Resolución sancionatoria N° 62132 de 2020

REPÚBLICA DE COLOMBIA (05 OCTUBRE 2020) Radicación 20-106617 VERSIÓN ÚNICA EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO: Que esta Dirección requirió el 30 de abril de 2020 a la compañía ByteDance Ltd., propietaria de aplicación TikTok para que informara a esta Autoridad lo siguiente1: 1. De acuerdo con sus registros, ¿cuántas cuentas de TikTok están registradas por ciudadanos o residentes del territorio colombiano? 2. De acuerdo con sus registros, de todas las cuentas registradas por ciudadanos o residentes del territorio colombiano, ¿cuántas corresponden a menores de 18 años de edad? 3.

¿El procedimiento mencionado – obtención de datos de menores de edad sin el consentimiento de sus padres- fue utilizado por ustedes para recolectar datos de personas menores de 18 años ubicados en la República de Colombia? a. En caso positivo, indicar el número de personas sobre las cuales se recolectó información y el tipo de datos recolectados (privados, semiprivados, sensibles o públicos). 4.

Informe si en la actualidad la aplicación TikTok está recolectando datos personales de menores de diez y ocho (18) años ubicados en el territorio colombiano. 5. Informe y acredite cuál es el procedimiento que está empleado la aplicación para la recolección de los datos personales de menores de diez y ocho (18) años ubicados en el territorio colombiano. 6.

Informe y acredite qué mecanismos se están empleados para garantizar que los representantes legales y/o tutores autoricen el Tratamiento de los datos personales de los menores de diez y ocho (18) años ubicados en el territorio colombiano. 7. Informe y acredite cómo dicho procedimiento de recolección de datos personales respeta y garantiza el cumplimiento de los derechos que tienen los Titulares del dato a la luz de la Ley 1581 de 2010, en especial, su artículo 7. 8.

Informe y acredite cómo dicho procedimiento de recolección de datos personales respeta y garantiza el cumplimiento del Decreto 1377 de 27 de junio de 2013 (incorporado en el Decreto 1074 de 2015).

SEGUNDO: Que el mismo 30 de abril de 2020 se le informó a ByteDance Ltd. (propietaria de la aplicación TikTok) que: “(…) la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio, máxima autoridad de protección de datos personales del país le informa la iniciación de una actuación administrativa a la aplicación TikTok propiedad de la compañía ByteDance Ltd. la cual se regirá por lo dispuesto en el Capítulo I del Título III de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo).

La presente tiene como propósito establecer si la aplicación TikTok propiedad de la compañía ByteDance Ltd. cumple con la regulación colombiana relativa a la recolección y Tratamiento de datos personales de niños, niñas y adolescentes (artículos 7, 9, 12 y 17 literales b) y c) de la Ley 1981 de 2012 en concordancia con el artículo 12 del Decreto 1377 de 2013 incorporado en Documento con Radicación: 20-106617- -0-0.

HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” el Decreto 1074 de 2015). Y, si la misma ha implementado el principio de responsabilidad demostrada en esa materia (artículos 26 y 27 del Decreto Decreto 1377 de 2013 incorporado en el Decreto 1074 de 2015)”2.

TERCERO: Que el 3 de junio de 2020, la sociedad TikTok, Inc., respondió en nombre de ByteDance Ltd., el requerimiento de información de esta Dirección en los siguientes términos: “Cuando se hace el registro de una cuenta en TikTok, nuestros documentos sobre protección de datos están disponibles, los cuales deben ser aceptados para continuar con el proceso.

Estos documentos se refieren a nuestros Términos del Servicio (https://www.tiktok.com/legal/terms-of-use?lang=es), Política de Privacidad (https://www.tiktok.com/legal/privacy-policy?lang=es), Normas de la Comunidad (https://www.tiktok.com/community-guidelines?lang=es) y leyes aplicables, que contienen una descripción detallada y clara del procedimiento para recopilar datos de los usuarios. b. Además, hemos puesto en práctica ciertas medidas destinadas a evitar que los niños utilicen y creen cuentas en TikTok: (i) Cuando un usuario intenta registrarse en una nueva cuenta TikTok, se le pide que seleccione una fecha de nacimiento escogiendo en un menú desplegable y seleccionando su día, mes y año de nacimiento antes de registrar una cuenta en TikTok.

(ii) Si el usuario no proporciona su fecha de nacimiento, no podrá continuar con el proceso de creación de la cuenta. En otras palabras, esta información es necesaria para que el usuario pueda crear una cuenta. (iii) El usuario que intente crear una cuenta e indique una edad inferior a la correspondiente según las políticas de TikTok, no podrá continuar en el proceso de creación de la cuenta. c. Además, tenemos mecanismos para controlar el registro de cuentas por parte de los niños y si nos enteramos de que un niño ha creado una cuenta, la eliminamos de forma proactiva según lo indicado en nuestras Políticas.

Por ejemplo: i) Cuando nuestro equipo de moderación identifica a un usuario que ha indicado que es menor de la edad pertinente en su biografía, la cuenta de ese usuario se suspende durante 30 días y, a partir de entonces, la cuenta y la información personal asociada se eliminan; y (ii) TikTok también tiene canales de denuncias (incluso por parte de los padres y tutores legales) de modo que si TikTok se entera de que un usuario es un niño, la cuenta se revisará automáticamente y se eliminará de la plataforma en consecuencia. Además, si nos enteramos por un padre o tutor legal a través de una comunicación verificable que existe una falta de consentimiento para el uso de la plataforma por parte de menores, la cuenta también se elimina de la plataforma y el contenido relevante ya no estará disponible. d. También reconocemos nuestro deber con los usuarios menores de 18 años.

Nos tomamos muy en serio nuestras responsabilidades en relación con este grupo de usuarios y trabajamos constantemente para garantizar que dichos usuarios estén suficientemente protegidos, entendiendo también que sus actos pueden tener validez en determinadas circunstancias, y en asuntos específicos determinados por la ley. e. Como se describe detalladamente en las respuestas a las preguntas 7 y 8 abajo, para garantizar la seguridad de los usuarios y la protección de su privacidad, TikTok ofrece una función de Sincronización Familiar, que permite a los padres y tutores legales que decidan permitir a las personas bajo su responsabilidad utilizar TikTok, sincronizar su cuenta con la de su hijo.

Los padres que utilicen esta función pueden aprovechar los siguientes controles: i) Gestión del tiempo de pantalla: Controlar el tiempo que su hijo puede pasar en TikTok cada día. (ii) Mensajes directos: Limitar quién puede enviar mensajes a la cuenta conectada o desactivar completamente la mensajería directa. (iii) Los usuarios menores de 16 años no pueden acceder a la mensajería directa y no pueden alojar transmisiones en vivo.

(iv) Modo restringido: Restringir la aparición de contenidos que pueden no ser apropiados para todos los públicos. (v) Los usuarios menores de 18 años no pueden hacer compras en la aplicación. f. En el caso de los padres y tutores legales que decidan permitir que los menores bajo su responsabilidad utilicen el servicio, estamos trabajando constantemente para asegurarnos de que esos usuarios estén suficientemente protegidos.

Como se describirá en la respuesta a la pregunta 7, TikTok aplica medidas proactivas para asegurar que los menores actúen con el consentimiento de sus representantes, siempre que lo exija la legislación local y dentro de las posibilidades de TikTok. (…) a. Como se describe en la respuesta a la pregunta 3 anterior, TikTok implementa los mecanismos de verificación de edad para evitar que los usuarios que se consideran niños de acuerdo con la legislación aplicable utilicen TikTok.

Ibídem. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” b. Los usuarios menores de 18 años pueden usar TikTok bajo el consentimiento de sus padres o tutores legales y TikTok implementa las medidas de seguridad para proteger a estas personas y proporcionar y garantizar un entorno positivo y creativo para todos estos usuarios. c. Como se describe con más detalle en las respuestas a las preguntas 7 y 8, como complemento a la seguridad y privacidad de los usuarios, TikTok proporciona una función de Sincronización Familiar (https://newsroom.tiktok.com/en-in/family-safety-mode-and- screentime-management-in-feed) que permite a los padres y tutores legales que consienten el uso de TikTok por parte de sus hijos, sincronizar su cuenta con la cuenta de sus hijos.

(…) a. Nos comprometemos a proteger y respetar la privacidad del usuario. La Política de Privacidad de TikTok (disponible en: https://www.tiktok.com/legal/privacy-policy?lang=es) explica en detalle nuestras prácticas con respecto a los datos personales recopilados por TikTok o proporcionados por los usuarios. b. Al registrar una cuenta en TikTok, los usuarios deben aceptar y cumplir con nuestros Términos de Servicio, Política de Privacidad, Normas de la Comunidad y las leyes aplicables, y los usuarios menores de 18 años deben obtener autorización de sus padres o tutores legales para usar la plataforma, así como para aceptar los documentos aplicables, incluida la Política de Privacidad.

(…) a. En respuesta a nuestro compromiso de proteger el interes superior de los menores y de salvaguardar la privacidad de nuestros usuarios hemos implementado, además de la edad de acceso descrita en nuestra respuesta a la Pregunta 3 - mecanismo efectivo para evitar que los usuarios menores de la edad correspondiente registren una cuenta en TikTok - Términos Complementares para los usuarios menores de 18 años, estableciendo que los menores deben obtener el consentimiento de sus padres o tutores legales para usar TikTok o para registrar una cuenta en TikTok. b. TikTok también proporciona formas alternativas para la exclusión de menores de la plataforma si se verifica que hay una falta de consentimiento de los padres o tutores legales.

Tenemos un equipo global de moderadores que monitoriza las cuentas de los menores (como se describe en detalle en la respuesta a la pregunta 3) y canales de denuncia (incluso por parte de los padres y tutores legales) de modo que si TikTok se entera de que un usuario es un niño, la cuenta será revisada automáticamente y eliminada de la plataforma en consecuencia. Además, si nos enteramos por un padre o tutor legal a través de una comunicación verificable que se trata de una falta de consentimiento para el uso de la plataforma por parte de menores, la cuenta también se eliminará de la plataforma y el contenido pertinente ya no estará disponible. c. TikTok trabaja junto con los padres y las familias en la protección de los usuarios menores de edad y, como se describe detalladamente en las respuestas a las preguntas 7 y 8, trabaja siempre para mejorar la seguridad y los mecanismos de protección, proporcionando a los padres mecanismos de control eficaces sobre el contenido al que acceden los usuarios menores de edad.

(…) a. Entendemos que la ley colombiana especifica reglas particulares para el procesamiento de datos personales de menores. b. Somos plenamente conscientes de la importancia de desplegar esfuerzos adicionales para proteger los derechos de los menores que usan TikTok. A continuación, enumeramos varias medidas dirigidas especialmente a menores, que deben leerse junto con nuestras respuestas a la pregunta 8: (i) Incluso antes de descargar TikTok, las plataformas de descarga como App Store y PlayStore establecen claramente que TikTok está destinado para adolescentes y adultos, no para niños.

Desde el diseño mismo de la aplicación, se incorporan advertencias y mecanismos para proteger los derechos de los menores. (ii) Nuestros Términos de Servicio establecen expresamente que las personas se abstendrán de utilizar los servicios de TikTok si no son mayores de 13 años o no tienen la capacidad legal para otorgar su consentimiento.

(iii) Planeamos incorporar Términos Complementarios para Colombia, donde solicitamos a los usuarios menores de 18 años que declaren que tienen el consentimiento de sus padres o tutores legales. (iv) Siguiendo instrumentos internacionales como el Memorándum de Montevideo1 (https://www.uam.mx/cdi/pdf/s_doc/biblioteca/memorandum_montevideo.pdf), hemos implementado medidas adicionales para el uso correcto de nuestra plataforma por parte de los adolescentes.

Recientemente lanzamos el Sincronización Familiar (https://newsroom.tiktok.com/en-in/family-safety-mode-and-screentime-management- in-feed), una nueva funcionalidad para ayudar a los padres y tutores legales a mantener seguros a sus hijos adolescentes en la plataforma. Esta herramienta permite que un padre se vincule a la cuenta TikTok de su hijo.

Una vez habilitado, el emparejamiento familiar permite a los padres controlar las funciones de bienestar digital, que incluyen: HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” a. Gestión del tiempo de pantalla: controle cuánto tiempo pueden pasar sus hijos en TikTok cada día. b. Mensajes directos: limite quién puede enviar mensajes a la cuenta conectada o apague completamente la mensajería directa. c. Modo restringido: restringe la apariencia de contenido que puede no ser apropiado para todos los públicos. a. Con base en nuestras experiencias previas en otras jurisdicciones, hemos implementado varias medidas para abordar mejor las legislaciones locales sobre el procesamiento de datos personales.

En nuestra Política de Privacidad detallamos extensa y cuidadosamente la información que recopilamos de nuestros usuarios, cómo la usamos, dónde la almacenamos, con quién la compartimos, los derechos que tienen los usuarios, cuánto tiempo conservamos la información recopilada, cómo notificamos cualquier cambio en nuestra Política de privacidad, nuestra política de cookies, entre otra información relacionada. b. Además de incorporar en nuestra Política de Privacidad los más altos estándares para el procesamiento de datos personales, implementamos constantemente mecanismos para monitorear y mejorar nuestros procesos internos y la comunicación con las partes interesadas.

Siguiendo el principio de responsabilidad demostrada, hemos implementado mecanismos destinados a garantizar que la protección de datos no sean meras declaraciones simbólicas de buenas intenciones, sino que tengan efectos concretos para los interesados.”3.

CUARTO: Por medio del escrito con número de radicado 20-129540- -00000-000 la CORPORACION COLOMBIANA DE PADRES Y MADRES - RED PAPAZ (en adelante RED PAPAZ) solicitó a la Personales que reconozca a RED PAPAZ como tercero interviniente en la actuación administrativa que esta entidad inició de oficio contra TIKTOK para determinar si su aplicación denominada «TikTok» recolecta y trata adecuadamente los datos de NNA.

QUINTO: Esta Dirección constató que el documento con número de radicado 20-129540- -00000-000 presentado ante esta Autoridad cumplía los requisitos legales. Por tanto, por medio de documento con radicado 20-106617- -1-0 se concedió la calidad de tercero interviniente a la CORPORACION COLOMBIANA DE PADRES Y MADRES - RED PAPAZ en la actuación administrativa que esta entidad inició de oficio a la aplicación TikTok propiedad de la compañía ByteDance Ltd. con número de radicado 20-106617.

SEXTO: Que, de conformidad con lo expuesto hasta el momento, la Dirección de Investigación de Protección de Datos Personales se permite exponer las siguientes: CONSIDERACIONES DE LA DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES I. Competencia de la Superintendencia de Industria y Comercio para ordenar las medidas que sean necesarias para hacer efectivo el derecho a debido Tratamiento de Datos Personales.

El artículo 19 de la Ley Estatutaria 1581 de 2012, establece que “la Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.

El artículo 21, por su parte, faculta a esta entidad para, entre otras: “b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;

(…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” Así las cosas, existen expresas y suficientes facultades legales para que esta Superintendencia pueda iniciar investigaciones, así como impartir órdenes o instrucciones. II. La Ley 1581 de 2012 es aplicable a ByteDance Ltd, TikTok, Inc y TikTok Pte.

Ltd porque mediante la aplicación TIKTOK recolectan Datos Personales en el Documento con número de radicación: 20-106617- -00002-0000 HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” territorio de la República de Colombia a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en Colombia.

Ordena la Constitución Política de Colombia en su artículo 15 que en cualquier actividad sobre Datos Personales se respete la libertad y demás garantías consagradas en la dicha norma. Así, es de vital importancia recordar que el caso bajo estudio hace referencia al cumplimiento de exigencias de naturaleza constitucional referidas al Derecho Fundamental al debido Tratamiento de los Datos Personales de los ciudadanos. En efecto, el artículo 15 de la Constitución Política Nacional no solo establece que “todas las personas (…) a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas” 4, sino que es tajante en exigir que: “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.

(Destacamos y subrayamos). Con fundamento en lo anterior, se promulga la Ley Estatutaria 1581 de 2012 que desarrolla, entre otras, el citado derecho constitucional de naturaleza fundamental. En el artículo 2 de la referida norma se dispone lo siguiente: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales”.

El término “Tratamiento” no solo se menciona en el artículo 155 de la Constitución Política de la República de Colombia, sino que, es determinante para establecer el campo de aplicación de la citada ley, la cual lo define de la siguiente manera: “Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a. El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “tratamiento [sic] de datos [sic] personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b. El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

La Corte Constitucional, por su parte, en relación con el ámbito de aplicación de ese artículo señaló en la Sentencia C-748 de 20116: “Para la Sala, esta disposición se ajusta a la Carta, pues amplía el ámbito de protección a algunos Tratamientos de datos personales que ocurren fuera del territorio nacional, en virtud del factor subjetivo.

En un mundo globalizado en el que el flujo transfronterizo de datos es constante, la aplicación extraterritorial de los estándares de protección es indispensable para garantizar la protección adecuada de los datos personales de los residentes en Colombia, pues muchos de los Tratamientos, en virtud de las nuevas tecnologías, ocurren precisamente fuera de las fronteras.

Por tanto, para la Sala se trata de una medida imperiosa para garantizar el derecho al habeas data” 7. (Subrayado fuera de texto). Es importante señalar que, otras autoridades de protección de Datos han concluido que las cookies son mecanismos que usan empresas extranjeras para instalarlas en los equipos de las personas de otros países y recolectar sus Datos.

Constitución Política de Colombia. Artículo 15. El artículo 15 de la Constitución de la República de Colombia dice, entre otras, lo siguiente: “ Todas las personas tienen derecho a (…)conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidad es públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.(Subrayamos) Cfr. Corte Constitucional. Sentencia C-748 de 2011. Disponible en: http://www.corteconstitucional.gov.co/relatoria/2011/c-748-11.htm Cfr. Corte Constitucional. Sentencia C-748 de 2011. Consideración 2.4.4.

HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” Frente a lo anterior, a finales de 2013 la Agencia Española de Protección de Datos (en adelante AEPD) concluyó lo siguiente con ocasión de una investigación que inició contra Google: “En todo caso, (…), la entidad Google Inc. recurre a medios situados en el territorio español con el fin de captar información en nuestro territorio (utilizando, entre otros, los equipos de los usuarios residentes en España para almacenar información de forma local a través de cookies y otros medios, así́ como ejecutando código en dichos dispositivos), sin que la utilización de tales equipos para la recogida de datos se realice exclusivamente con fines de tránsito por el territorio de la Unión Europea, es decir, no se trata de equipos de transmisión, sino que dichos equipos se emplean para la recogida y tratamiento de los datos”8.

(…). (Destacamos). En cuanto a las web cookies, la aplicación TikTok define el término cookie, en su Política de Cookies como: “Las cookies son pequeños archivos de texto que identifican de forma única su navegador o dispositivo. Las cookies son almacenadas en su navegador por la página web o las aplicaciones que visita. Cuando regresa a esa página web o aplicación (o visita sus páginas web o aplicaciones que usan las mismas cookies) estas plataformas reconocen las cookies y su dispositivo de navegación. (…) También utilizamos píxeles.

Los píxeles son pequeñas porciones de código que utilizamos en nuestra Plataforma. Utilizamos píxeles para saber si ha hecho clic en cierto contenido web y nos ayuda a optimizar nuestras campañas publicitarias. Esto nos ayuda a medir y mejorar nuestros Servicios y personalizar su experiencia”9. En ese hilo conductor, la Política de Privacidad de la aplicación afirma que: “Utilizamos cookies y otras tecnologías similares (por ejemplo, píxeles etc.) (“Cookies”) para mejorar su experiencia al utilizar la Plataforma.

Las cookies se utilizan para recopilar información, incluidos datos personales sobre usted. Las cookies son pequeños archivos que, cuando se colocan en su dispositivo, nos permiten proporcionar ciertas características y funcionalidades” 10. (Destacamos). Entonces, se concluye por parte de esta autoridad que, sin lugar a dudas, una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos Personales.

Por tanto, la aplicación TIKTOK, propiedad de la compañía ByteDance Ltd., realiza un Tratamiento de Datos Personales en el territorio colombiano sujeto a las disposiciones de la Ley 1581 de 2012. III. ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd (TIKTOK) tienen la obligación de cumplir la Legislación Colombiana, así como las órdenes y requerimientos de esta autoridad, en cumplimiento de la Ley 1581 de 2012.

La regulación sobre Tratamiento de Datos Personales debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para tratar datos pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico.

Quienes crean, diseñan o usan “innovaciones tecnológicas” deben cumplir todas las normas sobre Tratamiento de datos personales. Entonces, es importante decir que nuestra Constitución Política Nacional establece: La AEPD concluyó lo siguiente: “la Agencia Española de Protección de Datos también es competente para decidir sobre el tratamiento llevado a cabo por un responsable no establecido en territorio del Espacio Económico Europeo que ha utilizado en el tratamiento de datos medios situados en territorio español, por lo que debe concluirse, igualmente, que la LOPD es aplicable al presente supuesto y procedente la intervención de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 2.1.c) de la LOPD“ (AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS.

Resolución R/02892/2013 del 19 de diciembre de 2013. Procedimiento sancionador PS/00345/2013 instruido a las entidades Google Inc. y Google Spain, S.L. Madrid, España). La parte pertinente de la regulación española - Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personalsobre su ámbito de aplicación dice lo siguiente: “Artículo 2 Ámbito de aplicación. 1.

La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal: a) Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento. b) Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación es pañola en aplicación de normas de Derecho Internacional público. c) Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de da tos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.

(…)”. (Destacamos). Obtenido el 9 de junio en el enlace: https://www.tiktok.com/legal/cookie-policy?lang=es Obtenido el 9 de junio en el enlace: https://www.tiktok.com/legal/privacy-policy?lang=es HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” Artículo 4 “(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades” 11.

Artículo 333 “(…) La actividad económica y la iniciativa privada son libres, dentro de los límites del bien común. Para su ejercicio, nadie podrá exigir permisos previos ni requisitos, sin autorización de la ley. La libre competencia económica es un derecho de todos que supone responsabilidades. La empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

(Destacamos). Entonces, es la misma Constitución Política la que dispone el cumplimiento de la normatividad a los extranjeros que estén en este territorio. La cual, además, incluye el sometimiento a la ley en general, así como a las órdenes de autoridades administrativas, entre otras. No se puede olvidar que TikTok recolecta los Datos de los menores de edad, sujetos de especial protección constitucional, por medio de la instalación de cookies en los dispositivos electrónicos que ellos utilizan para ingresar a su cuenta y aplicaciones de la plataforma tecnológica.

IV. El respeto por las leyes en el ciberespacio. En el ciberespacio no desaparecen ni disminuyen los derechos de las personas. El ciberespacio ha sido caracterizado por ser un escenario global no delimitado por fronteras geográficas en donde las actividades suceden dentro de la arquitectura tecnológica de Internet. Aunque se trata de un “mundo virtual”, sus ciudadanos son miles de millones de personas reales ubicadas en prácticamente cualquier lugar del “mundo físico” cuyas actividades tienen impacto o consecuencias en el “mundo real”.

A pesar que el campo de acción de Internet desborda las fronteras nacionales, para la Corte Constitucional el nuevo escenario tecnológico y las actividades en Internet no se sustraen del respeto de los mandatos constitucionales. Por eso, concluyó dicha entidad que “en Internet (…) puede haber una realidad virtual pero ello no significa que los derechos, en dicho contexto, también lo sean.

Por el contrario, no son virtuales: se trata de garantías expresas por cuyo goce efectivo en el llamado “ciberespacio” también debe velar el juez constitucional”12. Recalca dicha Corporación que, “nadie podría sostener que, por tratarse de Internet, los usuarios sí pueden sufrir mengua en sus derechos constitucionales”13. Por su parte, TikTok tiene 12,447,549 cuentas registradas por ciudadanos o residentes en Colombia.

De aquellas, 1,933,835 cuentas son de usuarios menores de 18 años 14. Es decir, TikTok tiene la obligación constitucional y legal de garantizar a mas de doce (12) millones de usuarios colombianos el debido Tratamiento de sus Datos Personales y el correcto ejercicio de sus derechos fundamentales en el ciberespacio. Entonces, es relevante tener presente que TikTok trata Datos Personales de mas de doce (12) millones de ciudadanos. Lo cual, genera la obligación de ser extremadamente diligente y garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos Personales en el ciberespacio.

V. TikTok no cuenta con una Política de Privacidad en castellano para los usuarios residentes y domiciliados en la República de Colombia, lo cual dificulta que todos los titulares de los datos comprendan o entiendan las reglas del tratamiento de sus datos personales De conformidad con el artículo 10 de la Constitución de la República de Colombia, “el castellano es el idioma oficial de Colombia”.

La aplicación TikTok no tiene una Política de Privacidad y Términos del Servicio en castellano para los usuarios domiciliados y/o residentes de la República de Colombia. Esto dificultad que todos los usuarios de TikTok comprendan claramente las políticas sobre el Tratamiento de sus datos personales. En la respuesta15 que la aplicación le allegó a esta Autoridad se hace mención en los siguientes términos a la Política de Privacidad y a los Términos del Servicio: “Dicho reconocimiento genera al mismo tiempo la responsabilidad en cabeza del extranjero de atender cabal y estrictamente el cumplimiento de deberes y obligaciones que la misma normatividad consagra para todos los residentes en el territorio de la Re pública pues, así lo establece, entre otras disposiciones, el artículo 4o. inciso segundo de la Carta (…)”.

Corte Constitucional, Sentencia C-1259 de 2001 República de Colombia. Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001. República de Colombia. Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001. Documento con número de radicación: 20-106617- -00002-0000. Documento con número de radicación: 20-106617- -00002-0000.

HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” Sin embargo, al acceder a cada uno de esos dos vínculos respectivamente, es notorio el ámbito de aplicación de los mismos en los siguientes términos: Entonces, los documentos a los que hace referencia la aplicación son aplicables a los usuarios con residencia en el Espacio Económico Europeo (EEE), en el Reino Unido de Gran Bretaña e Irlanda del Norte o en la Confederación Suiza.

Habiendo dejado claro que la aplicación no tiene una Política de Privacidad en castellano para los usuarios residentes o domiciliados en la República de Colombia, y ante ausencia de otro documento en ese idioma relativo a la Política de Privacidad y los Términos del Servicio, esta Autoridad analizará los mismos para los fines que considere pertinente.

La aplicación TikTok cuenta con un Privacy Policy (redactada en inglés) para todos los usuarios que no se encuentran ubicados en los Estados Unidos de América, el Espacio Económico Europeo o en la Confederación Suiza en: https://www.tiktok.com/legal/privacy-policy?lang=en#privacy-row. VI. Sobre el Tratamiento de Datos Personales por parte de la aplicación TIKTOK.

No es menor la cantidad de información que trata la aplicación TikTok de los usuarios. Con la finalidad de entender qué información es tratada por la aplicación y para qué finalidades, la Dirección procede a revisar la información que dispone la Política de Privacidad de la aplicación TikTok, en los siguientes términos16: Categoría Información de su perfil Contenido e información sobre el comportamiento de los usuarios Descripción Usted nos proporciona información cuando se registra en la Plataforma, incluidos su nombre de usuario, fecha de nacimiento, dirección de correo electrónico y/o número de teléfono, información que usted divulga en su perfil de usuario, así como su fotografía o vídeo de perfil.

Nosotros tratamos el contenido que usted genera y visualiza en la Plataforma, incluidas las preferencias que usted establece (como su elección de idioma), las fotografías y los vídeos que usted sube, los comentarios y las emisiones en directo que hace («Contenido del Obtenido el 18 de agosto de la siguiente página web: https://www.tiktok.com/legal/privacy-policy?lang=es HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” Usuario»).

Recopilamos información a través de encuestas, retos y competiciones en los que usted participa. También recopilamos información sobre su uso de la Plataforma, como, por ejemplo, el uso que usted hace de la Plataforma, incluida la frecuencia con la que usted utiliza la Plataforma y cómo interactúa con el contenido que le mostramos, los anuncios que ve, los vídeos que visiona, los problemas que tiene, el contenido que le gusta, el contenido que guarda en «Favoritos», las palabras que busca y los usuarios a los que sigue.

Nosotros inferimos sus intereses, su sexo y su edad con el fin de personalizar el contenido. También inferimos los intereses de nuestros usuarios para optimizar mejor la publicidad en nuestra Plataforma. Si usted nos ha dado su consentimiento, usaremos esta información para enviarle publicidad personalizada. Nosotros estudiamos el Contenido del Usuario a efectos de moderación del contenido, con el fin de hacer cumplir las directrices de nuestra comunidad, cumplir las obligaciones legales y evitar y responder ante usos abusivos, fraude, actividades ilegales y otros contenidos potencialmente dañinos en la Plataforma.

También tratamos la información sobre sus seguidores, los «me gusta» que usted recibe y las respuestas al contenido que usted sube, con el fin de personalizar su página «Para Ti», promocionar su contenido entre otros usuarios y explorar si su perfil presenta oportunidades de colaboración. Mensajes Si la legislación del país nos lo permite, recopilamos y tratamos sus mensajes, lo cual incluye escanear y analizar la información de esos mensajes por medio de la función de mensajería de la Plataforma.

Esa información incluye el contenido del mensaje e información sobre cuándo se ha enviado, recibido y/o leído el mensaje, así como sobre los participantes en la comunicación. Hacemos esto para prevenir y bloquear el spam, prevenir y detectar la actividad delictiva, proteger a los niños (cuando ello sea de interés público esencial) o para proteger los intereses de nuestros usuarios y otras personas.

Tenga también en cuenta que los usuarios de la Plataforma a los que se envían mensajes pueden acceder a dichos mensajes y que nosotros no somos responsables de la forma en que dichos usuarios los usen o difundan. Cuentas Pro Usted puede ampliar su cuenta de usuario en la aplicación a una «Cuenta Pro». La Cuenta Pro le otorga acceso a funciones adicionales, como estadísticas globales sobre su contenido.

Si usted participa en el Mercado de Creadores de TikTok, usted puede utilizar el menú de la Cuenta Pro para acceder a los ajustes y gestionar las solicitudes relacionadas con las funciones del Mercado. Para este fin, se intercambian datos con el Mercado de Creadores de TikTok. Usted puede decidir compartir determinados datos de terceros con nosotros o nosotros podemos recopilar dichos datos de terceros de forma automática de acuerdo con su uso de la Plataforma.

Socios comerciales Información de terceros Si usted decide registrarse para utilizar la Plataforma usando los datos de su cuenta de una red social (p. ej., Facebook, Twitter, Instagram, Google), usted nos proporcionará o permitirá que su red social nos proporcione su nombre de usuario y perfil público. Igualmente, nosotros compartiremos determinada información con la red social en cuestión, como los datos de identificación de su aplicación, su token de acceso y la URL correspondiente.

Para más información sobre cómo HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” compartir su lista de contactos de Facebook con nosotros, consulte Cómo encontrar a otros usuarios e invitar a sus amigos. Anunciantes y proveedores de servicios de medición Si usted ha dado su consentimiento a la publicidad personalizada, nosotros vincularemos su información, p. ej., su ID de publicidad móvil, si nos lo facilitan los anunciantes y otros socios, a su perfil de TikTok para transmitirle anuncios.

También podemos transmitirle anuncios basados en la información que inferimos de los datos que estos socios nos suministran. Usted puede darse de baja de esta actividad en cualquier momento a través de los ajustes de su aplicación entrando en «Privacidad y seguridad» y luego en «Personalización y datos» y desactivando «Anuncios basados en datos recibidos de socios».

Nosotros usamos la información facilitada por nuestros socios proveedores de servicios de medición para comprender cómo ha interactuado usted con los sitios web de nuestros socios anunciantes y para evaluar mejor la efectividad de la publicidad en nuestra Plataforma. Nosotros recopilamos determinada información de usted cuando usted usa la Plataforma, incluso cuando usted usa la aplicación sin una cuenta.

Dicha información incluye su dirección IP, sus ID de instancia (que nos permiten determinar a qué dispositivos enviar mensajes), el proveedor de telefonía móvil, los ajustes de zona horaria, su identificador para fines publicitarios y la versión de la aplicación que Información técnica que usted está utilizando. También recopilaremos información sobre el recopilamos sobre usted dispositivo que usted está utilizando para acceder a la Plataforma, así como el modelo de su dispositivo, el sistema del dispositivo, el tipo de red, el ID del dispositivo, la resolución de su pantalla y su sistema operativo, los ajustes de audio y los dispositivos de audio conectados.

Si usted se conecta desde múltiples dispositivos, podremos utilizar la información de su perfil para identificar su actividad en todos los dispositivos. Cuando usted use la Plataforma en un dispositivo móvil, nosotros recopilaremos información sobre su ubicación con el fin de personalizar Ubicación su experiencia. Nosotros inferimos su ubicación aproximada basándonos en su dirección IP.

En determinadas jurisdicciones, también podremos recopilar datos del Sistema de Posicionamiento Global (GPS). Usted puede decidir buscar a otros usuarios de la Plataforma utilizando nuestra función «Encontrar Amigos» e invitar a sus contactos a unirse a usted en la Plataforma. Nosotros usaremos la información de contacto que usted posea de esa persona, como la de la lista de contactos de su teléfono o su lista de amigos de Facebook, y le daremos la opción de enviarles bien un SMS, un correo electrónico o un mensaje por medio de terceros (como Whatsapp, Facebook Messenger o Twitter) para invitarles a ver su perfil de TikTok.

Información sobre sus amigos Compras en la aplicación Nosotros usamos sus datos personales para encontrar coincidencias basadas en la información sobre sus contactos y en su agenda de direcciones. No obstante, la información sobre sus contactos y su agenda de direcciones son privadas y no serán difundidas. Utilizamos un sistema técnico para encontrar coincidencias sin enviarnos su propia información ni su agenda de direcciones en texto simple.

Si usted desea encontrar a otros usuarios a través de sus contactos de Facebook, puede concedernos acceso a su lista de contactos de Facebook. Nosotros recopilaremos su información pública de Facebook, así como los nombres y los perfiles de sus contactos de Facebook. Compararemos esta información con los usuarios registrados y le mostraremos las coincidencias para que usted pueda seguirlas.

Si usted hace compras en la aplicación, consulte nuestra Política sobre artículos virtuales. Su compra se hará a través de su cuenta de Apple iTunes o de Google Play. Nosotros no recopilamos ninguna información financiera o de facturación de usted en relación con ninguna transacción. Le rogamos que lea las condiciones y notificaciones de la tienda correspondiente de la aplicación para HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” informarse sobre cómo son utilizados sus datos.

Nosotros llevamos un registro de las compras que usted hace, de la fecha en la que hizo esas compras y de la cantidad gastada para poder abonar en su cuenta el valor correcto en monedas. De igual forma, la aplicación TIKTOK utiliza de la siguiente manera la información recolectada de los Titulares: Finalidad De acuerdo con, y para realizar nuestro contrato con usted. 1.

Notificarle 2. 3. 4. 5. 6. 7. 8. 9. Descripción sobre cambios en nuestros Servicios. Proporcionarle soporte al usuario. Hacer cumplir nuestros términos, condiciones y políticas. Administrar la Plataforma, incluida la resolución de problemas. Personalizar el contenido que recibe y proporcionarle contenido específico que pueda ser de su interés. Habilitar que comparta el Contenido de usuario e interactúe con otros usuarios.

Habilitar nuestro servicio de mensajería para que funcione si elige utilizar esa función. Habilitar que participe en el programa de elementos virtuales. Comunicarnos con usted. Con el fin de cumplir nuestras obligaciones legales y según sea necesario para dar cumplimiento a misiones de interés público o para proteger los intereses vitales de nuestros usuarios y de otras personas, usamos sus datos para ayudarnos a prevenir y a responder al uso abusivo, al fraude, a las actividades ilegales y a otros contenidos potencialmente nocivos que puedan darse en la Plataforma.

De acuerdo con nuestros legítimos intereses de 1. Garantizar su seguridad y protección, proporcionar una Plataforma eficaz y dinámica. incluida la revisión del contenido de los usuarios, los mensajes y los metadatos asociados en caso de incumplimiento de nuestras Directrices de la comunidad y de otros contenidos inapropiados. 2. Garantizar que el contenido se presenta de la manera más eficaz para usted y su dispositivo. 3.

Mejorar, promover y desarrollar la Plataforma y promover asuntos populares, hashtags e campañas en la Plataforma. 4. Llevar a cabo análisis de datos y probar la Plataforma para garantizar su estabilidad y seguridad. 5. Permitirle participar en funciones interactivas de la Plataforma. 6. Permitirle socializar en la Plataforma, por ejemplo, permitiendo que otros usuarios le identifiquen a través de la función “Encontrar a otros amigos” o a través de sus contactos telefónicos. 7.

Garantizar que tiene la edad suficiente para utilizar nuestra Plataforma (según lo exige la ley). Proporcionarle publicidad personalizada. Proporcionarle con servicios basados en su ubicación (donde esos servicios estén disponibles en su jurisdicción y elige a compartir su ubicación precisa con nosotros). HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” En suma, TikTok recolecta toda esta información de mas de doce (12) millones de usuarios colombianos o residentes en el territorio colombiano. Por tanto, no sólo se desprende una mayor diligencia a cargo de la compañía en el cumplimiento y respeto de los derechos y deberes, pero, además, le asiste el deber de informar al Titular, en consideración del mismo, de manera clara y expresa toda esta información. VII.

Del Tratamiento de Datos Personales de niñas, niños y/o adolescentes por parte de la aplicación TIKTOK. La Ley 1581 de 2012 establece que el consentimiento para el Tratamiento de Datos Personales debe ser previo, expreso e informado. Además, la ley distingue entre el consentimiento obtenido por parte de los adultos, por un lado, y por el otro, aquel obtenido de los representantes legales para el Tratamiento de información personal de niños, niños, o adolescentes.

La capacidad de los menores de edad para proporcionar un consentimiento previo, expreso, e informado para el Tratamiento de sus Datos personales depende en gran medida de su desarrollo cognitivo y emocional. Se considera que existe un umbral de edad por debajo del cual los menores de edad probablemente no entiendan completamente las consecuencias derivadas del Tratamiento de sus Datos, particularmente en esta era de redes sociales; flujos de datos; publicidad comportamental; decisiones automatizadas; etc.

Una organización que trate Datos Personales de niños, niñas y adolescentes debe estar en la capacidad de obtener el consentimiento del representante legal del menor, teniendo en cuenta el derecho de ellos a ser escuchados; opinión que será valorada analizando la madurez, autonomía y capacidad para entender el Tratamiento (artículo 2.2.2.25.2.9. del Decreto 1074 de 2015).

Asimismo, le corresponde conservar la prueba del consentimiento obtenido (artículo 9 y literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.5 del Decreto 1075 de 2015). La información que un Responsable del Tratamiento le suministre al niño, niña y/o adolescente para obtener su opinión debe ser presentada en un lenguaje que sea claro y sencillo para los menores, con el fin de que ellos sean conscientes de los riesgos, consecuencias, garantías y derechos concernientes al Tratamiento de sus Datos personales.

El artículo 2.2.2.25.2.4 del Decreto 1075 de 2014 ordena a las organizaciones que establezcan mecanismos para obtener el consentimiento del Titular del Dato, entre ellos, la de los representantes legales para el Tratamiento de Datos de niños, niñas y/o adolescentes, que garanticen su posterior consulta. Una organización que recolecte datos de niños, niñas y adolescentes debe implementar procedimientos efectivos para determinar que el representante legal autorice expresamente el Tratamiento de la información relacionada con el menor, así como para verificar que la persona quien otorga el consentimiento sea el representante legal.

La Ley 1581 de 2012 no establece el procedimiento 17 para obtener el consentimiento previo, expreso e informado del representante legal para el Tratamiento de los Datos de niños, niñas y/o adolescentes, así como tampoco aquel para garantizar que la persona que otorga el consentimiento sea el responsable legal del menor. No obstante, el Principio de Responsabilidad Demostrada exige que ese procedimiento sea efectivo en la práctica, tomando en cuenta: 1.

La naturaleza jurídica del Responsable y, cuando sea el caso, su tamaño empresarial; 2. La naturaleza de los Datos personales objeto del Tratamiento; 3. El tipo de Tratamiento; 4. Los riesgos potenciales que el referido Tratamiento podrían causar sobre los derechos de los Titulares (artículo 2.2.2.25.6.1. del Decreto 1074 de 2015). Son ejemplos de procedimientos que pueden ser usados por las organizaciones para obtener el consentimiento del representante legal: (i) proporcionar un formulario de consentimiento para que sea suscrito y devuelto por parte del representante legal a la organización por correo postal; fax; correo electrónico; etc.;

(ii) contar con un canal para que el representante legal pueda contactarse con la organización. En todo caso, le corresponde al Responsable del Tratamiento determinar cuál es el procedimiento adecuado en un caso específico, considerando la tecnología disponible. Los artículos 2.2.2.25.2.1 y 2.2.2.25.6.1 del Decreto 1074 de 2015 establecen que, a solicitud de la descripción de los procedimientos usados para la recolección almacenamiento; uso; circulación y supresión de información; entre otros: el procedimiento para obtener el consentimiento previo, expreso e informado del representante legal para el Tratamiento de los Datos de niños, niñas y/o adolescentes.

Método o tecnología. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” Caso concreto. Como lo señala la Política de privacidad18 de la aplicación TikTok, la misma no está dirigida a personas menores de 13 años. A saber: Esta Autoridad por medio de Acta 086-20 bajo el radicada 20-106617, realizó una preservación de sitios web de la aplicación TikTok.

De acuerdo con los mensajes de datos recaudados y preservados, se adquieren los siguientes hallazgos: 1. Para que un usuario pueda tener una cuenta en la app deberá registrarse, en donde cuenta con 5 métodos para hacerlo: i) número de teléfono, ii) correo electrónico, iii) a través de Facebook, iv) Google y v) Twitter. 2. Después de seleccionar el método de registro en la app el usuario debe indicar su fecha de nacimiento con la que se calcula la edad, en caso de que la persona sea menor de 13 años genera el mensaje: “Lo sentimos, no reúnes los requisitos para formar parte de TikTok ¡pero gracias por tu interés!”, si es mayor de trece años permitirá continuar con el registro. 3.

Si el usuario tiene por lo menos 13 años, el procedimiento a seguir es el siguiente (Registro mediante número de teléfono y registro mediante correo electrónico): Cfr. https://www.tiktok.com/legal/privacy-policy?lang=es HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” 4.

Finalizado el registro se activa el menú “Ajustes y privacidad” donde el usuario podrá configurar y modificar su cuenta y en la sección “Acerca de” encontrará los términos de uso, Normas de la comunidad, Política de privacidad y Política de derechos de autor. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” En adición, en su respuesta al requerimiento de información la aplicación afirma lo siguiente: • “En el caso de los padres y tutores legales que decidan permitir que los menores bajo su responsabilidad utilicen el servicio, estamos trabajando constantemente para asegurarnos de que esos usuarios estén suficientemente protegidos”19.

(Subrayado fuera de texto). • “Los usuarios menores de 18 años pueden usar TikTok bajo el consentimiento de sus padres o tutores legales y TikTok implementa las medidas de seguridad para proteger a estas personas y proporcionar y garantizar un entorno positivo y creativo para todos estos usuarios” 20. (Subrayado fuera de texto). • “Al registrar una cuenta en TikTok, los usuarios deben aceptar y cumplir con nuestros Términos de Servicio, Política de Privacidad, Normas de la Comunidad y las leyes aplicables, y los usuarios menores de 18 años deben obtener autorización de sus padres o tutores legales para usar la plataforma, así como para aceptar los documentos aplicables, incluida la Política de Privacidad”21.(Subrayado fuera de texto).

Sobre los hallazgos y las afirmaciones de TikTok es necesario precisar lo siguiente: Documento con número de radicación: 20-106617- -00002-0000 Página 19. Documento con número de radicación: 20-106617- -00002-0000 Página 21. Documento con número de radicación: 20-106617- -00002-0000 Página 22. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” Primero: El usuario entre los 13 y 17 años, menor de edad bajo la regulación colombiana, que proporcione una fecha de nacimiento puede acceder a una cuenta de la aplicación TikTok sin el consentimiento de su representante legal.

Segundo: El estar de acuerdo con “los Términos de uso de TikTok y que has leído la Política de privacidad de TikTok” no necesariamente significa que el Titular del dato autorizó el Tratamiento de sus Datos Personales. Entonces, que el Titular acepte o este de acuerdo con los Términos de Uso y la Política de privacidad no es imperativo ni releva, per se, al Responsable de obtener la autorización previa, expresa e informada del Titular y/o de su representante legal.

Tercero: El Responsable del Tratamiento debe tener plena certeza de la identidad de la persona que autorizó el Tratamiento de su información. Cuarto: La regulación de Tratamiento de Datos personales no acepta la transferencia de responsabilidad que se le hace al niño, niña y/o adolescente cuando crea una cuenta en la aplicación TikTok, pues es claro que el deber de solicitar y conservar copia de la respectiva Autorización otorgada por el representante legal para el Tratamiento de los Datos de los niños, niñas y/o adolescentes está en cabeza del Responsable del Tratamiento (literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.1, 2.2.2.25.2.2, 2.2.2.25.2.4, 2.2.2.25.2.5 y 2.2.2.25.2.9 del Decreto 1074 de 2015, arriba citados).

Esta es la conclusión relevante en circunstancias como las aquí examinadas, en la cual otra consideración sería contraria a la normatividad en materia de protección de Datos personales y, desconociendo de paso, los artículos 15 y 44 de la Constitución Política. Quinto: La aplicación TikTok propiedad de la compañía ByteDance Ltd. –NO los niños, niñas y/o adolescentes- es la llamada a obtener la Autorización del representante legal de los menores de dieciocho (18) años de edad.

Para el efecto, no basta que el menor de edad afirme que cuenta con el permiso de sus padres. ByteDance Ltd. debe demostrar que cuenta con la Autorización del representante legal del niño, niña o adolescente. Sexto: La falta de diligencia por parte de ByteDance Ltd., está generando que los representantes legales pierdan el control frente al Tratamiento que ese grupo de compañías realiza frente a los Datos personales de los niños, niñas y/o adolescentes ubicados en la República de Colombia, así como que carezcan de la información necesaria sobre los riesgos, consecuencias, garantías y derechos concernientes al Tratamiento de los Datos personales de menores de dieciocho (18) años, en particular cuando los servicios que ofrece ByteDance Ltd., implica un manejo a gran escala de categorías de datos personales.

Séptimo: La aplicación TikTok no cuenta con una Política de Privacidad en castellano para los usuarios domiciliados o residentes en el territorio de la República de Colombia. Octavo: El usuario domiciliado o residente en el territorio de la República de Colombia que desde la aplicación busque la política de privacidad, encontrará que los términos referidos aplicables a los usuarios con residencia en el Espacio Económico Europe (EEE), en el Reino Unido de Gran Bretaña e Irlanda del Norte o en la Confederación Suiza.

VIII. Principio de Debida Diligencia en el Tratamiento de Datos de niños, niñas y/o adolescentes Según nuestra Carta Política de 1991 “el ejercicio de los derechos y libertades reconocidos en esta Constitución implica responsabilidades”22. Asimismo, la realización de la actividad empresarial “implica obligaciones” 23. Más aún, “toda persona está obligada a cumplir la Constitución y las leyes”24, así como “es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades”25.

Y, por último, “En la recolección, Tratamiento y circulación de datos (se debe respetar) la libertad y demás garantías consagradas en la Constitución” 26. (Subrayado y negrita añadidos). Por su parte, la regulación colombiana les exige a todas las compañías el cumplimiento del Principio de Responsabilidad Demostrada. En efecto, los artículos 2.2.2.25.6.1 y 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 (anteriormente artículos 26 y 27 del Decreto 1377 de 2013) determinan: “Artículo 2.2.2.25.6.1.

Demostración. Los responsables del Tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, Cfr. Artículo 95 de la Constitución Política de Colombia Cfr. Artículo 333 de la Constitución Política de Colombia Cfr. Artículo 95 de la Constitución Política de Colombia Cfr. Artículo 4 de la Constitución Política de Colombia Cfr. Artículo 15 de la Constitución Política de Colombia HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, (…) Artículo 2.2.2.25.6.2.

Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.

La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del Tratamiento”. El término “accountability” proviene del mundo anglosajón27 y a pesar de las diferentes acepciones que puedan darse sobre el significado del mismo, se ha entendido que en la arena de la protección de Datos dicha expresión se refiere no solo al modo como una organización debe cumplir en la práctica las regulaciones sobre el tema, sino también, a la manera como debe demostrar que lo hecho es útil, pertinente y eficiente.

Este principio demanda implementar acciones de diversa naturaleza 28 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. El mismo exige que los Responsables y Encargados del Tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar, la observancia de las normas sobre la materia en todos sus servicios y productos.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales. Por tanto, se demanda menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas porque exige que se demuestre el cumplimiento real y efectivo en la práctica cuando realizan sus funciones 29.

El Principio de Responsabilidad Demostrada busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por su iniciativa adopten medidas estratégicas capaces de garantizar, entre otras, el Principio de Libertad en el Tratamiento de la información. En otras palabras, el Tratamiento de Datos que desconozca ese principio no es consistente con la Constitución Política Nacional, ni la ley.

Ese tipo de administración no es admisible a la luz de la regulación colombiana y no puede convertirse en una práctica empresarial ni es tolerable por las autoridades que según el artículo 2 de la Constitución “están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades (…)”.

Uno de los deberes que le asiste a los Responsables es, el respeto por el Principio de Libertad; condición transcendental del Tratamiento de Datos personales. Previo a la recolección de los Datos del Titular, este último debe haber consentido de manera previa, expresa e informada. Es decir, como lo establece la normatividad, los Datos del Titular no pueden ser obtenidos o divulgados sin previa autorización, en ausencia de un mandato legal o judicial que exima la necesidad del consentimiento 30.

Siendo el consentimiento la piedra angular del Tratamiento de Datos personales, el legislador y la Corte Constitucional se han preocupado al respecto. Esta última concluyó que “este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos.

También impide que la información Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que inv olucran procesos y procedimientos. Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

Cfr. Literal c) Artículo 4 de la Ley 1581 de 2012. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente”31. Además, la Corte Constitucional estableció que, “La eliminación del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, que viola el derecho fundamental al hábeas data, en tanto restringe injustificadamente la autodeterminación del sujeto respecto de su información personal”32.

(Subrayado fuera de texto). En definitiva, el consentimiento otorgado por el Titular debe ser expreso, informado y previo al Tratamiento. La carga le asiste al Responsable, quien no podrá realizar el Tratamiento de la información sin la Autorización del Titular a menos de que esté inmerso en la excepción establecida en la regulación. Por lo tanto, son los Responsable quienes deben identificar los mecanismos para que el Titular otorgue la Autorización a través de actos positivos y concluyentes.

Ahora, frente al Tratamiento de los Datos de niños, niñas y/o adolescentes, como sujetos de especial protección constitucional, por los riesgos que frente a ellos resulta un uso indebido de su información, el Principio de Responsabilidad Demostrada se torna más exigente. Lo anterior, en atención a que le exige al Responsable del Tratamiento no solo identificar que el Tratamiento no ponga en riesgo la prevalencia de sus derechos fundamentales, sino que, además, debe responder inequívocamente por la realización del principio de su interés superior, cuya aplicación específica devendrá del análisis de cada caso en particular33.

Por su parte, el consentimiento es más robusto, ya que, el Responsable tiene la obligación de contar con el consentimiento del representante legal, como se señala en la norma: “Artículo 2.2.2.25.2.9.: Requisitos especiales para el tratamiento de datos personales de niños, niñas y adolescentes. El Tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1.

Que responda y respete el interés superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo Responsable y Encargado involucrado en el Tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente Decreto. La familia y la sociedad deben velar porque los Responsables y Encargados del Tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente decreto”34.

De esta manera, una organización que recolecte Datos de niños, niñas y/o adolescentes debe implementar procedimientos efectivos para determinar que el representante legal autorice expresamente el Tratamiento de la información relacionada con estos sujetos, así como asegurarse de que esa persona efectivamente sea el representante legal del menor.

Además, en caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento como, por ejemplo, la identificación del Responsable y la finalidad del Tratamiento de los Datos personales, el Responsable del Tratamiento debe comunicar estos cambios al representante legal del menor a más tardar al momento de implementar las nuevas políticas35.

Ahora bien, respecto del procedimiento a ser implementado para cumplir con esa exigencia legal, la regulación es neutral porque no exige un mecanismo, proceso o tecnología específica para obtener la Autorización del Titular del Dato. No obstante, al margen de la alternativa que utilice el Responsable para dicho propósito, debe estar en capacidad de demostrar que obtuvo una Autorización previa, expresa e informada.

Cfr. Corte Constitucional, Sentencia C-748 de 2011. Cfr. Ibídem. Cfr. Ibídem. Cfr. Artículo 2.2.2.25.2.9. del Decreto 1074 de 2015 Cfr. Artículo 2.2.2.25.2.2. del Decreto 1074 de 2015. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” IX. Actuaciones y decisiones de autoridades internacionales en relación con el Tratamiento de Datos Personales de niños, niñas y adolescentes por parte de TIKTOK.

La Superintendencia de Industria y Comercio, como Autoridad de Protección de Datos Personales en la República de Colombia, es una de varias otras autoridades de protección de datos personales que han iniciado actuaciones o emitido decisiones relativas al Tratamiento de Datos Personales de niños, niñas y adolescentes por parte de TikTok. En este orden de ideas se trae a colación las siguientes actuaciones y decisiones por parte de: la Comisión Federal de Comercio de los Estados Unidos, el Information Commissioner's Office del Reino Unido y la Autoridad de Protección de Datos Personales del Reino de los Países Bajos respectivamente. • COMISIÓN FEDERAL DE COMERCIO DE LOS ESTADOS UNIDOS DE AMÉRICA (“The Federal Trade Commission”).

Para los fines de la presente resolución, esta Dirección considera importante hacer referencia al acuerdo36 de $ 5.7 millones de dólares americanos suscrito entre la COMISIÓN FEDERAL DE COMERCIO DE LOS ESTADOS UNIDOS DE AMÉRICA (“The Federal Trade Commission”) y Musical.ly (TikTok), por la presunta recolección ilícita de información de menores de edad.

Según se afirma en dicho comunicado: “Los operadores de Musical.ly, ahora conocidos como TikTok, sabían que muchos niños usaban la aplicación, pero aún así no pudieron obtener el consentimiento de los padres antes de recopilar nombres, direcciones de correo electrónico y otra información personal de usuarios menores de 13 años (…)”37. De igual forma, en el comunicado de prensa la Comisión Federal de Comercio anunció que: “Además del pago monetario, el acuerdo también requiere que los operadores de la aplicación cumplan con COPPA en el futuro y desconecten todos los videos realizados por niños menores de 13 años”38.

Las quejas allegadas a dicha Comisión, afirmaban, entre otras cosas, que la aplicación transgredía los parámetros de la Ley de Protección de la Privacidad Infantil en Internet (COPPA). Lo anterior, toda vez que la regulación establece que los sitios web y servicios en línea dirigidos al público infantil deben notificar sus prácticas de manejo de la información y obtener el consentimiento paterno antes de recolectar información personal de niños menores de trece (13) años. • INFORMATION COMMISSIONER'S OFFICE (ICO) Por su parte, Elizabeth Denham, la Comisionada de Información del Reino Unido de Gran Bretaña e Irlanda del Norte, le informó al Parlamento que motivada por la multimillonaria multa impuesta por la Comisión Federal de Comercio de los Estados Unidos (FTC) su oficina había abierto una investigación a la aplicación TikTok a comienzos de febrero del 2019.

Según afirmó la Comisionada, se están analizando: las herramientas de transparencia para los menores de edad, el sistema de mensajería, el tipo de videos que los niños recopilan y comparten en línea, entre otros aspectos39. • AUTORIDAD DE PROTECCIÓN DE DATOS PERSONALES DEL REINO DE LOS PAÍSES BAJOS En mayo del año en curso, la Autoridad de Protección de Datos Personales de Holanda comunicó a la opinión pública que, para muchos ciudadanos la aplicación TikTok era una forma importante de mantenerse en contacto con amigos y pasar tiempo juntos, particularmente durante la actual crisis del coronavirus.

No obstante, el auge de la aplicación ha generado una creciente preocupación por la privacidad de los cuidanos. Por tanto, considerando la vulnerabilidad de los adolescentes y los niños que pueden no ser conscientes de las consecuencias de su Comisión Federal de Comercio (FTC). (2019). Video Social Networking App Musical.ly Agrees to Settle FTC Allegations That it Violated Children’s Privacy Law.

Abril 2020, de Comisión Federal de Comercio (FTC) Sitio web: https://www.ftc.gov/news-events/pressreleases/2019/02/video-social-networking-app-musically-agrees-settle-ftc Ibídem. Ibídem. Alex Hern. (2019). TikTok under investigation over child data use. julio 2019, de The Guardian Sitio web: https://www.theguardian.com/technology/2019/jul/02/tiktok-under-investigation-over-child-data-use HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” comportamiento en línea, la Autoridad "examinaría si TikTok protege adecuadamente la privacidad de los niños holandeses"40.

Sobre las actuaciones y decisiones mencionadas es necesario reiterar lo siguiente: Primero. Existe una preocupación por parte de las Autoridades de Protección de Datos Personales por garantizar el Derecho al debido Tratamiento de Datos Personales de niños, niñas y adolescentes. Segundo. La aplicación TikTok tiene la enorme responsabilidad de garantizar el efectivo ejercicio de los derechos que le asisten a todos sus usuarios, lo cual lo obliga a ser extremadamente diligente en esta labor y a no ahorrar esfuerzos para la consecución de aquel deber legal.

X. Verificación sobre el cumplimiento del artículo 12 de la Ley Estatutaria 1581 de 2012 por parte de la aplicación TIKTOK. Como quiera que la Autorización debe ser informada, a continuación, se determinará si la aplicación TikTok informa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012. Para el efecto, se revisaron los siguientes documentos: Términos del servicio (https://www.tiktok.com/legal/privacypolicy?lang=es) y la Política de privacidad (https://www.tiktok.com/legal/privacy-policy?lang=es, https://www.tiktok.com/legal/privacy-policy?lang=en#privacy-row).

Los resultados de la evaluación son los siguientes: i. ii. iii. iv. Número de ítems evaluados: 24. Número de obligaciones que se cumplen correctamente: 6 (25%). Número de obligaciones que se cumplen parcialmente (P): 4 (16,67%). Número de obligaciones que no se cumplen: 14 (58,33%). A continuación, se detalla lo evaluado y los resultados o comentarios sobre cada ítem: DEBER DE INFORMAR AL TITULAR AL MOMENTO DE SOLICITAR LA AUTORIZACIÓN ¿Se informa al momento de solicitar la Autorización el Tratamiento físico o automatizado al cual serán sometidos sus Datos personales? COMENTARIO Si (Literal a) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa de manera clara y expresa el Tratamiento físico o automatizado al cual serán sometidos sus Datos personales? Si (Literal a) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa al momento de solicitar la Autorización la finalidad de la recolección, uso o Tratamiento de los datos personales? Si (Literal a) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa de manera clara y expresa la finalidad de la recolección, uso o Tratamiento de los datos personales? (Literal a) del Artículo 12 de la Ley 1581 de 2012) Si Anthony Deutsch;

Mark Potter. (2020). Dutch watchdog to investigate TikTok's use of children's data. 2020, de REUTERS Sitio web: https://www.reuters.com/article/us-netherlands-dataprivacy-tiktok/dutch-watchdog-to-investigate-tiktoks-use-of-childrens-dataidUSKBN22K1UE HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” ¿Se informa al momento de solicitar la Autorización el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos sensibles? No (Literal b) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa de manera clara y expresa el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos sensibles? No (Literal b) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa al momento de solicitar la Autorización el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre los datos de las niñas, niños y adolescentes (menores de 18 años de edad)? No (Literal b) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa de manera clara y expresa el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre los datos de las niñas, niños y adolescentes (menores de 18 años de edad)? No (Literal b) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa al momento de solicitar la Autorización los derechos que le asisten como Titular? No se le informa al Titular los siguientes derechos: 1.

Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento. (Literal c) del Artículo 12 de la Ley 1581 de 2012) P 2. Presentar ante la Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen. 3.

Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. ¿Se informa de manera clara y expresa los derechos que le asisten como Titular? (Literal c) del Artículo 12 de la Ley 1581 de 2012) P ¿Se informa al momento de solicitar la Autorización al Titular del dato que tiene derecho a “conocer, actualizar y rectificar No sus datos personales frente a los Responsables del Tratamiento o HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” Encargados del Tratamiento.

Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.

Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, No fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal -al del artículo 8 de la L 1581 de 2012). ¿Se informa al momento de solicitar la Autorización al Titular del dato que tiene derecho a “solicitar prueba de la Autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? No (Literal b) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? No (Literal b) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización al Titular del dato que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? No (Literal c) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del dato que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? No HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” (Literal c) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización al Titular del dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? No (Literal d) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? No (Literal d) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? No (Literal e) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal e) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? No Si (Literal f) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? Si (Literal f) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento? (Literal d) del Artículo 12 de la Ley 1581 de 2012) P HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” ¿Se informa de manera clara y expresa la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento? P (Literal d) del Artículo 12 de la Ley 1581 de 2012) XI.

Verificación sobre el cumplimiento del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) por parte de la aplicación TIKTOK. Como quiera que la aplicación TIKTOK debe redactar una Política de Tratamiento de Información (en adelante PTI), a continuación, se determinará si TikTok cuenta con dicha política y si la misma cumple con los mínimos que exige el Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015).

La aplicación TikTok allegó a esta Autoridad una Política de Privacidad que es aplicable a los usuarios con residencia en el Espacio Económico Europe (EEE), en el Reino Unido de Gran Bretaña e Irlanda del Norte o en la Confederación Suiza (https://www.tiktok.com/legal/privacy-policy?lang=es41). Entonces, para el efecto, se revisó la siguiente documentación: (https://www.tiktok.com/legal/privacy-policy?lang=en#privacy-row).

Privacy Los resultados de la evaluación son los siguientes: i. ii. iii. iv. Número de ítems evaluados: 19. Número de obligaciones que se cumplen correctamente: 9 (47,37%). Número de obligaciones que se cumplen parcialmente (P): 1 (5,26%). Número de obligaciones que no se cumplen: 9 (47,37%). A continuación, se detalla lo evaluado y los resultados o comentarios sobre cada ítem: REQUISITOS DE LA PTI ¿La Política de Tratamiento de la Información (en adelante PTI) consta en medio físico o electrónico? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

COMENTARIO Si ¿La PTI fue redactada con un lenguaje claro y sencillo? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). No ¿La PTI ha sido puesta en conocimiento de los Titulares? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

Si ¿la PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). ¿La PTI señala el tipo de Tratamiento – manual o automatizado- al cual serán sometidos los Datos? Documento con número de radicación: 20-106617- -00002-0000 P Si Policy HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

¿La PTI informa la finalidad Tratamiento de los Datos? del (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). Si ¿La PTI menciona de manera completa los derechos del Titular del Dato? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012).

No ¿En la PTI se informa al Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan No a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L. 1581 de 2012) ¿En la PTI se informa al Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal –b- del artículo 8 de la L 1581 de 2012) ¿En la PTI se informa al Titular del dato que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? No No (Literal -c- del artículo 8 de la L 1581 de 2012) ¿En la PTI se informa al Titular del dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? No (Literal -d- del artículo 8 de la L 1581 de 2012) ¿En la PTI se informa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se No HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” respeten los principios, derechos y garantías constitucionales y legales? (Literal -e- del artículo 8 de la L 1581 de 2012) ¿En la PTI se informa al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? Si (Literal -f- del artículo 8 de la L 1581 de 2012) ¿En la PTI se señala quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? No (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.4.4 del Decreto 1074 de 2015).

¿En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización? (Numeral 5 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015).

Si ¿En la PTI se señala los canales o medios para que los Titulares ejerzan sus derechos? (Artículo 14 de la Ley 1581 de 2012, artículo 21 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.4.2 del Decreto 1074 de 2015 y el artículo 23 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.4.4 del Decreto 1074 de 2015). ¿Los anteriores canales prevén, por lo menos, la posibilidad de que el Titular ejerza sus derechos a través del mismo medio por el cual fue recogida su información, dejando constancia de la recepción y trámite de la respectiva solicitud? (Artículo 18 del Decreto 1377 del 2013 incorporado en el artículo 2.2.2.25.3.6 del Decreto 1074 de 2015).

Si Si HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” ¿La PTI indica la fecha de entrada en vigencia de la política de Tratamiento de la información? (Núm. 6, art 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). Si ¿La PTI informa el período de vigencia de la Base de Datos? (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

No La aplicación TikTok no cuenta con una Política de Privacidad en castellano para los usuarios domiciliados o residentes en el territorio de la República de Colombia. El requisito de que el lenguaje sea claro y sencillo significa que, por ejemplo, la política sea comprensible para el tipo de audiencia; esto reviste especial importancia cuando se trata de niños, niñas o adolescentes, o personas con alguna discapacidad, o personas de la tercera edad, o personas que no hablen el idioma empleando en la redacción. Para garantizar que el menor de edad sea debidamente informado de lo que ordena la ley es imprescindible que el Responsable del Tratamiento le proporcione esa información de manera sencilla y que los términos de la redacción sean comprensibles para niños, niñas y adolescentes.

No es sensato, que el menor de edad se vea obligado a revisar varios links o enlaces. No es transparente que se diseñe un mecanismo para obligar a que el menor de edad tenga que realizar un “paseo” en varios sitios de la página web. Cuando TikTok afirma “Please refer to your local privacy policy for more information” 42 genera confusión para los usuarios en la medida que supone la existencia de una Política de Privacidad específicamente para Colombia, situación que no es verdadera.

SÉPTIMO: Sin perjuicio de todo lo anterior, destacamos las siguientes CONCLUSIONES: 1. ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd mediante la aplicación TikTok, posee y trata Datos Personales de 12,447,549 usuarios domiciliados o residentes en la República de Colombia 43, de los cuales 1,933,835 son de niños, niñas y/o adolescentes. 2. La aplicación TikTok, no cuenta con una Política de Privacidad en castellano para los usuarios domiciliados o residentes en el territorio de la República de Colombia, lo cual dificulta que todos los titulares de los datos comprendan las reglas sobre el tratamiento de sus datos personales 3.

El usuario entre los 13 y 17 años, menor de edad bajo la regulación colombiana, que proporcione una fecha de nacimiento puede acceder a una cuenta de la aplicación TikTok sin el consentimiento de su representante legal. 4. La aplicación TikTok, recolecta la siguiente información: “nombre de usuario, fecha de nacimiento, dirección de correo electrónico y/o número de teléfono, información se divulga el su perfil de usuario, así como la fotografía o vídeo de perfil; dirección IP, sus ID de instancia (que nos permiten determinar a qué dispositivos enviar mensajes), el proveedor de telefonía móvil, los ajustes de zona horaria, su identificador para fines publicitarios y la versión de la aplicación que usted está utilizando.

(…) También recopilaremos información sobre el dispositivo que usted está utilizando para acceder a la Plataforma, así como el modelo de su dispositivo, el sistema del dispositivo, el tipo de red, el ID del dispositivo, la resolución de su pantalla y su sistema operativo, los ajustes de audio y los dispositivos de audio conectados. Si usted se conecta desde múltiples dispositivos, podremos utilizar la información de su perfil para identificar su actividad en todos los dispositivos.

(…) Cuando usted use la Plataforma en un dispositivo móvil, nosotros recopilaremos información sobre su ubicación con el fin de personalizar su experiencia. Nosotros inferimos su ubicación aproximada basándonos en su dirección IP. En determinadas jurisdicciones, también podremos recopilar datos del Sistema de Posicionamiento Global (GPS)”44. 5.

La aplicación TikTok, no informa el carácter facultativo de la respuesta a las preguntas que le sean hechas a los, cuando estas versen sobre los datos de las niñas, niños y adolescentes (menores de 18 años de edad). Privacy Policy, en: https://www.tiktok.com/legal/privacy-policy?lang=en#privacy-row Consultado el 23 de septiembre de 2020. Documento con número de radicación: 20-106617- -00002-0000 Obtenido el 18 de agosto de la siguiente página web: https://www.tiktok.com/legal/privacy-policy?lang=es HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” 6.

La aplicación TikTok, no informa el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos sensibles. Por ejemplo, las fotografías de los Titulares. 7. La aplicación TikTok, emplea diversas tecnologías para recolectar y almacenar la información, entre las que se incluyen cookies y etiquetas de píxel. 8.

La aplicación TikTok, usa “cookies” para recolectar o tratar Datos personales en el Territorio de la República de Colombia. Por ende, debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias. En otras palabras, el Tratamiento de Datos Personales que realiza la aplicación TikTok está sujeto a la legislación de la República de Colombia toda vez que recolecta información de ciudadanos y residentes que se encuentran en el territorio nacional.

Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable a ByteDance Ltd., TikTok, Inc y TikTok Pte. Ltd porque acopia o captura Datos Personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en la República de Colombia. 9. TikTok –NO los niños, niñas y/o adolescentes- es la llamada a obtener la Autorización del representante legal de los menores de dieciocho (18) años de edad.

Para el efecto, no basta que el menor de edad afirme que cuenta con el permiso de sus padres. TikTok debe demostrar que cuenta con la Autorización del representante legal del niño, niña o adolescente. 10. Respecto del cumplimiento del deber de informar todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012 se pudo establecer que la aplicación TikTok, propiedad de la compañía ByteDance Ltd.: a. Incumple el 58,33% de los requisitos exigidos por dicha norma; b. Cumple correctamente el 25%; y, c. Parcialmente, el 16,67% de los mismos. 11.

Finalmente, en relación con la Política de Tratamiento de Información (PTI) se pudo establecer que la aplicación TikTok, propiedad de la compañía ByteDance Ltd.: a. Incumple el 47,37% de los requisitos mínimos que exige la regulación colombiana. b. Cumple correctamente el 47,37%; y, c. Parcialmente el 5,26%.

OCTAVO: Que, en virtud de la situación actual, en particular la emergencia sanitaria, se ha restringido el ingreso a las instalaciones de la Superintendencia de Industria y Comercio, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando el número de radicado del expediente;

(ii) una vez reciba respuesta respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo, luego del registro, puede consultar el expediente digitalmente. No obstante, en aras de garantizar los derechos de defensa y contradicción de la investigada, en el caso en que la misma considere necesario el acceso físico del expediente, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

NOVENO: Según el DANE, el 31,02% de la población colombiana (15.454.633) son niños, niñas y adolescentes45.

DÉCIMO: Una orden administrativa no es una sanción, sino una medida necesaria para la adecuación de las actividades u operaciones de los Responsables del Tratamiento a las disposiciones de la regulación colombiana sobre protección de datos personales. Las sanciones por infringir la Ley Estatutaria 1581 de 2012 -multas, suspensión de actividades, cierre temporal o definitivo- están previstas en el artículo 23 de dicha norma.

Allí se puede constatar que las órdenes no son sanciones.

DÉCIMO PRIMERO: Que para garantizar el debido Tratamiento de los Datos de las personas residentes o domiciliadas en la República de Colombia es necesario emitir varias órdenes a las compañías ByteDance Ltd46, TikTok, Inc47 y TikTok Pte. Ltd48. Cfr. Departamento Nacional de Estadística (Dane), en: https://www.dane.gov.co/files/dane-para-ninos/sabias-que.html.

Consultada el 3 de septiembre de 2020. Propietaria de la plataforma TikTok y Titular del signo distintivo TIKTOK. Sociedad que remitió a esta Autoridad la respuesta al requerimiento de información. Documento con número de radicación: 20-106617- 00002-0000. Sociedad Responsable del Tratamiento según lo indicado en https://www.tiktok.com/legal/privacy-policy?lang=en#privacy-row.

HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” En mérito de lo expuesto, este Despacho.

RESUELVE

ARTÍCULO PRIMERO. ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos personales que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informen en idioma castellano, de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

“b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” TIKTOK como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.”

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

ARTÍCULO SEGUNDO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) crear una Política de Tratamiento de Información (PTI) redactada en idioma castellano y que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). Dicha PTI debe ser puesta en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano.

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

ARTÍCULO TERCERO. ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 (incorporado en el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015) para la recolección y Tratamiento de los datos personales de niños, niñas y adolescentes (menores de dieciocho -18- años edad).

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa”

ARTÍCULO CUARTO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registren sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.

ARTÍCULO QUINTO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta Superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho -18- años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012.

PARÁGRAFO PRIMERO. TIKTOK deberá cumplir lo ordenado en este artículo dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

PARÁGRAFO SEGUNDO. Para demostrar el cumplimiento de lo anterior, TIKTOK deberá enviar a esta autoridad, al finalizar dicho plazo, una certificación emitida por una entidad o empresa, nacional o extranjera, independiente, imparcial, profesional y especializada en la que se acredite: 1. El número de Autorizaciones que tiene TIKTOK desde la entrada en vigencia de la Ley Estatutaria 1581 de 2012 hasta el día anterior a que se expida la certificación. 2.

Que las Autorizaciones cumplen todos los requisitos exigidos por la regulación de la República de Colombia para la recolección y Tratamiento de los datos personales de los niños, niñas y adolescentes.

PARÁGRAFO TERCERO. La entidad o empresa que seleccione TIKTOK para realizar el proceso de certificación de la existencia de las Autorizaciones, tendrá que ser ajena a su grupo empresarial, y estar libre de todo conflicto de interés que le reste independencia o cause cualquier tipo de subordinación respecto de TIKTOK.

PARÁGRAFO CUARTO. La entidad o empresa certificadora deberá estar legitimada para tal fin, por la autoridad competente del país de su domicilio. Lo anterior, solo en el caso de que la regulación del mismo lo requiera a fin de emitir esa clase de certificaciones. Si en dicho país no se exige lo anterior, bastará con que la misma sea independiente, imparcial, profesional y especializada en temas de Tratamiento de Datos personales y/o evidencia digital.

ARTÍCULO SEXTO. NOTIFICAR el contenido de la presente resolución a ByteDance Ltd. informándole que contra el presente acto administrativo procede recurso de reposición ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a la diligencia de notificación.

ARTÍCULO SÉPTIMO. NOTIFICAR el contenido de la presente resolución a TikTok, Inc informándole que contra el presente acto administrativo procede recurso de reposición ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a la diligencia de notificación.

ARTÍCULO OCTAVO: NOTIFICAR el contenido de la presente resolución a TikTok Pte. Ltd. informándole que contra el presente acto administrativo procede recurso de reposición ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a la diligencia de notificación. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa”

ARTÍCULO NOVENO: COMUNICAR el contenido de la presente resolución a CORPORACIÓN COLOMBIANA DE PADRES Y MADRES – RED PAPAZ, en su calidad de tercero interviniente dentro de la actuación administrativa.

NOTIFÍQUESE,

COMUNIQUESE Y CÚMPLASE Dada en Bogotá, D.C., 05 OCTUBRE 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2020.10.05 11:27:36 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ ALC/CEZ HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” NOTIFICACIÓN: Sociedad (1): Identificación: Correo electrónico: Dirección: ByteDance Ltd N/A legal@tiktok.com N/A Sociedad (2): Dirección: Ciudad: País: Representante Legal: Correo electrónico: TikTok, Inc 10100 Venice Blvd., Culver City, CA 90232, USA Culver City, California Estados Unidos de America Erich Andersen legal@tiktok.com Sociedad (3): Dirección: Ciudad: País: Correo electrónico: TikTok Pte.

Ltd. 201 Henderson Road#06-22, Apex@Henderson, Singapore 159545 SINGAPUR SINGAPUR legal@tiktok.com COMUNICACIÓN: Sociedad: CORPORACIÓN COLOMBIANA DE PADRES Y MADRES – RED PAPAZ Identificación: Representante Legal: Identificación: Dirección: Ciudad: País: Correo electrónico: Nit. 830130422 - 3 CAROLINA PIÑEROS OSPINA C.C. 39.694.233 Calle 103 No. 14A-53, Edificio Bogotá Business Center, Oficina 403 Bogotá República de Colombia director@redpapaz.org y soportelegal@redpapaz.org