Decisión 67413 de 2021 — SIC

REPÚBLICA DE COLOMBIA (octubre 19 de 2021) VERSIÓN ÚNICA Radicado 20-106617 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y CONSIDERANDO Primero. Que mediante Resolución No. 62132 de 5 de octubre de 2020 la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio, con el fin de garantizar el debido Tratamiento de Datos personales en el territorio de la República de Colombia emitió varias órdenes administrativas de carácter preventivo a las sociedades a ByteDance Ltd, TikTok, Inc. y TikTok Pte.

Ltd. (corresponsables de la aplicación TikTok). Las órdenes administrativas de carácter preventivo que impartió́ esta autoridad mediante la Resolución No. 62132 de 5 de octubre de 2020 fueron las siguientes: “ARTÍCULO PRIMERO. ORDENAR a ByteDance Ltd, TikTok, Inc. y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los Datos personales que recolectan o tratan en el territorio de la Republica de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informen en idioma castellano, de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus Datos personales y la finalidad del mismo;

“b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” TIKTOK como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá́ conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA PARÁGRAFO.

TIKTOK deberá́ cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO SEGUNDO: ORDENAR a ByteDance Ltd, TikTok, Inc. y TikTok Pte.

Ltd. (en adelante TIKTOK) crear una Política de Tratamiento de Información (PTI) redactada en idioma castellano y que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). Dicha PTI debe ser puesta en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano. PARÁGRAFO.

TIKTOK deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO TERCERO. ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte.

Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 (incorporado en el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015) para la recolección y Tratamiento de los Datos personales de niños, niñas y adolescentes (menores de dieciocho -18- años edad).

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO CUARTO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte.

Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registren sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio. PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.

ARTÍCULO QUINTO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta Superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho -18- años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012.

PARÁGRAFO PRIMERO. TIKTOK deberá cumplir lo ordenado en este artículo dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. PARÁGRAFO SEGUNDO. Para demostrar el cumplimiento de lo anterior, TIKTOK deberá enviar a esta autoridad, al finalizar dicho plazo, una certificación emitida por una entidad o empresa, nacional o extranjera, independiente, imparcial, profesional y especializada en la que se acredite: El número de Autorizaciones que tiene TIKTOK desde la entrada en vigencia de la Ley Estatutaria 1581 de 2012 hasta el día anterior a que se expida la certificación. Que las Autorizaciones cumplen todos los requisitos exigidos por la regulación de la República de Colombia para la recolección y Tratamiento de los Datos personales de los niños, niñas y adolescentes.

PARÁGRAFO TERCERO. La entidad o empresa que seleccione TIKTOK para realizar el proceso de certificación de la existencia de las Autorizaciones, tendrá que ser ajena a su grupo empresarial, y estar libre de todo conflicto de interés que le reste independencia o cause cualquier tipo de subordinación respecto de TIKTOK. PARÁGRAFO CUARTO. La entidad o empresa certificadora deberá estar legitimada para tal fin, por la autoridad competente del país de su domicilio.

Lo anterior, solo en el caso de que la regulación del mismo lo requiera a fin de emitir esa clase de certificaciones. Si en dicho país no se exige lo anterior, bastará con que la misma sea independiente, imparcial, profesional y especializada en temas de Tratamiento de Datos personales y/o evidencia digital.” Segundo. Que en el término legal establecido, mediante escrito 20-106617-23 de 30 de octubre de 2020, TIKTOK, Inc. (en adelante, la recurrente) presentó recurso de reposición y en subsidio apelación contra la Resolución No. 62132 de 5 de octubre de 2020, con fundamento en los siguientes hechos y argumentos: 1.

La SIC no es competente para requerir, investigar ni imponer obligaciones a TIKTOK, INC. por tratarse de una sociedad extranjera que no realiza Tratamiento de Datos en Colombia “La actividad de TikTok, Inc. de ninguna forma implica ni ha implicado el tratamiento de datos personales de ciudadanos o residentes colombianos en los términos de la Ley 1581 de 2012.

La anterior es una negación indefinida que no requiere prueba en los términos del artículo 167 del Código General del Proceso. En otras palabras, mientras que en el expediente no haya prueba de que TikTok Inc, (que no es igual a la aplicación TikTok) efectivamente realice tratamiento de datos personales en Colombia, debe presumirse que mi cliente no realiza esta actividad.

Por consiguiente, es claro que la SIC no es competente para requerir ni investigar a TikTok, Inc. ni impartirle órdenes como las contenidas en la Resolución Impugnada y esto necesariamente implica que este último acto administrativo debe ser revocado por la Entidad”. 2. Violación al derecho de defensa RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA “( ) el 30 de abril de 2020 la SIC envió́ la Comunicación simplemente dirigida a “TIK TOK”, sin especificar a qué sociedad o persona jurídica hacía referencia. Ni en el encabezado, ni en el contenido de la Comunicación, se mencionó el nombre de las sociedades TikTok, Inc. ni TikTok Pte Ltd.

Por su parte, la SIC sí mencionó a la sociedad ByteDance Ltd. Como “propietaria” de la App, sin especificar la relación o relevancia que este hecho tendría para la presente actuación. Lejos de individualizar a una determinada sociedad como interesada en la actuación o explicar los motivos por los que una u otra sociedad querría hacerse parte del procedimiento, en el cuerpo de la Comunicación la SIC manifestó que la actuación anunciada tendría por objeto establecer si “la aplicación TikTok propiedad de la compañía ByteDance Ltd. cumple con la regulación colombiana relativa a la recolección y Tratamiento de datos personales de niños, niñas y adolescentes ( ) [y] si la misma ha implementado el principio de responsabilidad demostrado en esa materia ( )”, (en adelante, la “Comunicación”).

La Comunicación fue remitida por correo electrónico a la dirección legal@tiktok.com, en donde fue recibida por mi cliente. Así pues, a pesar de no haber sido mencionado en el cuerpo de esta misiva, y aunque en el encabezado de la carta se hacía referencia a la dirección física CLIFFORD CENTRE- SINGAPORE-SINGAPUR y no una dirección en el Estado de California que es donde mi cliente está domiciliado y recibe correspondencia, TikTok, Inc. contestó las preguntas formuladas de forma general con base en la información que para el momento estaba a su disposición. Es importante mencionar que en su Comunicación, la SIC hizo serias advertencias sobre las consecuencias legales de una eventual renuencia del destinatario a pronunciarse.

En este sentido, a pesar de todas las inconsistencias anotadas, al haber recibido la Comunicación en el correo electrónico mi cliente se vio obligado a contestar las preguntas de la Entidad sobre el funcionamiento de la aplicación. No fue sino hasta mediados de octubre de 2020, cuando la SIC publicó la Resolución Impugnada en su página web, que mi cliente se enteró de que el procedimiento administrativo en el que había participado lo involucraba directa y personalmente.

A esta sorpresa se sumó el hecho de que otras dos sociedades que tampoco habían sido relacionadas como destinatarias en la Comunicación (TikTok Pte Ltd, y ByteDance Ltd.) recibieron igualmente órdenes de la Entidad a pesar de que estas nunca fueron informadas de la existencia de la actuación ni tuvieron la oportunidad de pronunciarse.

( ) Adicionalmente, pongo de presente que la posibilidad de interponer recursos contra actos administrativos como la Resolución Impugnada no es suficiente garantía del debido proceso administrativo. Así lo reconoció la Corte Constitucional en la Sentencia C-089 de 2011 ya citada ( ) 3. La resolución impugnada contiene hechos y conclusiones contrarias a la realidad a. La resolución impugnada se fundamenta en varios errores de hecho “Las manifestaciones de los Considerandos Primero a Tercero de la Resolución Impugnada no corresponden con la realidad.

RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Efectivamente, según el considerando PRIMERO, por medio de la Comunicación del 30 de abril de 2020 la Dirección de Investigación de Protección de Datos Personales habría “requerido” a la sociedad ByteDance Ltd.. para que respondiera varios interrogantes contenidos en la Comunicación. Basta leer el encabezado de la Comunicación para evidenciar que ésta no se dirigió a ByteDance Ltd., ni a ninguna otra sociedad en particular.

En realidad, la SIC se dirigió genérica e indiscriminadamente a “TIK TOK”, con correo electrónico legal@tiktok.com y dirección CLIFFORD CENTRE-SINGAPORE- SINGAPUR. “TIK TOK” no es una sociedad ni una persona jurídica. TIK TOK es una marca con la que se identifica, entre otras cosas, una aplicación móvil. En este sentido, no es cierto que al referirse a “TIK TOK” la SIC hubiera vinculado a la sociedad ByteDance Ltd. ni a ninguna otra a la actuación. Además, en el cuerpo de la Comunicación únicamente se menciona a la sociedad ByteDance Ltd. como propietaria de la App, pero de ninguna manera se explica cómo este hecho es relevante para la actuación ni implica que por medio de la Comunicación la SIC se hubiera dirigido a ByteDance Ltd., como se establece en el considerando PRIMERO. Pero incluso si fuera cierto que la Comunicación únicamente requirió a ByteDance Ltd. para que se pronunciara sobre el cuestionario formulado y en general sobre la actuación adelantada por la SIC, como lo asegura la Resolución Impugnada, esto significaría que a las sociedades TikTok, Inc. y TikTok Pte Inc. no se les habría informado oportunamente de la existencia de este procedimiento administrativo para que ejercieran su derecho de defensa, pues la SIC únicamente se habría dirigido a una sociedad (ByteDance Ltd.) y aun así habría impuesto obligaciones a TikTok Inc y a TikTok Pte Inc. sin informarles de la existencia ni el alcance de la actuación. Por otra parte, teniendo en cuenta que no es cierto que la Comunicación hubiera sido debidamente dirigida a la sociedad ByteDance Ltd., la afirmación del Considerando SEGUNDO también es falsa.

Efectivamente, no es cierto que se hubiera “informado” a ByteDance Ltd. Sobre la iniciación de una actuación administrativa en su contra, ni tampoco sobre su objeto o las eventuales consecuencias. Finalmente, y esto es particularmente importante en este caso, no es cierto que TikTok, Inc. hubiera respondido al requerimiento de información de la Superintendencia “en nombre de ByteDance Ltd.” En la respuesta de TikTok Inc. a la Comunicación ni siquiera se menciona a la sociedad ByteDance Ltd. ni a ninguna otra sociedad, pues como ya se establecióTikTok Inc. solo contestó la Comunicación porque este fue enviada a su correo electrónico sin una indicación clara de a quién se dirigía la Entidad; porque según esta última, el objeto de la actuación estaba relacionado con el cumplimiento de las normas colombiana por parte de “la aplicación TikTok” y porque en la Comunicación se anunció que la renuencia a contestar podría implicar sanciones de conformidad con el artículo 51 del CPACA.

De hecho, desde la primera página de la respuesta enviada por TikTok Inc. es claro que esta sociedad no actúa por cuenta de ninguna otra persona, sino únicamente motivada por el hecho de haber recibido un cuestionario de una autoridad estatal en su buzón de correo electrónico ( ) Como se puede ver, varios de los motivos aducidos por la SIC en la Resolución Impugnada son contrarios a la realidad.

No es cierto que la SIC le hubiera informado del inicio de la RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA actuación administrativa a ByteDance Ltd. ni a ninguna otra de las sociedades que finalmente resultaron involucradas en el acto administrativo proferido por la Entidad. Lo anterior es de la mayor relevancia, pues demuestra que las sociedades destinatarias de las diferentes órdenes de la SIC no pudieron participar del proceso de formación de voluntad administrativa en este caso y en consecuencia no pudieron ejercer sus derechos de contradicción y defensa.

Pero lo que es aún más importante es que, al no permitir la participación activa de las sociedades involucradas en la formación del acto administrativo, la SIC no contó con información completa y fidedigna que le permitiera establecer quiénes son los verdaderos responsables del tratamiento de datos personales recolectados a través de la aplicación TikTok.

Todo esto tiene un innegable efecto negativo en la capacidad de la Entidad de proteger los derechos de los colombianos que precisamente motivaron la expedición de la Resolución Impugnada. b. La resolución impugnada ignora el hecho de que TikTok no es Responsable ni Encargada del Tratamiento de Datos personales en Colombia “La totalidad de la Resolución Impugnada se basa en un supuesto fáctico esencial errado.

Según la Resolución, Ley 1581 de 2012 es aplicable a ByteDance Ltd. TikTok, Inc. y TikTok Pte. Ltd, “porque mediante la aplicación TIKTOK recolectan Datos Personales en el territorio de la República de Colombia a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en Colombia.” Estas afirmaciones se desarrollan en las en las Conclusiones 1 y 8 del Numeral Séptimo de la Resolución Impugnada, en donde la Superintendencia afirma que las sociedades vinculadas en la Resolución Impugnada “[ ] recolectan información de ciudadanos y residentes que se encuentran en el territorio nacional”.

Pues bien, no es cierto que TikTok, Inc. sea Responsable ni Encargada del Tratamiento de Datos Personales en Colombia, ni que recolecte datos personales en la República de Colombia como equivocadamente lo afirma la SIC. Como se ha venido insistiendo, TikTok, Inc. no realiza ningún tipo de actividad de Tratamiento. Mi representada no recolecta, procesa, usa, almacena, circula, ni suprime Datos Personales originarios de la República de Colombia.

Tampoco emplea cookies o píxel para su recolección, supuesto sobre el cual este Despacho basa la aplicación de la Ley de protección de datos sin tampoco realizar un análisis de las características y particularidades técnicas de estas herramientas y su operación, omitiendo la sustentación de la aplicabilidad de le Ley vigente con respecto a dichas particularidades.

TikTok, Inc. no es la sociedad encargada de la operación de la aplicación móvil TikTok ni de la recolección y tratamiento de los datos personales. Reitero que la SIC solo es competente para requerir a sociedades extranjeras en materia de tratamiento de datos personales en los casos expresamente autorizados en la Ley. Al no haber demostrado este hecho fundamental en relación con TikTok, Inc. respetuosamente consideramos que la SIC no tiene jurisdicción ni competencia para requerir a mi cliente, ni a este último le es aplicable la Ley 1581 de 2012”.

RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA c. No es cierto que ByteDance Ltd., TikTok Inc. y TikTok Pte Ltd. puedan ser consideradas como una sola entidad denominada TIKTOK para efectos de la aplicación de las normas colombianas sobre protección de Datos personales. “A lo largo de la Resolución Impugnada, la SIC agrupa y se refiere a tres personas jurídicas como “TIKTOK”.

Así mismo [sic], en la Resolución Impugnada la SIC concluye que las tres sociedades finalmente involucradas serían todas responsables de la recolección y el tratamiento de datos a través de la App. ( ) Pues bien, no es cierto ni hay prueba en el expediente de que todas las sociedades destinatarias de la norma tengan el mismo grado de relacionamiento con la App o con los datos eventualmente recolectados a través de esta última.

De hecho, en el expediente no hay ningún análisis del grado de participación individual que cada una de estas sociedades tendría en la recolección de datos que se realizaría a través de la aplicación TikTok, y este análisis es fundamental para determinar la legitimación en la causa por pasiva de las sociedades mencionadas en la Resolución Impugnada, así como la competencia de la SIC para requerir, y eventualmente investigar y sancionar a las mismas.

A la fecha, mi representada no tiene conocimiento de por qué se decidió vincularla al presente trámite administrativo; cuáles fueron los motivos que condujeron a la Superintendencia a afirmar que ésta es Responsable del Tratamiento de Datos en Colombia; ni mucho menos por qué se determinó que ésta podía ser destinataria o cumplir las órdenes impartidas en la Resolución Impugnada indistintamente con las otras sociedades involucradas con la actuación. Naturalmente, todo lo anterior implica que la Resolución Impugnada debe ser revocada por falsa motivación, y por desconocimiento del derecho de contradicción y defensa de las sociedades mencionadas en el acto que se discute incluyendo a mi representada TikTok, Inc.” 4.

Sobre las órdenes impartidas “TikTok Inc. no ostenta la calidad de destinario de la norma de protección de datos en Colombia, y consecuencia está imposibilitado para dar cumplimiento a las órdenes impartidas bajo Resolución número 62132 del 05 de octubre de 2020 toda vez que: 1. Tal y como lo indica el Despacho, los destinarios de la ley de Protección de Datos son aquellos que bajo el artículo 4 de la Constitución Política sean nacionales y/o extranjeros ubicados en Colombia.

TikTok Inc. es una empresa extranjera que no cuenta con presencia legal ni material en Colombia, así las cosas, no le resultan aplicables los presupuestos jurídicos en el ordenamiento colombiano. 2. Revisado particularmente e lámbito de la aplicación encontramos que de acuerdo al artículo 2 de la Ley 1581 de 2012 la, “ley aplicará al tratamiento de datos personales efectuado en el territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

Al respecto, reiteramos que Tik Tok, Inc. no realiza ningún tipo de tratamiento de datos en territorio colombiano, en tanto que no recolecta, almacena, procesa, transmite, transfiere o elimina datos de carácter personal. RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA 3. Se extralimita la autoridad en su interpretación del ámbito de aplicación de la norma cuando señala que “El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia ( ) Obsérvese que nada indica la Ley 1581 de 2012, ni la sentencia C-748 de 2011 sobre si el tratamiento es realizado por interpuesta persona o no, tampoco indica nada sobre el medio de procesamiento, ya que se entiende que este es un tipo o especie de tratamiento.

Sin embargo, lo que especialmente deja claro la Ley y la sentencia en mención es que, el tratamiento realizado por los Responsables o Encargados no domiciliados en el territorio nacional será sometido a la legislación colombiana única y exclusivamente en virtud de normas o tratados que así los permitan, situaciones que actualmente no se configuraran en tanto que no existe tratados internacionales o normas que permita la mencionada extraterritorialidad. 4.

( ) La extraterritorialidad en la aplicación de la norma para Responsables y Encargados, está condicionada a la existencia de normas y tratados internaciones en conjunto y no como escenarios alternativos. No encontramos en el ordenamiento jurídico colombiano normas o tratados que faculten a la autoridad colombiana a realizar aplicación extraterritorial que se pretende en caso en cuestión. En esta medida, si el legislador o la Corte Constitucional hubiesen querido darle esta extensión, se habría hecho de forma expresa.

( ) resulta evidente que la lectura sobre el ámbito de aplicación ampliado que pretende dar la autoridad no es la lectura natural del texto legal actual ni de la sentencia que analizó su constitucionalidad. Esto, ya que en ningún aparte se hace una referencia directa a la posibilidad de aplicar la norma al mencionado tratamiento, sin la existencia de normas y tratados que lo permitan.

Menos aún en el caso en que la sociedad receptora de la instrucción no cuenta con presencia alguna en el territorio colombiano. Si la autoridad pretende darle esta interpretación a la norma de protección de datos personales en Colombia, se requeriría una modificación sustancial de la misma, la cual debe surtir todos los procesos legislativos requeridos.

En esta medida, el Despacho mediante la resolución en cuestión ha adoptado una interpretación errónea de la norma en la medida en que la SIC parte de un entendimiento no aplicable ni natural de la misma ( ) Adicionalmente, la SIC está soportando la aplicabilidad de la norma en la acción de recolección de datos en el territorio colombiano a través de herramientas tecnológicas como cookies, sin que en Colombia haya una regulación puntual de este tipo de escenarios, sino sustentando su alcance en la acción misma de recolección sin entrar a detallar en qué medida, bajo la normativa local aplicable, se entiende que un dato personal es recolectado en Colombia a través de este tipo de herramientas tecnológicas, punto que será desarrollado a continuación. 5.

Señala el Despacho que Tik Tok Inc. es destinatario de la norma de protección de datos en Colombia, ya que de acuerdo con la “Política de Privacidad de la aplicación afirma que: “Utilizamos cookies y otras tecnologías similares ( ) (“Cookies”) para mejorar su experiencia al utilizar la Plataforma. Las cookies se utilizan para recopilar información, incluidos datos personales sobre usted. Las cookies son pequeños RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA archivos que, cuando se colocan en su dispositivo, nos permiten proporcionar ciertas características y funcionalidades”.

Así las cosas, no puede inferirse entonces que de dicha declaración y aplicabilidad pueda concluirse sin prueba técnica alguna e indebidamente motivado desde el alcance del marco regulatorio actual, que TikTok Inc. recolecta datos personales en Colombia a través de cookies u otras tecnologías. En tanto que como lo ha entendido este Despacho, no tiene una aplicación específica en el territorio colombiano, ya que ha señalado que la política de privacidad tiene una aplicación restrictiva frente al ámbito geográfico.

Es decir, la política de privacidad revisada está destinada para el Espacio Económico Europeo (EEE), en el Reino Unido de Gran Bretaña e Irlanda del Norte o en la Confederación Suiza. Más aún cuando este Despacho concluye, sin la debida motivación técnica que es TikTok Inc. quien realiza las acciones descritas en relación con las Cookies. 6.

Sorprende las consideraciones del Despacho al señalar que Tik Tok Inc. no cuenta con Política de Privacidad para Colombia, sin embrago, utiliza la publicada para el Espacio Económico Europeo (EEE), el Reino Unido de Gran Bretaña e Irlanda del Norte o la Confederación Suiza para realizar el análisis de cumplimiento de la norma colombiana de protección de datos personales y decretar su incumplimiento, cuando de plano resulta improcedente el análisis en tanto que dicho instrumento de autorregulación no está destinado para el territorio colombiano, ya que quien dé uso a la App es quien se adhiere tanto a las condiciones de uso como a la declaración de privacidad en los términos publicados. 7.

Otro punto que llama la atención sobre las consideraciones del Despacho y los fundamentos para impartir las ordenes [sic] son las resultas del acta 086- 20-106617 la cual no fue expuesta a mi representada para que ésta ejerciera su derecho de réplica y defensa, y especialmente explicara el alcance de la aplicabilidad y recolección de datos a través de cookies en el territorio colombiano por parte de Tik Tok Inc. la cual insistimos no realiza ningún tipo de tratamiento de datos en Colombia y consecuencia se encuentra en total imposibilidad de dar cumplimiento a las órdenes impartidas mediante Resolución número 62132 del [sic] 05 de octubre de 2020, en tanto que como se ha explicado a lo largo este recurso no se entiende como receptor de la norma de protección de datos de Colombia toda vez que, su actividad con respecto al tratamiento de los datos no se encuentra bajo los criterios establecido [sic] dentro del artículo 2 de la Ley 1581 de 2012 y ni el artículo 4 de la Constitución Política de Colombia, por no tener ningún tipo de operación en el territorio colombiano. 8.

Así mismo [sic], que la compañía TikTok Inc. No realiza el tratamiento de datos personales en los términos indicados en la Resolución Impugnada y la SIC no establece los argumentos para vincular a TikTok Inc. a dicho tratamiento y en consecuencia a los supuestos de aplicación de la Ley 1581 de 2012, se estaría incurriendo en una aplicación indebida de la norma en las que se funda un acto administrativo ( ) Petición Recovar la Resolución No. 62132 de 5 de octubre de 2020.

Tercero. Que mediante Resolución 14028 de 16 de marzo de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 62132 de 5 de octubre de 2020. RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Cuarto.Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución No. 62132 de 5 de octubre de 2020 se procede a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO 1.

Funciones del Despacho del Superintendente Delegado para la Protección de Datos Personales. El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)” 2. Cookies y recolección de Datos personales Una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar sus Datos. Adicionalmente, TIKTOK define el término cookie, en su Política de Privacidad como “( ) las cookies son pequeños archivos de texto que nos permiten, tanto a nosotros como a nuestros proveedores de servicios y socios, identificar su navegador o dispositivo de forma exclusiva para varios propósitos, incluidos los descritos anteriormente.

Normalmente, las cookies funcionan asignando un número único a su dispositivo y se almacenan en su navegador por los sitios web que visita, así como por los proveedores de servicios externos y socios de dichos sitios web. Las cookies pueden permanecer en su ordenador o dispositivo móvil durante diferentes periodos de tiempo. Algunas cookies son las denominadas «cookies de sesión»; estas cookies solamente existen mientras el navegador permanece abierto y se eliminan automáticamente una vez que lo cierra.

Las cookies de sesión no pueden utilizarse para rastrear su navegador o su dispositivo de un sitio web a otro. Existen otras cookies conocidas como «cookies persistentes», que sobreviven tras cerrar el navegador. La mayoría de las cookies persistentes están configuradas para caducar de forma automática transcurrido un tiempo determinado (por ejemplo, unos días, semanas o meses).

Cuando regrese a ese sitio web (o visite otros sitios web que utilizan las mismas cookies) el proveedor del sitio web o sus proveedores de servicios pueden reconocer las cookies persistentes que han configurado y reconocer su dispositivo de navegación ( )” 2. 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 2 https://www.tiktok.com/legal/cookie-policy?lang=es RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Asimismo afirma, “Al igual que muchos sitios web y aplicaciones, nuestra Plataforma utiliza cookies y otras tecnologías de seguimiento como los kits de desarrollo de software (SDK), los píxeles y el almacenamiento local.

Estas tecnologías nos permiten almacenar información o acceder a la información almacenada en su dispositivo a fin de habilitar ciertas funciones y distinguir su dispositivo de otros.” 3 (Énfasis añadido). https://www.tiktok.com/legal/cookie-policy?lang=es Autoridades de protección de datos de varios países -Uruguay, España, Irlanda, Reino Unido, Italia y Estados Unidos- y el Tribunal de Justicia de la Unión Europea (TJUE) se han referido a la definición de cookies y su función. De las mismas se concluye, entre otras, lo siguiente: a) Las cookies se instalan en los equipos de las personas (teléfonos celulares, tablets, computadoras o cualquier otro dispositivo que almacene información); 3 https://www.tiktok.com/legal/cookie-policy?lang=es RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA b) La finalidad de las “cookies” es recolectar o almacenar datos personales (nombre de usuario, un identificador único, dirección de correo electrónico, las búsquedas que realiza de cada usuario y sus hábitos de navegación en internet, sitios que una personas visita en la web) y otros tipos de información; c) Las cookies son un mecanismo de rastreo o de seguimiento de las personas.

Por ejemplo, permiten realizar trazabilidad detallada de las búsquedas de un usuario en internet o de sus hábitos de navegación; d) La recolección o almacenamiento de información mediante las cookies constituye un tratamiento de datos personales. Veamos: En el caso de la República Oriental del Uruguay, la Unidad Reguladora y de Control de Datos Personales señala lo siguiente en su guía sobre “Cookies y perfiles”4: “La cookie es un tipo de archivo que almacena información del usuario y es enviada por un sitio web a través de un navegador.

Este archivo se descarga en computadoras, tablets, celulares o cualquier otro dispositivo, con la finalidad de almacenar datos que podrán ser actualizados o recuperados por el responsable de su instalación..” (Énfasis añadido) En el Reino de España, la Agencia Española de Protección de Datos señala lo siguiente en su “Guía sobre el uso de cookies” 5: “La LSSI resulta aplicable a las cookies entendidas en el sentido señalado al comienzo de esta guía, esto es, como cualquier tipo de dispositivo de almacenamiento y recuperación de datos que se utilice en el equipo terminal de un usuario con la finalidad de almacenar información y recuperar la información ya almacenada, según establece el artículo 22.2 de la LSSI.

Las cookies permiten el almacenamiento en el terminal del usuario de cantidades de datos que van de unos pocos kilobytes a varios megabytes.”. (Énfasis añadido). En la República de Irlanda, la Oficina del Comisionado de Protección de Datos publicó en el 2020 su guía sobre “Cookies y otras tecnologías de seguimiento”6. En ella, se afirmó que: “Las cookies suelen ser pequeños archivos de texto almacenados en un dispositivo, como una PC, un dispositivo móvil o cualquier otro dispositivo que pueda almacenar información. Los dispositivos que pueden utilizar cookies también incluyen los llamados dispositivos de "Internet de las cosas" (IoT) que se conectan a Internet.

República Oriental del Uruguay, Unidad Reguladora y de Control de Datos Personales. Cookies y perfiles. En: https://www.gub.uy/unidad-reguladora-control-datos-personales/sites/unidad-reguladora-control-datospersonales/files/documentos/publicaciones/Guia%2Bcookies%2By%2Bperfiles.pdf Reino de España. Agencia Española de Protección de Datos.

Guía sobre el uso de cookies. En: https://www.aepd.es/es/documento/guia-cookies.pdf 6 Cfr. República de Irlanda. Oficina del Comisionado de Protección de Datos (2020) Guidance note: Cookies and other tracking technologies. En https://www.dataprotection.ie/sites/default/files/uploads/202004/Guidance%20note%20on%20cookies%20and%20other%20tracking%20technologies.pdf RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Las cookies cumplen una serie de funciones importantes, que incluyen recordar a un usuario y sus interacciones anteriores con un sitio web.

Se pueden usar, por ejemplo, para realizar un seguimiento de los artículos en un carrito de compras en línea o para realizar un seguimiento de la información cuando ingresa detalles en un formulario de solicitud en línea. Las cookies de autenticación también son importantes para identificar a los usuarios cuando inician sesión en servicios bancarios y otros servicios en línea (…) La información almacenada en las cookies puede incluir datos personales, como una dirección IP, un nombre de usuario, un identificador único o una dirección de correo electrónico.

Pero también puede contener datos no personales como configuraciones de idioma o información sobre el tipo de dispositivo que una persona está usando para navegar por el sitio”. (Énfasis añadido). En el Reino Unido de Gran Bretaña e Irlanda del Norte, la Oficina de la Comisión de Información publicó su “Guía sobre el uso de cookies y tecnologías similares” 7, en la cual se afirma lo siguiente: “Qué son cookies? Las cookies son pequeños fragmentos de información, que normalmente constan de letras y números, que los servicios en línea proporcionan cuando los usuarios los visitan.

El software en el dispositivo del usuario (por ejemplo, un navegador web) puede almacenar cookies y enviarlas al sitio web la próxima vez que lo visite. ¿Cómo se utilizan las cookies? Las cookies son una tecnología específica que almacena información entre visitas al sitio web. Se utilizan de diversas formas, como por ejemplo: • • • • recordar lo que hay en una “cesta” al comprar productos en línea; ayudar a los usuarios a iniciar sesión en un sitio web; analizar el tráfico de un sitio web; o seguimiento del comportamiento de navegación de los usuarios.

Las cookies pueden ser útiles porque permiten que un sitio web reconozca el dispositivo de un usuario. Se utilizan ampliamente para hacer que los sitios web funcionen o funcionen de manera más eficiente, así como para proporcionar información a los editores del sitio. Sin cookies, o algún otro método similar, los sitios web no tendrían forma de "recordar" nada sobre los visitantes, como cuántos artículos hay en una cesta de compras o si han iniciado sesión.” La Oficina Garante de la protección de datos personales de la República de Italia publicó este año (2021) sus Directrices para cookies y otras herramientas de seguimiento 8, en donde señalan, entre otras, lo siguiente: 7 Cfr. Reino Unido de Gran Bretaña e Irlanda del Norte.

Oficina de la Comisión de Información. Guidance on the use of cookies and similar technologies. En: https://ico.org.uk/for-organisations/guide-to-pecr/guidance-on-the-use-of-cookiesand-similar-technologies/ 8 Cfr. República de Italia. Oficina Garante de la protección de datos personales (2021) Linee guida cookie e altri strumenti di tracciamento - 10 giugno 2021 [9677876].

En: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876#english RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA “Las cookies son, por regla general, cadenas de texto que los sitios web visitados por el usuario (los llamados sitios web de 'editores' o 'propios') o diferentes sitios web o servidores web (los llamados 'terceros') colocan y almacenan en un dispositivo terminal en posesión del usuario, ya sea directamente, como es el caso de los sitios web de los editores, o indirectamente, como es el caso de los "terceros", es decir, a través de la intermediación de los sitios web de los editores.

Los dispositivos terminales a los que se hace referencia incluyen, por ejemplo, un ordenador, una tableta, un teléfono inteligente o cualquier otro dispositivo capaz de almacenar información. (…) (…) La información codificada en las cookies puede incluir datos personales, como una dirección IP, un nombre de usuario, un identificador único o una dirección de correo electrónico, pero también puede incluir datos no personales como la configuración de idioma o información sobre el tipo de dispositivo que está usando una persona para navegar dentro del sitio web.

Por lo tanto, las cookies pueden realizar funciones importantes y diversas, incluido el seguimiento de la sesión, el almacenamiento de información de acceso al servidor específica relacionada con la configuración del usuario, facilitar el uso de contenido en línea, etc. Por ejemplo, se pueden utilizar para realizar un seguimiento de los elementos en una cesta de la compra en línea o la información utilizada para completar un formulario informático”.

(Énfasis añadido). La Comisión Federal de Comercio (FTC) de los Estados Unidos de América define e indica los usos de las “cookies” en los siguientes términos: “Una cookie es información guardada por su navegador web. Cuando usted visita un sitio web, el sitio puede colocar una cookie en su navegador web para que pueda reconocer su dispositivo en el futuro.

Si regresa a ese sitio más adelante, puede leer esa cookie para recordarlo de su última visita y realizar un seguimiento de usted a lo largo del tiempo. Usos • • • • Recopilar información sobre las páginas que ve y sus actividades en el sitio Permitir que el sitio lo reconozca, por ejemplo: o Recordando su ID de usuario o Ofreciendo un carrito de compras en línea o Realizar un seguimiento de sus preferencias si vuelve a visitar el sitio web Personaliza tu experiencia de navegación Entregar anuncios dirigidos a usted” 9.

(Énfasis añadido). La FTC público la guía “Cómo Proteger tu Privacidad en línea” 10, en donde afirma lo siguiente: United States. Federal Trade Commission. What are cookies? En: https://www.ftc.gov/site-information/privacypolicy/internet-cookies Consultada el 16 de septiembre de 2021. 10 Estados Unidos de América. Comisión Federal de Comercio.

El texto completo de la guía puede consultarse en: https://www.consumidor.ftc.gov/articulos/como-proteger-su-privacidad-en-linea RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA “Lo que hay que saber acerca del rastreo en línea Cookies Cuando usted visita un sitio web, el sitio podría colocar un archivo llamado una cookie en su navegador o explorador de internet.

Los sitios web usan cookies para personalizar su experiencia de navegación en internet. Cuando un sitio web coloca una cookie en su navegador, esa es una cookie de origen. A continuación, se enumeran algunos ejemplos de cómo pueden usar las cookies de origen los sitios web: • Un sitio web de noticias le muestra el estado del tiempo en su localidad y artículos sobre temas de su interés. • Un sitio web recuerda su nombre de usuario o los artículos que dejó en su carro de compras en línea.

Los sitios web que usted visita suelen permitir que otras compañías también coloquen cookies, por ejemplo, para mostrarle anuncios personalizados o dirigidos de acuerdo a sus intereses. Estas son cookies de terceros. A continuación, algunos ejemplos de cookies de terceros: • Una compañía de publicidad le coloca una cookie y ve que usted visitó un sitio web sobre carreras a pie.

Entonces, cuando usted visita otros sitios web, le muestra un anuncio de calzado deportivo para correr. • Una compañía analítica usa una cookie para obtener detalles sobre su visita a un sitio web, por ejemplo, cuánto tiempo pasó en ese sitio y qué paginas visitó. Puede usar la información que recolecta para detectar problemas con el sitio y mejorarlo.” (Énfasis fuera de texto).

Finalmente, el Tribunal de Justicia señaló lo siguiente en la sentencia con asunto C‐673/1711 del 1 de octubre de 2019: “(…) las cookies tienen como finalidad recabar información con fines publicitarios para los productos de las empresas colaboradoras del organizador del juego promocional (…)” De la resolución de remisión se desprende que las cookies son ficheros que el proveedor de un sitio de Internet coloca en el ordenador de los usuarios de dicho sitio y a los que puede acceder nuevamente, cuando estos vuelven a visitar el sitio, con el fin de facilitar la navegación en Internet o las transacciones o de obtener información sobre el comportamiento de dichos usuarios.

(…) Con carácter preliminar ha de precisarse que, según las indicaciones que figuran en la resolución de remisión, las cookies que pueden colocarse en el equipo terminal de los usuarios que participan en el juego con fines promocionales organizado por Planet49 llevan un número que se adjudica a los datos de registro de dicho usuario, SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala) de 1 de octubre de 2019 en el asunto C‐673/17.

En: https://curia.europa.eu/juris/document/document.jsf;jsessionid=437F394E00932160C3A97E1093FF4B09?text=&docid=21 8462&pageIndex=0&doclang=ES&mode=lst&dir=&occ=first&part=1&cid=6852262 RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA quien debe inscribir su nombre y su dirección en el formulario de participación de dicho juego. El órgano jurisdiccional remitente añade que la asociación de ese número y esos datos personaliza los datos almacenados por las cookies cuando el usuario se sirve de Internet, de modo que la recogida de tales datos mediante las cookies constituye un tratamiento de datos personales.

Estas indicaciones fueron confirmadas por Planet49, quien subrayó en sus observaciones escritas que el consentimiento correspondiente a la segunda casilla constituye una autorización de recogida y tratamiento de datos personales, y no de información anónima. Una vez realizadas estas precisiones, procede señalar que, conforme al artículo 5, apartado 3, de la Directiva 2002/58, los Estados miembros velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la información ya almacenada, en el equipo terminal de un usuario cuando dicho usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46”.

(Énfasis añadido). 3. La ley colombiana aplica al Tratamiento de Datos efectuado en el territorio colombiano sin distinguir si el mismo se realiza mediante mecanismos físicos o herramientas tecnológicas Manifiesta lo siguiente la apoderada de TIKTOK, Inc., “Se extralimita la autoridad en su interpretación del ámbito de aplicación de la norma cuando señala que “El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia ( ) Obsérvese que nada indica la Ley 1581 de 2012, ni la sentencia C-748 de 2011 sobre si el tratamiento es realizado por interpuesta persona o no, tampoco indica nada sobre el medio de procesamiento, ya que se entiende que este es un tipo o especie de tratamiento.

( ) la SIC está soportando la aplicabilidad de la norma en la acción de recolección de datos en el territorio colombiano a través de herramientas tecnológicas como cookies, sin que en Colombia haya una regulación puntual de este tipo de escenarios, sino sustentando su alcance en la acción misma de recolección sin entrar a detallar en qué medida, bajo la normativa local aplicable, se entiende que un dato personal es recolectado en Colombia a través de este tipo de herramientas tecnológicas, punto que será desarrollado a continuación. RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Al respecto, el campo de aplicación de la ley colombiana no ha sido ampliado ni modificado por esta autoridad.

Tampoco ha sido objeto de una interpretación arbitraria. Simplemente se ha aplicado lo que establece el texto de la misma. Para el efecto, se ha utilizado un principio general de interpretación jurídica según el cual en donde la ley no distingue, no le es dado al intérprete hacerlo. Principio que en este caso resulta plenamente aplicable porque TIKTOK, Inc. realiza Tratamiento de Datos en el territorio colombiano mediante el uso de cookies.

Si la ley colombiana no distingue la forma ni los mecanismos como se realiza el Tratamiento en el territorio colombiano, pues no le corresponde a esta autoridad excluir el uso de cookies como una de tales herramientas. La citada regla de interpretación jurídica ha sido utilizada por la Corte Constitucional y la Corte Suprema de Justicia para adoptar algunas decisiones.

A continuación nos permitimos transcribir lo esencial, no solo para recordar la existencia de ese principio sino para reiterar que esta autoridad no ha hecho nada diferente a aplicar la ley colombiana: • CORTE SUPREMA DE JUSTICIA. SALA DE CASACIÓN PENAL. AUTO INTERLOCUTORIO DE 3 DE MAYO DE 2017 (AP2789-2017. RADICACIÓN N.° 49891. APROBADO ACTA N.º 124) MP.

DR. FERNANDO ALBERTO CASTRO CABALLERO12.: “ Acorde con el principio interpretativo que reza que donde la ley no distingue no le es dado al interprete hacerlo, se concluye que si la Ley 1820 no excluyó de manera explícita como destinatarios de sus preceptos a los ex integrantes de las FARC - EP, por ejemplo a causa de anterior desmovilización en los términos de la Ley 975 de 2005 u otra normatividad, mal podría haberlo hecho como lo hizo en este caso la Sala de Justicia y Paz del Tribunal Superior de Bogotá” • CORTE CONSTITUCIONAL, SENTENCIA C-317 DEL 3 DE MAYO DE 2012.

MP. DRA MARÍA VICTORIA CALLE CORREA13. “Al respecto la Corte considera que no le asiste razón al demandante pues si bien la Constitución contiene una atribución expresa de representación gubernamental para la iniciativa legislativa en cabeza de los Ministros, y no una atribución similar para la iniciativa constituyente, resulta plenamente aplicable al tema, el principio general de interpretación jurídica según el cual donde la norma no distingue, no le corresponde distinguir al intérprete, no resultando jurídicamente viable deducir, por esta vía, reglas constitucionales implícitas que contrarían el texto mismo del artículo 208 Superior, cuyo mandato general de vocería gubernamental no establece tal diferenciación.” (Énfasis añadido) • CORTE CONSTITUCIONAL, SENTENCIA C-127 DE 22 DE ABRIL DE 2020.

MP. DRA. CRISTINA PARDO SCHLESINGER14.: “Por lo anterior, en desarrollo del principio general de interpretación jurídica según el cual donde la norma no distingue, no le corresponde distinguir al intérprete, no resulta viable deducir la existencia de la regla de exclusión implícita a que aluden los demandantes.” (Énfasis añadido). El texto puede leerse en: En: https://www.cortesuprema.gov.co/corte/wpcontent/uploads/relatorias/pe/b2may2017/AP2789-2017.pdf 13 El texto completo de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2012/C-31712.htm 14 La sentencia puede consultarse en: https://www.corteconstitucional.gov.co/Relatoria/2020/C-127-20.htm RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Esta Delegatura no ha sido arbitraria en sus interpretaciones, ni mucho menos ha acomodado supuestos fácticos.

Únicamente ha aplicado el texto del artículo 2 de la citada ley, a saber: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

Como se mencionó, tanto para la Constitución de la República de Colombia como para la precitada ley es importante la recolección y el Tratamiento de Datos sin que sea relevante si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías (cookies) conocidas o por conocer para dicho efecto. Se recalca que el literal g) del artículo 3 de la Ley Estatutaria 1581 de 2012 define Tratamiento como, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

(Énfasis añadido). Esa definición legal es neutral tecnológicamente porque cobija el Tratamiento realizado mediante cualquier medio físico o electrónico como, entre otras, las “cookies”. TIKTOK, Inc. realiza Tratamiento de Datos personales en territorio colombiano porque usa cookies para recolectar Datos personales en el territorio de la República de Colombia.

Razón suficiente, para que de conformidad con lo establecido en el artículo 2 de la Ley Estatutaria 1581 de 2012 cumpla con lo estipulado en dicha ley y sus normas reglamentarias. Una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos personales.

Por lo tanto, TIKTOK, Inc. recolecta y trata Datos personales en el territorio colombiano, razón por la cual debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias. En conclusión, TIKTOK, Inc. mediante mecanismos electrónicos recolecta Datos personales en el territorio de la República de Colombia. Por ende, el Tratamiento de Datos personales que realiza TIKTOK, Inc. está sujeto a la legislación colombiana.

En otras palabras, la Ley Estatutaria 1581 de 2012 es aplicable a TIKTOK, Inc. porque recolecta Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en Colombia, es decir realiza un Tratamiendo sobre los mismos. En virtud de lo anterior, no asiste razón a TIKTOK, Inc. en cuanto a que no le es aplicable la Ley Estatutaria 1581 de 2012. 4.

De la relación entre BYTEDANCE LTD. y TIKTOK Inc. El día 4 de marzo de 2021 la Dirección de Investigación de Protección de Datos Personales a fin de resolver el recurso de reposición presentado, verificó el enlace https://www.bytedance.com/en/. Allí evidenció la siguiente estructura corporativa: tecnología, como, por ejemplo, las cookies o la inteligencia artificial, siempre y cuando se respeten las normas en la materia.

RESOLUCIÓN NÚMERO DE cada 2021innovación tecnológica, a sabiendas HOJAque No. Considerar necesario una67413 nueva legislación para el lenguaje de la Ley 1581 de 2012 es neutral temática y tecnológicamente, es arcaico y contrario a una efectiva protecciónPor del laderecho constitucional y fundamental debido Tratamiento deVERSIÓN Datos ÚNICA cual se resuelve un recurso deal apelación personales.

III. DEL GRUPO EMPRESARIAL BYTEDANCE De acuerdo con información publicada por el grupo empresarial de Bytedance en su página web, https://www.bytedance.com/en/, las principales entidades operativas del Grupo a fecha del 30 de junio de 2020 son las siguientes: Imagen obtenida de https://www.bytedance.com/en/ el 4 de marzo de 2021 Página 9 Resolución No. 14028 de 16 de marzo de 2021 Cuando la empresa alcanza dimensiones económicas de importancia y está provista de una organización compleja, y extendiendo su acción a varios mercados, asume inevitablemente su configuración bajo la dirección de una el caso estudio, Así pues, al constatar que la unificada recurrente en sociedad efecto, directora hace2.

En parte del bajo grupo empresarial BYTEDANCE LTD.Ltd.tal y como lo demuestra el esquema anterior, grupo que a su vez es ByteDance dueño de la aplicación TIKTOK Inc., en mayor o menor medida, contribuye al desarrollo, distribución2 Francesco y explotación de societarios la marca TikTok. Incluidos los(Editorial productos, servicios y Galgano, Los grupos Dirección y coordinación de sociedades, Universidad del aplicaciones que están disponibles en el territorio colombiano, y que usan personas Rosario, Bogotá, 2012), 11. domiciliadas o residentes en el mismo para los fines señalados en la política de privacidad de la aplicación TikTok.

De esta manera, BYTEDANCE LTD. en concurso con TIKTOK, Inc. tienen la obligación de garantizar que la aplicación TikTok y los servicios que ofrecen, respeten la legislación colombiana, así como las órdenes y requerimientos emitidos por parte de esta autoridad, en cumplimiento de la Ley 1581 de 2012 y sus decretos reglamentarios. El artículo 2 de la Ley 1581 de 2012 define Responsable como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.

Por su parte, aquel artículo define Encargado como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de Datos personales por cuenta del Responsable del Tratamiento”. De ambas definiciones se puede destacar que tanto el Responsable como el Encargado pueden ser una o varias personas, naturales o jurídicas que ostenten dicha calidad.

Se entiende pues, que en un Tratamiento de Datos personales pueden existir varios responsables o corresponsables. Así, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo. RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Al final, es un Tratamiento diseñado por los miembros de un grupo empresarial en la que se divide el trabajo para alcanzar ciertos objetivos, pero, al final, unos y otros son responsables y corresponsables del Tratamiento de Datos personales.

Entonces, BYTEDANCE LTD y TIKTOK, Inc. son corresponsables del Tratamiento de Datos personales realizado en el territorio de la República de Colombia por la aplicación TikTok y los servicios que ofrece esa plataforma tecnológica. Principio de primacía de la realidad sobre las formas El artículo 53 de la Constitución Política Nacional es el fundamento jurídico de este principio.

Según la Corte Constitucional, “La primacía de la realidad sobre las formalidades establecidas por los sujetos de las relaciones laborales, es un principio constitucional (…) El mencionado principio agota su cometido al desentrañar y hacer triunfar la relación de trabajo sobre las apariencias que hayan querido ocultarla.”15 De conformidad con este principio, prima la realidad material sobre las formalidades o apariencias jurídicas.

La aplicación del mismo implica desestimar la forma y las apariencias e imponer la materialidad de lo que sucede en la práctica. Este principio no solo es aplicable a las relaciones laborales sino a otras situaciones. En este sentido, en relación con otros campos del derecho, la Corte Suprema de Justicia, en Sentencia de 24 de julio de 2012 (radicado No. 2005-00595-01), consideró que: “Para averiguar el querer de los obligados, a más del tenor literal de sus cláusulas y las directrices establecidas en los artículos 1618 a 1624 del Código Civil, 5 y 823 del Código de Comercio, debe tener en cuenta el intérprete diversos factores que inciden en el acuerdo, tales como las condiciones particulares de los intervinientes y su proceder en los diferentes momentos contractuales, esto es, antes, durante y después de su celebración, de tal manera que se refleje de manera precisa el ánimo que los inspiró a vincularse (…)” Dado lo anterior, para este Despacho es relevante determinar lo que ocurre en la realidad y lo que se ha definido “formalmente” entre las empresas en cuestión. Así pues, en este caso, se dio prevalencia a lo que pasa en la práctica entre BYTEDANCE LTD. y las demás compañías que conforman el grupo empresarial mencionado.

Es bien conocido el aforismo del derecho que señala, “las cosas son lo que su naturaleza y no lo que su denominación determina”. O, lo que es igual, el principio de irrelevancia del nomen iuris, o principio de primacía de la realidad (las cosas son lo que son y no lo que las partes dicen que son). 5. La Ley 1581 de 2012 es aplicable a TIKTOK, Inc. porque recolecta Datos personales en el territorio de la República de Colombia a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en Colombia Estas son las razones constitucionales y legales por las cuales no son de recibo los argumentos de TIKTOK Inc. mediante los cuales concluye que la Ley Estatutaria 1581 de 2012 no le es aplicable. 15 Cfr. Corte Constitucional, sentencia C-555 de 1994.

M.P. Dr. Eduardo Cifuentes Muñoz RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA El artículo 2 de la Ley Estatutaria 1581 de 2012 dispone: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

El artículo 15 de la Constitución Política Colombiana, por su parte, establece el derecho fundamental al debido Tratamiento de Datos personales, de la siguiente manera: “Todas las personas tienen (…)derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución ( )”. (Énfasis añadido). Nótese como para la propia Constitución de la República de Colombia es importante la recolección y el Tratamiento de Datos sin que sea relevante si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías conocidas o por conocer para dicho efecto.

Para la Constitución Política Nacional lo determinante es que la recolección o el Tratamiento de Datos no se haga de cualquier manera sino respetando la libertad y demás garantías establecidas en la misma. Como es sabido, el literal g) de su artículo 3 de la Ley Estatutaria 1581 de 2012 define Tratamiento como, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

(Énfasis añadido). El significado legal de Tratamiento tiene varias características: En primer lugar, es omnicomprensiva porque incluye toda actividad, operación o conjunto de operaciones sobre Datos personales. Además, no se limita a los ejemplos enunciativos del citado concepto legal sino que, abarca cualquier otro que involucre directa o indirectamente el uso, almacenamiento o circulación de Datos personales.

Sobre este punto, la Corte Constitucional señaló en el numeral 2.5.9. de la Sentencia C-748 de 2011 que, “lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia”.

(Destacamos). En segundo lugar, la operación o conjunto de operaciones sobre Datos personales puede ser realizada directa o indirectamente por una o varias personas de forma tal que, en un Tratamiento de Datos personales pueden existir varios Responsables o corresponsables. Debe precisarse que, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo.

Puede ser un Tratamiento diseñado por una organización en la que se divide el trabajo para alcanzar ciertos objetivos pero, al final, unos y otros son Responsables y corresponsables del Tratamiento de Datos personales. RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA En tercer lugar, es neutral tecnológicamente porque cobija el Tratamiento realizado mediante cualquier medio físico o electrónico como, entre otras, las “cookies”.

TIKTOK, INC. realiza Tratamiento de Datos personales en territorio colombiano porque usa cookies para recolectar Datos personales en el territorio de la República de Colombia. Razón suficiente, para que de conformidad con lo establecido en el artículo 2 de la Ley Estatutaria 1581 de 2012 cumpla con lo estipulado en dicha ley y sus normas reglamentarias.

Como se señaló, el artículo 2 de la Ley Estatutaria 1581 de 2012 ordena que ” La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

El el término “Tratamiento” no solo se menciona en el artículo 15 de la Constitución Política de la República de Colombia, sino que, es determinante para establecer el campo de aplicación de la citada ley, la cual lo define de la siguiente manera: Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a. El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “tratamiento de datos personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b. El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el presente caso, TIKTOK Inc. se encuentra dentro de lo señalado en el literal a) porque usa “cookies” para recolectar o realizar tratamiento Datos personales en el Territorio de la República de Colombia. En suma, se concluye por parte de esta Autoridad que, sin lugar a dudas, una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos Personales.

Por lo tanto, TIKTOK, Inc. recolecta y trata Datos personales en el territorio colombiano, razón por la cual debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias. La investigada afirma y reconoce en sus políticas, las cuales son de acceso público en su página web, que utiliza la tecnología cookies para recopilar información de los ciudadanos, lo cual en últimas y de conformidad con la Ley Estatutaria 1581 de 2012 es un Tratamiento: Como se vio, la Ley 1581 de 2012 fija de manera expresa su ámbito de aplicación “al tratamiento de datos personales efectuado en territorio colombiano”.

Entonces, como las web cookies se instalan por parte de TIKTOK, Inc. en equipos ubicados en Colombia, el RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Tratamiento de la información recolectada por este medio, se somete al cumplimiento de la Ley 1581 de 2012. La Ley colombiana no distigue si el Tratamiento se debe hacer de determinada manera ni excluye ninguna forma, herramienta, tecnología o proceso para recolectar o tratar Datos personales.

De esta manera, si se adelanta recoleccion de Datos en el territorio colombiano aplica la ley colombiana. Esta entidad no está realizando una sustitución normativa sino aplicando la ley colombiana al presente caso. En suma, el Tratamiento de Datos Personales que realiza TIKTOK, Inc. está sujeto a la legislación de la República de Colombia en virtud de la recolección de información de ciudadanos y residentes en este territorio.

La Ley Estatutaria 1581 de 2012 es aplicable a TIKTOK, Inc. porque recolecta Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en Colombia, es decir, realiza un Tratamiendo sobre los mismos. 6. Del Tratamiento de Datos personales de los niños, niñas y adolescentes Cada día aumenta el uso de servicios digitales, portales web, redes sociales y aplicaciones tecnológicas por parte de los niños, niñas y adolescentes (en adelante NNA).

Los NNA son personas altamente influenciadas por la tecnología, internet y las redes sociales. Los menores de edad tienen acceso a internet a través de celulares, tabletas y computadores. La aparición de las redes sociales, los juegos en línea y los espacios de aprendizaje en internet, han abierto nuevos escenarios de interacción para los niños, niñas y adolescentes.

Lo que estos desconocen, es que cuando se accede a páginas en internet, de forma casi automática, se recaban Datos que permiten a los portales de internet y a terceros, saber quién ha accedido; en qué ubicación se encuentra; qué tipo de información consume; entre otros. Así las cosas, los Datos personales de niños, niñas y adolescentes son recolectados, usados y tratados por empresas, personas y entidades públicas ubicadas en diferentes partes del mundo.

Adicionalmente, los menores de edad comparten su información personal ignorando los peligros a los que se exponen al suministrar sus Datos y la información de terceros (amigos; compañeros de colegio; su familia) en plataformas web de manera indiscriminada. Nombres; apellidos; fotos; videos; comentarios; la edad; los gustos y preferencias;

Datos como correo electrónico; entre otros, son compartidos por los menores de edad sin pensar que estos hacen parte de su información personal y privada, que hace parte de su identidad digital. Tampoco tienen presente que una vez difunde su información en internet perderán control de la misma. Lo que se hace en internet deja huella y una vez se pone información en la red se pierde control sobre la misma porque puede ser recolectada y usada por terceros.

Igualmente, cada vez que los NNA se registran en las redes sociales, en páginas de internet, aplicaciones o en las páginas de juegos en línea, están creando una identidad digital a partir de sus Datos personales. Progresivamente han venido aumentado los casos que evidencian los riesgos y peligros a que se ven expuestos las NNA que interactúan en las redes sociales digitales y otros canales digitales.

Esas redes y tecnologías, por sí solas no son el problema, pero, infortunadamente, algunas personas han encontrado en las mismas un escenario perfecto para realizar RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA conductas indebidas. El acoso sexual “grooming”, el acoso online “ciberbullying”, los chantajes, la pornografía, las amenazas e invasiones de su privacidad están al orden del día. La Organización para la Cooperación y el Desarrollo Económico (OCDE) estableció los “principios para un entorno digital seguro y beneficioso para los niños” 16 en donde pone de presente que, entre otras, las organizaciones públicas y privadas que desempeñan un papel activo en el establecimiento de políticas y prácticas o en la prestación de servicios para los niños en el entorno digital, deben: a) Defender el interés superior del niño como consideración primordial, e b) Identificar cómo se pueden proteger y respetar los derechos de los niños en el entorno digital y tomar las medidas adecuadas para hacerlo.

Adicionalmente, señala la OCDE que se deben tomar medidas para ayudar a los niños a darse cuenta de los beneficios y disfrutar de aquellos en el entorno digital al: • • • • • • Apoyar a los padres, tutores y cuidadores en su papel fundamental de evaluar y minimizar los riesgos a daños y optimizar los beneficios para sus hijos tanto en línea como fuera de línea;

Asegurar que los niños y sus padres, tutores y cuidadores sean conscientes de sus derechos en el entorno digital y establecer mecanismos accesibles para hacer cumplir dichos derechos, incluidos los mecanismos de denuncia u otros recursos legales; Apoyar a los niños y a sus padres, tutores y cuidadores para que comprendan: o los derechos de los niños como Titulares de información; y o la forma en que se recopilan, tratan, comparten y utilizan los Datos personales de los niños;

Defender y respetar el derecho de los niños a expresar libremente sus opiniones y su capacidad, según corresponda teniendo en cuenta su edad y madurez, para participar en los asuntos que les afecten en el entorno digital; Dar a conocer a los niños, así como a sus padres, tutores y cuidadores, los servicios legales, psicosociales o terapéuticos disponibles para los niños que requieran asistencia como resultado de actividades o acciones en el entorno digital, y facilitar el acceso a estos; y Desarrollar mecanismos para generar consciencia a los niños, padres, tutores y cuidadores de las prácticas comerciales en línea que puedan causar daños a los niños.

En línea con lo anterior, y dentro del marco de sus competencias legales como autoridad de protección de datos, la Superintendencia de Industria y Comercio (SIC) está facultada para ejercer “la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”17.

A continuación nos referiremos a esta función de esta entidad. 7. De la facultad que tiene la Superintendencia de Industria y Comercio para emitir órdenes en relación con el debido Tratamiento de Datos personales En el recurso interpuesto se argumentó que esta entidad no tiene las facultades legales para imponerle a TIKTOK, INC. las órdenes impartidas mediante la Resolución No. 62132 de 5 de octubre de 2020, en los siguientes términos: 16 Cfr. OECD (2021).

Recommendation of the Council on Children in the Digital Environment. En: https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0389 17 Cfr. Artículo 19 de la Ley Estatutaria 1581 de 2012 RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA “Pues bien, aunque es claro que la SIC es competente para investigar y dictar órdenes a sociedades extranjeras en los términos expresamente autorizados en la Ley vigente, lo cierto es que (i) no encontramos normas y tratados vigentes que faculten a la SIC a impartir órdenes para el caso en cuestión, (ii) en el expediente no hay ninguna prueba de que TikTok, Inc. incurra en las actividades de recolección o cualquier tipo de tratamiento de datos personales en el territorio colombiano. ( ) La anterior es una negación indefinida que no requiere prueba en los términos del artículo 167 del Código General del Proceso.

En otras palabras, mientras que en el expediente no haya prueba de que TikTok Inc, (que no es igual a la aplicación TikTok) efectivamente realice tratamiento de datos personales en Colombia, debe presumirse que mi cliente no realiza esta actividad. Por consiguiente, es claro que la SIC no es competente para requerir ni investigar a TikTok, Inc. ni impartirle órdenes como las contenidas en la Resolución Impugnada y esto necesariamente implica que este último acto administrativo debe ser revocado por la Entidad”.

La afirmación de la recurrente es contraria a derecho porque la Ley Estatutaria 1581 de 2012 expresamente faculta a esta entidad para emitir órdenes o impartir las instrucciones que considere necesarias para que el Tratamiento de Datos personales se realice conforme con dispuesto con la ley. En el artículo 19 de esta ley, se le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “(…) la vigilancia necesaria para garantizar que en el tratamiento [sic] de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, su artículo 21 determina cuáles funciones ejercerá la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; (…) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.

(Destacamos). Visto lo anterior, contrario a lo afirmado por la recurrente, sí existen expresas y suficientes facultades legales para que esta autoridad pueda impartir órdenes o instrucciones. RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales.

Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.” En suma, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales a compañías como la investigada.

Por eso, esta entidad ha sido respetuosa del principio de legalidad y ha obrado conforme con lo establecido en el derecho colombiano. 8. TIKTOK Inc. tiene la obligación de cumplir la legislación colombiana, así como las órdenes y requerimientos de esta autoridad, en cumplimiento de la Ley 1581 de 2012 Nuestra Constitución Política Nacional establece: Artículo 4.

“(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades” 18. Artículo 333 “(…) La actividad económica y la iniciativa privada son libres, dentro de los límites del bien común. Para su ejercicio, nadie podrá exigir permisos previos ni requisitos, sin autorización de la ley.

La libre competencia económica es un derecho de todos que supone responsabilidades. La empresa, como base del desarrollo, tiene una función social que implica obligaciones. (Destacamos). Entonces, es la misma Constitución Política la que dispone el cumplimiento de la normatividad a los extranjeros que estén en este territorio física, electrónicamente o de cualquier forma.

La cual incluye, además de la Carta Superior, el sometimiento a la ley en general, así como a las órdenes de autoridades administrativas, entre otras. 9. Del debido proceso en la actuación administrativa y de los Datos personales que recolecta TIKTOK Inc. A continuación se transcriben afirmaciones de TIKTOK, Inc. y posteriormente se responde cada una de ellas como complemento o reiteración -en algunos casos- de lo señalado sobre esos aspectos en el acto administrativo recurrido y la presente resolución: Afirma lo siguiente la apoderada de de TIKTOK, Inc “( )En el presente caso, la Resolución Impugnada se fundamenta en varios hechos contrarios a la realidad y contiene imprecisiones de derecho que obligan a la revocatoria del acto de acuerdo con la presente solicitud.

( ) “Dicho reconocimiento genera al mismo tiempo la responsabilidad en cabeza del extranjero de atender cabal y estrictamente el cumplimiento de deberes y obligaciones que la misma normatividad consagra para todos los residentes en el territorio de la República pues, así lo establece, entre otras disposiciones, el artículo 4o. inciso segundo de la Carta (…)”.

Corte Constitucional, Sentencia C-1259 de 2001 RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Pero lo que es aún más importante es que, al no permitir la participación activa de las sociedades involucradas en la formación del acto administrativo, la SIC no contó con información completa y fidedigna que le permitiera establecer quiénes son los verdaderos responsables del tratamiento de datos personales recolectados a través de la aplicación TikTok.

Todo esto tiene un innegable efecto negativo en la capacidad de la Entidad de proteger los derechos de los colombianos que precisamente motivaron la expedición de la Resolución Impugnada”. ( ) Pues bien, no es cierto que TikTok, Inc. sea Responsable ni Encargada del Tratamiento de Datos Personales en Colombia, ni que recolecte datos personales en la República de Colombia como equivocadamente lo afirma la SIC.

Como se ha venido insistiendo, TikTok, Inc. no realiza ningún tipo de actividad de Tratamiento. Mi representada no recolecta, procesa, usa, almacena, circula, ni suprime Datos Personales originarios de la República de Colombia. Tampoco emplea cookies o píxel para su recolección, supuesto sobre el cual este Despacho basa la aplicación de la Ley de protección de datos sin tampoco realizar un análisis de las características y particularidades técnicas de estas herramientas y su operación, omitiendo la sustentación de la aplicabilidad de le Ley vigente con respecto a dichas particularidades.

( ) Pues bien, no es cierto ni hay prueba en el expediente de que todas las sociedades destinatarias de la norma tengan el mismo grado de relacionamiento con la App o con los datos eventualmente recolectados a través de esta última. De hecho, en el expediente no hay ningún análisis del grado de participación individual que cada una de estas sociedades tendría en la recolección de datos que se realizaría a través de la aplicación TikTok, y este análisis es fundamental para determinar la legitimación en la causa por pasiva de las sociedades mencionadas en la Resolución Impugnada, así como la competencia de la SIC para requerir, y eventualmente investigar y sancionar a las mismas”.

Como se mencionó, esta Delegatura no desconoció el principio de legalidad, sino que aplicó lo que ordena la ley colombiana. De esta manera, se hizo una remisión expresa a los fundamentos constitucionales, legales y tecnológicos señalados, entre otras, en las siguientes partes de esta resolución: - Cookies y recolección de Datos personales;

La ley colombiana aplica al Tratamiento de Datos efectuado en el territorio colombiano sin distinguir si el mismo se realiza mediante mecanismos físicos o herramientas tecnológicas; RESOLUCIÓN NÚMERO 67413 DE 2021 - VERSIÓN ÚNICA La Ley 1581 de 2012 es aplicable a TIKTOK, Inc. porque recolecta Datos personales en el territorio de la República de Colombia a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en Colombia.

Según el artículo 26 de Código Civil, “Los jueces y los funcionarios públicos, en la aplicación de las leyes a los casos particulares y en los negocios administrativos, las interpretan por vía de doctrina, en busca de su verdadero sentido, así como los particulares emplean su propio criterio para acomodar las determinaciones generales de la ley a sus hechos e intereses peculiares”.

(Énfasis añadido). Son respetables los argumentos de TIKTOK, Inc. para defender sus intereses frente a la actuación administrativa. Pero no por ello son aceptables y ajustados a derecho. El hecho de que esta autoridad no comparta el criterio ni las interpretaciones de TIKTOK, Inc. para proteger sus intereses empresariales no significa que esta Delegatura haya obrado de forma contraria a lo ordenado por la Constitución Política Nacional y la Ley Estatutaria 1581 de 2012 junto con sus normas reglamentarias.

Manifiesta lo siguiente la apoderada de de TIKTOK, Inc: “Según el artículo 42 de la Ley 1437 de 2011, todos los actos administrativos de contenido particular deben estar debidamente motivados. Esta exigencia es parte integral del debido proceso, y presupuesto ineludible de las actuaciones administrativas en un estado de derecho. La falsa motivación ocurre cuando los motivos en los que se funda una determinada decisión están viciados.

Esto puede ocurrir porque los motivos aducidos son falsos; porque no conducen efectivamente a la decisión adoptada; o porque la administración no adujo todos los motivos que, existiendo, eran necesarios para expedir un determinado acto”. Posteriormente reiteró en el recurso bajo estudio que, la resolución Impugnada se basó en varios hechos contrarios a la realidad y contiene imprecisiones de derecho.

De la lectura de los actos administrativos se puede constatar que el acto administrativo recurrido fue suficientemente motivado conforme con la regulación colombiana. Adicionalmente, reiteramos los fundamentos legales señalado por esta Delegatura respecto del ámbito de aplicación de la Ley Estatutaria 1581 de 2012. La recurrente también se refiere a que las sociedades destinatarias de las órdenes impartidas no pudieron contribuir efectivamente al proceso de formación del acto administrativo impugnado, ni pudierom ejercer adecuadamente su derecho de defensa.

Sobre este particular, en el expediente reposa evidencia de las comunicaciones realizadas a TIKTOK, INC. para que ejerza su derecho de defensa. Como fruto de lo anterior, dicha empresa nombró una apoderada quien ha presentado los recursos de reposición y apelación con sus argumentos y pruebas que han sido analizados para adoptar la decisión recurrida y el presente acto administrativo.

No se ha ocultado nada a TIKTOK, Inc. para que ejerza su defensa. Tanto es así que los recursos presentados por su apoderada reflejan que conocen todo detalle de lo que obra en el expediente. La diligencia y el cumplimiento del debido proceso por parte de esta entidad ha quedado acreditado en el expediente y la motivación de las decisiones adoptadas.

Si es insuficiente RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA para la apoderada de TIKTOK, Inc., no por ello deja de ser ajustada a derecho la actuación administrativa realizada, ni mucho menos las órdenes impartidas. 10. De la capacidad de TIKTOK Inc. de cumplir las órdenes impartidas por parte de la Superintendencia de Industria y Comercio mediante la Resolución No. 62132 de 5 de octubre de 2020 En el escrito bajo estudio la recurrente afirma que, “( ) Además, como mi cliente no fue informado que la SIC pretendía imponerle órdenes relacionadas con la recolección y tratamiento de datos a través de la App, nunca tuvo la oportunidad de informar que TikTokInc. no está en capacidad de cumplir materialmente ninguna de las obligaciones mencionadas pues no tiene ninguna injerencia técnica ni administrativa en esa materia en particular”.

Sin embargo, como se anotó, la realidad es muy otra, al ingresar al sitio web https://www.tiktok.com/legal/terms-of-service?lang=es, es posible verificar que la compañía se refiere a los servicios que presta así: Los Servicios son prestados por la sociedad que ofrece los Servicios en su región («TikTok», «nosotros» o «a nosotros»): https://www.tiktok.com/legal/terms-of-service?lang=es Razón por la cual no es de recibo el argumento presentado por la recurrente.

No puede ser cierto que carezca de injerencia técnica o administrtiva sobre la aplicación TikTok, pues como se presenta públicamente en su página web, es la encargada de prestar los siguientes servicios: RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA En virtud de lo expuesto, no tiene sentido la aseveración presentada, pues, en todo caso la recurrente sí tiene la capacidad, y el deber legal de cumplir las órdenes impartidas por medio de la resolución impugnada.

Como se estableció, la recurrente es propiedad de BYTEDANCE LTD. lo que la hace corresponsable del Tratamiento de los Datos personales de los usuarios de la plataforma TikTok en este país. 11. De la autorización informada y los deberes del Responsable del Tratamiento de Datos personales De acuerdo con lo establecido por la ley colombiana, es necesario tener en cuenta las siguientes normas: “Artículo 17 de la Ley 1581 de 2012.

Deberes de los Responsables del Tratamiento ( ) RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización [sic] otorgada por el Titular; ( )” “Artículo 4 de la Ley 1581 de 2012. Principios para el Tratamiento de datos personales ( ) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización [sic], o en ausencia de mandato legal o judicial que releve el consentimiento; ( )” “Artículo 9 de la Ley 1581 de 2012. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización [sic] previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

“Artículo 5 del Decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015). Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos [sic] personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Artículo 13 del Decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015). “ Políticas de Tratamiento de la información. Los responsables [sic] del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. ( ) 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad.

( ) 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. ( )” “Artículo 12 de la Ley 1581 de 2012. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular;

RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Lo anterior se trata simplemente de lo establecido por la regulacion colombiana interpretada con las herramientas hermenéuticas de nuestro ordenamiento jurídico. 12.

Datos personales de niños, niñas y adolescentes. Sujetos de especial protección. Dada la importancia de los niños, niñas y adolescentes (NNA), a continuación nos referiremos a sus derechos en la Constitución de la República de Colombia y en la Ley 1098 de 2006 (Código de la Infancia y la adolescencia) así como a los derechos de los NNA frente al tratamiento de sus datos personales y la autorización que exige la ley para que la recolección de sus datos sea lícito.

Adicionalmente, se precisa que según la ley colombiana los NNA son menores de 18 años de edad. A. Los derechos de los niños, niñas y adolescentes en nuestra Constitución Política y en la Ley 1098 de 2006 (Código de la Infancia y la Adolescencia) Conviene empezar por referir lo establecido en el artículo 44 de Constitución Política colombiana donde se da prevalencia a la protección de los niños, niñas y adolescentes, quienes son sujetos que gozan de una protección reforzada por parte del Estado, señalando específicamente que: “Son derechos fundamentales de los niños: la vida, la integridad física, la salud y la seguridad social, la alimentación equilibrada, su nombre y nacionalidad, tener una familia y no ser separados de ella, el cuidado y amor, la educación y la cultura, la recreación y la libre expresión de su opinión. Serán protegidos contra toda forma de abandono, violencia física o moral, secuestro, venta, abuso sexual, explotación laboral o económica y trabajos riesgosos.

Gozarán también de los demás derechos consagrados en la Constitución, en las leyes y en los tratados internacionales ratificados por Colombia. La familia, la sociedad y el Estado tienen la obligación de asistir y proteger al niño para garantizar su desarrollo armónico e integral y el ejercicio pleno de sus derechos. Cualquier persona puede exigir de la autoridad competente su cumplimiento y la sanción de los infractores.

Los derechos de los niños prevalecen sobre los derechos de los demás”. (Destacamos). Dentro de la normatividad colombiana se acoge y desarrolla el principio de protección integral, en virtud del cual se establece un conjunto de derechos y garantías encaminados a proteger los derechos de los niños, niñas y adolescentes (NNA) como sujetos que gozan de protección especial de acuerdo con lo establecido en el artículo 44 mencionado.

Y, entre otras, establece el deber del Estado de protegerlos ante cualquier acción que afecte sus derechos a la intimidad y al buen nombre. En este sentido el Código de la Infancia y la Adolescencia19 en su artículo 7, adopta el principio de la protección integral así: 19 Diario Oficial No. 46.446 de 8 de noviembre de 2006 RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA “Protección Integral.

Se entiende por protección integral de los niños, niñas y adolescentes el reconocimiento como sujetos de derechos, la garantía y cumplimiento de los mismos, la prevención de su amenaza o vulneración y la seguridad de su restablecimiento inmediato en desarrollo del principio del interés superior. La protección integral se materializa en el conjunto de políticas, planes, programas y acciones que se ejecuten en los ámbitos nacional, departamental, distrital y municipal con la correspondiente asignación de recursos financieros, físicos y humanos”.

Este principio es el parámetro fundamental para las acciones de protección a cargo de la familia, la sociedad y el Estado, así como las garantías a favor de los niños, niñas y adolescentes, entre las que están aquellas encaminadas a garantizar el goce efectivo del derecho a la intimidad y el respeto de su dignidad humana, dispuesto en el artículo 33 de Ley 1098 de 2006 (Código de la Infancia y la Adolescencia): “Derecho a la Intimidad.

Los niños, las niñas y los adolescentes tienen derecho a la intimidad personal, mediante la protección contra toda injerencia arbitraria o ilegal en su vida privada, la de su familia, domicilio y correspondencia. Así mismo, serán protegidos contra toda conducta, acción o circunstancia que afecte su dignidad”. B. Según la ley colombiana, los niños, niñas y adolescentes son menores de 18 años El artículo 3 de la Ley 1098 de 2006 establece: “Sujetos titulares de derechos.

Para todos los efectos de esta ley son sujetos titulares de derechos todas las personas menores de 18 años. Sin perjuicio de lo establecido en el artículo 34 del Código Civil, se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad”. (Destacamos). Esta disposición debe ser concordada con la norma prevista en el artículo 28 del Código Civil Colombiano, el cual se refiere al significado de las palabras así: “Las palabras de la ley se entenderán en su sentido natural y obvio, según el uso general de las mismas palabras; pero cuando el legislador las haya definido expresamente para ciertas materias, se les dará en éstas su significado legal”.

(Énfasis añadido). Al realizar un análisis conjunto y sistemático de las normas mencionadas ha sido el legislador el que determinó lo que debe entenderse por menor de edad (niño, niña y/o adolescente). C. De la Autorización para recolectar y tratar lícitamente los Datos personales de niños, niñas y adolescentes El artículo 15 de la Constitución Política Nacional, establece que “en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.

Esta norma fue reglamentada por la Ley Estatutaria 1581 de 2012 que no solo define como “Tratamiento” cualquier actividad que se realice con Datos personales sino que en el artículo 19 determina que, “La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA garantizar que en el Tratamiento de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” El Título III de la Ley 1581 de 2012, incluye dentro de la categoría especial de Datos personales, los de los niños, niñas y adolescentes, señalando expresamente en su artículo 7: “En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes.

Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública (…)”. (Énfasis añadido). En este punto resulta necesario traer a colación las consideraciones iniciales realizadas por la Corte Constitucional en la Sentencia C-748 de 2011 al examinar la constitucionalidad del artículo mencionado: “2.9.3.4.

El examen de constitucionalidad del artículo 7 A la luz de lo expuesto precedentemente, esta Corporación considera que el principio del interés superior de los niños, las niñas y adolescentes se concreta, en el caso particular, en el establecimiento de condiciones que permitan garantizar los derechos de los menores de 18 años en la sociedad de la Información y el Conocimiento, dentro de la cual se encuentran las herramientas de Internet y redes sociales.

Se concluye entonces, ante la evidencia del entorno inmediato que rodea el proceso de crecimiento y desarrollo de los niños, las niñas y los adolescentes en el aspecto físico, mental y emocional; y la urgencia del reconocimiento de su dignidad humana, que todos los actores involucrados en el aseguramiento y efectividad de los derechos de los menores de 18 años deben cumplir con sus responsabilidades en la protección de los mismos, concretamente, en la salvaguarda de sus datos personales”.

(Subrayado fuera del texto). El artículo 9, por su parte, recalca lo siguiente en relación con la Autorización del Titular, “Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por su parte, el Decreto 1074 de 2015 precisa: “Artículo 2.2.2.25.2.9.

Requisitos especiales para el tratamiento [sic] de datos [sic] personales de niños, niñas y adolescentes. El Tratamiento de datos [sic] personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos [sic] de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1.

Que responda y respete el interior superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y presente capítulo. La familia y la sociedad deben velar porque los responsables [sic] y encargados [sic] del tratamiento [sic] de los datos [sic] personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo”.

(Énfasis añadido). La Corte Constitucional mediante la Sentencia T-260 de 2012 señaló: “La afectación de los derechos fundamentales en redes sociales ( ) puede generarse en el momento en el cual el usuario se registra en la red escogida, durante su participación en la plataforma, e incluso en el momento en que decide dejar de utilizar el servicio.

En el estudio sobre la privacidad de los datos personales y la seguridad de la información en las redes sociales on line, realizado por el Instituto Nacional de Tecnologías de la Comunicación - Agencia Española de Protección de Datos- se señala que el primer momento crítico se sitúa al momento del registro del usuario y la configuración del perfil, pues este incidirá en el derecho a la intimidad y en el honor y la honra en caso de que el usuario no establezca adecuadamente su perfil de privacidad en el momento del registro, ya sea por desconocimiento o porque la red no disponga de estas opciones de configuración. Los derechos de los usuarios pueden verse afectados además con la publicación de contenidos e información en la plataforma –fotos, videos, mensaje, estados, comentarios a publicaciones de amigos, “pues los alcances sobre la privacidad de los mismos pueden tener un alcance mayor al que consideró el usuario en un primer momento, ya que estas plataformas disponen de potentes herramientas de intercambio de información, de capacidad de procesamiento y de análisis de la información facilitada por los usuarios”.

En el caso en particular de los menores de edad los riesgos están íntimamente relacionados con lo siguiente: los niños y niñas tienen la posibilidad de acceder en las redes sociales a contenidos de carácter inapropiado para su edad; los menores tienen la posibilidad de iniciar contacto on line, e incluso físicamente con usuarios malintencionados; existe proliferación de la información personal gráfica de los menores, ya sea publicada por ellos mismos o por terceros con desconocimiento de los riesgos a los cuales pueden ser expuestos.

Las anteriores circunstancias pueden exponer a los niños y niñas, en caso de no acceder al mundo de las redes sociales con el debido acompañamiento de los padres a situaciones como abusos, discriminación, pornografía y otros que pueden incidir de manera negativa en su crecimiento y desarrollo armónico e integral. Tales riesgos pueden ser evitados si se tiene conocimiento acerca del funcionamiento y las políticas de privacidad de los diferentes sitios en línea, en especial de las redes sociales.

De allí que en el caso específico de los menores de edad, en especial niños y niñas, el acceso a las redes sociales debe darse con el acompañamiento de los padre o personales responsables de su cuidado, a fin de que éstos sean consientes de que si bien en mundo de la información y la tecnología implica un sinnúmero de beneficios para su desarrollo, al mismo tiempo genera una serie de riesgos que se pueden evitar con un correcto RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA manejo de la información y con una adecuada interacción con los demás miembros de la red”.

Asimismo, la misma corporación en la Sentencia T-620 de 2019 determinó en relación con los menores de edad (entiéndase el significado establecido en el Código de la Infancia y la Adolescencia): “Entonces, la labor periodística no puede ser utilizada para publicar contenido de manera irresponsable, que revele datos íntimos de menores de edad sin la autorización previa de su titular y sus representantes legales, pues por su situación de indefensión, vulnerabilidad y debilidad, los niños, niñas y adolescentes deben ser especialmente protegidos por la familia, la sociedad y el Estado”.

(Énfasis añadido). De acuerdo con todo lo anterior se concluye que el Tratamiento de los Datos personales de los menores de edad responde al interés constitucional de los mismos. Los niños, niñas y adolescentes son Titulares del derecho fundamental de habeas data y del debido tratamiento de sus datos personales. La autorización para el tratamiento de esa información debe ser otorgada por el representante legal del niño, niña o adolescente, tal como lo señala el artículo 12 del Decreto 1377 de 2013.

Así las cosas, las órdenes impartida se ajustan a lo que ordena la regulación vigente. Dichas órdenes son claras y fáciles de cumplir porque se reducen a que dicha empresa cumpla lo que ordenan las normas citadas. 13. De la responsabilidad demostrada frente al Tratamiento de los Datos personales de menores de edad Finalmente, a pesar de las buenas prácticas dentro de las organizaciones, existe un incumplimiento de la Ley 1581 de 2012, las buenas prácticas no se ponen en discusión, lo que se está ordenando mediante el acto administrativo impugnado es que se cumpla la norma en su totalidad.

Las buenas prácticas son tenidas en cuenta por la SIC, sin embargo en ocasiones existen falencias palmarias e indiscutibles en las políticas de Tratamiento de Datos, La Superintendencia de Industria y Comercio lo único que ha hecho es dar cumplimientro al mandato constitucional del articulo 44 de dar prevalencia o preferencia a los derechos de los menores de edad.

Por lo tanto, no comparte los argumentos presentados por TIKTOK Inc. porque no se ajustan a derecho ni a la realidad de lo señado en resolución recurrida. 14. Las órdenes no son sanciones De la primera parte del literal b) del artículo 21 de la Ley 1581 de 2012, es claro que la función establecida en ese literal no solo se ejerce para imponer sanciones frente a la violación del Régimen General de Protección de Datos Personales.

Al contrario, esa norma también se aplica dentro del ejercicio de las funciones de vigilancia, pedagogía, control, etc., diferentes al poder sancionatorio frente al incumplimiento de la Ley. El literal b) del artículo 21 de la Ley 1581 de 2012 establece que la Superintendencia ejercerá la función de: “b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

Para el efecto, siempre que se desconozca el derecho, podrá RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;” (Negrita fuera del original). Esta función legal contiene la posibilidad de “ordenar las medidas” que sean necesarias para hacer efectivo el derecho de habeas data.

Ahora bien, la norma exige que esas medidas deben ser impuestas luego de una investigación, iniciada de oficio o a petición de parte. Es necesario aclarar que esa investigación, empero, no siempre termina con una sanción, como sucede en el procedimiento administrativo sancionatorio desarrollado en virtud del artículo 47 de la Ley 1437 de 2011, sino que también puede finalizar con una orden o instrucción. De otra manera, el término “investigación” al que se refiere la norma citada no puede ser equiparado con el procedimiento administrativo sancionatorio al que se refiere la norma antes mencionada.

En el presente caso la investigación se realizó dentro del expediente 18-233402 y siguiendo el procedimiento administrativo general, señalado en los artículos 34 y siguientes de la Ley 1437 de 2011. Por supuesto que las órdenes o instrucciones se pueden impartir de forma paralela a una sanción, luego de realizado el procedimiento administrativo sancionatorio.

Sin embargo, ese procedimiento particular no es requisito esencial para impartir órdenes o instrucciones diferentes a las sanciones. Si esta entidad busca impartir una orden o instrucción, no está obligado a seguir un proceso administrativo sancionatorio; cosa distinta sucede cuando la actuación administrativa deriva en una sanción (de las señaladas en el artículo 23 de la Ley 1581 de 2012), caso en el cual indudablemente debe adecuar su actuación obligatoriamente al procedimiento administrativo sancionatorio dispuesto en el artículo 47 de la Ley 1437 de 2011. 15.

De la notificación de TIKTOK, Inc. Tal como quedó demostrado en la página 18 de la Resolución No. 14028 de 16 de marzo de 2021, en esta actuación administrativa se surtieron todos los procesos de notificación correspondientes: RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA 16. De la orden para acreditar evidencia de las Autorizaciones Mediante el artículo quinto de la Resolución No. 62132 de 5 de octubre de 2020 se ordenó a “ByteDance Ltd, TikTok, Inc y TikTok Pte.

Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta Superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho -18- años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012”.

Este Despacho considera innecesario que se acredite prueba de dichas Autorizaciones porque, a la fecha, no existe queja de ningún niño, niña o adolescente respecto del Tratamiento de sus Datos por parte de TIKTOK Inc. La actuación administrativa que originó la resolución recurrida fue fruto de una actuación de oficio para verificar si dicha empresa cumple con la regulación colombiana sobre Tratamiento de Datos personales.

Frente a las irregularidades detectadas se emitieron órdenes pertinentes en los artículos primero; segundo; tercero y cuarto del citado acto administrativo. Dado lo anterior, se revocará el artículo quinto de la parte resolutiva del acto administrativo No. 62132 de 5 de octubre de 2020, sin perjuicio de reiterar que cualquier persona tiene derecho a solicitar dicha Autorización y TIKTOK Inc. (Responsable del Tratamiento) tiene el deber legal de suministrar copia de la misma tal y como lo ordenan los siguientes artículos de Ley Estatutaria 1581 de 2012: “ARTÍCULO 8o.

DERECHOS DE LOS TITULARES. El Titular de los datos personales tendrá los siguientes derechos: (…) b) Solicitar prueba de la autorización otorgada al Responsable del Tratamiento ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;” 17.

De la solicitud de aclaración frente a los interrogantes presentados por la recurrente En el escrito del recurso bajo estudio la recurrente solicitó la aclaración de los siguientes puntos: “( ) 1. ¿Cuándo se entiende que un dato es recolectado bajo la ley vigente? RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA 2. ¿Cómo se entiende técnicamente que un dato es recolectado en el territorio de Colombia? 3.

¿En qué momento del proceso de recolección el responsable adquiere el control del dato personal? 4. ¿Cuál es la definición técnica de cookie bajo la regulación vigente en Colombia? 5. ¿Desde un punto de vista técnico y conforme la regulación vigente en Colombia, cuándo se entiende que un dato ha sido recolectado por una cookie? 6. ¿Desde un punto de vista técnico y conforme la regulación vigente en Colombia, cuándo se entiende que una cookie ha sido instalada en un dispositivo o equipos en Colombia? 7.

¿Qué tipos de cookies generan recolección de datos personales? 8. Si el dato personal recolectado es anónimo,¿se considera un tratamiento de datos en el territorio colombiano? 9. Las órdenes impartidas, especialmente las contenidas en el artículo quinto del resuelve, aplicarían hacia el futuro. ¿Se puede dar cumplimiento de esta obligación a través de conductas inequívocas de parte de titular y/o su representante legal en Colombia? 10.

Con respecto al artículo tercero del resuelve, ¿qué lineamientos o directriz tiene la autoridad de protección de datos en Colombia para la aplicación de los requisitos del tratamiento de menores de edad, particularmente con respecto al grado de madurez del menor? 11. Con respecto al artículo cuarto del resuelve, atendiendo que Tik Tok Inc. no tiene presencia legal en Colombia no controla ni procesa datos personales recolectados en el territorio colombiano, ¿bajo qué criterios, de acuerdo con la regulación vigente, se le aplicaría el requisito del registro de bases de datos y con base en los activos de qué sociedad se pretende realizar el cálculo como requisito para determinar la obligación de registrar? 12.

Con respecto al parágrafo cuarto del artículo quinto del resuelve, ¿qué se entiende por una empresa legitimada por la autoridad para expedir la certificación solicitada y/o qué requisitos debe cumplir está empresa?” Frente a lo anterior, este Despacho no está facultado para resolver los interrogantes presentados, pues, en todo caso es la Oficina Asesora Jurídica de esta autoridad administrativa la encargada de absolver las consultas que en materia jurídica hagan el público en general y las dependencias de la entidad, en los temas de competencia de la En efecto, de conformidad con el artículo 7 del decreto 4886: ARTÍCULO 7o.

FUNCIONES DE LA OFICINA ASESORA JURÍDICA. Son funciones de la Oficina Asesora Jurídica: (…) 2. Absolver las consultas que en materia jurídica hagan el público en general y las dependencias de la entidad, en los temas de competencia de la Superintendencia de Industria y Comercio, en los términos del artículo 25 del Código Contencioso Administrativo o la norma que lo modifique o sustituya.

Adicionalmente, reviste de gran importancia precisar que la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO a través de su Oficina Asesora Jurídica no le asiste la facultad de dirimir situaciones de carácter particular, debido a que, una lectura en tal sentido, RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA implicaría la flagrante vulneración del debido proceso como garantía constitucional.

Al respecto, la Corte Constitucional ha establecido en la Sentencia C-542 de 2005: “Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo. No pueden reemplazar un acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. 18.

Responsabilidad Demostrada (Accountability) En El Tratamiento De Datos Personales. La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”20. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. El artículo 2621 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas 20 Cfr. Corte Constitucional, sentencia T-227 de 2003. 21 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic].”22 Es de resaltar que la Corte Constitucional mediante la sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219.

El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic). El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal.

Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable;

(ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales. El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”23 (Destacamos) Como se observa, la Corte Constitucional pone de presente en la obligación de demostrar que se han adoptado medidas para cumplir la regulación de datos personales. 22 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 23 Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021.

M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza24 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos Personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos Personales. El éxito del mismo, dependerá del compromiso real y ético de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 25.(Énfasis añadido).

El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. 19.

Responsabilidad de los administradores en el Tratamiento de Datos personales El artículo 2 de la Constitución Política señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. 24 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. 25 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, la protección de los derechos humanos, los cuales, son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto. En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el fin justifica los medios. En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley.

Ahora, según el artículo 22 de la Ley 222 de 199526 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”. (Énfasis añadido).

En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. 26 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA El artículo 2427 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”28.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. 20. Conclusiones Sin perjuicio de lo expuesto, no se accederá a las pretensiones de TIKTOK Inc. por las siguientes razones: 1.

La Ley 1581 de 2012 debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para tratar Datos, pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico. Quienes crean, diseñan o usan "innovaciones tecnológicas" deben cumplir todas las normas sobre Tratamiento de Datos personales; 2.

La sociedad TikTok, Inc. es corresponsable del Tratamiento de Datos personales que realiza esta aplicación. Lo anterior, no quiere decir que es la única Titular o propietaria de dicha aplicación. Lo que sí quiere decir es que, por sí misma o en asocio con otros, decide sobre la Base de Datos y/o el Tratamiento de los Datos que se recolectan por medio de la aplicación TikTok; 3.

Las sociedades BYTEDANCE LTD y TIKTOK, INC están en la obligación de cumplir con todos los deberes que emanan del ordenamiento jurídico colombiano en relación con el debido Tratamiento de Datos personales. Incluido, por supuesto, los mandatos de la Ley Estatutaria 1581 de 2012 y del Decreto 1377 de 2013 incorporado en el Decreto Reglamentario 1074 de 2015; 27 Artículo 24, Ley 222 de 1995 “"Responsabilidad de los administradores.

El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 28 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995.

RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA 4. Según el artículo 26 de Código Civil, “Los jueces y los funcionarios públicos, en la aplicación de las leyes a los casos particulares y en los negocios administrativos, las interpretan por vía de doctrina, en busca de su verdadero sentido, así como los particulares emplean su propio criterio para acomodar las determinaciones generales de la ley a sus hechos e intereses peculiares.”.

Son entendibles y respetables los argumentos de TIKTOK, Inc. para defender sus intereses frente a la actuación administrativa. Pero no por ello son necesariamente aceptables y ajustados a derecho. El hecho de que esta autoridad no comparta el criterio ni las interpretaciones de TIKTOK, Inc. para proteger sus intereses empresariales no significa que esta Delegatura haya obrado de forma contraria a lo ordenado por la Constitución y la Ley Estatutaria 1581 de 2012 junto con sus normas reglamentarias; 5.

TIKTOK, Inc. emplea diversas tecnologías para recolectar Datos personales en el territorio de la República de Colombia, entre las que se incluyen las web cookies; 6. La Resolución No 62132 de 5 de octubre de 2020 busca prevenir el daño o riesgo a los Derechos Fundamentales protegidos por la Ley 1581 de 2012; 7. La Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: i) El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “tratamiento [sic] de datos [sic] personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. ii) El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el presente caso, TIKTOK Inc. se encuentra dentro de lo señalado en el literal a) porque usa “cookies” para recolectar o realizar Tratamiento de Datos personales en el territorio de la República de Colombia; 8. La Ley colombiana no distingue si el Tratamiento se debe hacer de determinada manera ni excluye ninguna forma, herramienta, tecnología o proceso para recolectar o tratar Datos personales.

De esta manera, si se adelanta recolección o tratamiento de Datos en el territorio colombiano aplica la ley colombiana; 9. Esta autoridad no desconoció el debido proceso para emitir una orden administrativa de naturaleza preventiva; 10. Las sanciones por infracción a la Ley Estatutaria 1581 de 2012 son únicamente las establecidas en su artículo 23; 11.

Según un principio general de interpretación jurídica, en donde la ley no distingue, no le es dado al intérprete hacerlo. Principio que en este caso resulta plenamente aplicable porque TIKTOK, INC. realiza Tratamiento de Datos en el territorio colombiano mediante el uso de cookies. Si la ley colombiana no distingue la forma ni RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA los mecanismos como se realiza el Tratamiento en el territorio colombiano, pues no le corresponde a esta autoridad excluir el uso de cookies como una de tales herramientas.

Por ende, no asiste razón a TIKTOK, INC. en cuanto a que no le es aplicable la Ley Estatutaria 1581 de 2012; 12. TIKTOK, Inc. mediante mecanismos electrónicos recolecta Datos personales en el territorio de la República de Colombia. Por ende, el Tratamiento de Datos Personales que realiza TIKTOK, Inc. está sujeto a la legislación colombiana.

En otras palabras, la Ley Estatutaria 1581 de 2012 es aplicable a TIKTOK, Inc. porque recolecta Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en Colombia, es decir realiza un Tratamiendo sobre los mismos; 13. TIKTOK, Inc. y su apoderada deben tener presente que el artículo 4 de la Constitución Política de la República de Colombia establece que “(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades”.

Adicionalmente, el artículo 95 ordena que “Toda persona está obligada a cumplir la Constitución Política Nacional y las leyes”; Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, concluye el Despacho que la resolución objeto de impugnación fue expedida observando la ley.

De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará parcialmente, la Resolución No. 62132 de 5 de octubre de 2020. En mérito de lo expuesto, este Despacho, Resuelve Artículo primero. REVOCAR el artículo quinto (5) de la Resolución No. 62132 de 5 de octubre de 2020, de conformidad con lo expuesto en la parte motiva del presente acto administrativo Artículo segundo. CONFIRMAR los artículos primero; segundo; tercero y cuarto de la Resolución No. 62132 de 5 de octubre de 2020, cuyo texto es el siguiente: “ARTÍCULO PRIMERO. ORDENAR a ByteDance Ltd, TikTok, Inc. y TikTok Pte.

Ltd. (en adelante TIKTOK) que respecto de los Datos personales que recolectan o tratan en el territorio de la Republica de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informen en idioma castellano, de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus Datos personales y la finalidad del mismo;

RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA “b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” TIKTOK como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá́ conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” PARÁGRAFO.

Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA registren sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. Artículo tercero. ACLARAR que de conformidad con el artículo 3 de la Ley 1098 de 2006 (Por la cual se expide el Código de la Infancia y la Adolescencia) “se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad”.

Artículo cuarto. Notificar personalmente el contenido de la presente resolución a TIKTOK, INC. a través de su representante legal y/o apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno. Artículo quinto. Comunicar personalmente el contenido de la presente resolución a CORPORACIÓN COLOMBIANA DE PADRES Y MADRES – RED PAPAZ, a través de su representante legal y/o apoderado o quien haga sus veces.

Artículo sexto. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., octubre 19 de 2021 El Superintendente Delegado para la Protección de Datos Personales, Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2021.10.19 ANGARITA Fecha: 15:37:43 -05'00' NELSON REMOLINA ANGARITA CGC RESOLUCIÓN NÚMERO 67413 DE 2021 VERSIÓN ÚNICA Notificación Sociedad: Identificación: Dirección: Ciudad: País: Apoderada: Identificación: Tarjeta profesional: Dirección: Ciudad: Correo electrónico: TIKTOK, INC. Sin identificar 5800 Bristol Parkway, Ste 100 Culver City, Ca 90230 Estados Unidos de Norteamérica Rocío Ruíz Pulgar 45547340 175895 del Consejo Superior de la Judicatura Carrera 7 No. 71-52, piso 9, Torre B Bogotá D.C., rocio.ruiz@dentons.com Comunicación Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: País: Correo electrónico: CORPORACIÓN COLOMBIANA DE PADRES Y MADRES – RED PAPAZ Nit. 830130422 – 3 Carolina Piñeros Ospina C.C. 39.694.233 Calle 103 No. 14A-53, Edificio Bogotá Business Center, Oficina 403 Bogotá Bogotá Colombia director@redpapaz.org y soportelegal@redpapaz.org

Resolución sancionatoria N° 67413 de 2021