Decisión 14010 de 2021 — SIC

REPÚBLICA DE COLOMBIA (16 MARZO 2021) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 19-202397 VERSIÓN ÚNICA EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO: Que mediante Resolución Nº 53593 de 3 de septiembre 2020 la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio para garantizar el debido Tratamiento de datos personales en el territorio de la Republica de Colombia emitió varias ordenes administrativas de carácter preventivo a la sociedad GOOGLE LLC.

Las ordenes administrativas de carácter preventivo que impartió esta autoridad mediante Resolución Nº 53593 de 3 de septiembre de 2020 fueron las siguiente: “ARTÍCULO PRIMERO. ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos personales que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informe de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

“b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” GOOGLE LLC, como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.”

PARÁGRAFO. La sociedad GOOGLE LLC deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad GOOGLE LLC crear una Política de Tratamiento de Información (PTI) que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015), y, ponerla en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano.

PARÁGRAFO. La sociedad GOOGLE LLC deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

ARTÍCULO TERCERO. ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 (incorporado en el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015) para la recolección y Tratamiento de los Datos personales de niños, niñas y adolescentes (menores de dieciocho -18- años edad).

ARTÍCULO CUARTO: ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registre sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.

PARÁGRAFO. La sociedad GOOGLE LLC deberá cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.

ARTÍCULO QUINTO: ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho -18- años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012.

PARÁGRAFO PRIMERO. La sociedad GOOGLE LLC deberá cumplir lo ordenado en este artículo dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

PARÁGRAFO SEGUNDO. Para demostrar el cumplimiento de lo anterior, GOOGLE LLC deberá enviar a esta autoridad, al finalizar dicho plazo, una certificación emitida por una entidad o empresa, nacional o extranjera, independiente, imparcial, profesional y especializada en la que se acredite: a) El número de Autorizaciones que tiene GOOGLE LLC desde la entrada en vigencia de la Ley Estatutaria 1581 de 2012 hasta el día anterior a que se expida la certificación. b) Que las Autorizaciones cumplen todos los requisitos exigidos por la regulación de la República de Colombia para la recolección y Tratamiento de los datos personales de los niños, niñas y adolescentes.

PARÁGRAFO TERCERO. La entidad o empresa que seleccione GOOGLE LLC para realizar el proceso de certificación de la existencia de las Autorizaciones, tendrá que ser ajena a su grupo empresarial, y estar libre de todo conflicto de interés que le reste independencia o cause cualquier tipo de subordinación respecto de GOOGLE LLC.

PARÁGRAFO CUARTO. La entidad o empresa certificadora deberá estar legitimada para tal fin, por la autoridad competente del país de su domicilio. Lo anterior, solo en el caso de que la regulación del mismo lo requiera a fin de emitir esa clase de certificaciones. Si en dicho país no se exige lo anterior, bastará con que la misma sea independiente, imparcial, profesional y especializada en temas de Tratamiento de Datos personales y/o evidencia digital.”

SEGUNDO: Que mediante correo electrónico con radicado 19-202397- -00038 del 9 de octubre de 2020, a través de apoderado, la sociedad extranjera presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución Nº 53593 de 2020. En el escrito la sociedad solicita revocar las órdenes administrativas contenidas en los artículos primero, segundo, cuarto y quinto de la Resolución Nº 53593 de 2020, con fundamento en: HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” • Inaplicabilidad de la Ley 1581 de 2012 y la falta de competencia de la Superintendencia de Industria y Comercio “Google es una sociedad extranjera, conforme con la definición establecida en el artículo 469 del Código de Comercio1, con domicilio comercial en 1600 Amphitheatre Parkway, Mountain View, California, Estados Unidos, sin presencia o representación societaria o corporativa en Colombia.

Google LLC tampoco provee o presta servicios en Colombia o desde Colombia. Como lo establece con toda claridad y contundencia la Constitución Política, artículo 4, “Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades” (subrayas fuera de texto). Este principio de territorialidad de la ley, que además se ampara en el derecho internacional público, establece que la ley colombiana aplica a los nacionales y a los extranjeros que se encuentren en el territorio nacional y constituye “el fundamento esencial de la soberanía, conforme al cual cada Estado puede prescribir y aplicar normas dentro de su respectivo territorio, dado que este es su alcance espacial natural” 2.

Así, la Corte Constitucional ha determinado que la ley colombiana es mandatoria para todos los residentes del país tanto nacionales como extranjeros. En sentencia C-249 de 2004, la Corte señaló que “Con fundamento en el artículo 4 superior los nacionales y extranjeros deben someterse a la Constitución, a la ley y a las autoridades. Las leyes obligan a todos los habitantes del país, incluyendo a los extranjeros domiciliados o transeúntes, salvo lo previsto para éstos en tratados públicos” (subrayas fuera de texto).

Así las cosas, tanto en el artículo 4 de la Constitución Política como en la jurisprudencia constitucional, se hace expresa referencia a la relación con el territorio para la aplicación de la ley. Por ejemplo, respecto de los extranjeros la aplicación de la ley deriva de que estos estén domiciliados en Colombia o que se encuentren físicamente en el país. Así, en virtud del principio de territorialidad de la ley, las normas colombianas (incluida la legislación de protección de datos personales) aplican a los habitantes, nacionales o no, cuando se encuentren dentro del territorio colombiano. En consecuencia, la ley colombiana no es aplicable a Google ya que la empresa no cumpleconlacalidadde“nacional”,ni“habitante”ni“personatranseúnte”,puesestá domiciliada fuera del territorio nacional.

Google, como persona jurídica extranjera, domiciliada en Estados Unidos de América, no se encuentra en Colombia y, como tal, no le aplica la ley colombiana sino la ley de su domicilio (…) El artículo 19 y ss. de la LGPD dispone las competencias de la SIC en relación con sus facultades de vigilancia de la LGPD, las cuales se limitan a los tratamientos de de datos personales realizados en el territorio nacional o cuando la legislación colombiana sea aplicable en virtud de un tratado o norma de derecho internacional.

Así las cosas, la competencia de la SIC depende exclusivamente de que la legislación colombiana sea aplicable al caso concreto. Situación que no ocurre en el presente caso, como queda en evidencia a lo largo de este recurso. No obstante lo anterior, también es necesario reparar sobre el alcance de las funciones de la SIC, consagradas en el artículo 21 de la LGPD, y los límites que como autoridad administrativa la gobiernan.

Es necesario advertir que, en la presente decisión, la SIC ha excedido sus facultades al introducir nuevas reglas que no están consagradas legalmente y bajo las cuales modifica de manera sustancial la LGPD, al transformar la esencia de lo dispuesto en el ámbito de aplicación de la LGPD, arrogándose competencia y jurisdicción universal en materia de protección de datos personales en Internet”. • Violación al debido proceso administrativo Afirma la sociedad recurrente que el principio al debido proceso administrativa se relaciona al principio de igualdad.

“En ese sentido, es necesario mencionar que a pesar de que buena parte de las páginaswebqueoperaneninternetusancookies,Googleeslaprimeraempresaa la cual la SIC ha impuesto órdenes tales como: modificar su PTI y adecuarla, en esencia, a la mención de los artículos de la LGPD y otros temas formales (pues en lo sustancial Google cumple con sus deberes respecto a la protección de datos personales de sus usuarios), registrarse ante el RNBD, entre otras cosas.

De hecho, la SIC usó el año pasado el criterio de cookies para alegar competencia respecto a una red social de amplio espectro6 así como frente a una compañía de economía colaborativa7, pese a lo anterior no emitió órdenes relacionadas con la PTI, HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” registro ante RNBD, entre otros, sino que emitió una orden preventiva sólo en materia de ciberseguridad, aunque dichas compañías extranjeras tampoco incluyen las referencias a la LGPD en sus PTI”. • Falta de competencia y extralimitación de funciones “(…) se están fijando criterios generales de interpretación que no encuentran sustento en la norma y que comprometen el principio de legalidad y la seguridad jurídica, por vía de una actuación administrativa de vigilancia y control.

En caso tal de que la interpretación de la SIC de que toda empresa extranjera sin domicilio en Colombia que usa cookies está sometida a la aplicación de la LGPD, debería empezar entonces la autoridad un proceso como el presente contra todas y cada una de las páginas web extranjeras accesibles desde Colombia”. • Violación de la debida motivación de los actos administrativos “(…) la SIC en su Resolución no ofrece motivación suficiente para explicar en qué medida la recolección de información por vía de cookies en el caso concreto constituye automáticamente tratamiento de datos personales, sino que se limita a transcribir la norma y citar el pronunciamiento de la AEPD, aunque las condiciones del presente caso y el caso español sean diferentes, sin interpretar los supuestos de hecho y la adecuación de estos a la norma colombiana o las características técnicas de las cookies.

Tampoco hace referencia a la naturaleza de la información que se recoge mediante cookies. En ese sentido, la SIC no ofrece una motivación jurídica ni técnica de fondo respecto de qué forma el uso de las cookies constituye un tratamiento de datos personales, con lo cual se viola el principio de legalidad y el debido proceso”. • Tratamiento de datos de niños, niñas y adolescentes en los servicios de Google “Frente a lo señalado por la SIC en la sección VII de la Resolución, en donde indica de mi representada que “ella está incumpliendo con su deber de solicitar para el uso de sus servicios y productos el consentimiento previo, expreso e informado de los representantes legales para el Tratamiento de datos personales de los niños, niñas y adolescentes, y más grave aún, en su labor de verificar en tales casos que el consentimiento fue dado o autorizado por el representante legal del menor.” Estimamos que esta apreciación de la SIC no tuvo en consideración la información allegada por parte de Google en donde queda probado que, en efecto, Google sí solicita autorización previa, expresa e informada conforme a las disposiciones legales, tomando medidas eficaces y razonables de conformidad con la edad y el grado de madurez de los menores (…) Ahora bien, teniendo en cuenta esta consideración de la Corte, que es ratio decidendi, la autorización por parte de los representantes legales debe también tener un entendimiento desde la razonabilidad de la norma constitucional.

Para la Corte, es relevante que la opinión del menor de 18 años sea siempre tenida en cuenta, pues la madurez con que expresen sus juicios acerca de los hechos que los afectan debe analizarse caso por caso. En esa medida, no puede establecerse el mismo estándar de autorización para un niño que para un adolescente, y esto no solo se determina por el solo hecho de ser escuchado.

Valga establecer con claridad que ni la Constitución, ni la ley ni la jurisprudencia constitucional exigen que la autorización para el tratamiento de los datos de los menores adultos (los mayores de 14 años) sea dada por los padres o representantes legales. Es en virtud del Decreto 1377 de 2013, una norma de rango inferior a la Constitución y la Ley, donde se introduce tal regla.

(…) Todos estos pronunciamientos dan cuenta que los menores adultos, es decir aquellos de 14 a 18 años, no pueden ser tratados de forma equivalente a los niños, desconociendo el grado de autonomía y capacidad que alcanzan según su madurez. Así, lo considerado por la SIC en la Resolución desconoce la jurisprudencia y doctrina constitucional que ha desarrollado la Corte Constitucional en la materia.

Como estableció la HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Corte Constitucional, en la ya mencionada sentencia C-748 de 2011, en el tratamiento de datos de los menores “la Corte considera relevante que la opinión del menor de 18 años sea siempre tenida en cuenta, pues la madurez con que expresen sus juicios acerca de los hechos que los afectan debe analizarse caso por caso”.

En esa medida, la autorización del menor de una edad superior a los 14 años ya no se encuentra sujeta a las mismas reglas de control total de los padres o representantes legales sobre que pueden o no acceder, sino a partir de este principio, esta se sujeta al criterio propio de la madurez y su capacidad. (…) De ahí que la valoración de la SIC no se corresponde con las posibilidades técnicas existentes.

Es fácticamente imposible constatar directamente que el representante legal sea efectivamente quien alega ser. Se parte de las medidas más razonables y con mayor diligencia posible teniendo en cuenta las limitaciones que el estado actual de la tecnología y el Internet permiten. El esfuerzo extraordinario que pretende la SIC no está ni contemplado en la ley ni se exige a ninguna otra persona en Colombia.

En ese sentido, dado que nadie está obligado a lo imposible, el parámetro de la SIC no puede exceder las medidas razonables que las condiciones de Internet permiten”. • Sobre el numeral IX. Actuaciones y decisiones de autoridades extranjeras respecto de la obtención del consentimiento previo, expreso e informado del representante legal para el Tratamiento de niños, niñas y/o adolescentes.

“Colombia es un Estado soberano, cuyas decisiones judiciales o administrativas no se someten a la actuación de otros Estados. Así́ las cosas, para efectos de la presente Resolución es irrelevante lo que otras autoridades en otras jurisdicciones hayan decidido o analizado, y no se puede ni debe extrapolar al caso concreto (…)”. • Sobre las imprecisiones de la Superintendencia de Industria y Comercio.

“Queremos señalar a la SIC que en el marco de sus comunicados de prensa, así como en pasajes del texto de la Resolución se incluye información imprecisa que desdibuja la realidad del proceso. En su comunicado de prensa del 4 de septiembre de 2020, la SIC señala que “Esta investigación se inició de oficio por la Superintendencia de Industria y Comercio para verificar si GOOGLE cumplía con la regulación colombiana respecto de la recolección y uso de de los datos de 38.962.184 de colombianos mayores de edad y 1.847.592 menores de edad, de quienes GOOGLE LLC posee y trata datospersonalesenlaactualidad.” Estas cifras mencionadas en el comunicado de prensa, así como las intervenciones del Superintendente de Industria y Comercio en medios de comunicación de alcance nacional desconocen y distorsionan lo mencionado en la respuesta entregada por Google en el marco de la investigación que da origen a la Resolución objeto de este recurso de reposición”. • Sobre la valoración hecha por la SIC del cumplimiento de la LGPD La sociedad recurrente afirma que la valoración hecha por la SIC sobre el cumplimiento de la ley general de protección de datos no es acertada por cuanto, “En síntesis, la creación de una cuenta de Google y el consabido tratamiento de datos personales, sea con Family Link o sin ella, requieren la autorización, es decir un consentimiento expreso, previo e informado, ya que requieren la revisión de los avisos de privacidad, que remiten a las políticas correspondientes (A saber: Aviso de Privacidad y Condiciones (Ver Anexo 9) en el caso de mayores de 14 y el Aviso de Family Link para cuentas de menores de 14 años (Ver Anexos 5 y 7 y Ver secciones3.6y3.7) siempre previo a autorizar la cuenta y el procesamiento de datos personales.

Leídos los avisos correspondientes (el usuario debe desplazarse por ellos), el usuario podrá autorizar la activación de la cuenta y el tratamiento de datos haciendo click en el botón “Aceptar” o podrá negar la autorización eligiendo la opción “Cancelar”. Como se ha mostrado y explicado detalladamente, los avisos proveen además vínculos a la Política de Privacidad (Ver Anexo 6), en caso que el usuario deseara más información sobre un tema particular”.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” • Sobre la política de privacidad de Google “La política de tratamiento de datos de Google es sumamente didáctica, clara, asequible y simple, que cualquier persona puede analizar y entender. Es una política de tratamiento redactada en un lenguaje cotidiano para la mayoría de las personas y que consta de gran cantidad de explicaciones, videos y ejemplos.

Es preciso destacar que la Política de Privacidad de Google (Ver Anexo 6) fue actualizada en 2018 para introducir vídeos e iconografía que ayudan a proporcionar la información de forma clara, concisa, y accesible. La Política de Privacidad actualizada fue ampliamente comentada internacionalmente, destacando su enfoque claro y de lenguaje sencillo y sus vídeos explicativos.

Efectivamente es un documento largo porque contiene la información imprescindible para darle toda la ilustración necesaria a los usuarios. Igualmente, el uso de hipervínculos cumple la función de un índice que organiza la información, muestra en una pantalla los principales temas y permite llegar a cada uno de manera rápida. El lector no está obligado a usar los vínculos rotulados ya que puede desplazarse por la política haciendo uso del mouse o con la barra de navegación lateral, si así lo prefiriera.

En este sentido, la política de privacidad de Google (Ver Anexo 6) está dirigida a un amplio público, que pueda cobijar no solo a legos y abogados, sino a la gente común, a personas mayores, a menores adultos o personas con diferentes niveles de educación, etc. Vale la pena compararla con la política de tratamiento de la misma SIC, que es un texto legal, dirigido exclusivamente a abogados y personas que entiendan a fondo la LGPD y no a la gente común y ordinaria y menos a los niños”. • Sobre la denuncia a las compañías Facebook y Uber.

Argumenta la recurrente una vulneración al principio de igualdad, toda vez que: “De hecho, la SIC usó el año pasado el criterio de cookies para alegar competencia respecto a una red social de amplio espectro así como frente a una compañía de economía colaborativa7, pese a lo anterior no emitió órdenes relacionadas con la PTI, registro ante RNBD, entre otros, sino que emitió una orden preventiva sólo en materia de ciberseguridad, aunque dichas compañías extranjeras tampoco incluyen las referencias a la LGPD en sus PTI”. • Sobre las órdenes impartidas La sociedad recurrente procede a referirse a cada una de las ordenes emitidas en la resolución recurrida.

Entre las referencias están las siguiente: “Como se explicó con precisión, Google no realiza ningún tipo de tratamiento de datos personales en el territorio de Colombia. En segundo lugar, la LGPD no establece como obligación de los responsables informar en la autorización lo previsto en la orden. Esta información, según la LGPD y el Decreto 1377 de 2013, puede disponerse en un aviso o política de privacidad, tal como lo hace adecuadamente Google.

En consecuencia se solicita que se revoque esta orden. (…) Google, como se demostró anteriormente, da cumplimiento a todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015), y la tiene puesta a disposición y conocimiento de los titulares de los datos que pueden o no estar domiciliados o residentes en el territorio colombiano. En consecuencia, solicitamos muy respetuosamente revocar esta orden.

(…) Como se ha demostrado suficientemente en el presente recurso, Google tiene implementado un mecanismo y procedimiento apropiado, efectivo y demostrable para dar cumplimiento a lo previsto en la ley en cuanto a la autorización y tratamiento de datos de niños, niñas y adolescentes. En consecuencia, se solicita que se revoque la orden.

(…) Como se ha demostrado anteriormente, Google no realiza tratamiento de datos en Colombia. En tal medida no tiene la obligación de registrar bases de datos en el RNBD. En tal medida, solicitamos se revoque esta orden. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” (…) El tratamiento de datos que realiza Google no se encuentra sujeto a la ley colombiana.

En esa medida, las bases de datos de Google se encuentran sujetas al cumplimiento de leyes extranjeras, así como la custodia de las autorizaciones de los titulares. En cualquier caso, el cumplimiento de la medida que propone la SIC implicaría una revelación de información personal y confidencial a terceros que tendría un importante impacto en la privacidad de los propios menores.

La entidad o empresa certificadora tendría que tener acceso a los datos personales de un número elevado de usuarios, sin que quede claro en la resolución cuál sería la base legal para tal cesión o la justificación de una medida tan intrusiva. Además de lo anterior, en primer lugar, esta orden no guarda coherencia alguna con las consideraciones de la SIC, por lo que no existe relación lógica entre las motivaciones del acto y la presente orden.

En segundo lugar, no existe ni en la ley ni en los reglamentos deber u obligación alguna de Google de entregar las autorizaciones a la SIC, sino a los titulares previa solicitud de éstos. En tercer lugar, no tiene razonabilidad ni proporcionalidad una orden de este calibre que impone una carga desproporcionada, irrazonable e imposible de cumplir.

No tiene sentido alguno solicitar la entrega de todas las autorizaciones que tiene Google, que hace que incluso un tercero sea incapaz de analizar y validar por las implicaciones excesivas de esta orden. Es una orden inocua, que solo pretende establecer una carga infundada e imposible de cumplir, pero que no repercute en nada en la garantía material de la protección de los datos personales.

No existe ninguna persona o empresa que en un plazo de dos meses pueda analizar todas las autorizaciones que tiene Google y verificar que cumple o no con el derecho colombiano. En cuarto lugar, no es posible entregar de manera masiva e indiscriminada todas las autorizaciones que ha recolectado Google desde el 2012”. (…) Teniendo en cuenta los planteamientos indicados, se solicita muy respetuosamente a la SIC: (i) (ii) Reponer (y, en subsidio, apelar) la Resolución No. 53593 de 2020.

En tal sentido, se solicita muy respetuosamente a la SIC revocar las órdenes administrativas contenidas en los artículos primero, segundo, tercero, cuarto y quinto de la Resolución No. 53593 de 2020. (ii) Como consecuencia de lo anterior, se solicita muy respetuosamente archivar la actuación administrativa”.

TERCERO: Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la sociedad recurrente en el escrito de reposición y en subsidio apelación contra la Resolución Nº. 53593 de 2020, se procede a resolver el recurso de reposición, de acuerdo con las siguientes: CONSIDERACIONES DE LA DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES I. DEL ALCANCE DEL TRATAMIENTO DE DATOS PERSONALES Y DEL MANDATO CONSTITUCIONAL DEL ARTÍCULO 15 PARA QUE EN CUALQUIER ACTIVIDAD SOBRE DATOS PERSONALES SE RESPETEN LA LIBERTAD Y DEMÁS GARANTÍAS CONSAGRADAS EN LA CONSTITUCIÓN POLÍTICA NACIONAL DE LA REPÚBLICA DE COLOMBIA De cardinal importancia resulta reiterar que, en el presente caso estamos frente al cumplimiento de exigencias de naturaleza constitucional referidas al Derecho Fundamental al debido Tratamiento de los Datos personales de los ciudadanos. En efecto, el artículo 15 de la Constitución Política Nacional no solo establece el derecho que tienen, “todas las personas ( ) a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”, sino que es tajante en exigir que: HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” (Destacamos y subrayamos) Con fundamento en lo anterior, se expidió la Ley Estatutaria 1581 de 2012 que desarrolla, entre otras, el citado derecho constitucional de naturaleza fundamental.

En dicha ley se define Tratamiento como: “cualquier operación o conjunto de operaciones sobre datos [sic] personales, tales como la recolección, almacenamiento, uso, circulación o supresión”1. (Destacamos) Esta expresión es de uso “técnico” en el ámbito de los Datos personales y es de tal importancia que, como se observa, ha sido incluida en el artículo 15 de nuestra Constitución Política.

Y es así porque, determina el campo de acción de la Ley 1581 de 2012 en la medida que, salvo algunas excepciones, cualquier actividad que se realice, a través de medios manuales28 o tecnológicos, con o sobre Datos personales debe observar unas reglas establecidas en la citada ley. Nótese que la definición de Tratamiento tiene las siguientes características: (i) En primer lugar, es omnicomprensiva porque incluye toda actividad, operación o conjunto de operaciones sobre Datos personales.

Además, no se limita a los ejemplos enunciativos del citado concepto legal, sino que abarca cualquier otra como, entre otras, la publicidad o el marketing que involucre directa o indirectamente el uso, almacenamiento o circulación de Datos personales. Sobre este punto, la Corte Constitucional señaló lo siguiente en el numeral 2.5.9. de la Sentencia C-748 de 2011 “lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos [sic] personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia”.

(Destacamos). (ii) En segundo lugar, la operación o conjunto de operaciones sobre Datos personales puede ser realizada directa o indirectamente por una o varias personas de forma tal que, en un Tratamiento de Datos personales pueden existir varios Responsables o corresponsables. Debe precisarse que, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo.

Por ejemplo, si dentro de una organización se quiere recolectar y tratar Datos para fines de publicidad y/o marketing, es factible que unas actividades – recolección, almacenamiento, análisis- las realice un sujeto, y otras – comercialización, venta, publicidad- la efectúe otro que también haga parte de la misma organización. Al final, es un Tratamiento diseñado por una organización en la que se divide el trabajo para alcanzar ciertos objetivos, pero, al final, unos y otros son Responsables y corresponsables del Tratamiento de Datos personales.

(iii) II. En tercer lugar, esta autoridad ha reiterado que la regulación sobre Tratamiento de Datos personales debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para tratar datos, pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico.

Quienes crean, diseñan o usan “innovaciones tecnológicas” deben cumplir todas las normas sobre Tratamiento de datos personales. GOOGLE LLC TIENE LA OBLIGACIÓN DE CUMPLIR LA LEGISLACIÓN COLOMBIANA PORQUE REALIZA UN TRATAMIENTO DE DATOS PERSONALES EN TERRITORIO COLOMBIANO POR MEDIO DE LAS WEB COOKIES El segundo inciso del artículo 2 de la Ley 1581 de 2012 afirma lo siguiente: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales”.

(Destacamos) Por su parte, el apoderado de la recurrente afirmó que: “(…) y, por otro lado, el tratamiento de datos también está sujeto a la legislación aplicable al lugar donde ocurre dicho tratamiento”. (Destacamos). Literal g) del artículo 4. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Escrito del 16 de octubre de 2019 (folio 2), Google LLC En armonía con lo anterior, la Ley 1581 de 2012 delimita el ámbito de aplicación “al tratamiento de datos personales efectuado en territorio colombiano”.

Y, como las web cookies son instaladas en dispositivos y equipos ubicados en territorio colombiano por Google LLC, el tratamiento de la información que recolecten y traten por medio de esta tecnología queda supeditada al cumplimiento de la Ley 1581 de 2012. La recurrente considera que: “No existe fundamento legal o jurisprudencial alguno que permita a la SIC hacer una interpretación de la ley que exceda lo dicho en ella, particularmente respecto a su ámbito de aplicación. Dicha interpretación es contraria a los principios de legalidad y tipicidad que rigen el ordenamiento jurídico, y que son requisitos esenciales para garantizar la seguridad jurídica”2.

Frente a lo anterior, en ningún momento se ha interpretado la norma por fuera de lo dicho por la misma. Es la propia legislación la que establece que regulará el Tratamiento efectuado en territorio colombiano y, además, es la legislación quien enmarca la recolección de datos personales como una operación sobre los mismos, a saber, un Tratamiento.

En este sentido, es importante entender que las web cookies instaladas en los equipos o dispositivos ubicados en territorio colombiano son una manera de recolectar Datos personales. Es decir, un Tratamiento de Datos personales que ocurre en territorio colombiano. Por tanto, el Responsable del Tratamiento que emplee las web cookies para la recolección de Datos personales en territorio colombiano deberá garantizarle al titular de la información sus derechos y cumplir los deberes que emanan de la legislación colombiana en materia de protección de datos personales.

La tecnología de seguimiento de web cookies. Las cookies son una herramienta para, entre otras, recolectar Datos personales. En este sentido, señala Guerrero que las "entidades públicas y privadas y particulares se hacen presentes en la Red y recaban igualmente datos de otros a distancia sirviéndose de páginas web, ( ) y otras aplicaciones 'invisibles' como cookies o web bugs"3.

(Destacamos). Según Morón Lerma, las cookies son “pequeños programas que identifican al usuario cada vez que entra a un servidor de información y que rastrean sus preferencias”. Precisa la autora que, “el sucesivo envío de cookies y su conservación permite al emitente lograr una fotografía digital del internauta, conocer su dirección, gustos, preferencias o entretenimientos, pudiendo efectuar un rastreo completo de las actividades del usuario en la red”4.

Las cookies han sido catalogadas como “la principal tecnología de rastreo utilizada para controlar a los usuarios en internet ( )”5. Estas tecnologías son utilizadas para realizar “operaciones invisibles” y “tratamientos invisibles”6 de Datos. En síntesis, en Internet se puede recolectar información de personas de cualquier parte del mundo a través de diferentes medios tecnológicos visibles e invisibles, conocidos o no por los Titulares de los Datos personales.

Esta captura de información técnicamente puede efectuarse sin que la empresa recolectora de los Datos esté físicamente ubicada en el territorio de la persona respecto de la cual se obtiene la información. De hecho, gracias a las tecnologías las empresas hoy en día tienen más presencia electrónica, que física. Por su parte resulta imperativo reiterar que Google, LLC reconoce que usa cookies para recolectar Datos en el territorio de la República de Colombia.

En efecto, dicha empresa manifiesta que, “Utilizamos diversas tecnologías para recoger y almacenar la información, entre las que se incluyen cookies, etiquetas de píxel, almacenamiento local (como el almacenamiento web del navegador o las Página 15. Documento radicado 19-202397- -00038 del 10 de septiembre de 2020. GUERRERO PICÓ, María del Carmen. 2006.

El impacto de internet en el Derecho Fundamental a la Protección de Datos de carácter personal. Primera ed. Navarra: Thomson Civitas. p 25 MORON LERMA, Esther. 2002. Internet y derecho penal: hacking y otras conductas ilícitas en la red. Segunda ed. Navarra, España: Aranzadi. p

33. GRUPO DE PROTECCION DE DATOS DEL ARTICULO 29. 2012. Dictamen 2/2010 sobre publicidad comportamental en línea. GT 171. El Grupo de Trabajo del artículo 29 expresó en 1999 su preocupación por “todos los tipos de operaciones de tratamiento informático que se llevan a cabo actualmente en Internet a través del software y del hardware sin el conocimiento del interesado y que, por consiguiente, son "invisibles" para el mismo.

Ejemplos típicos de este tipo de tratamiento invisible son el chattering en el nivel HTTP1, los hipervínculos automáticos a terceros, el contenido activo (como Java, ActiveX u otras tecnologías que ejecutan scripts en el cliente) y el mecanismo cookies en su aplicación actual en los navegadores usuales” (GRUPO DE PROTECCION DE DATOS DEL ARTICULO 29. 1999.

Recomendación 1/99 sobre el tratamiento invisible y automático de datos personales en Internet efectuado por software y hardware. (5093/98/ES/final. WP 17), http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/1999/wp17es.pdf... P 2) HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” cachés de datos de aplicaciones), bases de datos y registros de servidor” (destacamos), tal y como se evidencia en la siguiente imagen: Imagen obtenida el 25 de noviembre en: https://policies.google.com/privacy?hl=es Sin perjuicio de lo mencionado consideramos pertinente referirnos a algunas definiciones de las cookies para reiterar que son mecanismos que instala Google LLC en los equipos o dispositivos ubicados en territorio de la República de Colombia para recolectar en nuestro país Datos personales: • La Real Academia de la Lengua Española las define como, pequeños ficheros que se instalan en el disco duro o en el navegador del ordenador, tableta, teléfono inteligente o dispositivo equivalente con funciones de navegación a través de Internet y ayudan, entre otras cosas, a personalizar los servicios del titular de la web, facilitar la navegación y usabilidad a través de ella, obtener información agregada de los visitantes de la web, posibilitar la reproducción y visualización de contenido multimedia en la propia web, permitir elementos de interactuación entre el usuario y la web o habilitar herramientas de seguridad7. • La Comisión Federal del Comercio (Federal Trade Comission8 – FTC) define una cookie como un pequeño archivo de texto que los sitios web instalan en su computadora.

Este organismo también se refiere a los tipos generales de cookies que existen: “( ) Cookies de sesión única • Facilitan la navegación de un sitio web. • Sólo registran información durante una visita a un sitio web y luego se borran. • Se activan de forma predeterminada para facilitar al máximo la navegación del sitio. • Se conocen también por el nombre de tecnologías Tier 1 bajo las pautas gubernamentales aplicables.

Cookies persistentes (multi-sesión) • Permanecen en su computadora y registran información cada vez que usted visita algunos sitios web. Se almacenan en el disco duro de su computadora hasta que usted las elimine manualmente de una carpeta del navegador, o hasta que expiren, que puede ser meses o años después de haber sido instaladas en su computadora ( )”9.

(Destacamos). • El Estudio sobre la privacidad de los datos y la seguridad de la información en las redes sociales online, desarrollado entre la Agencia Española de Protección de Datos y el Instituto Nacional de las Tecnologías de la Comunicación, se refieren al respecto así́: “( ) La instalación y uso de “cookies” sin conocimiento del usuario.

Con frecuencia las redes sociales y plataformas análogas utilizan este tipo ficheros que Recuperado de https://www.rae.es/info/cookies el 25 de noviembre de 2020. “A cookie is information saved by your web browser. When you visit a website, the site may place a cookie on your web browser so it can recognize your device in the future. If you return to that site later on, it can read that cookie to remember you from your last visit and keep track of you over time”.

Recuperado de https://www.ftc.gov/site-information/privacy-policy/internet-cookies el 25 de noviembre de 2020. “A cookie is information saved by your web browser, the software program you use to visit the web. When you visit a website, the site might store a cookie so it can recognize your device in the future. Later if you return to that site, it can read that cookie to remember you from your last visit.

By keeping track of you over time, cookies can be used to customize your browsing experience, or to deliver ads targeted to you”. Recuperado de https://www.consumer.ftc.gov/articles/0042-online- tracking el 15 de marzo de 2020. De acuerdo con las anteriores definiciones podría afirmarse que, una cookie es información que se guarda en su navegador web.

Esto ocurre cuando, se visita un sitio web, el cual, puede instalar una cookie en su navegador web para que pueda reconocer su dispositivo en el futuro. Así, al regresar a ese sitio virtual, la cookie le permitiría recordarlo a partir de su última visita y realizarle un seguimiento a lo largo del tiempo. Recuperado de https://www.ftc.gov/es/informacion-sobre-el-sitio/politica-de-privacidad/cookies-de-internet-0 el 25 de noviembre de 2020 HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” tienen la posibilidad de almacenar determinada información sobre el usuario y su tipo de navegación a través de un sitio web.

Estos ficheros se instalan en los equipos de los usuarios, de forma que resulta posible detectar el lugar desde el que accede el usuario, el tipo de dispositivo empleado (móvil o fijo) para el acceso, el tipo de contenidos accedidos, los lugares más visitados y las acciones habituales realizadas durante la navegación, así́ como el tiempo empleado en cada una de las páginas, entre otras muchas funcionalidades”10. • • El Berkman Klein Center for Internet & Society de la Universidad de Harvard, pone de presente que las cookies han sido objeto de críticas porque pueden utilizarse como un mecanismo para recopilar de forma invisible información sobre los hábitos de navegación del usuario con fines de marketing11.

De otro lado, esta autoridad por medio del escrito 16-172268- -00001 definió́ las cookies como “( ) archivos que recogen información a través de una pagina web sobre los hábitos de navegación de un usuario o de su equipo y eventualmente podrían conformar una base de datos de acuerdo a la definición legal de la Ley 1581 de 2012 al recolectar datos personales conforme a las características que jurisprudencialmente se han mencionado anteriormente; caso en el cual, el responsable deberá́ ceñirse por las normas sobre protección de datos vigentes en Colombia, en especial la aplicación de los principios rectores para la administración de datos, consagrados en el articulo 4 de la Ley 1581 de 2012 ( )”.

En el mismo escrito se da respuesta afirmativa al interrogante, “( ) ¿se puede considerar como Tratamiento de Datos Personales, de acuerdo al literal g) del articulo 3 de la Ley Estatuaria 1581 de 2012, el uso de cookies, es decir, el envió de ficheros (pequeños archivos de datos de texto) por parte de un servidor web a un navegador para registrar las actividades del usuario en el sitio web? ( )”, en los siguientes términos: “( ) el tratamiento [sic] se refiere a la utilización, recolección, almacenamiento, circulación y supresión de los datos [sic] personales que se encuentren registrados en cualquier base [sic] de datos [sic] o archivos por parte de entidades públicas o privadas y cuyo procesamiento sea utilizando medios tecnológicos o manuales”.

En suma, se concluye por parte de esta autoridad que, sin lugar a duda, una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos. El Tratamiento de Datos personales que hace Google LLC es complejo y ocurre en distintos momentos y espacios físicos.

Sin embargo, esto no impide reafirmar que la recolección de Datos personales de los usuarios en Colombia sucede parcialmente, pero en muy alto grado, en el territorio de la República de Colombia. III. DEL TRATAMIENTO DE DATOS PERSONALES DE GOOGLE LLC Y LA NECESIDAD DE CUMPLIR LAS NORMAS LOCALES SOBRE EL TRATAMIENTO DE DATOS PERSONALES. El apoderado de la recurrente afirma lo siguiente: Estudio sobre la privacidad de los datos y la seguridad de la información en las redes sociales online.

Página 98. Edición febrero de 2009. Agencia Española de Protección de Datos y el Instituto Nacional de las Tecnologías de la Comunicación. “Cookies are a mechanism by which a web server and a web browser can jointly “remember” information within or between browsing sessions. The web server sends a cookie containing some information to your browser, which may record it on your hard drive.

When you next visit the website, that cookie is sent back to the web server. Cookies are useful because they can be used to improve the user experience. However, cookies have been subject to criticism because they can be used as a mechanism for invisibly gathering information about user’s browsing habits for marketing purposes”. Recuperado de https://cyber.harvard.edu/about/privacy-policy el 27 de noviembre de 2020.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Página 13. Documento radicado 19-202397- -00038 del 10 de septiembre de 2020. Al respecto, es importante precisar que sobre un dato personal puede recaer mas de una operación, a saber, tratamiento. Como es sabido, tratamiento es definido en la regulación colombiana como: “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”12.

La Organización de las Naciones Unidas (ONU), ha sido enfática en señalar la importancia de “utilizar al máximo el progreso científico y tecnológico en beneficio del hombre y de neutralizar las actuales consecuencias negativas de algunos logros científicos y tecnológicos, así como las que puedan tener en el futuro”. También, ha destacado que “los logros científicos y tecnológicos pueden entrañar peligro para los derechos civiles y políticos de la persona o del grupo y para la dignidad humana”13.

De esta manera, es necesario alcanzar un punto de equilibrio entre la innovación, el desarrollo y la protección de los derechos humanos. La Red Iberoamericana de Protección de Datos Personales14 ha reconocido que, “(…) aunque cada día el mundo es más transfronterizo, global e hiperconectado, ello no significa que las normas nacionales sobre tratamiento de datos personales hayan desaparecido o que no sean de obligatorio cumplimiento.

Por eso, para que su producto (…) no sea objetado o cuestionado jurídicamente es muy relevante que desde el inicio realice un estudio de riesgos legales de las regulaciones nacionales. Lo anterior le permitirá definir una estrategia inteligente, para, entre otros, (i) mitigar dichos riesgos; (ii) Ganar y mantener la confianza de los usuarios de las tecnologías (…);

(iii) no afectar la buena reputación de su organización y (iv) evitar eventuales investigaciones de las autoridades de protección de datos o de otras entidades”15. (Destacamos). Entonces, es importante identificar en que naciones la organización realiza un tratamiento sobre datos personales, para que así, se pueda diseñar una estrategia de cumplimiento de las normas locales sobre el tratamiento de datos personales.

Así pues, al realizar tanto el análisis del material probatorio, como de las páginas públicas de Google, se evidencia lo siguiente: Google LLC usa “cookies” para recolectar o tratar Datos personales en el territorio de la Republica de Colombia. Como se dijo previamente, Google LLC define el término cookie, en su Política de Privacidad como: “( ) un pequeño archivo que incluye una cadena de caracteres que se envía al ordenador del usuario cada vez que visita un sitio web para que, cuando vuelva a visitarlo, el sitio web reconozca el navegador del usuario.

Entre otros datos, las cookies pueden almacenar las preferencias de los usuarios. Estos pueden configurar su navegador para que bloquee todas las Literal g) artículo 3 de la Ley 1581 de 2012. Declaración sobre la utilización del progreso científico y tecnológico en interés de la paz y en beneficio de la humanidad. Proclamada por la Asamblea General en su resolución 3384 (XXX), de 10 de noviembre de 1975 La Red Iberoamericana de Protección de Datos (RIPD), surge con motivo del acuerdo alcanzado en el Encuentro Iberoamericano de Protección de Datos (EIPD) celebrado en La Antigua, Guatemala, del 1 al 6 de junio de 2003, con la asistencia de representantes de 14 países iberoamericanos. LA RIPD se configura así desde sus orígenes como un foro integrador de los diversos actores, tanto del sector público como privado, que desarrollen iniciativas y proyectos relacionados con la protección de datos personales en Iberoamérica, con la finalidad de fomentar, mantener y fortalecer un estrecho y permanente intercambio de información, experiencias y conocimientos entre ellos, así como promover los desarrollos normativos necesarios para garantizar una regulación avanzada del derecho a la protección de datos personales en un contexto democrático, tomando en consideración la necesidad del continuo flujo de datos entre países que tienen diversos lazos en común y una preocupación por este derecho.

Recomendaciones Generales para el Tratamiento de Datos Personales en la Inteligencia Artificial. Red Iberoamericana de Protección de Datos Personales en: https://www.sic.gov.co/sites/default/files/files/pdf/1%20RIPD%20(2019)%20RECOMENDACIONES%20GENERALES%20PARA%20EL%20 TRATAMIENTO%20DE%20DATOS%20EN%20LA%20IA.pdf HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” cookies o para que avise cuando se esté enviando una.

Sin embargo, puede que algunas de las funciones o servicios de un sitio web no funcionen correctamente sin cookies ( )” 13 y recalca, “Utilizamos diversas tecnologías para recoger y almacenar la información, entre las que se incluyen cookies, etiquetas de pixel, almacenamiento local (como el almacenamiento web del navegador o las cachés de datos de aplicaciones), bases de datos y registros de servidor.” Imagen obtenida el 25 de noviembre en: https://policies.google.com/privacy?hl=es Entonces, al momento del ingreso de los Datos personales de los Titulares, estos se transmiten digitalmente a través de internet, como bytes de información, para ser alojados en los servidores de Google.

El Tratamiento de Datos personales que hace Google es complejo y ocurre en distintos momentos y espacios físicos. Sin embargo, esto no impide reafirmar que la recolección de Datos personales de los Titulares/usuarios en Colombia sucede principalmente, pero en muy alto grado, en este país. Entonces, son condiciones indispensables para llevar a cabo la recolección de los Datos personales de esos usuarios ubicados en Colombia: • • Tener un dispositivo electrónico con algún servicio o producto de Google instalada, o acceso a internet;

Autonomía privada del usuario para ingresar o compartir su información en algún servicio o producto. De no existir esa acción de ingresar o compartir la información – que sucede en el territorio de la República de Colombia -, sería imposible recolectar esos Datos Personales que luego serán tratados de otras maneras. Es así como, la recolección de Datos personales le permite a Google LLC consolidar grupos objetivos de personas que serán, entre otros, destinatarios de publicidad comportamental.

El tratamiento que hace Google de los Datos personales de los usuarios ubicados en la república de Colombia busca ampliar las ganancias económicas generadas por Google. Obtener ganancias, desde luego, no es ilegal, pero tampoco significa que pueda hacerse desconociendo la regulación colombiana al debido Tratamiento de Datos personales. Así, el uso de los Datos personales recolectados en Colombia ocurre en distintos momentos y espacios geográficos.

Si bien, la sistematización de los Datos personales recolectados no ocurre en este territorio, la recolección de los datos que serán analizados sí lo es. Aquella recolección, como ocurre en territorio colombiano, debe respetar el debido tratamiento de datos personales. Lo anterior, no es óbice para que Google LLC también deba cumplir las normas locales sobre Tratamiento de datos personales de otros Estados donde también realice un tratamiento de la información. IV.

DE LA FACULTAD LEGAL PARA IMPARTIR LAS ORDENES CONTENIDAS EN LA RESOLUCIÓN Nº 53593 DE 2020 En el recurso interpuesto se argumentó que esta entidad no tiene las facultades legales para imponerle a Google LLC las órdenes impartidas mediante la Resolución No. 53593 de 2020. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” La afirmación de la recurrente es contraria a Derecho porque la Ley Estatutaria 1581 de 2012 expresamente facultad a esta entidad a emitir órdenes o impartir instrucciones necesarias para que el Tratamiento de Datos personales se realice conforme con la ley.

En el artículo 19 de esa ley, se le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “( ) la vigilancia necesaria para garantizar que en el tratamiento [sic] de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, su artículo 21 determina cuáles funciones ejercerá la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; ( ) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.

(Destacamos). Visto lo anterior, contrario a lo afirmado por Google LLC, sí existen expresas y suficientes facultades legales para que esta Superintendencia pueda impartir las ordenes contenidas en la Resolución Nº 53593 del 3 de septiembre de 2020. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá́ la nueva Delegatura de protección de datos personales.

Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos”.

(Destacamos). En suma, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales. Por eso, esta entidad ha sido respetuosa del principio de legalidad y ha obrado conforme con lo establecido en el derecho colombiano. V. LA SUPERITENDENCIA DE INDUSTRIA Y COMERCIO GARANTIZÓ EN TODO MOMENTO EL DEBIDO PROCESO En adición a lo anterior, se reitera que, la Superintendencia de Industria y Comercio obró dentro del marco de sus facultades legales para, de una parte, garantizar a las personas el Derecho Fundamental de la Protección de Datos Personales y, de otra, respetar el debido proceso en cabeza de Google LLC.

Al respecto, esta Dirección advierte que, en ningún momento los actos o actuaciones de esta entidad en el curso de este proceso administrativo, han estado en contravía del derecho, como erróneamente lo infiere la recurrente. Esto, bajo el entendido de que en estas materias se tratan temas de magnitud constitucional y legal. Esta autoridad aplicó y respetó las garantías procesales necesarias, y emitió el acto administrativo a que hubo lugar.

El que, en ninguna circunstancia fue arbitrario. Por el contrario, lo que sí hizo esta autoridad, fue propender por la correcta aplicación de las normas y los principios que las fundamentan. Igualmente, no es posible dejar de lado que, en todo momento, esta autoridad dispuso las garantías procesales necesarias, y el correcto ejercicio y funcionamiento de la administración pública.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En vista de todo lo anterior, y luego de la plena evaluación de los elementos que hacen parte del expediente bajo estudio, es indiscutible concluir que esta entidad no desconoció el debido proceso para emitir una orden de naturaleza preventiva.

VI. EL RESPETO POR LAS LEYES EN EL CIBERESPACIO En el ciberespacio no desaparecen ni disminuyen los derechos de las personas. El ciberespacio ha sido caracterizado por ser un escenario global no delimitado por fronteras geográficas en donde las actividades suceden dentro de la arquitectura tecnológica de Internet. Aunque se trata de un “mundo virtual”, sus ciudadanos son miles de millones de personas reales ubicadas en prácticamente cualquier lugar del “mundo físico” cuyas actividades tienen impacto o consecuencias en el “mundo real”.

A pesar que el campo de acción de Internet desborda las fronteras nacionales, para la Corte Constitucional el nuevo escenario tecnológico y las actividades en Internet no se sustraen del respeto de los mandatos constitucionales. Por eso, concluyó dicha entidad que “en Internet (…) puede haber una realidad virtual pero ello no significa que los derechos, en dicho contexto, también lo sean.

Por el contrario, no son virtuales: se trata de garantías expresas por cuyo goce efectivo en el llamado “ciberespacio” también debe velar el juez constitucional”16. Recalca dicha Corporación que, “nadie podría sostener que, por tratarse de Internet, los usuarios sí pueden sufrir mengua en sus derechos constitucionales”17. Por su parte, Google LLC tiene 39,962,184 cuentas correspondientes a titulares mayores de 18 años en Colombia.

En adición, tiene 1,847,592 cuentas correspondientes a menores de 18 años. Es decir, Google LLC tiene la obligación constitucional y legal de garantizarle a los usuarios colombianos de más de cuarenta (40) millones de cuentas18 el correcto ejercicio de sus derechos fundamentales en el ciberespacio. Entonces, es relevante tener presente que Google LLC trata Datos Personales de los usuarios de mas de cuarenta (40) millones de cuentas.

Lo cual, genera la obligación de ser extremadamente diligente y garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos Personales en el ciberespacio. VII. DE LA AUTORIZACIÓN INFORMADA Y LOS DEBERES QUE LE ASISTEN AL RESPONSABLE DEL TRATAMIENTO A LA LUZ DE LA LEY 1581 Y SUS DECRETOS REGLAMENTARIOS La legitimación consiste en la facultad con que cuenta una persona para ejercer un determinado derecho o para ser sujeto de alguna cosa.

La regulación colombiana sobre protección de Datos personales distingue la legitimación de los responsables y encargados para tratar los datos y la legitimación de los Titulares para ejercer sus derechos. Respecto de la primera, la legitimación para tratar Datos personales, la adquieren los responsables de Tratamiento, por regla general, con la Autorización del Titular.

La autorización es el consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus datos personales. Esta es considerada por la Corte Constitucional como “un aspecto medular del derecho al hábeas data”19. En este orden de ideas, el literal c) del artículo 4 de la Ley 1581 de 2012 define el principio de libertad como: “El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento”. (Destacamos). Se puede observar que la Autorización debe reunir ciertos requisitos de forma, fondo y tiempo para que sea válida y, por ende, legitimadora del Tratamiento de Datos personales.

No cualquier consentimiento deriva en una autorización lícita. Del artículo 12 de la Ley 1581 de 2012 República de Colombia. Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001. República de Colombia. Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001. A solicitud de la recurrente se precisa que la cantidad de Cuentas de Google mencionadas probablemente sea mayor que la cantidad de usuarios individuales en Colombia.

Ya que, algunos usuarios pueden tener más de una Cuenta de Google con actividad. Corte Constitucional. Sentencia C-748 de 2011. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Para garantizar aquel postulado, el artículo 12 de la Ley 1581 de 2012 ordena que al titular se le informe sobre varias cosas y el responsable debe estar en capacidad de demostrar que cumplió con aquel deber y, también, de entregar esa prueba al titular o a la autoridad de control.

En efecto, dicho artículo afirma que: “El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. (Destacamos). Entonces, puede observarse que el citado artículo exige: 1) Informar al momento de solicitar al titular la autorización y 2) que lo informado se transmita de manera clara y expresa.

Decreto 1074 de 2015 Por su parte, el artículo 2.2.2.25.2.2. del Decreto 1074 de 2015 ordena al Responsable del tratamiento establecer mecanismos para requerir “a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

(Destacamos). De esta manera, la regulación colombiana sí le exige al Responsable del tratamiento informar al titular: 1) todos los datos personales que serán recolectados; y, 2) todas las finalidades específicas para cada Tratamiento para las cuales se obtiene el consentimiento. En adición, esta autoridad considera importante recordar que: “En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento”. (Destacamos). El deber de informar previamente al titular sobre lo mencionado es una desviación del principio de transparencia. De esta manera, con el adecuado cumplimiento de estos deberes, entre otros, se puede garantizar “ (…) el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan”20.

(Destacamos). Por su parte, la Corte Constitucional en Sentencia C-748 de 2011 amplió su alcance en los siguientes términos: “debe precisarse que la información que debe ofrecerse al Titular de los datos debe ser cualificada y por tanto cuando procese datos personales, el Responsable o Encargado del Tratamiento de datos debe ofrecer, como mínimo, la siguiente información a la persona afectada: (i) información sobre la identidad del controlador de datos, (ii) el propósito del procesamiento de los datos personales, (iii) a quien se podrán revelar los datos, (iv) cómo la persona afectada puede ejercer cualquier derecho que le otorgue la legislación sobre protección de datos, y (v) toda otra información necesaria para el justo procesamiento de los datos”.

(Subrayado fuera de texto). Literal e) del artículo 4 de la Ley 1581 de 2012. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En relación con el deber de informar a los niños, niñas y adolescentes esta autoridad ha sido enfática en afirmar lo siguiente. Para garantizar que el menor de edad sea debidamente informado de lo que ordena la ley es imprescindible que el Responsable del Tratamiento le proporcione esa información de manera sencilla y que los términos de la redacción sean comprensibles para niños, niñas y adolescentes.

No es sensato, que el menor de edad se vea obligado a revisar varios links o enlaces. No es transparente que se diseñe un mecanismo para obligar a que el menor de edad tenga que realizar un “paseo” en varios sitios de la página web. Se trae nuevamente a colación lo establecido por varias autoridades de protección de datos. En especial, respecto a la claridad de la Política de Privacidad de Google.

La Comisión Australiana de la Competencia y del Consumidor (ACCC por sus siglas en inglés), en su reporte “Digital Platforms Inquiry”21 determinó que las políticas de privacidad de las plataformas digitales, entre ellas, la de Google, carecen de esa característica. Señaló que la complejidad del lenguaje empleado hace que sea más difícil para los usuarios promedio procesar la información contenida dentro de estas políticas.

También crea dificultades particulares para los niños. A esta misma conclusión llegó la Comisión Nacional de Informática y de las Libertades de Francia (La Commission Nationale de l'informatique et des libertés, CNIL) en su decisión contra Google22. VIII. DE LA PRESUNCIÓN DE LEGALIDAD DE LOS ACTOS ADMINISTRATIVOS Y DEL TRATAMIENTO DE DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLECESENTES EN LOS SERVICIOS DE GOOGLE Afirma el apoderado de la recurrente que: Página 30.

Documento radicado 19-202397- -00038 del 10 de septiembre de 2020. Para empezar, dicha afirmación desconoce la pluralidad de fuentes que tiene el ordenamiento jurídico colombiano. Al respecto, es necesario recordar que el Decreto 1377 de 2013 fue incorporado en el Decreto Reglamentario 1074 de 2015. Por su parte, los decretos reglamentarios son aquellos que expide el Presidente de la República con fundamento en la potestad reglamentaria permanente, prevista en el numeral 1123 del artículo 189 de la Constitución Política de Colombia, los cuales son necesarios para la cumplida ejecución de las leyes.

En este caso, la Ley Estatutaria 1581 de 2012. A punto seguido, “debe observarse que, cuando se hace una clasificación de los actos jurídicos del Estado – atendiendo a su contenido – en generales e individuales, los decretos reglamentarios aparecen al lado de las leyes. Formalmente hablando son actos administrativos, por su autor, pero en sentido material se los ubica como leyes (…)”24.

(Destacamos). Así mismo, “Los actos administrativos se presumen legales, esto es, ajustados a las reglas, cuyo cumplimiento les es obligatorio. La consecuencia de esta presunción es que dichos actos deben ser obedecidos por las autoridades y por los ciudadanos. (…) De los artículos 12 de la Ley 153 de 1887, 4º de la Constitución de 1991 y 88 del mismo código, se establece que los actos administrativos se presumen legales mientras no hayan sido anulados por la jurisdicción de lo contencioso administrativo.”25.

(Destacamos). AUSTRALIAN COMPETITION AND CONSUMER COMMISSION. Digital Platforms Inquiry, Final Report, en: https://www.accc.gov.au/system/files/Digital%20platforms%20inquiry%20-%20final%20report.pdf. La Commission nationale de l'informatique et des libertés (CNIL). Deliberation of the Restricted Committee. “SAN-2019-001 of 21 January 2019 pronouncing a financial sanction against GOOGLE LLC.”, en: https://www.cnil.fr/sites/default/files/atoms/files/san-2019-001.pdf.

“Corresponde al Presidente de la República como Jefe de Estado, Jefe del Gobierno y Suprema Autoridad Administrativa: (…) 1. Ejercer la potestad reglamentaria, mediante la expedición de los decretos, resoluciones y órdenes necesarios para la cumplida ejecución de las leyes”. Jaime Vidal y Carlos Molina. (2016). Derecho Administrativo. Colombia: LEGIS.

Ibídem. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Entonces, considerando que el Decreto 1074 de 2015 se encuentra actualmente vigente, se hace necesario recordarle a la recurrente algunas normas sobre el debido tratamiento de datos personales de niños, niñas y adolecentes establecidas en dicho decreto que deben cumplir los responsables del tratamiento, incluyendo, Google LLC.

A saber: “ARTÍCULO 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada”. (Destacamos). “ARTÍCULO 2.2.2.25.4.1. Legitimación para el ejercicio de los derechos del titular. Los derechos de los Titulares establecidos en la Ley, podrán ejercerse por las siguientes personas: 1. Por el Titular, quien deberá acreditar su identidad en forma suficiente por los distintos medios que le ponga a disposición el responsable. 2.

Por sus causahabientes, quienes deberán acreditar tal calidad. 3. Por el representante y/o apoderado del Titular, previa acreditación de la representación o apoderamiento. 4. Por estipulación a favor de otro o para otro. Los derechos de los niños, niñas o adolescentes se ejercerán por las personas que estén facultadas para representarlos”.

(Destacamos). “ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”. (Destacamos). “ARTÍCULO 2.2.2.25.2.9. Requisitos especiales para el tratamiento de datos personales de niños, niñas y adolescentes.

El Tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1. Que responda y respete el interés superior de los niños, niñas y adolescentes. 2.

Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos.

Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente capítulo. La familia y la sociedad deben velar porque los responsables y encargados del tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo”.

(Destacamos). Entonces, Google LLC está en la obligación de cumplir con todos los deberes que emanan del ordenamiento jurídico colombiano en relación con el debido Tratamiento de Datos personales. Incluido, por supuesto, los mandatos del Decreto 1377 de 2013 incorporado en el Decreto Reglamentario 1074 de 2015. El Tratamiento de los Datos de niños, niñas y/o adolescentes, como sujetos de especial protección constitucional, por los riesgos que frente a ellos resulta un uso indebido de su información, el Principio de Responsabilidad Demostrada se torna más exigente.

Lo anterior, en atención a que le exige al Responsable del Tratamiento: HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” • • No solo identificar que el Tratamiento no ponga en riesgo la prevalencia de sus derechos fundamentales; Pero, además, debe responder inequívocamente por la realización del principio de su interés superior, cuya aplicación especifica devendrá del análisis de cada caso en particular.

Por su parte, el consentimiento es mas robusto, ya que, el Responsable tiene la obligación de contar con el consentimiento del representante legal, como se señala en la norma. De esta manera, una organización que recolecte Datos de niños, niñas y/o adolescentes debe implementar procedimientos efectivos para determinar que el representante legal autorice expresamente el Tratamiento de la información relacionada con estos sujetos, así como asegurarse de que esa persona efectivamente sea el representante legal del menor.

Ahora bien, respecto del procedimiento a ser implementado para cumplir con esa exigencia legal, la regulación es neutral porque no exige un mecanismo, proceso o tecnología específica para obtener la Autorización del Titular del Dato. No obstante, al margen de la alternativa que utilice el Responsable para dicho propósito, debe estar en capacidad de demostrar que obtuvo una Autorización previa, expresa e informada de los representantes legales de todos los menores de edad.

IX. EL PRINCIPIO DE IGUALDAD El apoderado de la recurrente considera que se violó el debido proceso administrativo, toda vez que existe una vulneración al principio de igualdad. Lo anterior, en los siguientes términos: Página 14. Documento radicado 19-202397- -00038 del 10 de septiembre de 2020. (Destacamos). En relación con el principio de igualdad, la Corte Constitucional en Sentencia C-178 de 2014 afirmo que: “La Corporación ha resaltado que el principio de igualdad posee un carácter relacional, lo que significa que deben establecerse dos grupos o situaciones de hecho susceptibles de ser contrastadas, antes de iniciar un examen de adecuación entre las normas legales y ese principio.

Además, debe determinarse si esos grupos o situaciones se encuentran en situación de igualdad o desigualdad desde un punto de vista fáctico, para esclarecer si el Legislador debía aplicar idénticas consecuencias normativas, o si se hallaba facultado para dar un trato distinto a ambos grupos; en tercer término, debe definirse un criterio de comparación que permita analizar esas diferencias o similitudes fácticas a la luz del sistema normativo vigente; y, finalmente, debe constatarse si (i) un tratamiento distinto entre iguales o (ii) un tratamiento igual entre desiguales es razonable.

Es decir, si persigue un fin constitucionalmente legítimo y no restringe en exceso los derechos de uno de los grupos en comparación”. (Destacamos). Tomando a consideración las pautas enunciadas, se procede a establecer si los dos grupos mencionados (la red social/compañía de economía colaborativa y, por el otro, Google LLC) se encuentran en situación de igualdad o desigualdad desde un punto de vista factico.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” (i) Los dos grupos no se encuentran en situación de igualdad fáctica. Por un lado, la investigación de la red social y la compañía de economía colaborativa estaba encaminada a garantizar el principio y el deber de seguridad. Mientras que, la investigación que inició esta autoridad a la compañía extranjera Google LLC “tiene como propósito establecer si la compañía cumple la regulación colombiana relativa a la recolección y Tratamiento de datos personales de niños, niñas y adolescentes (artículos 7, 9, 12 y 17 literales b) y c) de la Ley 1581 de 2012 en concordancia con el artículo 12 del Decreto 1377 de 2013 incorporado en el Decreto 1074 de 2015).

Y si las mismas han implementado el principio de responsabilidad demostrada en esa materia (artículos 26 y 27 del Decreto 1377 de 2013 incorporado en el Decreto 1074 de 2015)”26. (Destacamos). Entonces, encontrando que los dos grupos se encontraban en una situación de desigualdad fáctica, no existía una razón para aplicar idénticas consecuencias normativas.

Lo anterior, por cuanto es notorio que la finalidad de las ordenes emitidas en cada caso difieren. No obstante, es importante enfatizar que en ambos grupos se emitieron ordenes de carácter PREVENTIVO y a ninguna de ellas se le dio apertura de una investigación administrativa sancionatoria. De igual forma, en ambos casos se han respetado las garantías procesales, y los actos emitidos han estado dentro del marco de las facultades legales y constitucionales de esta Superintendencia de Industria y Comercio.

X. DE LA DENUNCIA A LAS COMPAÑÍAS FACEBOOK Y UBER En el recurso de reposición y en subsidio apelación, el apoderado de la recurrente, el señor Lorenzo Villegas Carrasquilla, afirma lo siguiente: Página 14. Documento radicado 19-202397- -00038 del 10 de septiembre de 2020. (Destacamos). A saber, se hace alusión a la presunta vulneración a la Ley 1581 de 2012 por parte de las compañías Facebook y Uber.

En este orden de ideas, esta Dirección invita al señor Lorenzo Villegas Carrasquilla para que presente la correspondiente denuncia ante esta entidad y allegue el material probatorio correspondiente. Para que así, de ser el caso, se puedan tomar los correctivos necesarios dentro del marco funcional y legal de esta autoridad. Aunque las razones anteriores son suficientes para confirmar la Resolución Nº 53593 de 3 de septiembre 2020, esta Dirección considera pertinente destacar lo siguiente respecto de: XI.

RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES Escrito con radicado 19-202397-22-1 (GOOGLE LLC) del 13 de febrero de 2020. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.

Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”27. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. El artículo 2628 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic].”29 Ahora, respecto de la supresión del Dato, el artículo 18 señala que los procedimientos para dicho efecto deben incluirse en la política de Tratamiento de información y ser comunicados a los Titulares de los Datos30.

El artículo 22, por su parte, establece que el Responsable o Encargado del Tratamiento debe adoptar “las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean (…) actualizados, rectificados o suprimidos (…)”31. Conforme con esta disposición, y sin necesidad de mayor análisis, es evidente la exigencia de la norma en el sentido de asegurarle al Titular la posibilidad de supresión de sus Datos, pues al tratarse de una obligación legal de resultado, deberá proceder la eliminación definitiva del dato [sic] personal, siempre y cuando sea procedente y permitida por el ordenamiento jurídico.

Cfr. Corte Constitucional, sentencia T-227 de 2003. El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

El texto completo del artículo 18 del Decreto 1377 de 2013 señala: “Procedimientos para el adecuado tratamiento [sic] de los datos [sic] personales. Los procedimientos de acceso, actualización, supresión y rectificación de datos [sic] personales y de revocatoria de la autorización [sic] deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento [sic] de la información.” El texto completo del artículo 22 del Decreto 1377 de 2013 ordena: “Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento [sic] de los datos [sic] personales deberán adoptarse las medidas razonables para asegurar que los datos [sic] personales que reposan en las bases [sic] de datos [sic] sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento [sic]”.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada32(accountability)33”. El término “accountability”34, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de Datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1. Diseñar y activar un programa integral de gestión de datos [sic] (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza35 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos Personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos Personales. El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar; llevar a cabo; revisar; actualizar y/o evaluar, los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 36.

(Énfasis añadido). El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf “El término inglés accountability puede ser traducido por rendición de cuentas.

Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019.

Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía37, es destacable que el Principio de Responsabilidad Demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”38.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a [sic] las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 39. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”40. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del Tratamiento de Datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el Principio de Responsabilidad Demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento [sic] de datos [sic] personales”41 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”42.

CUARTO: Sin perjuicio de todo lo anterior, destacamos las siguientes CONCLUSIONES: • El Tratamiento de Datos personales que hace Google LLC es complejo y ocurre en distintos momentos y espacios físicos. Sin embargo, esto no impide reafirmar que la recolección de Datos personales de los usuarios en Colombia sucede parcialmente, pero en muy alto grado, en el territorio de la República de Colombia. • La Ley 1581 de 2012 delimita el ámbito de aplicación “al tratamiento de datos personales efectuado en territorio colombiano”.

Y, como las web cookies son instaladas en dispositivos y equipos ubicados en territorio colombiano por Google LLC, el tratamiento de la información que recolecten y traten por medio de esta tecnología queda supeditada al cumplimiento de la Ley 1581 de 2012. • La regulación sobre Tratamiento de Datos personales debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. • Google LLC está en la obligación de cumplir con todos los deberes que emanan del ordenamiento jurídico colombiano en relación al debido Tratamiento de Datos personales.

Incluido, por supuesto, los mandatos del Decreto 1377 de 2013 incorporado en el Decreto Reglamentario 1074 de 2015. • Google LLC trata Datos Personales de los usuarios de mas de cuarenta (40) millones de cuentas43. Lo cual, genera la obligación de ser extremadamente diligente y garantizar la efectividad real (no formal) de los derechos de los Titulares de los Datos Personales en el ciberespacio. • Una organización que recolecte Datos de niños, niñas y/o adolescentes debe implementar procedimientos efectivos para determinar que el representante legal autorice expresamente el Tratamiento de la información relacionada con estos sujetos, así como asegurarse de que esa persona efectivamente sea el representante legal del menor. • Para garantizar que el menor de edad sea debidamente informado de lo que ordena la ley es imprescindible que el Responsable del Tratamiento le proporcione esa información de El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018).

Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-de-compliance-iii/ Idem. Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18.

Ibidem. A solicitud de la recurrente se precisa que la cantidad de Cuentas de Google mencionadas probablemente sea mayor que la cantidad de usuarios individuales en Colombia. Ya que, algunos usuarios pueden tener más de una Cuenta de Google con actividad. HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” manera sencilla y que los términos de la redacción sean comprensibles para niños, niñas y adolescentes. • Esta entidad no desconoció el debido proceso para emitir una orden de naturaleza preventiva.

QUINTO Que, en virtud de la situación actual, en particular la emergencia sanitaria, se ha restringido el ingreso a las instalaciones de la Superintendencia de Industria y Comercio, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando el número de radicado del expediente;

(ii) una vez reciba respuesta respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo, luego del registro, puede consultar el expediente digitalmente. No obstante, en aras de garantizar los derechos de defensa y contradicción de la investigada, en el caso en que la misma considere necesario el acceso físico del expediente, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

SEXTO: Se reitera que una orden administrativa no es una sanción, sino una medida necesaria para la adecuación de las actividades u operaciones de los Responsables del Tratamiento a las disposiciones de la regulación colombiana sobre protección de datos personales. Las sanciones por infringir la Ley Estatutaria 1581 de 2012 -multas, suspensión de actividades, cierre temporal o definitivo- están previstas en el artículo 23 de dicha norma.

Allí se puede constatar que las órdenes no son sanciones.

SÉPTIMO: Que, analizadas todas las cuestiones planteadas, se encuentra que no fueron desvirtuados los argumentos que fundamentaron la resolución impugnada y teniendo en cuenta lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará la decisión contenida en la Resolución Nº 53593 de 3 de septiembre 2020.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. Confirmar en todas sus partes la Resolución Nº 53593 de 3 de septiembre 2020 por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO SEGUNDO. Conceder el recurso subsidiario de apelación interpuesto en contra de la Resolución Nº 53593 de 3 de septiembre 2020, y en consecuencia dar traslado del presente expediente al despacho del Superintendente Delegado para la Protección de Datos Personales para que proceda de acuerdo con su competencia.

ARTÍCULO TERCERO. Notificar personalmente el contenido de la presente resolución a la sociedad extranjera Google LLC, a través de su apoderado o quien haga sus veces. COMUÍQUESE,

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 16 MARZO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.03.16 14:24:38 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ ALC/CEZ HOJA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” NOTIFICACIÓN: Sociedad: Identificación: Dirección: Ciudad: País: Representante: Identificación: GOOGLE LLC SIN IDENTIFICACIÓN1 1600 Amphiteatre Parkway Mountain View, California, 94043 Estados Unidos de Norteamérica Sin identificar Sin identificar Apoderado: Nombre: Identificación: Correo Electrónico: Dirección: Ciudad: País: Lorenzo Villegas-Carrasquilla C.C. 79.942.672 lorenzo.villegas@cms-ra.com Calle 75 No. 3-35 Bogotá D.C. Colombia No se cuenta con identificación

Resolución sancionatoria N° 14010 de 2021

CONSIDERANDO

RESUELVE