-control-datospersonales/files/documentos/publicaciones/Guia%2Bcookies%2By%2Bperfiles.pdf Reino de España. Agencia Española de Protección de Datos. Guía sobre el uso de cookies. En: https://www.aepd.es/es/documento/guia-cookies.pdf RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA que dichos equipos se emplean para la recogida y tratamiento de los datos”11.

(…). (Énfasis añadido). En la República de Irlanda, la Oficina del Comisionado de Protección de Datos publicó en el 2020 su guía sobre “Cookies y otras tecnologías de seguimiento”12. En ella, se afirmó que: “Las cookies suelen ser pequeños archivos de texto almacenados en un dispositivo, como una PC, un dispositivo móvil o cualquier otro dispositivo que pueda almacenar información. Los dispositivos que pueden utilizar cookies también incluyen los llamados dispositivos de "Internet de las cosas" (IoT) que se conectan a Internet.

Las cookies cumplen una serie de funciones importantes, que incluyen recordar a un usuario y sus interacciones anteriores con un sitio web. Se pueden usar, por ejemplo, para realizar un seguimiento de los artículos en un carrito de compras en línea o para realizar un seguimiento de la información cuando ingresa detalles en un formulario de solicitud en línea.

Las cookies de autenticación también son importantes para identificar a los usuarios cuando inician sesión en servicios bancarios y otros servicios en línea (…) La información almacenada en las cookies puede incluir datos personales, como una dirección IP, un nombre de usuario, un identificador único o una dirección de correo electrónico.

Pero también puede contener datos no personales como configuraciones de idioma o información sobre el tipo de dispositivo que una persona está usando para navegar por el sitio”. (Énfasis añadido). En el Reino Unido de Gran Bretaña e Irlanda del Norte, la Oficina de la Comisión de Información publicó su “Guía sobre el uso de cookies y tecnologías similares”13, en la cual se afirma lo siguiente: “Qué son cookies? Las cookies son pequeños fragmentos de información, que normalmente constan de letras y números, que los servicios en línea proporcionan cuando los usuarios los visitan.

El software en el dispositivo del usuario (por ejemplo, un navegador web) puede almacenar cookies y enviarlas al sitio web la próxima vez que lo visite. ¿Cómo se utilizan las cookies? Las cookies son una tecnología específica que almacena información entre visitas al sitio web. Se utilizan de diversas formas, como por ejemplo: 11 La AEPD concluyó lo siguiente: “la Agencia Española de Protección de Datos también es competente para decidir sobre el tratamiento llevado a cabo por un responsable no establecido en territorio del Espacio Económico Europeo que ha utilizado en el tratamiento de datos medios situados en territorio español, por lo que debe concluirse, igualmente, que la LOPD es aplicable al presente supuesto y procedente la intervención de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 2.1.c) de la LOPD“ (AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS.

Resolución R/02892/2013 del 19 de diciembre de 2013. Procedimiento sancionador PS/00345/2013 instruido a las entidades Google Inc. y Google Spain, S.L. Madrid, España). 12 Cfr. República de Irlanda. Oficina del Comisionado de Protección de Datos (2020) Guidance note: Cookies and other tracking technologies. En https://www.dataprotection.ie/sites/default/files/uploads/202004/Guidance%20note%20on%20cookies%20and%20other%20tracking%20technologies.pdf 13 Cfr. Reino Unido de Gran Bretaña e Irlanda del Norte.

Oficina de la Comisión de Información. Guidance on the use of cookies and similar technologies. En: https://ico.org.uk/for-organisations/guide-to-pecr/guidance-on-the-use-of-cookiesand-similar-technologies/ RESOLUCIÓN NÚMERO 72775 DE 2021 • • • • VERSIÓN ÚNICA recordar lo que hay en una “cesta” al comprar productos en línea; ayudar a los usuarios a iniciar sesión en un sitio web; analizar el tráfico de un sitio web; o seguimiento del comportamiento de navegación de los usuarios.

Las cookies pueden ser útiles porque permiten que un sitio web reconozca el dispositivo de un usuario. Se utilizan ampliamente para hacer que los sitios web funcionen o funcionen de manera más eficiente, así como para proporcionar información a los editores del sitio. Sin cookies, o algún otro método similar, los sitios web no tendrían forma de "recordar" nada sobre los visitantes, como cuántos artículos hay en una cesta de compras o si han iniciado sesión.” La Oficina Garante de la protección de datos personales de la República de Italia publicó este año (2021) sus Directrices para cookies y otras herramientas de seguimiento14, en donde señalan, entre otras, lo siguiente: “Las cookies son, por regla general, cadenas de texto que los sitios web visitados por el usuario (los llamados sitios web de 'editores' o 'propios') o diferentes sitios web o servidores web (los llamados 'terceros') colocan y almacenan en un dispositivo terminal en posesión del usuario, ya sea directamente, como es el caso de los sitios web de los editores, o indirectamente, como es el caso de los "terceros", es decir, a través de la intermediación de los sitios web de los editores.

Los dispositivos terminales a los que se hace referencia incluyen, por ejemplo, un ordenador, una tableta, un teléfono inteligente o cualquier otro dispositivo capaz de almacenar información. (…) (…) La información codificada en las cookies puede incluir datos personales, como una dirección IP, un nombre de usuario, un identificador único o una dirección de correo electrónico, pero también puede incluir datos no personales como la configuración de idioma o información sobre el tipo de dispositivo que está usando una persona para navegar dentro del sitio web.

Por lo tanto, las cookies pueden realizar funciones importantes y diversas, incluido el seguimiento de la sesión, el almacenamiento de información de acceso al servidor específica relacionada con la configuración del usuario, facilitar el uso de contenido en línea, etc. Por ejemplo, se pueden utilizar para realizar un seguimiento de los elementos en una cesta de la compra en línea o la información utilizada para completar un formulario informático”.

(Énfasis añadido). La Comisión Federal de Comercio (FTC) de los Estados Unidos de América define e indica los usos de las cookies en los siguientes términos: “Una cookie es información guardada por su navegador web. Cuando usted visita un sitio web, el sitio puede colocar una cookie en su navegador web para que pueda reconocer su dispositivo en el futuro.

Si regresa a ese sitio más adelante, puede leer 14 Cfr. República de Italia. Oficina Garante de la protección de datos personales (2021) Linee guida cookie e altri strumenti di tracciamento - 10 giugno 2021 [9677876]. En: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876#english RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA esa cookie para recordarlo de su última visita y realizar un seguimiento de usted a lo largo del tiempo.

Usos • • • • Recopilar información sobre las páginas que ve y sus actividades en el sitio Permitir que el sitio lo reconozca, por ejemplo: o Recordando su ID de usuario o Ofreciendo un carrito de compras en línea o Realizar un seguimiento de sus preferencias si vuelve a visitar el sitio web Personaliza tu experiencia de navegación Entregar anuncios dirigidos a usted” 15.

(Énfasis añadido). La FTC público la guía “Cómo Proteger tu Privacidad en línea” 16, en donde afirma lo siguiente: “Lo que hay que saber acerca del rastreo en línea Cookies Cuando usted visita un sitio web, el sitio podría colocar un archivo llamado una cookie en su navegador o explorador de internet. Los sitios web usan cookies para personalizar su experiencia de navegación en internet.

Cuando un sitio web coloca una cookie en su navegador, esa es una cookie de origen. A continuación, se enumeran algunos ejemplos de cómo pueden usar las cookies de origen los sitios web: • Un sitio web de noticias le muestra el estado del tiempo en su localidad y artículos sobre temas de su interés. • Un sitio web recuerda su nombre de usuario o los artículos que dejó en su carro de compras en línea.

Los sitios web que usted visita suelen permitir que otras compañías también coloquen cookies, por ejemplo, para mostrarle anuncios personalizados o dirigidos de acuerdo a sus intereses. Estas son cookies de terceros. A continuación, algunos ejemplos de cookies de terceros: • Una compañía de publicidad le coloca una cookie y ve que usted visitó un sitio web sobre carreras a pie.

Entonces, cuando usted visita otros sitios web, le muestra un anuncio de calzado deportivo para correr. • Una compañía analítica usa una cookie para obtener detalles sobre su visita a un sitio web, por ejemplo, cuánto tiempo pasó en ese sitio y qué paginas visitó. Puede usar la información que recolecta para detectar problemas con el sitio y mejorarlo.” (Énfasis fuera de texto).

Adicionalmente, en el año 2012 la Comisión Federal de Comercio (FTC) anunció que Google Inc. acordó pagar una multa civil de US $ 22.5 millones 17. Lo anterior, con el propósito de United States. Federal Trade Commission. What are cookies? En: https://www.ftc.gov/site-information/privacypolicy/internet-cookies Consultada el 16 de septiembre de 2021. 16 Estados Unidos de América.

Comisión Federal de Comercio. El texto completo de la guía puede consultarse en: https://www.consumidor.ftc.gov/articulos/como-proteger-su-privacidad-en-linea 17 Cfr. Google Will Pay $22.5 Million to Settle FTC Charges it Misrepresented Privacy Assurances to Users of Apple's Safari Internet Browser. August 9, 2012. Privacy Settlement is the Largest FTC Penalty Ever for Violation of a Commission Order.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA resolver los cargos presentados por la autoridad relacionados con el presunto engaño a los usuarios del navegador de Internet Safari. Ya que, se les informó que dicho navegador no instalaría cookies de seguimiento ni mostraría anuncios dirigidos a esos usuarios, violando un acuerdo previamente firmado por la empresa y la Comisión. La FTC señaló: “Google, el desarrollador del motor de búsqueda de internet más popular del mundo, genera miles de millones de dólares en ingresos anuales por la venta de servicios de publicidad en línea, incluida la remisión de anuncios publicitarios dirigidos.

Las cookies son pequeños fragmentos de texto de computadora que se utilizan para recopilar información de las computadoras y se pueden usar para mostrar anuncios dirigidos a los consumidores. Al colocar una cookie de seguimiento en la computadora de un usuario, una red publicitaria puede recopilar información sobre las actividades de navegación web del usuario y utilizar esa información para publicar anuncios en línea dirigidos a los intereses del usuario o para otros fines.

En su denuncia, la Comisión alegó que durante varios meses del 2011 y 2012, Google instaló una determinada cookie de seguimiento de publicidad en las computadoras de los usuarios que usaban Safari y que visitaban sitios dentro de la red publicitaria “DoubleClick” de Google, aunque Google había dicho previamente a estos usuarios que automáticamente serían removidos de dicho seguimiento, como resultado de la configuración predeterminada del navegador Safari utilizado en Macs, iPhones y iPads”18.

(Énfasis fuera de texto). Finalmente, el Tribunal de Justicia señaló lo siguiente en la sentencia con asunto C‐673/1719 de 1 de octubre de 2019: “(…) las cookies tienen como finalidad recabar información con fines publicitarios para los productos de las empresas colaboradoras del organizador del juego promocional (…)” De la resolución de remisión se desprende que las cookies son ficheros que el proveedor de un sitio de Internet coloca en el ordenador de los usuarios de dicho sitio y a los que puede acceder nuevamente, cuando estos vuelven a visitar el sitio, con el fin de facilitar la navegación en Internet o las transacciones o de obtener información sobre el comportamiento de dichos usuarios.

(…) Con carácter preliminar ha de precisarse que, según las indicaciones que figuran en la resolución de remisión, las cookies que pueden colocarse en el equipo terminal de los usuarios que participan en el juego con fines promocionales organizado por Planet49 llevan un número que se adjudica a los datos de registro de dicho usuario, quien debe inscribir su nombre y su dirección en el formulario de participación de dicho juego.

El órgano jurisdiccional remitente añade que la asociación de ese número y En: https://www.ftc.gov/news-events/press-releases/2012/08/google-will-pay-225-million-settle-ftc-charges-itmisrepresented 18 Ibídem. 19 SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala) de 1 de octubre de 2019 en el asunto C‐673/17. En: https://curia.europa.eu/juris/document/document.jsf;jsessionid=437F394E00932160C3A97E1093FF4B09?text=&docid=21 8462&pageIndex=0&doclang=ES&mode=lst&dir=&occ=first&part=1&cid=6852262 RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA esos datos personaliza los datos almacenados por las cookies cuando el usuario se sirve de Internet, de modo que la recogida de tales datos mediante las cookies constituye un tratamiento de datos personales.

Estas indicaciones fueron confirmadas por Planet49, quien subrayó en sus observaciones escritas que el consentimiento correspondiente a la segunda casilla constituye una autorización de recogida y tratamiento de datos personales, y no de información anónima. Una vez realizadas estas precisiones, procede señalar que, conforme al artículo 5, apartado 3, de la Directiva 2002/58, los Estados miembros velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la información ya almacenada, en el equipo terminal de un usuario cuando dicho usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46”.

(Énfasis añadido).

9. APLICACIÓN DE LA LEY 1581 DE 2012 CUANDO SE RECOLECTAN DATOS PERSONALES EN EL TERRITORIO DE LA REPÚBLICA DE COLOMBIA A TRAVÉS DE COOKIES QUE SE INSTALAN EN LOS EQUIPOS O DISPOSITIVOS DE LAS PERSONAS RESIDENTES O DOMICILIADAS EN ESTE TERRITORIO Manifiesta lo siguiente la doctora María Camila Piedrahita Tovar mediante memorial de alcance del 19 de agosto de 2021: No son de recibo las conjeturas de Google Colombia Limitada porque carecen de sustento jurídico.

Resulta pertinente poner de presente lo siguiente dado que la apoderada pone en duda la competencia de esta entidad respecto de Google LLC: El artículo 2 de la Ley Estatutaria 1581 de 2012 dispone: ” La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA El artículo 15 de la Constitución Política Colombiana, por su parte, establece el Derecho Fundamental al debido Tratamiento de Datos personales, de la siguiente manera: “Todas las personas tienen (…) derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución ( )”. (Énfasis añadido). Nótese como para la propia Constitución de la República de Colombia es importante la recolección y el Tratamiento de Datos sin que sea relevante si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías conocidas o por conocer para dicho efecto.

Para la Constitución lo determinante es que la recolección o el tratamiento de datos no se haga de cualquier manera sino respetando la libertad y demás garantías establecidas en la misma. Como es sabido, el literal g) de su artículo 3 de la Ley Estatutaria 1581 de 2012 define Tratamiento como, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

(Énfasis añadido). El significado legal de Tratamiento tiene varias características: En primer lugar, es omnicomprensiva porque incluye toda actividad, operación o conjunto de operaciones sobre Datos personales. Además, no se limita a los ejemplos enunciativos del citado concepto legal, sino que, abarca cualquier otro que involucre directa o indirectamente el uso, almacenamiento o circulación de Datos personales.

Sobre este punto, la Corte Constitucional señaló en el numeral 2.5.9. de la Sentencia C-748 de 2011 que, “lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia”.

(Destacamos). En segundo lugar, la operación o conjunto de operaciones sobre Datos personales puede ser realizada directa o indirectamente por una o varias personas de forma tal que, en un Tratamiento de Datos personales pueden existir varios Responsables o corresponsables. Debe precisarse que, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo.

Puede ser un Tratamiento diseñado por una organización en la que se divide el trabajo para alcanzar ciertos objetivos, pero, al final, unos y otros son Responsables y corresponsables del Tratamiento de Datos personales. En tercer lugar, es neutral tecnológicamente porque cobija el Tratamiento realizado mediante cualquier medio físico o electrónico como, entre otras, las cookies.

GOOGLE LLC realiza Tratamiento de Datos personales en territorio colombiano porque usa cookies para recolectar Datos personales en el territorio de la República de Colombia. Razón suficiente, para que de conformidad con lo establecido en el artículo 2 de la Ley Estatutaria 1581 de 2012 cumpla con lo estipulado en dicha ley y sus normas reglamentarias.

Como se señaló, el artículo 2 de la Ley Estatutaria 1581 de 2012 ordena que ”La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

El término “Tratamiento” no solo se menciona en el artículo 15 de la Constitución Política de la República de Colombia, sino que, es determinante para establecer el campo de aplicación de la citada ley, la cual lo define de la siguiente manera: Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a. El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “Tratamiento de Datos personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b. El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el presente caso, GOOGE LLC está dentro de lo señalado en el literal a) porque usa cookies para recolectar o realizar Tratamiento Datos personales en el Territorio de la República de Colombia. En suma, se concluye por parte de esta Autoridad que, sin lugar a duda, una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos personales.

Por lo tanto, quien recolecta y trata Datos personales en el territorio colombiano, debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias. Como se vio, la Ley 1581 de 2012 fija de manera expresa su ámbito de aplicación “al tratamiento de datos personales efectuado en territorio colombiano”.

10. DEL TRATAMIENTO DE DATOS PERSONALES DE LOS NIÑOS, NIÑAS Y ADOLESCENTES Cada día aumenta el uso de servicios digitales, portales web, redes sociales y aplicaciones tecnológicas por parte de los niños, niñas y adolescentes (en adelante NNA). Los NNA son personas altamente influenciadas por la tecnología, internet y las redes sociales. Los menores de edad tienen acceso a internet a través de celulares, tabletas y computadores.

La aparición de las redes sociales, los juegos en línea y los espacios de aprendizaje en internet, han abierto nuevos escenarios de interacción para los niños, niñas y adolescentes. Lo que estos desconocen, es que cuando se accede a páginas en internet, de forma casi automática, se recaban Datos que permiten a los portales de internet y a RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA terceros, saber quién ha accedido; en qué ubicación se encuentra; qué tipo de información consume; entre otros.

Así las cosas, los Datos personales de niños, niñas y adolescentes son recolectados, usados y tratados por empresas, personas y entidades públicas ubicadas en diferentes partes del mundo. Adicionalmente, los menores de edad comparten su información personal ignorando los peligros a los que se exponen al suministrar sus Datos y la información de terceros (amigos; compañeros de colegio; su familia, entre otros) en plataformas web de manera indiscriminada.

Nombres; apellidos; fotos; videos; comentarios; la edad; los gustos y preferencias; Datos como correo electrónico; entre otros, son compartidos por los menores de edad sin pensar que estos hacen parte de su información personal y privada, que hace parte de su identidad digital. Tampoco tienen presente que una vez difunde su información en internet perderán control de la misma.

Lo que se hace en internet deja huella y una vez se pone información en la red se pierde control sobre la misma porque puede ser recolectada y usada por terceros. Igualmente, cada vez que los NNA se registran en las redes sociales, en páginas de internet, aplicaciones o en las páginas de juegos en línea, están creando una identidad digital a partir de sus Datos personales.

Progresivamente han venido aumentado los casos que evidencian los riesgos y peligros a que se ven expuestos las NNA que interactúan en las redes sociales digitales y otros canales digitales. Esas redes y tecnologías, por sí solas no son el problema, pero, infortunadamente, algunas personas han encontrado en las mismas un escenario perfecto para realizar conductas indebidas.

El acoso sexual “grooming”; el acoso online “ciberbullying”; los chantajes; la pornografía; las amenazas e invasiones de su privacidad están al orden del día. La Organización para la Cooperación y el Desarrollo Económico (OCDE) estableció los “principios para un entorno digital seguro y beneficioso para los niños” 20 en donde pone de presente que, entre otras, las organizaciones públicas y privadas que desempeñan un papel activo en el establecimiento de políticas y prácticas o en la prestación de servicios para los niños en el entorno digital, deben: a) Defender el interés superior del niño como consideración primordial; e b) Identificar cómo se pueden proteger y respetar los derechos de los niños en el entorno digital y tomar las medidas adecuadas para hacerlo.

Adicionalmente, señala la OCDE que se deben tomar medidas para ayudar a los niños a darse cuenta de los beneficios y disfrutar de aquellos en el entorno digital al: • • • Apoyar a los padres, tutores y cuidadores en su papel fundamental de evaluar y minimizar los riesgos a daños y optimizar los beneficios para sus hijos tanto en línea como fuera de línea;

Asegurar que los niños y sus padres, tutores y cuidadores sean conscientes de sus derechos en el entorno digital y establecer mecanismos accesibles para hacer cumplir dichos derechos, incluidos los mecanismos de denuncia u otros recursos legales; Apoyar a los niños y a sus padres, tutores y cuidadores para que comprendan: o los derechos de los niños como Titulares de información; y o la forma en que se recopilan, tratan, comparten y utilizan los Datos personales de los niños;

Cfr. OECD (2021). Recommendation of the Council on https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0389 Children in the Digital Environment. En: RESOLUCIÓN NÚMERO 72775 DE 2021 • • • VERSIÓN ÚNICA Defender y respetar el derecho de los niños a expresar libremente sus opiniones y su capacidad, según corresponda teniendo en cuenta su edad y madurez, para participar en los asuntos que les afecten en el entorno digital;

Dar a conocer a los niños, así como a sus padres, tutores y cuidadores, los servicios legales, psicosociales o terapéuticos disponibles para los niños que requieran asistencia como resultado de actividades o acciones en el entorno digital, y facilitar el acceso a estos; y Desarrollar mecanismos para generar consciencia a los niños, padres, tutores y cuidadores de las prácticas comerciales en línea que puedan causar daños a los niños.

En línea con lo anterior, y dentro del marco de sus competencias legales como Autoridad de Protección de Datos Personales, la Superintendencia de Industria y Comercio (SIC) está facultada para ejercer “la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”21.

A continuación, nos referiremos a esa función de esta entidad.

11. DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLESCENTES. SUJETOS DE ESPECIAL PROTECCIÓN CONSTITUCIONAL Dada la importancia de los niños, niñas y adolescentes (NNA), a continuación nos referiremos a sus derechos en la Constitución de la República de Colombia y en la Ley 1098 de 2006 (Código de la Infancia y la Adolescencia) así como a los derechos de los NNA frente al Tratamiento de sus Datos personales y la Autorización que exige la ley para que la recolección de sus Datos sea lícita.

A. LOS DERECHOS DE LOS NIÑOS, NIÑAS Y ADOLESCENTES EN NUESTRA CONSTITUCIÓN POLÍTICA Y EN LA LEY 1098 DE 2006 (CÓDIGO DE LA INFANCIA Y LA ADOLESCENCIA) Conviene empezar por referir lo establecido en el artículo 44 de Constitución Política de Colombia, donde se da prevalencia a la protección de los niños, niñas y adolescentes, quienes son sujetos que gozan de una protección reforzada por parte del Estado, señalando específicamente que: “Son derechos fundamentales de los niños: la vida, la integridad física, la salud y la seguridad social, la alimentación equilibrada, su nombre y nacionalidad, tener una familia y no ser separados de ella, el cuidado y amor, la educación y la cultura, la recreación y la libre expresión de su opinión. Serán protegidos contra toda forma de abandono, violencia física o moral, secuestro, venta, abuso sexual, explotación laboral o económica y trabajos riesgosos.

Gozarán también de los demás derechos consagrados en la Constitución, en las leyes y en los tratados internacionales ratificados por Colombia. La familia, la sociedad y el Estado tienen la obligación de asistir y proteger al niño para garantizar su desarrollo armónico e integral y el ejercicio pleno de sus derechos. Cualquier persona puede exigir de la autoridad competente su cumplimiento y la sanción de los infractores.

Los derechos de los niños prevalecen sobre los derechos de los demás”. (Destacamos). Dentro de la normatividad colombiana se acoge y desarrolla el principio de protección integral, en virtud del cual se establece un conjunto de derechos y garantías encaminados a 21 Cfr. Artículo 19 de la Ley Estatutaria 1581 de 2012 RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA proteger los derechos de los niños, niñas y adolescentes (NNA) como sujetos que gozan de protección especial de acuerdo con lo establecido en el artículo 44 mencionado.

Y, entre otras, establece el deber del Estado de protegerlos ante cualquier acción que afecte sus derechos a la intimidad y al buen nombre. En este sentido el Código de la Infancia y la Adolescencia22 en su artículo 7, adopta el principio de la protección integral así: “Protección Integral. Se entiende por protección integral de los niños, niñas y adolescentes el reconocimiento como sujetos de derechos, la garantía y cumplimiento de los mismos, la prevención de su amenaza o vulneración y la seguridad de su restablecimiento inmediato en desarrollo del principio del interés superior.

La protección integral se materializa en el conjunto de políticas, planes, programas y acciones que se ejecuten en los ámbitos nacional, departamental, distrital y municipal con la correspondiente asignación de recursos financieros, físicos y humanos”. Este principio es el parámetro fundamental para las acciones de protección a cargo de la familia, la sociedad y el Estado, así como las garantías a favor de los niños, niñas y adolescentes, entre las que están aquellas encaminadas a garantizar el goce efectivo del derecho a la intimidad y el respeto de su dignidad humana, dispuesto en el artículo 33 de Ley 1098 de 2006 (Código de la Infancia y la Adolescencia): “Derecho a la Intimidad.

Los niños, las niñas y los adolescentes tienen derecho a la intimidad personal, mediante la protección contra toda injerencia arbitraria o ilegal en su vida privada, la de su familia, domicilio y correspondencia. Así mismo, serán protegidos contra toda conducta, acción o circunstancia que afecte su dignidad”. B. SEGÚN LA LEY COLOMBIANA, LOS NIÑOS, NIÑAS Y ADOLESCENTES SON LOS MENORES DE DIEICIOCHO (18) AÑOS Sobre este punto, es pertinente recordar lo establecido por el artículo 3 de la Ley 1098 de 2006: “Sujetos titulares de derechos.

Para todos los efectos de esta ley son sujetos titulares de derechos todas las personas menores de 18 años. Sin perjuicio de lo establecido en el artículo 34 del Código Civil, se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad”. (Destacamos). Esta disposición debe ser concordada con la norma prevista en el artículo 28 del Código Civil colombiano, el cual se refiere al significado de las palabras así: “Las palabras de la ley se entenderán en su sentido natural y obvio, según el uso general de las mismas palabras; pero cuando el legislador las haya definido expresamente para ciertas materias, se les dará en éstas su significado legal”.

(Énfasis añadido). 22 Diario Oficial No. 46.446 de 8 de noviembre de 2006 RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA Al realizar un análisis conjunto y sistemático de las normas mencionadas ha sido el legislador el que determinó lo que debe entenderse por menor de edad (niño, niña y/o adolescente). C. DE LA AUTORIZACIÓN PARA RECOLECTAR Y TRATAR LÍCITAMENTE LOS DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLESCENTES El artículo 15 de la Constitución Política Nacional, establece que “en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.

Esta norma fue reglamentada por la Ley Estatutaria 1581 de 2012 que no solo define como “Tratamiento” cualquier actividad que se realice con Datos personales sino que en el artículo 19 determina que, “La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” El Título III de la Ley 1581 de 2012, incluye dentro de la categoría especial de Datos personales, los de los niños, niñas y adolescentes, señalando expresamente en su artículo 7: “En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes.

Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública (…)”. (Énfasis añadido). En este punto resulta necesario traer a colación las consideraciones iniciales realizadas por la Corte Constitucional en la Sentencia C-748 de 2011 al examinar la constitucionalidad del artículo mencionado: “2.9.3.4.

El examen de constitucionalidad del artículo 7 A la luz de lo expuesto precedentemente, esta Corporación considera que el principio del interés superior de los niños, las niñas y adolescentes se concreta, en el caso particular, en el establecimiento de condiciones que permitan garantizar los derechos de los menores de 18 años en la sociedad de la Información y el Conocimiento, dentro de la cual se encuentran las herramientas de Internet y redes sociales.

Se concluye entonces, ante la evidencia del entorno inmediato que rodea el proceso de crecimiento y desarrollo de los niños, las niñas y los adolescentes en el aspecto físico, mental y emocional; y la urgencia del reconocimiento de su dignidad humana, que todos los actores involucrados en el aseguramiento y efectividad de los derechos de los menores de 18 años deben cumplir con sus responsabilidades en la protección de los mismos, concretamente, en la salvaguarda de sus datos personales”.

(Subrayado fuera del texto). RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA El artículo 9, por su parte, recalca lo siguiente en relación con la Autorización del Titular, “Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por su parte, el Decreto 1074 de 2015 precisa: “Artículo 2.2.2.25.2.9.

Requisitos especiales para el tratamiento [sic] de datos [sic] personales de niños, niñas y adolescentes. El Tratamiento de datos [sic] personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos [sic] de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1.

Que responda y respete el interior superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y presente capítulo. La familia y la sociedad deben velar porque los responsables [sic] y encargados [sic] del tratamiento [sic] de los datos [sic] personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo”.

(Énfasis añadido). La Corte Constitucional mediante la Sentencia T-260 de 2012 señaló: “La afectación de los derechos fundamentales en redes sociales ( ) puede generarse en el momento en el cual el usuario se registra en la red escogida, durante su participación en la plataforma, e incluso en el momento en que decide dejar de utilizar el servicio.

En el estudio sobre la privacidad de los datos personales y la seguridad de la información en las redes sociales on line, realizado por el Instituto Nacional de Tecnologías de la Comunicación - Agencia Española de Protección de Datos- se señala que el primer momento crítico se sitúa al momento del registro del usuario y la configuración del perfil, pues este incidirá en el derecho a la intimidad y en el honor y la honra en caso de que el usuario no establezca adecuadamente su perfil de privacidad en el momento del registro, ya sea por desconocimiento o porque la red no disponga de estas opciones de configuración. Los derechos de los usuarios pueden verse afectados además con la publicación de contenidos e información en la plataforma –fotos, videos, mensaje, estados, comentarios a publicaciones de amigos, “pues los alcances sobre la privacidad de los mismos pueden tener un alcance mayor al que consideró el usuario en un primer momento, ya que estas plataformas disponen de potentes herramientas de intercambio de información, de capacidad de procesamiento y de análisis de la información facilitada por los usuarios”.

En el caso en particular de los menores de edad los riesgos están íntimamente relacionados con lo siguiente: los niños y niñas tienen la posibilidad de acceder en las RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA redes sociales a contenidos de carácter inapropiado para su edad; los menores tienen la posibilidad de iniciar contacto on line, e incluso físicamente con usuarios malintencionados; existe proliferación de la información personal gráfica de los menores, ya sea publicada por ellos mismos o por terceros con desconocimiento de los riesgos a los cuales pueden ser expuestos.

Las anteriores circunstancias pueden exponer a los niños y niñas, en caso de no acceder al mundo de las redes sociales con el debido acompañamiento de los padres a situaciones como abusos, discriminación, pornografía y otros que pueden incidir de manera negativa en su crecimiento y desarrollo armónico e integral. Tales riesgos pueden ser evitados si se tiene conocimiento acerca del funcionamiento y las políticas de privacidad de los diferentes sitios en línea, en especial de las redes sociales.

De allí que en el caso específico de los menores de edad, en especial niños y niñas, el acceso a las redes sociales debe darse con el acompañamiento de los padre o personales responsables de su cuidado, a fin de que éstos sean consientes de que si bien en mundo de la información y la tecnología implica un sinnúmero de beneficios para su desarrollo, al mismo tiempo genera una serie de riesgos que se pueden evitar con un correcto manejo de la información y con una adecuada interacción con los demás miembros de la red”.

Asimismo, la misma corporación en la Sentencia T-620 de 2019 determinó en relación con los menores de edad (entiéndase el significado establecido en el Código de la Infancia y la Adolescencia): “Entonces, la labor periodística no puede ser utilizada para publicar contenido de manera irresponsable, que revele datos íntimos de menores de edad sin la autorización previa de su titular y sus representantes legales, pues por su situación de indefensión, vulnerabilidad y debilidad, los niños, niñas y adolescentes deben ser especialmente protegidos por la familia, la sociedad y el Estado”.

(Énfasis añadido). De acuerdo con todo lo anterior se concluye que, el Tratamiento de los Datos personales de los menores de edad responde al interés constitucional de los mismos. Los niños, niñas y adolescentes son Titulares del Derecho Fundamental de Habeas Data y del debido Tratamiento de sus Datos personales. La Autorización para el Tratamiento de esa información debe ser otorgada por el representante legal del niño, niña o adolescente, tal como lo señala el artículo 12 del Decreto 1377 de 2013.

12. RESPONSABILIDAD DEMOSTRADA TRATAMIENTO DE DATOS PERSONALES (ACCOUNTABILITY) EN EL La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”23. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia 23 Cfr. Corte Constitucional, sentencia T-227 de 2003. RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. El artículo 2624 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic].”25 Es de resaltar que la Corte Constitucional mediante la Sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219.

El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic). El artículo 26 de esa normativa determina que los responsables del tratamiento 24 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 25 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas. Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial;

(ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal. Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos.

A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable; (ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales.

El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal”26.

(Destacamos). Como se observa, la Corte Constitucional pone de presente en la obligación de demostrar que se han adoptado medidas para cumplir la regulación de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza27 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos Personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos Personales. El éxito del mismo, dependerá del compromiso real y ético de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. 26 Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021.

M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm 27 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 28.(Énfasis añadido).

El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos.

13. RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES El artículo 2 de la Constitución Política de Colombia señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, la protección de los derechos humanos, los cuales, son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto. En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el fin justifica los medios. En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no 28 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.

Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley. Ahora, según el artículo 22 de la Ley 222 de 199529 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Énfasis añadido). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2430 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”31.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto 29 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 30 Artículo 24, Ley 222 de 1995 “"Responsabilidad de los administradores. El artículo 200 del Código de Comercio quedará así: Artículo 200.

Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 31 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995.

RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales.

14. DE LA ORDEN EMITIDA, SU CUMPLIMIENTO Y DEBIDO PROCESO Como es sabido, en el artículo 19 de la Ley Estatutaria 1581 de 2012, se le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “(…) la vigilancia necesaria para garantizar que en el tratamiento [sic] de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, su artículo 21 determina cuáles funciones ejercerá la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; (…) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.

(Destacamos). Visto lo anterior, existen expresas y suficientes facultades legales para que esta autoridad pueda impartir órdenes o instrucciones. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales.

Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.” Así, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales.

Por eso, esta entidad ha sido respetuosa del principio de legalidad y ha obrado conforme con lo establecido en el derecho colombiano. RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA No sobra recordar que las órdenes no son sanciones porque según la ley 1581 de 2012 sólo son sanciones las señaladas en el artículo 23, a saber: “a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” En el memorial de alcance presentado la recurrente solicita a la SIC “que aclare a qué se refiere cuando dice que Google Colombia Limitada tiene la “capacidad” para dar cumplimiento a las órdenes impartidas en la Resolución No. 53593”.

La capacidad se refiere a que las órdenes administrativas son de obligatorio cumplimiento de manera que acatar la misma no es inconsistente con el objeto social y la capacidad jurídica de Google Colombia. Esta autoridad no ha afirmado que la recurrente controle las Bases de Datos, ni nada parecido. Solo que, es una compañía con participación societaria que le puede colaborar a GOOGLE LLC en el cumplimiento de las órdenes emitidas por esta autoridad administrativa.

Pues, Google Colombia Ltda. como bien lo ha afirmado, es una sociedad que está en Colombia y que conoce las leyes de este país y que al estar ligada socialmente con la otra GOOGLE LLC- le puede ayudar efectivamente en el cumplimiento de la normatividad en materia de protección de Datos. Igualmente, se insiste en que esta autoridad no está obligando a la recurrente a celebrar un contrato o celebrar un convenio, ni mucho menos a que represente a GOOGLE LLC sino que, la apremia para que en colaboración y con base en la normatividad colombiana ayude a esta compañía en el cumplimiento de las órdenes administrativas proferidas por esta entidad.

De otra parte, es relevante destacar que no se violó el debido proceso por, entre otras, las siguientes razones: • • Esta Delegatura no desconoció el principio de legalidad, sino que, aplicó lo que ordena la ley colombiana. Nos remitimos a los fundamentos constitucionales, legales y tecnológicos señalados, lo largo de este acto De la lectura de los actos administrativos se puede constatar que el acto administrativo recurrido fue suficientemente motivado conforme con la regulación colombiana.

RESOLUCIÓN NÚMERO 72775 DE 2021 • • VERSIÓN ÚNICA En el expediente reposa evidencia de las comunicaciones realizadas a GOOGLE para que ejerza su derecho de defensa. Como fruto de lo anterior, dicha empresa nombró una apoderada quien ha presentado los recursos de reposición y apelación con sus argumentos y pruebas que han sido analizados para adoptar la decisión recurrida y el presente acto administrativo.

La diligencia y el cumplimiento del debido proceso por parte de esta entidad ha quedado acreditado en el expediente y la motivación de las decisiones adoptadas. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1. No es cierto que esta Delegatura -como lo afirma la apoderada de Google Colombia Limitada- haya declarado situación de control entre Google LLC y Google Colombia.

Ello se puede corroborar con la simple lectura de la parte resolutiva de la Resolución 70315 del 4 de noviembre de 2020 en donde, entre otras, se compulsan copias del expediente a la Superintendencia de Sociedades para lo de su competencia (artículo 30 de la Ley 222 de 1995); 2. Como autoridad administrativa respetamos el derecho de defensa de la recurrente, pero nos parece muy grave que se acuda a la mentira como estrategia argumentativa para cuestionar la validez jurídica de un acto administrativo.

Ello no solo es reprochable, sino que es inconsistente con el decoro, la ética y el profesionalismo que debe guiar la labor de los abogados; 3. Google Colombia manifiesta que uno de sus alegatos centrales es la declaración de control. Ese alegato se basa en una mentira que no solo contamina todos los argumentos que se fundan en la misma sino que no produce efecto jurídico para desvirtuar la legalidad del acto administrativo recurrido; 4.

Google LLC, de una parte, es el managing member de Google International LLC, que es el socio mayoritario (99,04%) de Google Colombia Limitada, y de otra parte, es socio de la citada empresa colombiana. Ser “managing member” significa que Google LLC no solo es propietario de Google International LLC sino que dirige las operaciones diarias de esa empresa, toma decisiones comerciales y tiene la autoridad para vincular a Google International LLC en contratos y acuerdos RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA De conformidad con lo expuesto, es innegable el enorme poder económico y decisorio que tiene GOOGLE LLC sobre GOOGLE COLOMBIA LTDA. Lo anterior, sumado a otras razones expuestas por esta entidad, son suficientes para corroborar la legalidad del acto administrativo recurrido; 5.

Esta Delegatura no ha realizado un análisis superficial -como lo afirma infundadamente Google Colombia- sino un estudio serio y riguroso que demuestra todo lo contrario que pretende desconocer dicha empresa. El hecho que la apoderada no comparta las conclusiones de esta entidad, no le resta valor a las pruebas ni a los hallazgos encontrados durante la actuación administrativa. 6.

No es sensato analizar el tema desde una lectura parcial, subjetiva y limitada a ciertas normas o “áreas del derecho” sino que es imperioso aplicar integralmente diferentes disposiciones de la regulación colombiana y dar primacía a los mandatos constitucionales tal y como lo ordena el artículo 4 de nuestra Carta Política de 1991; 7. Realizar actividades de marketing o publicidad no es, per se, determinante para emitir la orden recurrida sino que ello debe sumarse a otros factores o razones expuestos por esta entidad como, entre otras, el enorme poder económico y decisorio que tiene GOOGLE LLC sobre GOOGLE COLOMBIA LTDA. En otras palabras, el solo hecho de realizar actividades de marketing no fue suficiente para emitir la resolución 70315 RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA de 2020.

Tampoco lo fue el mero uso de la marca google por parte de la recurrente. Pero el cúmulo de esos elementos sumados a los mandatos constitucionales citados (artículos 4 y 44) justifican jurídicamente la expedición de la citada resolución; 8. El presente caso no se puede analizar desde una lectura parcial, subjetiva, limitada y aislada de ciertas normas sino que es imperioso aplicar integralmente diferentes disposiciones de la regulación colombiana para dar primacía a los mandatos constitucionales tal y como lo ordena el artículo 4 de nuestra Carta Política de 1991 y, especialmente dar cumplimiento al artículo 44 de la Constitución de la República de Colombia, según el cual, “Los derechos de los niños prevalecen sobre los derechos de los demás”; 9.

La resolución 70315 de 2020 se emitió teniendo en cuenta las particularidades del presente caso. Por ende, sus consideraciones y conclusiones no deben replicarse a otros casos porque todo depende de la situación concreta, de las peculiaridades de cada situación y del material probatorio; 10. Una orden no es una sanción. La decisión adoptada mediante la resolución 70315 de 2020 fue objetiva, lícita y necesaria para proteger los derechos de los menores de edad como Titulares de sus Datos personales y dar cumplimiento al artículo 44 de la Constitución de la República de Colombia según el cual los derechos de los niños prevalecen sobre los derechos de los demás. Uno de esos derechos es, precisamente, el establecido en el artículo 15 de nuestra Constitución Política -habeas data y debido Tratamiento de Datos personales.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, concluye el Despacho que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad, la Resolución No. 70315 de 4 de noviembre de 2020.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO. Confirmar en todas sus partes la Resolución No. 70315 de 4 de noviembre de 2020 por las razones expuestas en la parte motiva de este acto administrativo, y de acuerdo con lo establecido en la Resolución No. 60478 de 21 de septiembre de 2021.

ARTÍCULO SEGUNDO. Notificar personalmente el contenido de la presente resolución a GOOGLE COLOMBIA LIMITADA a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno. RESOLUCIÓN NÚMERO 72775 DE 2021 VERSIÓN ÚNICA ARTÍCULO TERCERO. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., noviembre 11 de 2021 El Superintendente Delegado para la Protección de Datos Personales, NELSON REMOLINA ANGARITA Firmado digitalmente por NELSON REMOLINA ANGARITA Fecha: 2021.11.11 15:51:44 -05'00' NELSON REMOLINA ANGARITA CGC RESOLUCIÓN NÚMERO 72775 DE 2021 Notificación Sociedad: Identificación: Dirección: Representante Legal: Identificación: Dirección: Ciudad: País: Apoderado: Identificación: Tarjeta profesional: Dirección: Ciudad: Correo electrónico: GOOGLE COLOMBIA LIMITADA Nit. 900.214.217-5 Carrera 11 A # 94-45 Oficina 801 Giovanny Stella C.E. No. 000000000553778 Carrera 11A # 94-45 Of. 801 Bogotá Colombia María Camila Piedrahita Tovar C.C. 1.019.045.073 272.847 del Consejo Superior de la Judicatura Calle 75 # 3-53 Bogotá maria.piedrahita@cms-ra.com VERSIÓN ÚNICA

Resolución sancionatoria N° 72775 de 2021

CONSIDERANDO

RESUELVE