Apelación 57230 de 2021 — SIC

(03 SEPTIEMBRE 2021) VERSIÓN ÚNICA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 18-105913 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 17 del Decreto 4886 de 2011 y,

CONSIDERANDO

PRIMERO: Que mediante Resolución N°. 82702 del 30 de diciembre del 2020, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a (i) la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, identificada con Nit. 900.894.894 - 8 de VEINTIÚN MILLONES TRESCIENTOS SESENTA Y CUATRO MIL DOSCIENTOS PESOS ($21.364.200) correspondiente a 600 Unidades de Valor Tributario (UVT), por el incumplimiento del deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, (ii) a la sociedad FARROW MÉXICO S.A.P.I. de C.V. de CIENTO DIEZ MILLONES TRESCIENTOS OCHENTA Y UN MIL SETECIENTOS PESOS ($110.381.700) correspondiente a 3100 Unidades de Valor Tributario (UVT), por el incumplimiento de los deberes establecidos: (i) literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención; y (iii) el literal o) del artículo 17 de la Ley 1581 de 2012 y (iii) a la sociedad FARROW VENTURES INC. de CIENTO DIEZ MILLONES TRESCIENTOS OCHENTA Y UN MIL SETECIENTOS PESOS ($110.381.700) correspondiente a 3100 Unidades de Valor Tributario (UVT), por el incumplimiento de los deberes establecidos: (i) literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

SEGUNDO: Que mediante escrito radicado el 25 de enero de 2020 con número de radicado 18105913-83-1, la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, a través de apoderada especial, interpuso recurso de reposición y en subsidio de apelación contra la Resolución N°. 82702 del 30 de diciembre del 2020, con los siguientes argumentos: 2.1. Se pronunció sobre la oportunidad procesal para interponer el recurso de reposición y en subsidio de apelación y a continuación trae a colación el monto de la sanción, así como las ordenes proferidas. 2.2.

Alega una supuesta carencia de sustento factico y jurídico a lo largo del procedimiento administrativo, basándose en la afirmación de que el bloqueo temporal de la aplicación “Pig.gi” se produjo teniendo como único fundamento una información periodística. Sobre este punto, afirma que este Despacho menciono que el proceso administrativo sancionatorio no tenía relación con la orden de bloqueo y sostiene que, dada la carencia de sustento jurídico y la forma de proceder con el trámite procesal “culminó en la quiebra de las compañías investigadas, el cierre de operaciones de la aplicación “Pig.gi” y la pérdida de una oportunidad para promover la conectividad en el territorio colombiano. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA 2.3.

Además, menciona que las ordenes son imposibles de cumplir dado que la aplicación dejo de operar desde el año 2018. 2.4. Sobre el cargo por el que la sociedad fue sancionada, alega que la sanción solo puede ser aplicable a los Responsable del Tratamiento y sostiene que la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN no ostenta esta calidad, por lo que, en sus palabras, la falta de respuesta de dicho requerimiento no es reprochable a la luz de la Ley 1581 de 2012 y por ello la sanción no podía ser aplicable.

Sobre este punto, afirma que “(…) la Superintendencia se refiere específicamente a la falta de respuesta del requerimiento para allegar los estados financieros de la sociedad, junto con las actas de asamblea general de accionistas y sus informes de gestión desde la creación de la sociedad. Al respecto, Farrow Colombia ha precisado que su inatención se debió un error involuntario y que de ninguna manera estuvo precedido de mala fe ni tuvo como intención la de obstruir la investigación. Ahora, posteriormente se allegó la información completa que se tiene en los libros de comercio de la Sociedad, no existe nada más no dejó de entregar nada como supone la SIC que se hizo.

(…)1” Posteriormente, afirma que la respuesta parcial o falta de ella no constituye una violación al literal o) del artículo 17 de la Ley 1581 de 2012 y precisa que la sociedad si dio “(…) respuesta a los requerimientos formulados por la Superintendencia con base en la información con la que contaba a la fecha del requerimiento (…)”.2 Sobre este punto, culmina haciendo las siguientes afirmaciones: “(…) Ahora bien, es cierto que para la de conformidad con los estatutos sociales, la Compañía debía adelantar reuniones anuales de la Asamblea General de Accionistas, así como aprobar los estados financieros de fin de ejercicio.

Sin embargo, la realidad es que la Compañía no había cumplido con dichas obligaciones, luego era imposible que entregara actas de reuniones que no han tenido lugar y por, ende, no constan en actas. Fue por ello que hasta el momento de la presentación del escrito de descargos se allegaron los estados financieros, los cuáles fueron elaborados de manera urgente para acreditar ante la autoridad, como desde entonces se ha enfatizado, la situación económica de la Compañía y la inoperatividad de la misma.

En este orden de ideas, la Superintendencia ignoró por completo estas situaciones y en su lugar prefirió asumir que Farrow Colombia pretendía ocultar información, obstruir la investigación y, en general, obrar de mala fe. Todo lo anterior, en contravención del principio general de derecho colombiano de conformidad con el cual se presume la buena fe.

(…)”3 2.5. Finalmente, solicita que se revoque la resolución y en su lugar se expida una resolución que indique el archivo de las imputaciones realizadas y que se abstenga de imponer una sanción a la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, o de manera alternativa que se reduzca la sanción impuesta.

TERCERO: Que mediante escrito radicado el 25 de enero de 2020 con número de radicado 18105913-84-1 y 18-105913-85-1, las sociedades FARROW MÉXICO S.A.P.I. de C.V y FARROW VENTURES INC, a través de apoderada especial, interpusieron recurso de reposición y en subsidio 1 Radicado 18-105913-83-1, página 9 2 Radicado 18-105913-83-1, páginas 9 y 10 3 Radicado 18-105913-83-1, página 11 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA de apelación contra la Resolución N°. 82702 del 30 de diciembre del 2020, con los siguientes argumentos: 3.1 Se pronunció sobre la oportunidad procesal para interponer el recurso de reposición y en subsidio de apelación y a continuación trae a colación el monto de la sanción, así como las ordenes proferidas. 3.2 Posteriormente alega una violación al debido proceso por la práctica de las pruebas dentro del procedimiento administrativo sancionatorio, ya que considera que (i) solicito que se formularan a las compañías Facebook Colombia S.A.S. y Google Colombia Limitada una serie de interrogantes y sostiene que “la Superintendencia de manera injustificada decidió reducir este número de preguntas a cuatro”4.

Sobre este punto, continúa afirmando que “(…) una vez practicadas las referidas pruebas, las compañías oficiadas indicaron que ellas no eran competentes para atender el requerimiento de la autoridad, e incluso indicaron quienes eran las compañías que podían hacerlo. Sin embargo, la Superintendencia dio por practicada la prueba y no cumplió su DEBER como ente investigador de decretar de oficio una prueba adicional, con el fin de realizar el requerimiento de información respectivo a las compañía (sic) en capacidad de resolverlo (…) videncia de lo anterior, en segundo lugar, fue la práctica del testimonio del señor Jorge Trujillo, Director de Tecnología de Farrow México.

Esta prueba fue decretada y se citó al testigo para el 29 de julio de 2020. Sin embargo, el testigo no compareció y la Superintendencia se abstuvo de programar nueva fecha para practicar la prueba, aún cuando la apoderada no prescindió de ella y tampoco lo hizo la SIC.”5 (Negrilla y subrayado dentro del texto original) Sobre este punto, manifiesta que “(…) por un lado, una vez más la Dirección de Investigaciones habiendo decretado una prueba, prescindió de su práctica, y aunque en principio decretó la prueba para buscar llegar a la verdad de los hechos investigados, no la practicó sin argumentación alguna.

Lo anterior particularmente teniendo en cuenta que esta era la ÚNICA prueba técnica solicitada por las investigadas y decretada por la autoridad. Ya que rechazó decretar y practicar los testimonios de los representantes legales de Facebook Colombia S.A.S. y Google Colombia Limitada, así como de oficiar a las compañías extranjeras de acuerdo con las consideraciones ya plasmadas.

Por otro lado, la Dirección confunde elevar una acta (sic) de inasistencia, que fue lo que efectivamente realizó la autoridad, con desistir de su práctica. Contrario a lo que afirma la entidad, la apoderada no accedió a desistir de la prueba, sino exclusivamente a elevar un acta que daba cuenta que el testigo citado, no compareció a la diligencia para la toma de su testimonio.

Si la intención de la Dirección era no practicar la prueba, debió expresamente desistir de ella en la audiencia o antes de dar por terminado el periodo probatorio. Sin embargo, sencillamente decidió omitir por completo por la prueba y asumió que la suscrita apoderada no quería practicarla. (…)”6 Con base en lo anterior, concluye que no pudo ejercer su derecho de defensa y que tal circunstancia genera una nulidad procesal. 4 Radicado 18-105913-84-1, página 8 5 Ibid. 4 6 Radicado 18-105913-84-1, página 9 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 3.3 HOJA N, VERSIÓN ÚNICA A continuación, reitera la supuesta falta de competencia de esta autoridad para investigar a las sociedades FARROW MÉXICO S.A.P.I. de C.V y FARROW VENTURES INC en la medida en que considera que las mencionadas sociedades no realizaron tratamiento de datos personales de los ciudadanos colombianos en el territorio colombiano. Sobre este punto, argumenta que esta autoridad ignora la aplicación del artículo segundo de la Ley 1581 de 2012 al considerar que “(…) En opinión de la autoridad, la regulación colombiana es aplicable por el hecho de haber tratado “datos personales de ciudadanos que se encuentran en territorio colombiano”.

Sin embargo, el referido artículo 2 de la ley 1581 de 2012 establece que solo aplicará al TRATAMIENTO REALIZADO EN TERRITORIO COLOMBIANO. Así las cosas, el criterio para determinar la aplicación de la ley no es meramente subjetivo en el sentido de identificar el lugar de residencia de los titulares, sino de evaluar dónde tiene lugar el tratamiento.

(…)”7 3.4 En relación con el cargo primero, afirma que “(…) basta precisar que la Superintendencia resta de todo valor probatorio los videos y capturas de pantalla allegados por Farrow Ventures y las otras investigadas para desvirtuar la insuficiencia de las capturas de pantalla del Laboratorio Forense. Justamente las pruebas aportadas por Farrow Ventures dan cuenta de cómo las capturas de pantalla incluidas en la resolución por medio de la cual se formuló pliego de cargos y que se replican en la Resolución N°. 82702 del 30 de diciembre del 2020, no representaban la realidad de la información requerida y del método utilizado por Farrow Ventures para obtener la autorización de los titulares.

Así las cosas, dichas pruebas, en conjunto con lo indicado por Joel Phillips en su declaración, dan cuenta de que en efecto la autorización requerida cumplía los requisitos de la Ley 1581 de 2012. En esta medida, dicha autorización es previa a la recolección. Mal puede la Superintendencia esperar que la autorización se solicite antes de la descarga de la aplicación, cuando el único requisito contenido en la ley, es que sea cuando menos al momento de la recolección de los datos, la cual sólo tenía lugar en el momento en que los usuarios se registraban a la aplicación. (…)”8 Finalmente, agrega que “(…) En todo caso, es de aclarar que la carga de la prueba en los procedimientos administrativos sancionatorios recae en cabeza de la autoridad administrativa, y no del investigado, quien se encuentra protegido por la presunción de inocencia a la luz del artículo 29 de la Constitución Política.

En relación con la referida presunción, la Corte Constitucional ha afirmado que “tal presunción cabe ciertamente tanto en el ámbito del derecho penal como en el de las infracciones administrativas. Naturalmente como surge de la lógica del proceso, la carga de la prueba está a cargo del Estado, sin perjuicio de que los acusados también ejerzan la iniciativa probatoria a fin de buscar el esclarecimiento de los hechos”12 (subrayado fuera de texto). 7 Radicado 18-105913-84-1, página 11 8 Radicado 18-105913-84-1, páginas 12 y 13 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA En este orden de ideas, fue la Superintendencia quien no pudo desvirtuar las pruebas allegadas por Farrow Ventures que claramente dan cuenta de que efectivamente esta Compañía, en conjunto con Farrow México en su calidad de responsables, solicitaban la autorización previa de los titulares de los datos.

(…)”9 3.5 En cuanto al cargo segundo, manifiesta que “(…) Ahora bien, en relación con este cargo, tal y como se puso de presente en la Sección anterior, Farrow Ventures acreditó que obtenía autorización previa, expresa e informada de los titulares. Ahora bien, tratándose de los datos de los menores, Farrow Ventures reconoció la infracción en su escrito de descargos, al indicar que la Compañía “acepta que durante el proceso de registro no se informa sobre el carácter facultativo en el otorgamiento de los datos sensibles o sobre los datos de las niñas, niños y adolescentes.

Sin embargo, es preciso mencionar, que la posibilidad de otorgar o no los datos es posible para todos los usuarios, independientemente de su calidad. Por lo tanto, ningún usuario está obligado a otorgar datos sensibles a la aplicación”. Dicho allanamiento no fue considerado por la autoridad de cara a la fijación de la sanción que hubiere lugar.

(…)”10 3.6 Sobre el cargo tercero, manifiesta la apoderada en cuanto a la sociedad FARROW MÉXICO S.A.P.I. de C.V. que “(…) el requerimiento dejado de contestar recaía sobre derechos que no se encuentran en cabeza de Farrow México (cómo es el código fuente de la Aplicación) y, en consecuencia, no se encontraba en condiciones de suministrarlos y no podía dar respuesta al requerimiento referido.

Es de recalcar que la SIC para efectos de la respuesta del requerimiento a Google Colombia S.A.S., entiende y acepta que esta persona jurídica no tuviera la competencia para allegar la información solicitada, teniendo en cuenta, que según la respuesta de dicha empresa, esta información la puede aportar Google LLC. (…)”11 Sobre la respuesta de la sociedad Google Colombia SAS, la apoderada transcribe un apartado de la resolución y agrega que “el trato es discriminatorio cuando se trata de la respuesta otorgada por Farrow México, ya que la información sobre el código fuente no puede ser atendido por alguien a quien no le pertenece el código fuente.

(…) La Superintendencia de Industria y Comercio no le solicitó dicha información a Farrow Ventures, cuando lo hubiera podido hacer, por lo que no tiene sentido que por una falta de la SIC de no requerir la información a la sociedad adecuada, aún cuando se le dijo quién se la podía dar, no lo haya hecho y ahora quien paga por eso es mi investigada”12. 9 Radicado 18-105913-84-1, página 14 10 Radicado 18-105913-84-1, página 15 11 Radicado 18-105913-84-1, página 16 12 Radicado 18-105913-84-1, página 17 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA 3.7 Por otro lado, la apoderada frente a la sociedad FARROW VENTURES INC menciona que su poderdante si dio respuesta al requerimiento realizado por este Despacho en la medida en que le solicitó “(…) a la autoridad que le explicara el sustento normativo con base en el cual adquiría competencia para realizar requerimientos a la entidad, sin embargo, la Compañía nunca recibió respuesta por parte de la Superintendencia y, por ende, no dio respuesta a fondo al requerimiento.

(…)” 3.8 Frente a las ordenes administrativas impartidas, las tres sociedades, a su turno, mencionan a grandes rasgos lo siguiente: Parten del hecho de que la aplicación no existe en el mercado comercial de aplicaciones móviles y que con ocasión de las actuaciones de esta entidad, las sociedades no están en funcionamiento y agregan que por ende “las órdenes impuestas son imposibles de cumplir”, ya que la orden de bloqueo “quebró la aplicación y a las sociedades que la operaban”: Frente a cada una de las ordenes, con la única diferencia de que en cada escrito se cambia el nombre de la sociedad recurrente, mencionan lo siguiente: “Implementar un mecanismo para obtener la autorización previa, expresa e informada de los Titulares de información previo al registro de los Titulares dentro de la aplicación “Pig.gi”, que permita la identificación plena del titular del dato como de los tutores o representantes legales de los menores de edad.

Según se ha puesto de presente en repetidas oportunidades, LA APLICACIÓN PIG.GI NO ESTÁ EN OPERACIÓN desde 2018, en el momento en que la Delegatura de Protección de Datos Personales emitió la orden de bloqueo. Sin perjuicio de lo anterior, aun cuando la aplicación siguiera en operación, se ha insistido en que (como la misma Superintendencia así lo ha reconocido) Farrow Colombia no es un responsable del tratamiento de datos personales recolectados por medio de “Pig.gi” y en general, no ejecuta ninguna actividad relacionada con esta aplicación. Por ende, resulta IMPOSIBLE para Farrow Colombia implementar el mecanismo solicitado para obtener la autorización para el tratamiento de datos personales de los usuarios de una aplicación que YA NO EXISTE Y RESPECTO DE LA CUAL FARROW COLOMBIA NO OSTENTA LA CALIDAD DE RESPONSABLE DEL TRATAMIENTO. - Informar a los Titulares de información, de acuerdo con lo dispuesto en el artículo 12 de la Ley 1581 de 2012, el tratamiento y la finalidad de la información con carácter sensible de en caso de que la misma sea recolectada y los derechos que tiene el titular de la información, según el artículo 8 de la misma ley.

Bajo el mismo análisis anteriormente expuesto, la aplicación “Pig.gi” no se encuentra en operación, actualmente no se está realizando el tratamiento de datos personales, y particularmente, no se están recolectando datos personales de nuevos titulares. Aunado a lo anterior, se insiste en que, aun cuando la aplicación continuara en operación, Farrow Colombia no ostenta ni ostentó en ningún momento la calidad de responsable del tratamiento de datos personales.

En consecuencia, es IMPOSIBLE para Farrow Colombia comprometerse a implementar una orden relacionada con suministrar información a los titulares cuyos datos no son y nunca fueron tratados por la Compañía. - Señalar dentro de la identificación de FARROW MÉXICO S.A.P.I de C.V., contenida en el aviso de privacidad, la dirección electrónica y el teléfono de su organización. Nuevamente se insiste en que la aplicación “Pig.gi” NO existe, NO está en operación, NO realiza el tratamiento de datos personales y, en consecuencia, actualmente NO tiene publicado ningún aviso de privacidad ni política de tratamiento aplicables a un tratamiento que NO REALIZA.

Sin perjuicio de lo anterior, y aun cuando todas las anteriores consideraciones no fueran ciertas, la aplicación continuara en operación y se realizara el tratamiento de datos, Farrow “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA Colombia no ostenta la calidad de responsable de dicho tratamiento y en consecuencia no tiene ningún control sobre el aviso de privacidad que haga referencia al mismo.

En consecuencia, es IMPOSIBLE para Farrow Colombia cumplir una orden relacionada con la modificación de un aviso de privacidad que regula el tratamiento de datos del cual no es responsable. - Implementar un mecanismo para dar respuesta a todos los requerimientos de este Despacho y de la Delegatura de Protección de Datos Personales En relación con esta orden baste afirmar que, según se ha expuesto en detalle en el curso, Farrow Colombia ha dado respuesta a todos los requerimientos formulados por la autoridad, con fundamento en la información que tiene disponible al momento de la respuesta.

Así las cosas, queda claro que la Compañía sí contaba con un mecanismo para atender dichos requerimientos. Sin perjuicio de lo anterior, según se ha puesto de presente en el curso del procedimiento administrativo de la referencia, la Compañía se encuentra pendiente de adelantar el proceso de disolución y liquidación, sin embargo no cuenta ni siquiera con los recursos para levantar la información que necesita para este proceso.

Mucho menos tiene recursos para diseñar e implementar políticas que no va a cumplir en tanto está próxima a su extinción sobre datos que no trata, no controla, no trata bases de datos personales.”13. 3.9 En cuanto a los criterios de graduación de la sanción, alega que esta Dirección se abstuvo de analizar los criterios contenidos en lis literales b), c), d) e) y f) del artículo 24 de la Ley 1581 de 2012.

Sobre el particular, las tres sociedades, a su turno, mencionan que “(…) Así las cosas, la Dirección se abstuvo de analizar los siguientes criterios: “b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción” Contrario a lo que afirma la Dirección, este criterio sí es de aplicación de cara a reducir la sanción a imponer toda vez que la infracción imputada, no representó ningún beneficio económico para Farrow México ni para terceros.

Por el contrario, esta investigación resultó gravosa para la Compañía a tal punto que la Compañía no solo no cuenta con los recursos para pagar la multa impuesta por la autoridad, sino que ni siquiera cuenta con los recursos suficientes para elaborar sus estados financieros (como pagar a un contador su elaboración), o adelantar los trámites necesarios para adelantar y registrar la disolución y liquidación de la Compañía. “c) La reincidencia en la comisión de la infracción” En el mismo sentido que el anterior, este criterio deberá aplicarse en el sentido de reducir la sanción a imponer, toda vez que no existen antecedentes de investigaciones o sanciones contra Farrow México en el territorio colombiano. “d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Este criterio debe llevar también a la reducción de la sanción a imponer teniendo en cuenta que Farrow México estuvo siempre dispuesta a atender todos los requerimientos de la autoridad, con base en la información a su disposición y a pesar de obrar bajo el convencimiento de la falta de competencia de la autoridad.

“e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio 13 Radicado 18-105913-83-1, páginas 12 y 13; Radicado 18-105913-84-1, páginas 17 y 18 y Radicado 18-105913-85-1, páginas 17 y 18 HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Igualmente, este criterio debe llevar a la reducción de cualquier sanción a imponer teniendo en cuenta que Farrow México procuró atender en todo momento las órdenes e instrucciones de la autoridad en el curso de la investigación. • “f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar” Finalmente, contrario a lo que afirma la Superintendencia, en distintos escritos y oportunidades procesales, Farrow México reconoció que no cumplió con los requisitos fijados en la ley colombiana en relación con la obtención de la autorización del tratamiento de datos de menores de edad.

(…)”14 3.10 Finalmente, solicita que se revoque la resolución y en su lugar se expida una resolución que indique el archivo de las imputaciones realizadas por falta de competencia para investigar a FARROW VENTURES INC y a FARROW MÉXICO S.A.P.I de C.V. y que se limite a de imponer una sanción a las sociedades, o de manera alternativa que se reduzca la sanción impuesta.

CUARTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que, dentro del término legal previsto para el efecto y una vez analizados los requisitos del artículo 77 de la Ley 1437 de 2011, con base en lo expuesto por el recurrente, este Despacho hará las siguientes consideraciones: Frente a los argumentos presentados por el apoderado de la recurrente se encuentra que los mismos se concretan en los siguientes aspectos, a saber: (i) respecto de los fundamentos de la orden de bloqueo;

(ii) respecto de la naturaleza del responsable del tratamiento predicable de Farrow Colombia, (iii) respecto a la alegada violación del principio del debido proceso; (iv) respecto de la competencia de esta autoridad; (v) respecto del deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(vi) respecto del deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; (vii) respecto del deber de cumplir con las instrucciones y requerimientos que imparta esta Superintendencia; (viii) respecto de las órdenes y el exhorto realizado a los representantes legales y (ix) respecto de los criterios de graduación de la sanción y (x) respecto de las pretensiones. 5.1 RESPECTO DE LOS FUNDAMENTOS DE LA ORDEN DE BLOQUEO La apoderada de las recurrentes alega una supuesta carencia de sustento fáctico y jurídico a lo largo del procedimiento administrativo, basándose en la afirmación de que el bloqueo temporal de la aplicación “Pig.gi” y el inició de la presente investigación, se produjo teniendo como único fundamento una información periodística, y que debido a dicha ausencia las compañías investigadas cerraron la operación de la ampliación “pig.gi”.

Al respecto, este Despacho debe aclararle a la apoderada que el sustento fáctico para el inicio de la presente investigación, no solo se obtuvo de la información periodística, pues tal y como se evidencia en la presente investigación, este Despacho recolectó material probatorio suficiente para iniciar una investigación administrativa de carácter sancionatorio por el incumplimiento de los deberes y principios contemplados en la Ley 1581 de 2012, tal como se demostró en la resolución N° 82702 del 30 de diciembre del 2020.

De esta manera, no son de recibo las afirmaciones de la investigada al concluir que esta Superintendencia no contaba con supuestos fácticos y jurídicos para iniciar una investigación 14 Radicado 18-105913-83-1, páginas 17 y 18; radicado 18-105913-84-1, páginas 22 y 23 y 18-105913-85-1, páginas 21 y 22 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN ÚNICA administrativa, puesto que en la etapa preliminar se realizó una investigación exhaustiva, compuesta por, (i) informes técnicos del Laboratorio Forense;

(ii) testimonios de los representantes legales de las sociedades investigadas, y (iii) requerimientos a las compañías implicadas, que no quisieron ser atendidos. Información que le permitió concluir a este Despacho que las sociedades FARROW MÉXICO S.A.P.I. de C.V., FARROW VENTURES INC y FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, posiblemente violaron el régimen general de Protección de Datos Personales.

De igual manera, es importante precisar que esta Superintendencia, a la luz de las competencias otorgadas por la Ley 1581 de 2012; que en distintas ocasiones se le ha puesto de presente a las sociedades investigadas, se encuentra en el deber de velar por el cumplimiento de la legislación en materia de protección de datos personales, y por ende no necesita de denuncias publicas o particulares para ejercer dichas funciones, pues de oficio puede iniciar averiguaciones preliminares, recolectar pruebas, e iniciar investigaciones administrativas de carácter sancionador si encuentra motivo que le permita concluir una presunta vulneración o puesta en peligro del derecho fundamental de protección de datos personales de cualquier persona que se encuentre dentro del territorio nacional, tal como ocurrió en el presente caso, pues ninguno de los cargos formulados en la resolución N° 50791 del 19 de julio de 2018, carecen de supuestos fácticos o jurídicos, que no le permitieran a esta Dirección concluir que:  Las sociedades investigadas no solicitaron la autorización de los Titulares de manera previa, expresa e informada para el Tratamiento de los datos personales recolectados a través de aplicación para dispositivos móviles “Pig.gi”.  Que al momento de la recolección de datos por medio de la aplicación “Pig.gi”, no se les informó a los titulares: (i) las finalidades del tratamiento;

(ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iii) los derechos que les asisten como Titulares; y (iv) la identificación y datos de contacto del Responsable o Responsables de la información, al momento de la recolección de la información.  Que las investigadas no atendieron los requerimientos de información realizados por esta autoridad. 5.2 RESPECTO A LA VIOLACIÓN DEL PRINCIPIO DEL DEBIDO PROCESO Las sociedades FARROW MÉXICO S.A.P.I. DE C.V. y FARROW VENTURES INC. señalaron en los recursos presentados que hubo una violación al debido proceso por la práctica de las pruebas dentro del procedimiento administrativo sancionatorio, ya que considera que (i) solicito que se formularan a las compañías Facebook Colombia S.A.S. y Google Colombia Limitada una serie de interrogantes y sostiene que “la Superintendencia de manera injustificada decidió reducir este número de preguntas a cuatro”15.

Sobre este punto, continúa afirmando que: “(…) una vez practicadas las referidas pruebas, las compañías oficiadas indicaron que ellas no eran competentes para atender el requerimiento de la autoridad, e incluso indicaron quienes eran las compañías que podían hacerlo. Sin embargo, la Superintendencia dio por practicada la prueba y no cumplió su DEBER como ente investigador de decretar de oficio una prueba adicional, con el fin de realizar el requerimiento de información respectivo a las compañía (sic) en capacidad de resolverlo (…)”16 Sostiene además que “Evidencia de lo anterior, en segundo lugar, fue la práctica del testimonio del señor Jorge Trujillo, Director de Tecnología de Farrow México.

Esta prueba fue decretada y se citó al testigo para el 29 de julio de 2020. Sin embargo, el testigo no compareció 15 Radicado 18-105913-84-1, página 8 16 Ibidem “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 10, VERSIÓN ÚNICA y la Superintendencia se abstuvo de programar nueva fecha para practicar la prueba, aún cuando la apoderada no prescindió de ella y tampoco lo hizo la SIC.” 17 (Negrilla y subrayado dentro del texto original) Así mismo, manifiesta que: “(…) por un lado, una vez más la Dirección de Investigaciones habiendo decretado una prueba, prescindió de su práctica, y aunque en principio decretó la prueba para buscar llegar a la verdad de los hechos investigados, no la practicó sin argumentación alguna.

Serán rechazadas de manera motivada, las inconducentes, las impertinentes y las superfluas y no se atenderán las practicadas ilegalmente”. En armonía con lo señalado, es claro que las pruebas que se pretenden hacer valer deben ajustarse al objeto de la investigación. Asimismo, deben cumplir con los requisitos señalados por la ley para su decreto.

En ese sentido, el Consejo de Estado ha indicado al respecto lo siguiente: "( ) Las partes deben probar las afirmaciones expuestas en los escritos presentados ante el Tribunal, a través de los medios probatorios establecidos en la ley para llevar al convencimiento al Juzgador - artículo 175 del C.P.C.-, sobre los hechos expuestos en la demanda; pues el Juez de conocimiento debe fundarse en las pruebas regular y oportunamente allegadas al proceso (artículo 174 del C.P.C.), siempre que sean conducentes, pertinentes y útiles para la decisión del mismo.

Según en el artículo 178 del Código de Procedimiento Civil, aplicable a los procesos contencioso- administrativos por expresa remisión del artículo 168 CCA, las pruebas deben ceñirse al asunto materia del proceso y se rechazarán las que versen sobre hechos notoriamente impertinentes y las manifiestamente superfluas. Lo anterior significa que las pruebas deben ser conducentes, pertinentes y eficaces y el medio probatorio apto jurídicamente para demostrarlos hechos alegados”.19 (Resaltado fuera de texto original).

La Máxima Corporación de lo Contencioso Administrativo ha reiterado todas estas consideraciones acerca de la prueba señalando que: 17 Ibid. 4 18 Radicado 18-105913-84-1, página 9 19 Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Segunda-Subsección B. Providencia de 23 de julio de 2009. Radicado No. 25000- 23-25-000-2007-00460-02(0071-09).

C.P: Bertha Lucía Ramírez de Páez. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 11, VERSIÓN ÚNICA “( ) Lo primero que conviene decir es que, por esencia, la prueba judicial es un medio procesal que permite llevar al juez el convencimiento de los hechos que son materia u objeto del proceso y, por ende, le permite tomar una decisión fundada en una determinada realidad fáctica.

Eso es lo que significa que la decisión judicial deba fundarse en las pruebas oportunamente aportadas al proceso. Para la admisión de las pruebas, la práctica y los criterios de valoración deben observarse las normas del Código de Procedimiento Civil, conforme lo establece el artículo 168 del Decreto 01 de 1984, y algunas otras reglas propias del proceso en el que se decreten.

Las disposiciones del C.P.C. frente al régimen probatorio indican que las pruebas deben referirse al asunto materia del proceso y que “el juez rechazará in limine las legalmente prohibidas o ineficaces, las que versen sobre hechos notoriamente impertinentes y las manifiestamente superfluas”.20 Lo anterior significa que para determinar si procede el decreto de las pruebas propuestas por las partes, el juez debe analizar si éstas cumplen los requisitos legales, esto es, los requisitos de conducencia, pertinencia, utilidad y legalidad.

La conducencia consiste en que el medio probatorio propuesto sea adecuado para demostrar el hecho. La pertinencia, por su parte, se fundamenta en que el hecho a demostrar tenga relación con el litigio. La utilidad, a su turno, radica en que el hecho que se pretende demostrar con la prueba no esté suficientemente acreditado con otra. Finalmente, las pruebas, además de tener las características mencionadas, deben estar permitidas por la ley.

( )”. (Subrayado y resaltado fuera de texto original). Teniendo en cuenta esta explicación, es necesario reiterar el objeto de esta investigación el cual fue señalado dentro de la Resolución N° 50791 del 19 de julio de 2018, por medio de la cual se formularon cargos a las sociedades antes descritas por: • No solicitar la autorización de los Titulares de manera previa, expresa e informada para el Tratamiento de los datos personales recolectados a través de aplicación para dispositivos móviles “Pig.gi”. • No informar al Titular el motivo por el cual pueden ser recolectados los datos de menores de edad y la finalidad de su Tratamiento, así como tampoco se indica la finalidad del Tratamiento de los datos de ubicación que la aplicación extrae de los dispositivos móviles por medio del GPS y/o del uso de Red de internet local. • No cumplir las instrucciones y requerimientos formulados por esta Superintendencia. Con fundamento en lo anterior, este Despacho por medio de la Resolución N° 71930 del 10 diciembre de 2019, procedió a incorporar el material probatorio obrantes en el expediente y a pronunciarse sobre las pruebas solicitadas por las sociedades investigadas, por lo cual valdría la pena entrar a analizar el rechazo motivado de algunas de las pruebas solicitadas: Respecto de los requerimientos a las sociedades Google Colombia Ltda y Facebook Colombia S.A.S., este Despacho concedió la práctica de las mismas, no obstante, encontró que en varias de las preguntas solicitadas no se obtendrían los elementos de juicio necesarios para demostrar el cumplimiento de los deberes imputados en la presente investigación, puesto que en las preguntas que se suprimieron se solicitaba información general de las actividades realizadas en las plataformas de dichas compañías, temas que no eran objeto de la presente investigación, y en vista de ello, este Despacho no encontró la motivación correspondiente por parte de la sociedad investigada de la práctica de las mismas, aun sabiendo que se estaba solicitando información que no hacia parte de esta investigación. En el mismo sentido, esta Dirección negó la práctica de pruebas de los testimonios de los Gerentes Generales de Facebook Colombia S.A.S. y Google Colombia Lmtda, puesto que las sociedades investigadas pretendían recolectar las mismas pruebas en distintos medios probatorios, y lo que se quería esclarecer con las diligencias ya se estaba solicitando dentro de los requerimientos anteriormente mencionados. 20 Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Cuarta.

Providencia de 15 de marzo de 2013. Radicado No. 15001-23-31-000- 2010-00933-02(19227). C.P: Hugo Fernando Bastidas Bárcenas. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 12, VERSIÓN ÚNICA Con relación a la solitud de la visita de inspección de la aplicación para que se verificara su funcionamiento en las oficinas de Farrow México, este Despacho negó la prueba por no considerarla necesaria, pues como bien lo indica la investigada, la aplicación “Pig.gi”, no estaba funcionado en Colombia en dicho momento, situación que no ameritaba el desplazamiento de esta entidad, más aun cuando los hechos por los cuales se imputaron los cargos, fueron evidenciados en el momento de las inspecciones realizadas por el Laboratorio Forense de esta entidad, por lo cual revisar un funcionamiento actual no desvirtuaba los cargos, pues hay que tener en cuenta los constantes cambios y desarrollos que puede tener una aplicación en el transcurso de un año. Finalmente, y frente a la solicitud del oír en declaración a los señores Joel Phillips, Isaac Phillips y Jorge Trujillo, este Despacho decretó las pruebas solicitadas por las sociedades investigadas, procedió a citar los testigos.

Así las cosas, las sociedades investigadas no pueden alegar que se rechazaron las pruebas de manera injustificada, pues si bien la Superintendencia actúa como investigador en la presente actuación, no puede acoger el papel de la defensa e intentar interpretar lo que esta necesita para desvirtuar los hechos, la necesidad de la práctica de la prueba no fue requerida por el ente investigador, y por ende la motivación de su necesidad está cargo de quien la solicita, más aún cuando tiene las oportunidades para hacerlo, pues si eran tan necesarias para desvirtuar los hechos, las sociedades investigadas no insistieron en su práctica dentro de esta etapa, pues con la presentación de los recursos solo predicaron nulidades procesales; porque a su criterio esta entidad estaba en la obligación de practicar todas las pruebas, y en señalar que este Despacho les violó su derecho de defensa y contradicción, pero no solicitó nuevamente la práctica de las mismas.

Pues bien lo señala la Corte constitucional, mediante la sentencia C-034 de 2014, en la cual indica que: Si bien una de las características más destacadas del orden constitucional adoptado en 1991 es la extensión de las garantías del debido proceso a toda actuación administrativa, también ha señalado la Corte que su extensión y aplicación no es idéntica a la que se efectúa en el ámbito judicial.

Como se indicó en los fundamentos normativos de esta providencia, ello obedece a dos razones: La primera es que, el debido proceso judicial se encuentra ligado a la materialización de los derechos, la protección de la Constitución o de la ley; en tanto que la actuación administrativa atañe al adecuado ejercicio de funciones públicas de diversa naturaleza para la satisfacción de los intereses de toda la comunidad.

Por ello, también ha puntualizado la Corte, la segunda debe ceñirse a la vez a los artículos 29 y 209, Superiores. Además, los procesos judiciales deben otorgar una respuesta definitiva a los conflictos sociales, en tanto que las actuaciones administrativas son susceptibles de control ante la jurisdicción. Por ello, aunque el debido proceso se aplica en toda actuación administrativa o judicial, en el primer escenario ocurre bajo estándares más flexibles para asegurar la eficiencia, eficacia, celeridad y economía por parte de la Administración. (…) Es comprensible que con la pretensión de fortalecer su razonamiento, el actor asuma la crítica de la norma como el cierre definitivo de las oportunidades probatorias.

Pero el análisis de constitucionalidad requiere tomar en cuenta todos los elementos normativos relevantes, o al menos efectuar un esfuerzo para lograr su incorporación. En ese orden de ideas, es necesario aclarar que si bien la norma impide el ejercicio de recursos en un momento específico de la actuación administrativa, no implica la clausura del derecho a aportar pruebas, ni de la controversia fáctica dentro de esos trámites.

Así, la facultad de aportar pruebas se mantiene en la norma citada (Artículo 40 CPACA) durante toda la actuación, e incluso al momento de ejercer los recursos de reposición o apelación contra el acto definitivo, etapa en que el actor puede discutir la decisión que negó su solicitud de pruebas y las consecuencias que esa determinación produjo en el acto administrativo definitivo.

(…) Por lo tanto, el aparte acusado del artículo 40, CPACA, no imposibilita o prohíbe el ejercicio de los derechos de aportar pruebas y controvertirlas durante la actuación administrativa, ni se proyecta inevitablemente en las decisiones ulteriores como propone el actor. La norma no elimina los derechos de contradicción y defensa sino que plantea una restricción a su ejercicio en un momento específico de la actuación. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 13, VERSIÓN ÚNICA De esta manera, dentro del Desarrollo de la presente investigación, no se violó el derecho al debido proceso y al de defensa y contradicción de las sociedades investigadas, puesto que esta Dirección negó algunas de las pruebas solicitadas de manera motivada, y aun cuando las investigadas se encontraban en desacuerdo, no solicitaron la práctica de las mismas en esta instancia, como tampoco se explica detalladamente, como la no practica de las mismas, les impidió ejercer su derecho de defensa, pues con las solas afirmaciones que alertan de la violación al Derecho no llevan a determinar que la práctica de las mismas sean completamente necesarias.

De otra parte, las sociedades investigadas, también afirman que esta entidad no practicó las pruebas decretadas en debida forma, puesto que luego de recibir las repuestas a los requerimientos realizados a las sociedades Google Colombia Ltda y Facebook Colombia S.A.S, esta entidad se encontraba en el deber de decretar de oficio una prueba adicional y requerir a “(…) las compañía (sic) en capacidad de resolverlo”.

Al respecto, y retomando el análisis realizado en líneas atrás, esta Dirección practicó las pruebas a petición de parte, porque consideró que las mismas eran razonables para la argumentación expuesta por la defensa, no obstante, las investigadas solicitaron los requerimientos a las compañías que no tenían la capacidad para responder las preguntas que la misma defensa había solicitado.

Bajo dichos argumentos, es necesario preguntarse ¿quién tenía el deber de solicitar los requerimientos a las entidades con la capacidad de resolverlos? ¿Esta autoridad que decretó una prueba tal como fue solicitada por las partes? o ¿la defensa de las sociedades investigadas? Como bien se indicó en párrafos anteriores a este Despacho no le suscribe realizar una defensa técnica, por lo cual procedió a practicar las pruebas, llegaron las respuestas solicitadas y al considerar que contaba con los elementos necesarios para tomar una decisión, no tenía la obligación de seguir realizando requerimientos.

Pues una cosa es que la investigada cuestione los motivos que llevaron a este Despacho a decidir sobre este asunto sin hacer más requerimientos, y otra cosa es que alegue que se le violó el derecho de defensa y contradicción cuando con la presentación del recurso tenía la oportunidad legal para explicar de manera clara, jurídica y detallada el porqué la falta de dichas pruebas hicieron que este Despacho tomara una decisión desfavorable, y que al conocerse las mismas la decisión hubiese sido distinta, y por consiguiente solicitar su práctica, situación que evidentemente no sucede.

Finalmente, y respecto de la “( ) práctica del testimonio del señor Jorge Trujillo, Director de Tecnología de Farrow México. Esta prueba fue decretada y se citó al testigo para el 29 de julio de 2020. Sin embargo, el testigo no compareció y la Superintendencia se abstuvo de programar nueva fecha para practicar la prueba, aun cuando la apoderada no prescindió de ella y tampoco lo hizo la SIC”, con relación a lo afirmado, este Despacho debe precisar que mediante la resolución N° 71930 del 10 diciembre de 2019, se decretó el testimonio solicitado, el cual fue citado con la debida antelación para que se presentara a la diligencia, sin embargo, el señor Jorge Trujillo, no compareció a la misma, de manera previa no solicitó el aplazamiento, como tampoco fue allegada una excusa por parte del testigo o por las sociedades investigada que justificara una nueva citación. Ahora bien, este Despacho no entiende porque las investigadas alegan una violación al derecho de defensa y contradicción por el hecho de no adelantar la diligencia para oír en testimonio al señor Jorge Trujillo, pues de acuerdo con los argumentos de la defensa en los recursos de reposición, este Despacho tenía la obligación de buscar al testigo las veces que fuera necesario, situación que a todas luces es desproporcionada, pues si dicho testimonio “( ) era la ÚNICA prueba técnica solicitada por las investigadas”, estas debieron percatarse de que su testigo asistiera a la diligencia, y en dado el caso de que no que fuera posible, allegar las excusas pertinentes, pues de acuerdo con lo que se ha indicado en todo este acápite, esta prueba tampoco fue solicitada en esta instancia por la apoderada, teniendo la oportunidad legal y procesal para hacerlo.

De esta manera, las sociedades investigadas no logran demostrar una violación al derecho de defensa y contradicción, y por tanto tampoco se evidencia alguna falta al procedimiento administrativo sancionador por parte de esta entidad que amerite corregir irregularidades que se hayan presentado en la actuación administrativa para ajustarla a derecho, y adoptará las medidas necesarias. 5.3 RESPECTO DE LA COMPETENCIA DE ESTA AUTORIDAD “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 14, VERSIÓN ÚNICA A continuación, las sociedades investigadas reiteran la supuesta falta de competencia de esta autoridad para investigar a las sociedades FARROW MÉXICO S.A.P.I. de C.V y FARROW VENTURES INC en la medida en que considera que las mencionadas sociedades no realizaron tratamiento de datos personales de los ciudadanos colombianos en el territorio colombiano. De esta manera, resulta pertinente traer a colación algunas disipaciones de la constitución política de Colombia pues en efecto, el artículo 15 de la Constitución Política Nacional no solo establece que “todas las personas tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”, sino que también indica que “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.

De esta manera la Ley 1581 de 2012 que desarrolla, entre otras, el citado derecho constitucional, en su artículo 2 dispone lo siguiente: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales”.

El término “Tratamiento” no solo se menciona en el artículo 155 de la Constitución Política de la República de Colombia, sino que, es determinante para establecer el campo de aplicación de la citada ley, la cual lo define de la siguiente manera: “Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando (i) el tratamiento lo realiza el Responsable o Encargado, domiciliado en el territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia; o (ii) cuando el Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

La Corte Constitucional, por su parte, en relación con el ámbito de aplicación de ese artículo señaló en la Sentencia C-748 de 20116: “Para la Sala, esta disposición se ajusta a la Carta, pues amplía el ámbito de protección a algunos Tratamientos de datos personales que ocurren fuera del territorio nacional, en virtud del factor subjetivo.

En un mundo globalizado en el que el flujo transfronterizo de datos es constante, la aplicación extraterritorial de los estándares de protección es indispensable para garantizar la protección adecuada de los datos personales de los residentes en Colombia, pues muchos de los Tratamientos, en virtud de las nuevas tecnologías, ocurren precisamente fuera de las fronteras.

Por tanto, para la Sala se trata de una medida imperiosa para garantizar el derecho al habeas data” De lo anterior se entiende que la Corte Constitucional ha determinado que el ámbito de aplicación de la norma contiene un criterio subjetivo, el cual prevalece sobre el factor territorial del ámbito de aplicación de la misma, ya que si bien es cierto que el tratamiento puede ser efectuado por fuera del territorio colombiano, en dicho caso prima es la nacionalidad del sujeto concernido y cuyos datos son tratados, ahora bien, si tomamos el análisis suscrito por las investigadas respecto de la territorialidad del Ley 1581 de 2012, igualmente, se puede concluir que los usuarios descargaron la aplicación y se registraron estando físicamente en el territorio nacional, por cuanto la recolección de dichos datos constituye un tratamiento a los mismos realzado en el país. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 15, VERSIÓN ÚNICA 5.4 RESPECTO DEL DEBER DE SOLICITAR Y CONSERVAR, EN LAS CONDICIONES PREVISTAS EN LA PRESENTE LEY, COPIA DE LA RESPECTIVA AUTORIZACIÓN OTORGADA POR EL TITULAR En relación con el cargo primero, la apoderada de las sociedades FARROW MÉXICO S.A.P.I. de C.V. y FARROW VENTURES INC., afirma que “(…) basta precisar que la Superintendencia resta de todo valor probatorio los videos y capturas de pantalla allegados por Farrow Ventures y las otras investigadas para desvirtuar la insuficiencia de las capturas de pantalla del Laboratorio Forense.

Justamente las pruebas aportadas por Farrow Ventures dan cuenta de cómo las capturas de pantalla incluidas en la resolución por medio de la cual se formuló pliego de cargos y que se replican en la Resolución N°. 82702 del 30 de diciembre del 2020, no representaban la realidad de la información requerida y del método utilizado por Farrow Ventures para obtener la autorización de los titulares.

Así las cosas, dichas pruebas, en conjunto con lo indicado por Joel Phillips en su declaración, dan cuenta de que en efecto la autorización requerida cumplía los requisitos de la Ley 1581 de 2012. En esta medida, dicha autorización es previa a la recolección. Mal puede la Superintendencia esperar que la autorización se solicite antes de la descarga de la aplicación, cuando el único requisito contenido en la ley, es que sea cuando menos al momento de la recolección de los datos, la cual sólo tenía lugar en el momento en que los usuarios se registraban a la aplicación. (…)”21 Finalmente, agrega que “(…) En todo caso, es de aclarar que la carga de la prueba en los procedimientos administrativos sancionatorios recae en cabeza de la autoridad administrativa, y no del investigado, quien se encuentra protegido por la presunción de inocencia a la luz del artículo 29 de la Constitución Política.

En este orden de ideas, fue la Superintendencia quien no pudo desvirtuar las pruebas allegadas por Farrow Ventures que claramente dan cuenta de que efectivamente esta Compañía, en conjunto con Farrow México en su calidad de responsables, solicitaban la autorización previa de los titulares de los datos. (…)”22 Al respecto, es importante precisar que las pruebas que soportan la falta de la solicitud de la autorización a los titulares por medio de la aplicación“Pig.gi”, se configuran en la práctica de las preservaciones realizadas por el Laboratorio de Informática Forense (LIF) de esta Superintendencia, finalizadas el 2 de abril y 15 de junio de 2018, en las cuales se puede evidenciar que en el registro que los titulares debían hacer para usar la aplicación, tanto por correo electrónico como por su perfil de Facebook, no se les solicitó en ningún momento la autorización para el tratamiento de los datos personales, de hecho, solo se pudo acceder al aviso de privacidad y a los términos de condiciones de la aplicación, luego de que el usuario fuera debidamente registrados. 21 Radicado 18-105913-84-1, páginas 12 y 13 22 Radicado 18-105913-84-1, página 14 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 16, VERSIÓN ÚNICA Ahora bien, las sociedades investigadas señalan que este Despacho “( ) resta de todo valor probatorio los videos y capturas de pantalla allegados por Farrow Ventures y las otras investigadas para desvirtuar la insuficiencia de las capturas de pantalla del Laboratorio Forense.

Justamente las pruebas aportadas por Farrow Ventures dan cuenta de cómo las capturas de pantalla incluidas en la resolución por medio de la cual se formuló pliego de cargos y que se replican en la Resolución Impugnada, no representaban la realidad de la información requerida y del método utilizado por Farrow Ventures para obtener la autorización de los titulares”.

Sin embargo, y pese a estas afirmaciones, este Despacho entrara a explicar el porqué el problema jurídico y los actos reprochado a las sociedades responsables de la información, no se pueden predicar de la realidad que se quiso demostrar con las imágenes y videos allegados. De esta manera, se debe señalar que las disposiciones de la Ley 1581 de 2012, no pueden ser desconocidas o derogadas por convenciones o decisiones particulares, pues al ser una ley estatutaria mediante la cual se busca la protección de un derecho fundamental, sus normas tienen validez permanente y se oponen a aquellas que pueden ser supletivas o interpretativas de la voluntad de las partes, es decir que desde el momento en que dicha ley entra en vigencia y una vez pasa el tiempo de transición para su adopción, todas las entidades, públicas o privadas, nacionales o extranjeras sin excepción que tratante datos personales, deberán cumplir cada una de sus disposiciones en cualquier momento.

Lo anterior, se hace relevante, frente a los argumentos señalados por las sociedades investigadas, puesto que pretenden que este Despacho concluya la falta de supuestos facticos para el cargo imputado, solo de unas imágenes que fueron tomadas en momentos distintos a los hechos que dieron origen a esta investigación, es decir que solo se aplique la ley en dicho momento, y por consiguiente, pretendan que con las mismas se desvirtúen pruebas que revisten no solo soportes técnicos, sino que de ellas se puede predicar su inalterabilidad por el procedimiento con el que fueron recabas.

Es así, que las afirmaciones desobligantes de las investigadas respecto de las pruebas recolectadas por el Laboratorio de Informática Forense (LIF) de esta Superintendencia, no son suficientes para restarle la importancia que las mismas merecen para esta investigación, pues no solo son impresiones de pantalla, que si bien estas fueron utilizadas en las consideraciones de la resolución recurrida, cada una de estas imágenes están acompañadas de un informe técnico expedido por ingenieros forenses de esta entidad, que realizan cada una de sus capturas y preservaciones con un procedimiento forense que garantiza la originalidad, autenticidad e inalterabilidad de la información, así como el anclaje de cadena de custodia.

Por en ende, en aras de ilustrar a las investigadas, las capturas de las imágenes y de cada una de la información recolectada de las inspecciones y preservaciones realizadas por el Laboratorio de Informática Forense (LIF) se hacen, usando el software FTK Imager, licenciado para uso de la la huella digital de la información recaudada usando los algoritmos MD5 y SHA1.

El “HASH” que indican la prueba de integridad del documento electrónico con relación al original de donde fue copiado; la relación de la información recolectada con fechas y horas y el dispositivo exacto de donde fue extraída, información que contienen cada uno de los informes con los cuales se soportó la decisión tomada por esta entidad.

Ahora bien, superada la discusión anterior, entraremos a señalar el porqué tanto las imágenes aportadas por las investigadas y las imágenes recolectadas por el Laboratorio de Informática Forense (LIF) de esta Superintendencia, son tomadas en momentos distintos que evidencian el comportamiento variante de la aplicación. 1. La Versión de la aplicación Pig.gi inspeccionada y documentada en el “ACTA DE PRESERVACIÓN DE PÁGINAS WEB - PRE INVESTIGACIÓN” N° 127-18, preservación finalizada el 2 de abril de 2018 a las 10:28 am fue la 3.2.1 tal como se evidencia en la siguiente imagen: HOJA N 17, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA 2.

La Versión de la aplicación Pig.gi inspeccionada y documentada en el “ACTA DE PERITAJE APLICATIVO MOVIL PIG.GI, Finalizada el quince (15) de junio de dos mil dieciocho (2018) a las horas 12h: 30m “, fue la 3.2.1 como se encuentra registrada en la siguiente Tabla 10. 3 Por su parte, en el video aportado por la sociedad FARROW VENTURES INC denominado “5.12.

Video modificación de permisos.mp4, con fecha de modificación 2018:10:25” en el segundo 00:19 se observa que la versión de la aplicación Pig.gi es la 3.0.9, como se observa en la imagen; Imagen 7. Inspección del “5.12. Video modificación de permisos.mp4”, obtenida con impresión por pantalla la Aplicación de Microsoft Windows Recortes De esta manera, es claro para este Despacho a la luz de las pruebas obrantes en el expediente, que las versiones analizadas tanto por el Laboratorio de Informática Forense (LIF) de esta Superintendencia como las aportadas por la sociedad FARROW VENTURES INC, con su escrito de descargos, no son las mismas, por ende las investigadas no pueden pretender desvirtuar las pruebas recolectadas mediante las preservaciones finalizadas el 2 de abril y 15 de junio de 2018, 23 Obrante en el acta de preservación N°127-18, obrante en el folio 4 del cuaderno de reserva. 24 Obrante en el acta de peritaje 136-18, obrante en el folio 118 del cuaderno de reserva.

HOJA N 18, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA con las imágenes y videos de una versión de la aplicación distinta a la que da todo el sustento factico del incumplimiento de la sociedad. En consecuencia, se le recuerda a las investigadas que independientemente que con la versión 3.0.9 de la aplicación “pig.gi” se solicite la autorización de los titulares de manera previa a la recolección de la información personal, con la versión 3.2.1, las investigadas no solicitaron dicho consentimiento de manera previa, expresa e informada, deberes que son exigidos por la Ley 1581 de 2012 desde su entrada en vigencia, y por ende son acarreables de las sanciones y ordenes impuestas por esta Superintendencia. De otra parte, y con relación a las afirmaciones de las investigadas respecto a que la carga probatoria en la presente investigación está solo en cabeza de esta Superintendencia, es importante precisar, que frente a la aplicación de la Ley 1581 de 2012, no debemos ir más allá de la literalidad de sus disposiciones, en las que claramente se identifica quien se encuentra en la obligación de probar.

En este orden de ideas, es pertinente citar disposiciones de Ley 1581 de 2012, a saber: “ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. ( )

ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) b)Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

( )”. Como se observa, la regulación sobre datos personales impone cargas probatorias en cabeza de los Responsables del Tratamiento, los cuales deben establecer medidas útiles, apropiadas y efectivas para cumplir sus obligaciones legales. Adicionalmente, tendrá que evidenciar y demostrar el correcto cumplimiento de sus deberes. En todo caso y al margen del modo como se obtenga la autorización, esta no sólo debe ser previa e informada, sino que el Responsable del Tratamiento tiene la carga probatoria de acreditar evidencia de la autorización y de que informó lo que ordena el artículo 12 de la ley 1581 de 2012.

Al respecto, sobre el principio de la carga probatoria, la Corte Constitucional, al recoger jurisprudencia del Consejo de Estado y de la Corte Suprema de Justicia, determinó a través de la sentencia de constitucionalidad C 086 del 201625 lo siguiente: “(…) 6.3.- Con todo, el abandono de una concepción netamente dispositiva del proceso, al constatarse cómo en algunos casos surgía una asimetría entre las partes o se requería de un 25 Cfr. Corte Constitucional, sentencia C 086 del 2016, de fecha veinticuatro (24) de febrero de dos mil dieciséis (2016).

M.P.: Jorge Iván Palacio Palacio “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 19, VERSIÓN ÚNICA nivel alto de especialización técnica o científica que dificultaba a quien alegaba un hecho demostrarlo en el proceso, condujo a revisar el alcance del “onus probandi”. Fue entonces cuando surgió la teoría de las “cargas dinámicas”, fundada en los principios de solidaridad, equidad (igualdad real), lealtad y buena fe procesal, donde el postulado “quien alega debe probar” cede su lugar al postulado “quien puede debe probar”.

La teoría de la carga dinámica de la prueba halla su origen directo en la asimetría entre las partes y la necesidad de la intervención judicial para restablecer la igualdad en el proceso judicial. Quizá el caso más representativo –no el único-, que en buena medida dio origen a su desarrollo dogmático, jurisprudencial y legal, es el concerniente a la prueba de las malas prácticas médicas: “Cierto es que la susodicha [doctrina de las cargas probatorias dinámicas] nació como un paliativo para aligerar la ímproba tarea de producir pruebas diabólicas que, en ciertos supuestos, se hacían caer sin miramientos, sobre las espaldas de algunas de las partes (actor o demandado) por mal entender las tradicionales y sacrosantas reglas apriorísticas de distribución de la carga de la prueba (…).

Sin embargo, la fuerza de las cosas demostró, verbigracia, que imponerle al actor víctima de una lesión quirúrgica en el interior del quirófano, la prueba acabada de lo que había ocurrido y de cómo había ocurrido, resultaba equivalente a negarle toda chance de éxito”. De esta manera, la noción de carga dinámica de la prueba, “que no desconoce las reglas clásicas de la carga de la prueba, sino que trata de complementarla o perfeccionarla”[92], supone reasignar dicha responsabilidad, ya no en función de quien invoca un hecho sino del sujeto que, de acuerdo con las circunstancias de cada caso, se encuentra en mejores condiciones técnicas, profesionales o fácticas de acreditarlo.

(…)” (Negrilla fuera del texto original) De esta manera, este Despacho no puede aceptar las afirmaciones de la apoderada por cuanto la conducta desplegada por la recurrente fue violatoria de la Ley 1581 de 2012, por lo cual las investigadas no garantizaron que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley. 5.5 RESPECTO DEL DEBER DE INFORMAR DEBIDAMENTE AL TITULAR SOBRE LA FINALIDAD DE LA RECOLECCIÓN Y LOS DERECHOS QUE LE ASISTEN POR VIRTUD DE LA AUTORIZACIÓN OTORGADA En cuanto al cargo segundo, manifiesta que “(…) Ahora bien, en relación con este cargo, tal y como se puso de presente en la Sección anterior, Farrow Ventures acreditó que obtenía autorización previa, expresa e informada de los titulares.

Ahora bien, tratándose de los datos de los menores, Farrow Ventures reconoció la infracción en su escrito de descargos, al indicar que la Compañía “acepta que durante el proceso de registro no se informa sobre el carácter facultativo en el otorgamiento de los datos sensibles o sobre los datos de las niñas, niños y adolescentes. Sin embargo, es preciso mencionar, que la posibilidad de otorgar o no los datos es posible para todos los usuarios, independientemente de su calidad.

Por lo tanto, ningún usuario está obligado a otorgar datos sensibles a la aplicación”. Dicho allanamiento no fue considerado por la autoridad de cara a la fijación de la sanción que hubiere lugar. (…)”26 En cuanto a este punto, es claro que las sociedades recurrentes no lograron demostrar que obtenían la autorización con carácter previa, expresa e informada, por lo que esta defensa de la sanción parte de un supuesto totalmente erróneo, sin embargo este Despacho reconoce que hubo un yerro al momento de la tasación de la sanción, por cuanto, debido a un error involuntario se pasó 26 Radicado 18-105913-84-1, página 15 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 20, VERSIÓN ÚNICA por alto la manifestación de la investigadas en cuanto a su reconocimiento de que las sociedades no informan el tratamiento de los datos de los menores de edad, razón por la cual se procederá a modificar el acto administrativo, reduciendo el monto de la sanción impuesta a FARROW MÉXICO S.A.P.I. de C.V. y a FARROW VENTURES INC de 1.100 Unidades de Valor Tributario Vigentes a 600 Unidades de Valor Tributario Vigentes.

En esta medida, aun cuando no hay alteración del sentido material de la decisión, esta Dirección considera pertinente aclarar el artículo vigésimo de la parte considerativa de la Resolución 82702 del 30 de diciembre del 2020, el cual quedará así: “VIGÉSIMO: Imposición y graduación de la sanción 20.1 Facultad sancionatoria (…) 20.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley Frente al cargo segundo relacionado con el deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de SETENTA Y ÚN MILLONES DOSCIENTOS CATORCE MIL PESOS ($71.214.000) correspondiente a 2.000 Unidades de Valor Tributario Vigentes a cada una de las sociedades investigadas por la vulneración del deber establecido en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención, monto que será impuesto de la siguiente manera:  A la sociedad a las sociedades FARROW MEXICO S.A.P.I. de C.V., se le impondrá una multa correspondiente a 600 Unidades de Valor Tributario Vigentes.  A la sociedad a las sociedades a las sociedades FARROW VENTURES INC, se le impondrá una multa correspondiente a 600 Unidades de Valor Tributario Vigentes”. 5.6 RESPECTO DEL DEBER DE CUMPLIR CON LAS REQUERIMIENTOS QUE IMPARTA ESTA SUPERINTENDENCIA INSTRUCCIONES Y Sobre el cargo tercero, manifiesta la apoderada en cuanto a la sociedad FARROW MÉXICO S.A.P.I. de C.V. que “(…) el requerimiento dejado de contestar recaía sobre derechos que no se encuentran en cabeza de Farrow México (cómo es el código fuente de la Aplicación) y, en consecuencia, no se encontraba en condiciones de suministrarlos y no podía dar respuesta al requerimiento referido.

Es de recalcar que la SIC para efectos de la respuesta del requerimiento a Google Colombia S.A.S., entiende y acepta que esta persona jurídica no tuviera la competencia para allegar la información solicitada, teniendo en cuenta, que según la respuesta de dicha empresa, esta información la puede aportar Google LLC. (…)”27 Sobre la respuesta de la sociedad Google Colombia SAS, la apoderada transcribe un apartado de la resolución y agrega que “el trato es discriminatorio cuando se trata de la respuesta otorgada por Farrow México, ya que la información sobre el código fuente no puede ser atendido por alguien a quien no le pertenece el código fuente.

(…) 27 Radicado 18-105913-84-1, página 16 HOJA N 21, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA La Superintendencia de Industria y Comercio no le solicitó dicha información a Farrow Ventures, cuando lo hubiera podido hacer, por lo que no tiene sentido que por una falta de la SIC de no requerir la información a la sociedad adecuada, aún cuando se le dijo quién se la podía dar, no lo haya hecho y ahora quien paga por eso es mi investigada”28.

Por otro lado, la apoderada frente a la sociedad FARROW VENTURES INC menciona que su poderdante si dio respuesta al requerimiento realizado por este Despacho en la medida en que le solicitó “(…) a la autoridad que le explicara el sustento normativo con base en el cual adquiría competencia para realizar requerimientos a la entidad, sin embargo, la Compañía nunca recibió respuesta por parte de la Superintendencia y, por ende, no dio respuesta a fondo al requerimiento.

(…)” Frente a estos puntos, es absolutamente claro que la Ley 1581 de 2012 prevé un deber del Responsable del Tratamiento en los siguientes términos: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 9. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” En esta medida, es claro que los Responsables deben cumplir con las instrucciones, requerimientos y ordenes impartidas por las autoridades de seguimiento y vigilancia por mandato legal, pues tal y como se señaló en el numeral 5.3 de este acto administrativo, las sociedades FARROW MÉXICO S.A.P.I. de C.V y FARROW VENTURES INC. respecto de tratamiento de la información personal recolectada de ciudadanos colombianos en el territorio nacional, estaban en la obligación de cumplir los deberes de la Ley 1581 de 2012 y por consiguiente tenían la obligación de atender los requerimientos realizados por la autoridad de protección de datos personales.

En este punto, vale la pena hacer énfasis sobre la naturaleza de esta entidad y sus funciones, así: De acuerdo con el artículo 25 del Decreto 2974 del 03 de diciembre de 196829, por el cual se creó la Superintendencia de Industria y Comercios, esta entidad tiene la obligación legal de ejercer funciones de vigilancia y control de acuerdo con las normas vigentes que le corresponden.

De forma que, con la expedición del Decreto 4886 del 2011, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución Platica de 1991 y, en este caso particular, en la Ley 1581 de 2012. En esa medida, esta Superintendencia protege el derecho fundamental de habeas data, es decir, el derecho que tiene todo Titular de información de conocer, actualizar y rectificar los datos personales que sobre ellos se encuentren en cualquier base de datos.

Para el caso particular, la protección está amparada en la Ley 1581 de 2012, la cual establece que la protección será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. Así mismo, esta Superintendencia, a través de esta Dirección de Investigación de Protección de Datos Personales, ejercerá la vigilancia de las funciones de los Responsables y Encargados del Tratamiento y podrá ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así se determine dentro de la investigación. Finalmente, no debe perderse de vista que la Ley 1581 de 2012 se expidió para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales. 28 Radicado 18-105913-84-1, página 17 29 Decreto 2974 del 3 de diciembre de 1968, “por el cual se reorganiza el Ministerio de Fomento y se dictan otras disposiciones”.

HOJA N 22, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Igualmente, importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 200230, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad.

Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Así las cosas, entendiendo que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable del Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.

Así las cosas, la Ley 1581 de 2012 y sus decretos reglamentarios están dispuestos para proteger el derecho fundamental de habeas data con el que cuenta todo Titular y garantizar que los Responsables del Tratamiento cumplan a cabalidad los deberes que recaen sobre ellos sin tener que recurrir a razonamientos complejos, ya que debería ser de fácil entendimiento que los deberes de ley son de obligatoria observancia para garantizar la protección de este derecho fundamental.

Así las cosas, esta Ley faculta a esta Dirección a exigir de los Responsables del Tratamiento los deberes que estos deben cumplir de conformidad con el artículo 17 de la Ley en cita. De esta manera, se reitera que las sociedades FARROW MÉXICO S.A.P.I. de C.V. y FARROW VENTURES INC, deben, de una parte, atender los diferentes llamados de esta Superintendencia y, de otro, demostrar el cumplimiento de los deberes a los que se encuentra obligada por ser Responsable del Tratamiento de Datos Personales. 5.7 RESPECTO DE LA NATURALEZA DEL PREDICABLE DE FARROW COLOMBIA SAS RESPONSABLE DEL TRATAMIENTO Por otro lado, la apoderada de la sociedad Farrow Colombia SAS insiste en que la sanción a su representada solo puede ser aplicable a los Responsable del Tratamiento y sostiene que la sociedad FARROW COLOMBIA SAS no ostenta esta calidad, por lo que, en sus palabras, la falta de respuesta de dicho requerimiento no es reprochable a la luz de la Ley 1581 de 2012 y por ello la sanción no podía ser aplicable.

(…)31” Posteriormente, afirma que la respuesta parcial o falta de ella no constituye una violación al literal o) del artículo 17 de la Ley 1581 de 2012 y precisa que la sociedad si dio “(…) respuesta a los requerimientos formulados por la Superintendencia con base en la información con la que contaba a la fecha del requerimiento (…)”.32 30 Cfr. Corte Constitucional, sentencia C 687 del 2002, de fecha veintisiete (27) de agosto de dos mil dos (2002).

M.P.: Eduardo Montealegre Lynett 31 Radicado 18-105913-83-1, página 9 32 Radicado 18-105913-83-1, páginas 9 y 10 HOJA N 23, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Sobre este punto, culmina haciendo las siguientes afirmaciones: “(…) Ahora bien, es cierto que para la de conformidad con los estatutos sociales, la Compañía debía adelantar reuniones anuales de la Asamblea General de Accionistas, así como aprobar los estados financieros de fin de ejercicio.

(…)”33 Sobre este punto, este Despacho se remite a las afirmaciones realizadas dentro del a Resolución recurrida, en las cuales se concluyó que respecto a los datos tratados por la aplicación “Pig.gi” su administración y control, está a cargo de la sociedad FARROW VENTURES INC, compañía que es la propietaria de los contenidos intelectuales de dicha aplicación, y que a la luz de lo señalado en las políticas de privacidad, se le informa a los titulares que la sociedad que es Responsable del Tratamiento es FARROW MÉXICO S.A.P.I. de C.V. por tal motivo la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, al no ser responsable de la información respecto de los datos personales recolectados por la aplicación “pig.gi”, no se le puede endilgar el deber de cumplir instrucciones dentro del contexto de los supuestos fácticos que dan origen a la presente investigación. Por tal motivo se revocará la sanción impuesta a dicha sociedad. 5.8 RESPECTO DE LAS REPRESENTANTES LEGALES ORDENES Y EL EXHORTO REALIZADO A LOS Frente a las ordenes administrativas impartidas, las tres sociedades, a su turno, mencionan a grandes rasgos lo siguiente: Parten del hecho de que la aplicación no existe en el mercado comercial de aplicaciones móviles y que con ocasión de las actuaciones de esta entidad, las sociedades no están en funcionamiento y agregan que por ende “las órdenes impuestas son imposibles de cumplir”, ya que la orden de bloqueo “quebró la aplicación y a las sociedades que la operaban”: Frente a cada una de las ordenes las sociedades recurrentes, mencionan lo siguiente: - “Implementar un mecanismo para obtener la autorización previa, expresa e informada de los Titulares de información previo al registro de los Titulares dentro de la aplicación “Pig.gi”, que permita la identificación plena del titular del dato como de los tutores o representantes legales de los menores de edad.

Según se ha puesto de presente en repetidas oportunidades, LA APLICACIÓN PIG.GI NO ESTÁ EN OPERACIÓN desde 2018, en el momento en que la Delegatura de Protección de Datos Personales emitió la orden de bloqueo. Sin perjuicio de lo anterior, aun cuando la aplicación siguiera en operación, se ha insistido en que (como la misma Superintendencia así lo ha reconocido) Farrow Colombia no es un responsable del tratamiento de datos personales recolectados por medio de “Pig.gi” y en general, no ejecuta ninguna actividad relacionada con esta aplicación. 33 Radicado 18-105913-83-1, página 11 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 24, VERSIÓN ÚNICA Por ende, resulta IMPOSIBLE para Farrow Colombia implementar el mecanismo solicitado para obtener la autorización para el tratamiento de datos personales de los usuarios de una aplicación que YA NO EXISTE Y RESPECTO DE LA CUAL FARROW COLOMBIA NO OSTENTA LA CALIDAD DE RESPONSABLE DEL TRATAMIENTO. - Informar a los Titulares de información, de acuerdo con lo dispuesto en el artículo 12 de la Ley 1581 de 2012, el tratamiento y la finalidad de la información con carácter sensible de en caso de que la misma sea recolectada y los derechos que tiene el titular de la información, según el artículo 8 de la misma ley.

Sin perjuicio de lo anterior, y aun cuando todas las anteriores consideraciones no fueran ciertas, la aplicación continuara en operación y se realizara el tratamiento de datos, Farrow Colombia no ostenta la calidad de responsable de dicho tratamiento y en consecuencia no tiene ningún control sobre el aviso de privacidad que haga referencia al mismo.

Mucho menos tiene recursos para diseñar e implementar políticas que no va a cumplir en tanto está próxima a su extinción sobre datos que no trata, no controla, no trata bases de datos personales.”34 Al respecto, si bien es cierto que las órdenes impartidas van encaminadas a la adecuación de la aplicación “Pig.gi” en virtud de las normas de protección de datos personales, las sociedades investigadas no acompañaron sus afirmaciones con las pruebas idóneas que demuestren la inoperancia de la aplicación, como tampoco los documentos idóneos que demuestren el estado legal de las sociedades investigadas. por tal motivo, este Despacho no Revocará las ordenes impuestas, por lo cual las investigadas deberán acreditar sus afirmaciones dentro del termino previsto para el cumplimiento de las ordenes impartidas. 34 Radicado 18-105913-83-1, páginas 12 y 13;

Radicado 18-105913-84-1, páginas 17 y 18 y Radicado 18-105913-85-1, páginas 17 y 18 HOJA N 25, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 5.9 VERSIÓN ÚNICA RESPECTO DE LOS CRITERIOS DE GRADUACIÓN DE LA SANCIÓN En cuanto a los criterios de graduación de la sanción, alega que esta Dirección se abstuvo de analizar los criterios contenidos en lis literales b), c), d) e) y f) del artículo 24 de la Ley 1581 de 2012.

“e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio Igualmente, este criterio debe llevar a la reducción de cualquier sanción a imponer teniendo en cuenta que Farrow México procuró atender en todo momento las órdenes e instrucciones de la autoridad en el curso de la investigación. • “f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar” Finalmente, contrario a lo que afirma la Superintendencia, en distintos escritos y oportunidades procesales, Farrow México reconoció que no cumplió con los requisitos fijados en la ley colombiana en relación con la obtención de la autorización del tratamiento de datos de menores de edad.

(…)”35 Sobre la aplicación de los criterios de graduación de las sanciones, este Despacho se permite aclararle a la apoderada que la Corte Constitucional determinó sobre estos lo siguiente: “2.23.3. La constitucionalidad del artículo 24 35 Radicado 18-105913-83-1, páginas 17 y 18; radicado 18-105913-84-1, páginas 22 y 23 y 18-105913-85-1, páginas 21 y 22 HOJA N 26, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.”36 En este sentido, es absolutamente claro que, contrario a lo sostenido por la recurrente, únicamente puede constituir una causal de atenuación de la sanción impuesta, el literal f) de la norma, es decir, cuando se hace un reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

De igual manera, es importante señalar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley en mención. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental al Habeas Data solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Los criterios del artículo 24 de la Ley 1581 de 2012, literales b), d) y e) no fueron aplicados COMO AGRAVANTE DE LA SANCIÓN, por cuanto (i) no se encontró un beneficio económico por la comisión de la infracción; (ii) no hubo resistencia u obstrucción a la acción investigativa (ii) no hubo reincidencia en la comisión de la infracción y; (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del despacho.

Ahora bien, respecto del monto de la sanción, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.

Adicionalmente, es de anotar que con fundamento en la potestad sancionatoria conferida a la entidad el monto impuesto como pago por concepto de multa a la recurrente es mínimo en relación con el límite dado por el legislador para el cálculo de las mismas, lo que fundamenta la proporcionalidad del monto con respecto a la acción del recurrente, más aún, cuando la misma tiene reincidencias de la conducta reprochada.

SEXTO: CONCLUSIONES Que, analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 8037 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, 36 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). 37 ARTÍCULO

80. DECISIÓN DE LOS RECURSOS. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 27, VERSIÓN ÚNICA este Despacho encuentra que los argumentos del recurso de reposición y en subsidio de apelación no son de recibo todos, por las siguientes razones:  Que las sociedades investigadas no lograron demostrar la violación al derecho de defensa y contradicción, ni la ocurrencia de errores sustanciales en el desarrollo del procedimiento administrativa que diera lugar a revocar la resolución N° 82702 del 30 de diciembre del 2020 en su totalidad.  Que la Ley 1581 de 2012 es aplicada a lo datos de los ciudadanos colombianos que hayan descargado la aplicación “pig.gi” en el territorio nacional independientemente de donde sean alojados estos datos.  Que las investigadas no logró desvirtuar las pruebas realizadas por el Laboratorio de Informática Forense (LIF) de esta Superintendencia, la cuales demuestran que en la versión 3.2.1 de la aplicación “pig.gi” no se solicitó la autorización de los Titulares de manera previa, expresa e informada para el Tratamiento de los datos personales.  Que se confirmó que las sociedades investigadas no informan a los titulares el motivo por el cual pueden ser recolectados los datos de menores de edad y la finalidad de su Tratamiento, así como tampoco se indica la finalidad del Tratamiento de los datos de ubicación que la aplicación extrae de los dispositivos móviles por medio del GPS y/o del uso de Red de internet local.  Que las sociedades FARROW MÉXICO S.A.P.I. DE C.V. y FARROW VENTURES INC no aportaron pruebas necesarias que permitan comprobar que cumplieron con las instrucciones y requerimientos formulados por esta Superintendencia.  Finalmente se concluyó que la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, al no ser responsable de la información respecto de los datos personales recolectados por la aplicación “pig.gi”, no se le puede endilgar el deber de cumplir instrucciones dentro del contexto de los supuestos fácticos que dan origen a la presente investigación SÉPTIMO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que fueron desvirtuados algunos argumentos que fundamentaron la resolución impugnada, por lo que la misma se modificara.

OCTAVO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de las sociedades FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, FARROW MÉXICO S.A.P.I de C.V. y FARROW VENTURES INC.,, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su apoderada al correo electrónico de notificación judicial de la sociedad mcmartinez@dlapipermb.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si las sociedades investigadas considera estrictamente necesario el acceso “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 28, VERSIÓN ÚNICA del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. en mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: REVOCAR el artículo primero de la parte resolutiva de la Resolución N°. 82702 del 30 de diciembre del 2020, el cual quedará así: “ARTÍCULO PRIMERO: Archivar la presente investigación respecto de los cargos impuestos a la sociedad FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, identificada con Nit. 900.894.894 – 8, de acuerdo con lo expuesto en la parte motiva de la presente resolución respecto de la investigación abierta por la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 ARTÍCULO SEGUNDO: MODIFICAR el artículo segundo de la parte resolutiva de la Resolución N°. 82702 del 30 de diciembre del 2020, el cual quedará así:

ARTÍCULO SEGUNDO: IMPONER una sanción pecuniaria a la sociedad FARROW MÉXICO S.A.P.I. de C.V. de NOVENTA Y DOS MILLONES QUINIENTOS SETENTA Y OCHO MIL DOSCIENTOS PESOS M/CTE ($92.578.200) correspondiente a 2600 Unidades de Valor Tributario (UVT), por el incumplimiento de los deberes establecidos: (i) literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención; y (iii) el literal o) del artículo 17 de la Ley 1581 de 2012 PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

En el recibo deberá indicarse el número del expediente y el número de la presente resolución. El pago deberá acreditarse ante la pagaduría de esta Superintendencia, con el original de la consignación, dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución.

ARTÍCULO TERCERO: MODIFICAR el artículo tercero de la parte resolutiva de la Resolución N°. 82702 del 30 de diciembre del 2020, el cual quedará así:

ARTÍCULO TERCERO: IMPONER una sanción pecuniaria a la FARROW VENTURES INC. de NOVENTA Y DOS MILLONES QUINIENTOS SETENTA Y OCHO MIL DOSCIENTOS PESOS M/CTE ($92.578.200) correspondiente a 2600 Unidades de Valor Tributario (UVT), por el incumplimiento de los deberes establecidos: (iv) literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y el artículo 22.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

(v) el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención; y (vi) el literal o) del artículo 17 de la Ley 1581 de 2012 PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, HOJA N 29, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Nit. 899999090-2.

ARTÍCULO CUARTO: CONFIRMAR en todo lo demás la Resolución N° 82702 del 30 de diciembre del 2020.

ARTÍCULO QUINTO: CONCEDER el recurso de apelación solicitado por la recurrente ARTÍCULO SEXTO: NOTIFICAR a las sociedades FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN, FARROW MÉXICO S.A.P.I de C.V. y FARROW VENTURES INC, a través de su apoderada judicial, entregándole copia del presente acto administrativo.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 03 SEPTIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente CARLOS ENRIQUE por CARLOS ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.09.03 21:22:03 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: SRB Revisó: AMCC Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: País: FARROW MÉXICO, S.A.P.I. de C.V. 530.712-1 ISAAC.

PHILLIPS P P. 499023674 Bahía de Santa Bárbara N°. 145 Col. Verónica Anzures, C.P. 11300. México, Distrito Federal México Apoderado: C.C. N° Correo Electrónico Dirección: Ciudad: MARIA CLAUDIA MARTÍNEZ BELTRÁN 53.907.508 mcmartinez@dlapipermb.com Carrera 7 N° 71-21 Torre B Oficina 602 Bogotá, D.C. Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: País: FARROW VENTURES INC. 47-1340603 ISAAC.

PHILLIPS P P.° 499023674 2140 South Dupont Highaway Camden – Delaware Estados Unidos Apoderado: C.C. N° Correo Electrónico Dirección: MARIA CLAUDIA MARTÍNEZ BELTRÁN 53.907.508 mcmartinez@dlapipermb.com Carrera 7 N° 71-21 Torre B Oficina 602 HOJA N 30, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN ÚNICA Ciudad: Bogotá, D.C. Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: FARROW COLOMBIA S.A.S. EN LIQUIDACIÓN Nit, 900.894.894-8 JOEL W. PHILLIPS C.E.558.437 Calle 8 N° 43 A -45 Medellín - Antioquía joel@pig.gi Apoderado: C.C. N° Correo Electrónico Dirección: Ciudad: MARIA CLAUDIA MARTÍNEZ BELTRÁN 53.907.508 mcmartinez@dlapipermb.com Carrera 7 N° 71-21 Torre B Oficina 602 Bogotá, D.C.

Resolución sancionatoria N° 57230 de 2021

CONSIDERANDO

ARTÍCULO

RESUELVE