Decisión 75008 de 2021 — SIC

REPÚBLICA DE COLOMBIA (Noviembre 22 de 2021) VERSIÓN ÚNICA Radicado 20-106617 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y CONSIDERANDO Primero. Que mediante Resolución No. 62132 de 5 de octubre de 2020 la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio, con el fin de garantizar el debido Tratamiento de Datos personales en el territorio de la República de Colombia emitió varias órdenes administrativas de carácter preventivo a las sociedades a ByteDance Ltd, Tiktok, Inc. y TikTok Pte.

Ltd. (corresponsables de la aplicación TikTok). Las órdenes administrativas de carácter preventivo que impartió́ esta autoridad mediante la Resolución No. 62132 de 5 de octubre de 2020 fueron las siguientes: “ARTÍCULO PRIMERO. ORDENAR a ByteDance Ltd, TIKTOK PTE. LTD. y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los Datos personales que recolectan o tratan en el territorio de la Republica de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informen en idioma castellano, de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus Datos personales y la finalidad del mismo;

“b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” TIKTOK como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá́ conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA PARÁGRAFO.

TIKTOK deberá́ cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO SEGUNDO: ORDENAR a ByteDance Ltd, TIKTOK PTE.

LTD. y TikTok Pte. Ltd. (en adelante TIKTOK) crear una Política de Tratamiento de Información (PTI) redactada en idioma castellano y que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). Dicha PTI debe ser puesta en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano. PARÁGRAFO.

TIKTOK deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO TERCERO. ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte.

Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 (incorporado en el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015) para la recolección y Tratamiento de los Datos personales de niños, niñas y adolescentes (menores de dieciocho -18- años edad).

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO CUARTO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte.

Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registren sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio. PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.

ARTÍCULO QUINTO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta Superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho -18- años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012.

PARÁGRAFO PRIMERO. TIKTOK deberá cumplir lo ordenado en este artículo dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. PARÁGRAFO SEGUNDO. Para demostrar el cumplimiento de lo anterior, TIKTOK deberá enviar a esta autoridad, al finalizar dicho plazo, una certificación emitida por una entidad o empresa, nacional o extranjera, independiente, imparcial, profesional y especializada en la que se acredite: El número de Autorizaciones que tiene TIKTOK desde la entrada en vigencia de la Ley Estatutaria 1581 de 2012 hasta el día anterior a que se expida la certificación. Que las Autorizaciones cumplen todos los requisitos exigidos por la regulación de la República de Colombia para la recolección y Tratamiento de los Datos personales de los niños, niñas y adolescentes.

PARÁGRAFO TERCERO. La entidad o empresa que seleccione TIKTOK para realizar el proceso de certificación de la existencia de las Autorizaciones, tendrá que ser ajena a su grupo empresarial, y estar libre de todo conflicto de interés que le reste independencia o cause cualquier tipo de subordinación respecto de TIKTOK. PARÁGRAFO CUARTO. La entidad o empresa certificadora deberá estar legitimada para tal fin, por la autoridad competente del país de su domicilio.

Lo anterior, solo en el caso de que la regulación del mismo lo requiera a fin de emitir esa clase de certificaciones. Si en dicho país no se exige lo anterior, bastará con que la misma sea independiente, imparcial, profesional y especializada en temas de Tratamiento de Datos personales y/o evidencia digital.” Segundo. Que en el término legal establecido, mediante escrito 20-106617-29 de 7 de diciembre de 2020, TIKTOK PTE.

LTD. (en adelante, la recurrente) presentó recurso de reposición y en subsidio apelación contra la Resolución No. 62132 de 5 de octubre de 2020, con fundamento en los siguientes hechos y argumentos: 1. Tiktok Pte. no fue notificado debidamente de la resolución o la apertura del procedimiento administrativo a. Tiktok Pte. fue indebidamente notificado de la Resolución “( ) TikTok Pte.

No ha autorizado el uso del correo electrónico legal@tiktok.com como un canal de comunicaciones autorizado con TikTok Pte. para recibir comunicaciones administrativas y judiciales. Además de lo anterior y no menos importante, el artículo 67 del CPACA, respecto de la notificación personal por medios electrónicos dispone que “procederá siempre y cuando el interesado acepte ser notificado a través del correo electrónico legal@tiktok.com.

De esta manera, la Resolución no ha sido debidamente notificada a TikTok Pte. b. Tiktok Pte. no fue debidamente notificado de la actuación administrativa “De manera similar la actuación administrativa no fue debidamente notificada a TikTok Pte. TikTok Pte. tiene conocimiento de que el 30 de abril de 2020 la SIC remitió un correo electrónico a la dirección legal@tiktok.com en la que se refiere genéricamente a “TIKTOK”.

( ) RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA No obstante, TikTok Pte. nunca recibió tal comunicación informando sobre el inicio de esta actuación administrativa. ( ) Además no es jurídicamente posible enviar una comunicación a un correo electrónico aleatorio, que no está adscrito a una sociedad, y esperar que éste sea un mecanismo válido de notificación para efectos de una actuación administrativa.

( ) Además ninguna parte de la Comunicación señala que TikTok Pte. podría eventualmente ser destinataria de una orden administrativa en el evento en que la SIC tuviera alguna inconformidad con el estado de cumplimiento de la normativa colombiana en relación con la App. ( ) En suma, la SIC omitió la Resolución sin haberle informado debidamente a TikTok Pte. de la iniciación de la actuación administrativa, ni concederle en debida forma la oportunidad de participar en la conformación de la voluntad de la Entidad, y en desconocimiento del derecho de defensa y contradicción al que tienen derecho por ley”. 2.

A TikTok Pte. le fue negado su derecho constitucional al debido proceso “Dado que TikTok Pte. no fue debidamente notificado de la apertura de la actuación administrativa y no fue debidamente notificado de la Resolución, a TikTok Pte. le fue negado su derecho constitucional al debido proceso”. a. TikTok Pte. fue negado de su derecho constitucional a ser notificado “( ) Pues bien, como viene de decirse, desde los mismos considerandos de la Resolución se puede evidenciar que TikTok Pte. no fue notificada ni informada sobre la iniciación de la actuación administrativa.

( ) la misma SIC reconoce que omitió vincular a TikTok Pte. en la iniciación de la actuación administrativa, de manera contraria a las garantías legales y constitucionales que le asisten a mi representada. A pesar de lo anterior, TikTok Pte. fue sorprendida al conocer de la existencia de un acto administrativo que contiene órdenes en su contra, el cual ni siquiera le fue notificado.

( ) Mi cliente desconoce si la SIC efectivamente envió las comunicaciones mencionadas a alguna otra dirección electrónica o física que mi representada ignora, adicional a los medios por lo que la SIC los habría obtenido la dirección de correo electrónico y dirección física. Lo que sí es cierto, es que TikTok Pte. nunca recibió las comunicaciones mencionadas ni las constancias de las actuaciones que se relacionan en el Sistema de Consulta.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA ( ) Corresponde a la SIC la carga de identificar cuáles con [sic] los canales adecuados para notificar a una sociedad extranjera, sin ningún tipo de domicilio u operación en el territorio colombiano. No basta con enviar un correo electrónico cuyo dominio esté relacionado a la marca TikTok.

( )” b. TikTok Pte. fue negado de su derecho constitucional a participar de forma efectiva en el procedimiento administrativo y de ejercer adecuadamente su derecho de defensa “( ) la SIC nunca informó a TikTok Pte. sobre la iniciación de la actuación administrativa ni sobre las oportunidades para ejercer su derecho de contradicción. Tampoco le otorgó la oportunidad de pronunciarse sobre las consideraciones de la SIC ni tampoco tuvo conocimiento de la intención de ésta de proferir un acto administrativo en su contra.

Según obra en el expediente, el 30 de abril de 2020 la SIC envió la Comunicación simplemente dirigida a “TIK TOK”, sin especificar a qué sociedad o persona jurídica hacía referencia. ( ) Adicionalmente, pongo de presente que la posibilidad de interponer recursos contra actos administrativos como la Resolución no es suficiente garantía del debido proceso administrativo ( ) ( ) la Resolución debe ser revocada, y la actuación administrativa debe ser reiniciada de forma que se adecúe a los lineamientos y garantías mínimas del debido proceso.

Solo así podrá la SIC contar con toda la información relevante para establecer si la App cumple o no con la regulación colombiana en materia de protección de datos, y quiénes son los responsables del tratamiento de estos datos que además serán los llamados a cumplir las órdenes de la SIC”. 3. La resolución debe ser revocada porque está basada en una falsa motivación, ya que contiene hechos y conclusiones contrarias a la realidad “La Resolución, de forma inapropiada, contiene hechos y conclusiones que son contrarias a la realidad, por lo que está basada en una falsa motivación y debe ser revocada ( ).

En el presente caso, la Resolución se fundamenta en hechos contrarios a la realidad y contiene imprecisiones de derecho que obligan a la revocatoria del acto de acuerdo con la presente solicitud. A lo largo de la Resolución, la SIC agrupa y se refiere a tres personas jurídicas como “TIKTOK”. Así mismo [sic], en la Resolución la SIC concluye que las tres sociedades finalmente involucradas serían todas responsables de la recolección y el tratamiento de datos a través de la App.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA ( ) no es cierto ni hay prueba en el expediente de que todas las sociedades destinatarias de la norma tengan el mismo grado de relacionamiento con la App o con los datos eventualmente recolectados a través de esta última. De hecho, en el expediente no hay ningún análisis del grado de participación individual que cada una de estas sociedades tendría en la recolección de datos que se realiza a través de la App, y este análisis es fundamental para determinar la legitimación en la causa por pasiva de las sociedades mencionadas en la Resolución, así como la competencia de la SIC para requerir, y eventualmente investigar y sancionar a las mismas.

A la fecha mi representada no tiene conocimiento de por qué se omitió vincularla oportunamente a la actuación administrativa, ni por qué la SIC considera que TikTok Pte. estaría desconociendo la ley colombiana en materia de protección de datos personales”. 4. La ley de protección de Datos en Colombia no es aplicable al Tratamiento realizado por TikTok Pte.

“TikTok Pte., pese a ser una compañía que por la naturaleza de los servicios que ofrece, realiza el tratamiento de datos personales, no ostenta la calidad de destinatario de la norma de protección de datos en Colombia. No obstante, manifiesta que es una empresa que cumple con los altos estándares en materia de protección y procesamiento de datos en todos sus esfuerzos en crear un entorno seguro para los usuarios de los servicios de la sociedad de la información como TikTok.

La SIC en la Resolución asume que la Ley Colombiana 1581 de 2012 aplica a TikTok Pte. Esto es incorrecto por las siguientes razones: (i) el alcance del ámbito de aplicación de la norma de protección de datos está siendo aplicado de forma inadecuada en el caso en particular y por ende a TikTok Pte. no le aplica la ley nacional por las razones establecidas en este documento, (ii) no existe una normatividad en Colombia respecto a cookies que haya establecido de forma clara y vinculante los términos de aplicación de la ley al uso de este tipo de tecnologías, (iii) existe una violación al debido proceso ya que a TikTok Pte. no se le ha puesto de presente y/o corrido traslado del contenido del acta 086-20-106617, ni (iv) existe una debida motivación de la Resolución, como acto administrativo, donde se fundamente adecuadamente el alcance y tratamiento de las cookies en Colombia y por qué alega la SIC que a TikTok Pte. le es aplicable la regulación en virtud del uso de las mismas.

( )” a. El tenor de la normatividad aplicable en relación a la localización de TikTok Pte. y con el ámbito de aplicación territorial “TikTok Pte. no cuenta con presencia local en Colombia.- Tal y como lo indica el Despacho, los destinatarios de la Ley de Protección de Datos son aquellos que bajo el artículo de la Constitución Política sean nacionales y/o extranjeros ubicados en Colombia.

TikTok Pte. es una empresa extranjera que no cuenta con presencia legal ni material en Colombia, así las cosas, no le resultan aplicables los presupuestos jurídicos en el ordenamiento colombiano. ( )” b. Existe una indebida interpretación del Despacho en relación con el tenor de la norma en cuanto a la aplicación territorial de la normativa local RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA “Revisado particularmente el ámbito de la aplicación encontramos que de acuerdo al artículo 2 de la Ley 1581 de 2012 la, “ley aplicará al tratamiento de datos personales efectuando en el territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales”.

Al respecto, reiteramos que TikTok Pte. ha entendido que no realiza ningún tipo de tratamiento de datos en territorio colombiano, en tanto que (i) su actividad no está cubierta por el ámbito territorial de aplicación de la norma colombiana y (ii) además no existe una normativa local que indique cómo las cookies recolectarían efectivamente datos personales en el territorio colombiano. ( ) La extraterritorialidad en la aplicación de la norma para Responsables y Encargados, está condicionada a la existencia de normas y tratados internacionales en conjunto y no como escenarios alternativos.

No encontramos en el ordenamiento jurídico colombiano normas o tratados que faculten a la autoridad colombiana a realizar la aplicación extraterritorial que se pretende en [sic] caso en cuestión ( ) Entendemos la intención de la SIC, al impartir órdenes a sociedades extranjeras respectos del tratamiento de datos personales según se interpreta en la Resolución. Sin embargo, resulta evidente que la lectura sobre el ámbito de aplicación ampliado que pretende dar la autoridad no es la lectura natural del texto legal actual ni de la sentencia que analizó su constitucionalidad.

Esto, ya que en ningún aparte se hace una referencia directa a la posibilidad de aplicar la norma al mencionado tratamiento, sin la existencia de normas y tratados que lo permita. Menos aún en el caso en que la sociedad receptora de la instrucción no cuenta con presencia alguna en el territorio colombiano. Si la autoridad pretende darle esa interpretación a la norma de protección de datos personales en Colombia, se requeriría una modificación sustancial de la misma, la cual debe surtir todos los procesos legislativos requeridos.

( ) Adicionalmente, la SIC está soportando la aplicabilidad de la norma en la acción de recolección de datos en el territorio colombiano a través de herramientas tecnológicas como cookies, sin que en Colombia haya una regulación puntual de este tipo de tecnologías, sino sustentando su alcance en la acción misma de recolección sin entrar a detallar en qué medida, bajo la normativa local aplicable, se entiende que un dato personal es recolectado en Colombia a través de este tipo de herramientas tecnológicas ( )” c. No existe una norma local en relación con cookies ni tampoco una debida motivación de las razones por las que la SIC entiende que TikTok Pte. está utilizando cookies que recolectan datos personales en Colombia “( ) pareciera que el Despacho, reclama jurisdicción sobre TikTok Pte. con base en una declaración de cookies para el territorio europeo, sin embargo, esta conclusión se basa en una aplicación inadecuada de técnica jurídica y apreciación indebida de pruebas puesto que utiliza referencias a la normativa europea, y a la política de tratamiento de datos europea, mismas que según el Despacho lo menciona, no aplicarían para Colombia.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA No sería procedente para el Despacho entonces, basar su interpretación, motivación o conclusión en una información que el Despacho ha entendido que le es aplicable a una jurisdicción distinta y que por ende atiende a condiciones diferentes en materia de tratamiento de datos. Revisadas las consideraciones del Despacho existe una evidente contradicción al señalar que TikTok Pte. no cuenta con Política de Privacidad en castellano aplicable a Colombia.

Sin embargo, la SIC utiliza la Política de Privacidad publicada y aplicable para el Espacio Económico Europeo (EEE), el Reino Unido de Gran Bretaña e Irlanda del Norte o la Confederación Suiza para realizar el análisis de cumplimiento de la norma colombiana de protección de datos personales y decretar un incumplimiento, cuando de plano resultaría, según lo mencionado por la SIC, improcedente el análisis en tanto que dicho instrumento de autorregulación no estaría – según lo entiende el Despacho, destinado para el territorio colombiano. ( ) Al no existir normativa relativa a cookies o tecnologías similares ni guía al respecto, desconocemos, como entiende esa autoridad el manejo de cookies, la clasificación de las mismas y la obligatoriedad de cumplimiento de obligaciones específicas.

Por lo tanto, como se evidencia en este escrito, insistimos en la necesidad de una debida motivación de la Resolución. En línea con lo anterior, existe una amplia gama de cookies y tecnologías similares, algunas de las cuales recolectan datos personales y algunas de las cuales no lo hacen. No se desprende de la lectura, ni existe un sustento legal relativo vigente y vinculante en relación con la clasificación de las cookies y a lo que entiende el ordenamiento jurídico colombiano por cada una de ellas, cómo trata datos personales, ni tampoco la motivación de donde se derive que particularmente TikTok Pte. está realizando un tratamiento de datos personales con base en cookies en el territorio colombiano. ( ) En cualquier caso, no existe una relación vinculante entre la interpretación de la Legislación Europea realizada por la Agencia Española de Protección de Datos y la ley colombiana, que mantiene silencio en relación con este tema, atentando contra la seguridad jurídica que debe primar para que las personas a quienes se dirige la normativa puedan desarrollar sus actividades también en atención y en virtud de los principios fundamentales que les amparan.

Se comprende que la SIC utilice como referencia guías internacionales para el desarrollo de algunos conceptos, sin embargo, estas guías no pueden ser consideradas como vinculante cuando no hay un tratado o una ley vigente que la imponga como derecho aplicable. Al fundamentar, el Despacho su decisión de aplicabilidad de la normativa colombiana solamente en una decisión extranjera, sin ninguna base legal en la Ley colombiana, se constituye en una violación abierta a la seguridad jurídica.

Lo anterior, en la medida en que bajo la regulación actual en Colombia no existe derecho positivo que dé certeza a los actores respecto de la aplicabilidad de la ley en el marco de tecnologías como las cookies. Entendemos que la SIC no debe crear consecuencias jurídicas en el territorio colombiano con normativa y/o jurisprudencia extranjera que no resulta vinculante en el territorio colombiano. ( ) RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Los pronunciamientos de la SIC en relación a las cookies están basados en conceptos que no pueden reemplazar la falta de base legal, para fundamentar un acto administrativo ( ) La definición de cookies citada por el Despacho, tomando como base la Agencia Española, y el Concepto 172268 del 2021, señala que: “las cookies son archivos que recogen información a través de una página web sobre los hábitos de navegación de un usuario o de su equipo y eventualmente podrían conformar una base de datos de acuerdo a la definición legal de la Ley 1581 de 2012.

( ) señalamos al Despacho que no se ha puesto en conocimiento de TikTok Pte. prueba alguna que evidencie la utilización de estas herramientas tecnológicas dentro del territorio colombiano en los términos descritos, por lo que no es posible afirmar que le sea aplicable la regulación colombiana de protección de datos, en tanto que la definición citada no corresponde a la actividad realizada por TikTok Pte. d. La falta de notificación del Acta 086-20-106617, para efectos de réplica y defensa por mi apoderada y la consecuente violación al debido proceso “Otro punto que llama la atención sobre las consideraciones del Despacho y los fundamentos para impartir las ordenes [sic] son las conclusiones del acta 086-20-106617 la cual no fue expuesta a TikTok Pte. para que ésta ejerciera su derecho de réplica y defensa, y especialmente explicara el alegado uso de cookies en el territorio colombiano por parte de Tik Tok Pte.

( ) Reiteramos que TikTok Pte. no es destinatario de las órdenes impartidas en la Resolución y que además las instrucciones allí incluidas no resultarían aplicables, por cuanto entiende que (i) no le aplica la ley nacional por las razones expuestas, (ii) no existe una normatividad nacional que regule el uso y tratamiento de datos a través de cookies, (iii) existe una violación al debido proceso, por cuanto no se ha puesto de presente el contenido del acta 086-20106617, y (iv) existe una indebida motivación ya que no se fundamenta debidamente le alcance regulatorio de las cookies en Colombia y el por qué considera el Despacho que TikTok Pte. se vincula en virtud del su [sic] uso de las mismas.

En todo caso, si la SIC insiste en que tiene competencia y razones para adelantar un procedimiento administrativo en contra de TikTok Pte., deberá iniciar nuevamente el presente trámite y permitir que TikTok Pte. se pronuncie y ejerza plenamente sus derechos desde el inicio de la actuación Petición Revocar la Resolución No. 62132 de 5 de octubre de 2020.

Tercero. Que mediante Resolución 14025 de 16 de marzo de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 62132 de 5 de octubre de 2020. Cuarto.Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA en el escrito de reposición y en subsidio apelación contra la Resolución No. 62132 de 5 de octubre de 2020 se procede a resolver el recurso interpuesto de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO 1.

Funciones del Despacho del Superintendente Delegado para la Protección de Datos Personales. El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)” 2. Cookies y recolección de Datos personales Una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar sus Datos. Adicionalmente, TIKTOK define el término cookie, en su Política de Privacidad como “( ) las cookies son pequeños archivos de texto que nos permiten, tanto a nosotros como a nuestros proveedores de servicios y socios, identificar su navegador o dispositivo de forma exclusiva para varios propósitos, incluidos los descritos anteriormente.

Normalmente, las cookies funcionan asignando un número único a su dispositivo y se almacenan en su navegador por los sitios web que visita, así como por los proveedores de servicios externos y socios de dichos sitios web. Las cookies pueden permanecer en su ordenador o dispositivo móvil durante diferentes periodos de tiempo. Algunas cookies son las denominadas «cookies de sesión»; estas cookies solamente existen mientras el navegador permanece abierto y se eliminan automáticamente una vez que lo cierra.

Las cookies de sesión no pueden utilizarse para rastrear su navegador o su dispositivo de un sitio web a otro. Existen otras cookies conocidas como «cookies persistentes», que sobreviven tras cerrar el navegador. La mayoría de las cookies persistentes están configuradas para caducar de forma automática transcurrido un tiempo determinado (por ejemplo, unos días, semanas o 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA meses). Cuando regrese a ese sitio web (o visite otros sitios web que utilizan las mismas cookies) el proveedor del sitio web o sus proveedores de servicios pueden reconocer las cookies persistentes que han configurado y reconocer su dispositivo de navegación ( )” 2. Asimismo afirma, “Al igual que muchos sitios web y aplicaciones, nuestra Plataforma utiliza cookies y otras tecnologías de seguimiento como los kits de desarrollo de software (SDK), los píxeles y el almacenamiento local.

Estas tecnologías nos permiten almacenar información o acceder a la información almacenada en su dispositivo a fin de habilitar ciertas funciones y distinguir su dispositivo de otros.” 3 (Énfasis añadido). https://www.tiktok.com/legal/cookie-policy?lang=es Autoridades de protección de datos de varios países -Uruguay, España, Irlanda, Reino Unido, Italia y Estados Unidos- y el Tribunal de Justicia de la Unión Europea (TJUE) se han referido a la definición de cookies y su función. De las mismas se concluye, entre otras, lo siguiente: 2 https://www.tiktok.com/legal/cookie-policy?lang=es 3 https://www.tiktok.com/legal/cookie-policy?lang=es RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA a) Las cookies se instalan en los equipos de las personas (teléfonos celulares, tablets, computadoras o cualquier otro dispositivo que almacene información); b) La finalidad de las “cookies” es recolectar o almacenar datos personales (nombre de usuario, un identificador único, dirección de correo electrónico, las búsquedas que realiza de cada usuario y sus hábitos de navegación en internet, sitios que una personas visita en la web) y otros tipos de información; c) Las cookies son un mecanismo de rastreo o de seguimiento de las personas.

Por ejemplo, permiten realizar trazabilidad detallada de las búsquedas de un usuario en internet o de sus hábitos de navegación; d) La recolección o almacenamiento de información mediante las cookies constituye un tratamiento de datos personales. Veamos: En el caso de la República Oriental del Uruguay, la Unidad Reguladora y de Control de Datos Personales señala lo siguiente en su guía sobre “Cookies y perfiles”4: “La cookie es un tipo de archivo que almacena información del usuario y es enviada por un sitio web a través de un navegador.

Este archivo se descarga en computadoras, tablets, celulares o cualquier otro dispositivo, con la finalidad de almacenar datos que podrán ser actualizados o recuperados por el responsable de su instalación..” (Énfasis añadido) En el Reino de España, la Agencia Española de Protección de Datos señala lo siguiente en su “Guía sobre el uso de cookies” 5: “La LSSI resulta aplicable a las cookies entendidas en el sentido señalado al comienzo de esta guía, esto es, como cualquier tipo de dispositivo de almacenamiento y recuperación de datos que se utilice en el equipo terminal de un usuario con la finalidad de almacenar información y recuperar la información ya almacenada, según establece el artículo 22.2 de la LSSI.

Las cookies permiten el almacenamiento en el terminal del usuario de cantidades de datos que van de unos pocos kilobytes a varios megabytes.”. (Énfasis añadido). En la República de Irlanda, la Oficina del Comisionado de Protección de Datos publicó en el 2020 su guía sobre “Cookies y otras tecnologías de seguimiento” 6. En ella, se afirmó que: “Las cookies suelen ser pequeños archivos de texto almacenados en un dispositivo, como una PC, un dispositivo móvil o cualquier otro dispositivo que pueda almacenar información. Los dispositivos que pueden utilizar cookies también incluyen los llamados dispositivos de "Internet de las cosas" (IoT) que se conectan a Internet.

República Oriental del Uruguay, Unidad Reguladora y de Control de Datos Personales. Cookies y perfiles. En: https://www.gub.uy/unidad-reguladora-control-datos-personales/sites/unidad-reguladora-control-datospersonales/files/documentos/publicaciones/Guia%2Bcookies%2By%2Bperfiles.pdf Reino de España. Agencia Española de Protección de Datos.

Guía sobre el uso de cookies. En: https://www.aepd.es/es/documento/guia-cookies.pdf 6 Cfr. República de Irlanda. Oficina del Comisionado de Protección de Datos (2020) Guidance note: Cookies and other tracking technologies. En https://www.dataprotection.ie/sites/default/files/uploads/202004/Guidance%20note%20on%20cookies%20and%20other%20tracking%20technologies.pdf RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Las cookies cumplen una serie de funciones importantes, que incluyen recordar a un usuario y sus interacciones anteriores con un sitio web.

Se pueden usar, por ejemplo, para realizar un seguimiento de los artículos en un carrito de compras en línea o para realizar un seguimiento de la información cuando ingresa detalles en un formulario de solicitud en línea. Las cookies de autenticación también son importantes para identificar a los usuarios cuando inician sesión en servicios bancarios y otros servicios en línea (…) La información almacenada en las cookies puede incluir datos personales, como una dirección IP, un nombre de usuario, un identificador único o una dirección de correo electrónico.

Pero también puede contener datos no personales como configuraciones de idioma o información sobre el tipo de dispositivo que una persona está usando para navegar por el sitio”. (Énfasis añadido). En el Reino Unido de Gran Bretaña e Irlanda del Norte, la Oficina de la Comisión de Información publicó su “Guía sobre el uso de cookies y tecnologías similares” 7, en la cual se afirma lo siguiente: “Qué son cookies? Las cookies son pequeños fragmentos de información, que normalmente constan de letras y números, que los servicios en línea proporcionan cuando los usuarios los visitan.

El software en el dispositivo del usuario (por ejemplo, un navegador web) puede almacenar cookies y enviarlas al sitio web la próxima vez que lo visite. ¿Cómo se utilizan las cookies? Las cookies son una tecnología específica que almacena información entre visitas al sitio web. Se utilizan de diversas formas, como por ejemplo: • • • • recordar lo que hay en una “cesta” al comprar productos en línea; ayudar a los usuarios a iniciar sesión en un sitio web; analizar el tráfico de un sitio web; o seguimiento del comportamiento de navegación de los usuarios.

Las cookies pueden ser útiles porque permiten que un sitio web reconozca el dispositivo de un usuario. Se utilizan ampliamente para hacer que los sitios web funcionen o funcionen de manera más eficiente, así como para proporcionar información a los editores del sitio. Sin cookies, o algún otro método similar, los sitios web no tendrían forma de "recordar" nada sobre los visitantes, como cuántos artículos hay en una cesta de compras o si han iniciado sesión.” La Oficina Garante de la protección de datos personales de la República de Italia publicó este año (2021) sus Directrices para cookies y otras herramientas de seguimiento 8, en donde señalan, entre otras, lo siguiente: 7 Cfr. Reino Unido de Gran Bretaña e Irlanda del Norte.

Oficina de la Comisión de Información. Guidance on the use of cookies and similar technologies. En: https://ico.org.uk/for-organisations/guide-to-pecr/guidance-on-the-use-of-cookiesand-similar-technologies/ 8 Cfr. República de Italia. Oficina Garante de la protección de datos personales (2021) Linee guida cookie e altri strumenti di tracciamento - 10 giugno 2021 [9677876].

En: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876#english RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA “Las cookies son, por regla general, cadenas de texto que los sitios web visitados por el usuario (los llamados sitios web de 'editores' o 'propios') o diferentes sitios web o servidores web (los llamados 'terceros') colocan y almacenan en un dispositivo terminal en posesión del usuario, ya sea directamente, como es el caso de los sitios web de los editores, o indirectamente, como es el caso de los "terceros", es decir, a través de la intermediación de los sitios web de los editores.

Los dispositivos terminales a los que se hace referencia incluyen, por ejemplo, un ordenador, una tableta, un teléfono inteligente o cualquier otro dispositivo capaz de almacenar información. (…) (…) La información codificada en las cookies puede incluir datos personales, como una dirección IP, un nombre de usuario, un identificador único o una dirección de correo electrónico, pero también puede incluir datos no personales como la configuración de idioma o información sobre el tipo de dispositivo que está usando una persona para navegar dentro del sitio web.

Por lo tanto, las cookies pueden realizar funciones importantes y diversas, incluido el seguimiento de la sesión, el almacenamiento de información de acceso al servidor específica relacionada con la configuración del usuario, facilitar el uso de contenido en línea, etc. Por ejemplo, se pueden utilizar para realizar un seguimiento de los elementos en una cesta de la compra en línea o la información utilizada para completar un formulario informático”.

(Énfasis añadido). La Comisión Federal de Comercio (FTC) de los Estados Unidos de América define e indica los usos de las “cookies” en los siguientes términos: “Una cookie es información guardada por su navegador web. Cuando usted visita un sitio web, el sitio puede colocar una cookie en su navegador web para que pueda reconocer su dispositivo en el futuro.

Si regresa a ese sitio más adelante, puede leer esa cookie para recordarlo de su última visita y realizar un seguimiento de usted a lo largo del tiempo. Usos • • • • Recopilar información sobre las páginas que ve y sus actividades en el sitio Permitir que el sitio lo reconozca, por ejemplo: o Recordando su ID de usuario o Ofreciendo un carrito de compras en línea o Realizar un seguimiento de sus preferencias si vuelve a visitar el sitio web Personaliza tu experiencia de navegación Entregar anuncios dirigidos a usted” 9.

(Énfasis añadido). La FTC público la guía “Cómo Proteger tu Privacidad en línea” 10, en donde afirma lo siguiente: United States. Federal Trade Commission. What are cookies? En: https://www.ftc.gov/site-information/privacypolicy/internet-cookies Consultada el 16 de septiembre de 2021. 10 Estados Unidos de América. Comisión Federal de Comercio.

El texto completo de la guía puede consultarse en: https://www.consumidor.ftc.gov/articulos/como-proteger-su-privacidad-en-linea RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA “Lo que hay que saber acerca del rastreo en línea Cookies Cuando usted visita un sitio web, el sitio podría colocar un archivo llamado una cookie en su navegador o explorador de internet.

Los sitios web usan cookies para personalizar su experiencia de navegación en internet. Cuando un sitio web coloca una cookie en su navegador, esa es una cookie de origen. A continuación, se enumeran algunos ejemplos de cómo pueden usar las cookies de origen los sitios web: • Un sitio web de noticias le muestra el estado del tiempo en su localidad y artículos sobre temas de su interés. • Un sitio web recuerda su nombre de usuario o los artículos que dejó en su carro de compras en línea.

Los sitios web que usted visita suelen permitir que otras compañías también coloquen cookies, por ejemplo, para mostrarle anuncios personalizados o dirigidos de acuerdo a sus intereses. Estas son cookies de terceros. A continuación, algunos ejemplos de cookies de terceros: • Una compañía de publicidad le coloca una cookie y ve que usted visitó un sitio web sobre carreras a pie.

Entonces, cuando usted visita otros sitios web, le muestra un anuncio de calzado deportivo para correr. • Una compañía analítica usa una cookie para obtener detalles sobre su visita a un sitio web, por ejemplo, cuánto tiempo pasó en ese sitio y qué paginas visitó. Puede usar la información que recolecta para detectar problemas con el sitio y mejorarlo.” (Énfasis fuera de texto).

Finalmente, el Tribunal de Justicia señaló lo siguiente en la sentencia con asunto C‐673/1711 del 1 de octubre de 2019: “(…) las cookies tienen como finalidad recabar información con fines publicitarios para los productos de las empresas colaboradoras del organizador del juego promocional (…)” De la resolución de remisión se desprende que las cookies son ficheros que el proveedor de un sitio de Internet coloca en el ordenador de los usuarios de dicho sitio y a los que puede acceder nuevamente, cuando estos vuelven a visitar el sitio, con el fin de facilitar la navegación en Internet o las transacciones o de obtener información sobre el comportamiento de dichos usuarios.

(…) Con carácter preliminar ha de precisarse que, según las indicaciones que figuran en la resolución de remisión, las cookies que pueden colocarse en el equipo terminal de los usuarios que participan en el juego con fines promocionales organizado por Planet49 llevan un número que se adjudica a los datos de registro de dicho usuario, SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala) de 1 de octubre de 2019 en el asunto C‐673/17.

En: https://curia.europa.eu/juris/document/document.jsf;jsessionid=437F394E00932160C3A97E1093FF4B09?text=&docid=21 8462&pageIndex=0&doclang=ES&mode=lst&dir=&occ=first&part=1&cid=6852262 RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA quien debe inscribir su nombre y su dirección en el formulario de participación de dicho juego. El órgano jurisdiccional remitente añade que la asociación de ese número y esos datos personaliza los datos almacenados por las cookies cuando el usuario se sirve de Internet, de modo que la recogida de tales datos mediante las cookies constituye un tratamiento de datos personales.

Estas indicaciones fueron confirmadas por Planet49, quien subrayó en sus observaciones escritas que el consentimiento correspondiente a la segunda casilla constituye una autorización de recogida y tratamiento de datos personales, y no de información anónima. Una vez realizadas estas precisiones, procede señalar que, conforme al artículo 5, apartado 3, de la Directiva 2002/58, los Estados miembros velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la información ya almacenada, en el equipo terminal de un usuario cuando dicho usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46”.

(Énfasis añadido). 3. La ley colombiana aplica al Tratamiento de Datos efectuado en el territorio colombiano sin distinguir si el mismo se realiza mediante mecanismos físicos o herramientas tecnológicas Manifiesta lo siguiente el apoderadao de TIKTOK, PTE., “TikTok Pte., pese a ser una compañía que por la naturaleza de los servicios que ofrece, realiza el tratamiento de datos personales, no ostenta la calidad de destinatario de la norma de protección de datos en Colombia.

No obstante, manifiesta que es una empresa que cumple con los altos estándares en materia de protección y procesamiento de datos en todos sus esfuerzos en crear un entorno seguro para los usuarios de los servicios de la sociedad de la información como TikTok. La SIC en la Resolución asume que la Ley Colombiana 1581 de 2012 aplica a TikTok Pte.

Esto es incorrecto por las siguientes razones: (i) el alcance del ámbito de aplicación de la norma de protección de datos está siendo aplicado de forma inadecuada en el caso en particular y por ende a TikTok Pte. no le aplica la ley nacional por las razones establecidas en este documento, (ii) no existe una normatividad en Colombia respecto a cookies que haya establecido de forma clara y vinculante los términos de aplicación de la ley al uso de este tipo de tecnologías, (iii) existe una violación al debido proceso ya que a TikTok Pte. no se le ha puesto de presente y/o corrido traslado del contenido del acta 086-20-106617, ni (iv) existe una debida motivación de la Resolución, como acto administrativo, donde se fundamente adecuadamente el alcance y tratamiento de las cookies en Colombia y por qué alega la SIC que a TikTok Pte. le es aplicable la regulación en virtud del uso de las mismas.

( ) Revisado particularmente el ámbito de la aplicación encontramos que de acuerdo al artículo 2 de la Ley 1581 de 2012 la, “ley aplicará al tratamiento de datos personales efectuando en el territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales”.

Al respecto, reiteramos que TikTok Pte. ha entendido que no realiza ningún tipo de tratamiento de datos en territorio colombiano, en tanto que (i) su actividad no está cubierta por el ámbito territorial de aplicación de la norma colombiana y (ii) además no existe una RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA normativa local que indique cómo las cookies recolectarían efectivamente datos personales en el territorio colombiano. ( ) La extraterritorialidad en la aplicación de la norma para Responsables y Encargados, está condicionada a la existencia de normas y tratados internacionales en conjunto y no como escenarios alternativos.

( ) Adicionalmente, la SIC está soportando la aplicabilidad de la norma en la acción de recolección de datos en el territorio colombiano a través de herramientas tecnológicas como cookies, sin que en Colombia haya una regulación puntual de este tipo de tecnologías, sino sustentando su alcance en la acción misma de recolección sin entrar a detallar en qué medida, bajo la normativa local aplicable, se entiende que un dato personal es recolectado en Colombia a través de este tipo de herramientas tecnológicas ( )” ( ) Reiteramos que TikTok Pte. no es destinatario de las órdenes impartidas en la Resolución y que además las instrucciones allí incluidas no resultarían aplicables, por cuanto entiende que (i) no le aplica la ley nacional por las razones expuestas, (ii) no existe una normatividad nacional que regule el uso y tratamiento de datos a través de cookies, (iii) existe una violación al debido proceso, por cuanto no se ha puesto de presente el contenido del acta 086-20106617, y (iv) existe una indebida motivación ya que no se fundamenta debidamente le alcance regulatorio de las cookies en Colombia y el por qué considera el Despacho que TikTok Pte. se vincula en virtud del su [sic] uso de las mismas.

Al respecto, el campo de aplicación de la ley colombiana no ha sido ampliado ni modificado por esta autoridad. Tampoco ha sido objeto de una interpretación arbitraria. Simplemente se ha aplicado lo que establece el texto de la misma. Para el efecto, se ha utilizado un principio general de interpretación jurídica según el cual en donde la ley no distingue, no le es dado al intérprete hacerlo.

Principio que en este caso resulta plenamente aplicable porque TIKTOK PTE. LTD. realiza Tratamiento de Datos en el territorio colombiano mediante el uso de cookies. Si la ley colombiana no distingue la forma ni los mecanismos como se realiza el Tratamiento en el territorio colombiano, pues no le corresponde a esta autoridad excluir el uso de cookies como una de tales herramientas.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA La citada regla de interpretación jurídica ha sido utilizada por la Corte Constitucional y la Corte Suprema de Justicia para adoptar algunas decisiones. A continuación nos permitimos transcribir lo esencial, no solo para recordar la existencia de ese principio sino para reiterar que esta autoridad no ha hecho nada diferente a aplicar la ley colombiana: • CORTE SUPREMA DE JUSTICIA. SALA DE CASACIÓN PENAL.

AUTO INTERLOCUTORIO DE 3 DE MAYO DE 2017 (AP2789-2017. RADICACIÓN N.° 49891. APROBADO ACTA N.º 124) MP. DR. FERNANDO ALBERTO CASTRO CABALLERO12.: “ Acorde con el principio interpretativo que reza que donde la ley no distingue no le es dado al interprete hacerlo, se concluye que si la Ley 1820 no excluyó de manera explícita como destinatarios de sus preceptos a los ex integrantes de las FARC - EP, por ejemplo a causa de anterior desmovilización en los términos de la Ley 975 de 2005 u otra normatividad, mal podría haberlo hecho como lo hizo en este caso la Sala de Justicia y Paz del Tribunal Superior de Bogotá” • CORTE CONSTITUCIONAL, SENTENCIA C-317 DEL 3 DE MAYO DE 2012.

MP. DRA MARÍA VICTORIA CALLE CORREA13. “Al respecto la Corte considera que no le asiste razón al demandante pues si bien la Constitución contiene una atribución expresa de representación gubernamental para la iniciativa legislativa en cabeza de los Ministros, y no una atribución similar para la iniciativa constituyente, resulta plenamente aplicable al tema, el principio general de interpretación jurídica según el cual donde la norma no distingue, no le corresponde distinguir al intérprete, no resultando jurídicamente viable deducir, por esta vía, reglas constitucionales implícitas que contrarían el texto mismo del artículo 208 Superior, cuyo mandato general de vocería gubernamental no establece tal diferenciación.” (Énfasis añadido) • CORTE CONSTITUCIONAL, SENTENCIA C-127 DE 22 DE ABRIL DE 2020.

MP. DRA. CRISTINA PARDO SCHLESINGER14.: “Por lo anterior, en desarrollo del principio general de interpretación jurídica según el cual donde la norma no distingue, no le corresponde distinguir al intérprete, no resulta viable deducir la existencia de la regla de exclusión implícita a que aluden los demandantes.” (Énfasis añadido). Esta Delegatura no ha sido arbitraria en sus interpretaciones, ni mucho menos ha acomodado supuestos fácticos.

Únicamente ha aplicado el texto del artículo 2 de la citada ley, a saber: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

Como se mencionó, tanto para la Constitución de la República de Colombia como para la precitada ley es importante la recolección y el Tratamiento de Datos sin que sea relevante El texto puede leerse en: En: https://www.cortesuprema.gov.co/corte/wpcontent/uploads/relatorias/pe/b2may2017/AP2789-2017.pdf 13 El texto completo de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2012/C-31712.htm 14 La sentencia puede consultarse en: https://www.corteconstitucional.gov.co/Relatoria/2020/C-127-20.htm RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías (cookies) conocidas o por conocer para dicho efecto.

Se recalca que el literal g) del artículo 3 de la Ley Estatutaria 1581 de 2012 define Tratamiento como, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”. (Énfasis añadido). Esa definición legal es neutral tecnológicamente porque cobija el Tratamiento realizado mediante cualquier medio físico o electrónico como, entre otras, las “cookies”.

TIKTOK PTE. LTD. realiza Tratamiento de Datos personales en territorio colombiano porque usa cookies para recolectar Datos personales en el territorio de la República de Colombia. Razón suficiente, para que de conformidad con lo establecido en el artículo 2 de la Ley Estatutaria 1581 de 2012 cumpla con lo estipulado en dicha ley y sus normas reglamentarias.

Una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos personales. Por lo tanto, TIKTOK PTE. LTD. recolecta y trata Datos personales en el territorio colombiano, razón por la cual debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias.

En conclusión, TIKTOK PTE. LTD. mediante mecanismos electrónicos recolecta Datos personales en el territorio de la República de Colombia. Por ende, el Tratamiento de Datos personales que realiza TIKTOK PTE. LTD. está sujeto a la legislación colombiana. En otras palabras, la Ley Estatutaria 1581 de 2012 es aplicable a TIKTOK PTE. LTD. porque recolecta Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en Colombia, es decir realiza un Tratamiendo sobre los mismos.

En virtud de lo anterior, no asiste razón a TIKTOK PTE. LTD. en cuanto a que no le es aplicable la Ley Estatutaria 1581 de 2012. 4. De la relación entre BYTEDANCE LTD. y TIKTOK Pte. El día 4 de marzo de 2021 la Dirección de Investigación de Protección de Datos Personales a fin de desatar el recurso de reposición presentado, verificó el enlace https://www.bytedance.com/en/.

Allí evidenció la siguiente estructura corporativa: tecnología, como, por ejemplo, las cookies o la inteligencia artificial, siempre y cuando se respeten las normas en la materia. RESOLUCIÓN NÚMERO 75008legislación para DE cada 2021innovación tecnológica, a sabiendas HOJAque No. Considerar necesario una nueva el lenguaje de la Ley 1581 de 2012 es neutral temática y tecnológicamente, es arcaico y contrario a una efectiva protecciónPor del laderecho constitucional y fundamental debido Tratamiento deVERSIÓN Datos ÚNICA cual se resuelve un recurso deal apelación personales.

III. DEL GRUPO EMPRESARIAL BYTEDANCE De acuerdo con información publicada por el grupo empresarial de Bytedance en su página web, https://www.bytedance.com/en/, las principales entidades operativas del Grupo a fecha del 30 de junio de 2020 son las siguientes: Imagen obtenida de https://www.bytedance.com/en/ el 4 de marzo de 2021 Página 9 Resolución No. 14028 de 16 de marzo de 2021 Cuando la empresa alcanza dimensiones económicas de importancia y está provista de una organización compleja, y extendiendo su acción a varios mercados, asume inevitablemente su configuración bajo la dirección de una el caso estudio, Así pues, al constatar que la unificada recurrente en sociedad efecto, directora hace2.

En parte del bajo grupo empresarial BYTEDANCE LTD.Ltd.tal y como lo demuestra el esquema anterior, grupo que a su vez es ByteDance dueño de la aplicación TIKTOK Pte. Ltd., en mayor o menor medida, contribuye al desarrollo, distribución2 Francesco y explotación de societarios la marca TikTok. Incluidos los(Editorial productos, servicios y Galgano, Los grupos Dirección y coordinación de sociedades, Universidad del aplicaciones que están disponibles en el territorio colombiano, y que usan personas Rosario, Bogotá, 2012), 11. domiciliadas o residentes en el mismo para los fines señalados en la política de privacidad de la aplicación TikTok.

De esta manera, BYTEDANCE LTD. en concurso con TIKTOK PTE. LTD. tienen la obligación de garantizar que la aplicación TikTok y los servicios que ofrecen, respeten la legislación colombiana, así como las órdenes y requerimientos emitidos por parte de esta autoridad, en cumplimiento de la Ley 1581 de 2012 y sus decretos reglamentarios. El artículo 2 de la Ley 1581 de 2012 define Responsable como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.

Por su parte, aquel artículo define Encargado como la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de Datos personales por cuenta del Responsable del Tratamiento”. De ambas definiciones se puede destacar que tanto el Responsable como el Encargado pueden ser una o varias personas, naturales o jurídicas que ostenten dicha calidad.

Se entiende pues, que en un Tratamiento de Datos personales pueden existir varios responsables o corresponsables. Así, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo. RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Al final, es un Tratamiento diseñado por los miembros de un grupo empresarial en la que se divide el trabajo para alcanzar ciertos objetivos, pero, al final, unos y otros son responsables y corresponsables del Tratamiento de Datos personales.

Entonces, BYTEDANCE LTD y TIKTOK PTE. LTD. son corresponsables del Tratamiento de Datos personales realizado en el territorio de la República de Colombia por la aplicación TikTok y los servicios que ofrece esa plataforma tecnológica. Principio de primacía de la realidad sobre las formas El artículo 53 de la Constitución Política Nacional es el fundamento jurídico de este principio.

Según la Corte Constitucional, “La primacía de la realidad sobre las formalidades establecidas por los sujetos de las relaciones laborales, es un principio constitucional (…) El mencionado principio agota su cometido al desentrañar y hacer triunfar la relación de trabajo sobre las apariencias que hayan querido ocultarla.”15 De conformidad con este principio, prima la realidad material sobre las formalidades o apariencias jurídicas.

La aplicación del mismo implica desestimar la forma y las apariencias e imponer la materialidad de lo que sucede en la práctica. Este principio no solo es aplicable a las relaciones laborales sino a otras situaciones. En este sentido, en relación con otros campos del derecho, la Corte Suprema de Justicia, en Sentencia de 24 de julio de 2012 (radicado No. 2005-00595-01), consideró que: “Para averiguar el querer de los obligados, a más del tenor literal de sus cláusulas y las directrices establecidas en los artículos 1618 a 1624 del Código Civil, 5 y 823 del Código de Comercio, debe tener en cuenta el intérprete diversos factores que inciden en el acuerdo, tales como las condiciones particulares de los intervinientes y su proceder en los diferentes momentos contractuales, esto es, antes, durante y después de su celebración, de tal manera que se refleje de manera precisa el ánimo que los inspiró a vincularse (…)” Dado lo anterior, para este Despacho es relevante determinar lo que ocurre en la realidad y lo que se ha definido “formalmente” entre las empresas en cuestión. Así pues, en este caso, se dio prevalencia a lo que pasa en la práctica entre BYTEDANCE LTD. y las demás compañías que conforman el grupo empresarial mencionado.

Es bien conocido el aforismo del derecho que señala, “las cosas son lo que su naturaleza y no lo que su denominación determina”. O, lo que es igual, el principio de irrelevancia del nomen iuris, o principio de primacía de la realidad (las cosas son lo que son y no lo que las partes dicen que son). 5. La Ley 1581 de 2012 es aplicable a TIKTOK PTE.

LTD. porque recolecta Datos personales en el territorio de la República de Colombia a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en Colombia Estas son las razones constitucionales y legales por las cuales no son de recibo los argumentos de TikTok Pte. mediante los cuales concluye que la Ley Estatutaria 1581 de 2012 no le es aplicable. 15 Cfr. Corte Constitucional, sentencia C-555 de 1994.

M.P. Dr. Eduardo Cifuentes Muñoz RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA El artículo 2 de la Ley Estatutaria 1581 de 2012 dispone: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

El artículo 15 de la Constitución Política Colombiana, por su parte, establece el derecho fundamental al debido Tratamiento de Datos personales, de la siguiente manera: “Todas las personas tienen (…)derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución ( )”. (Énfasis añadido). Nótese como para la propia Constitución de la República de Colombia es importante la recolección y el Tratamiento de Datos sin que sea relevante si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías conocidas o por conocer para dicho efecto.

Para la Constitución Política Nacional lo determinante es que la recolección o el Tratamiento de Datos no se haga de cualquier manera sino respetando la libertad y demás garantías establecidas en la misma. Como es sabido, el literal g) de su artículo 3 de la Ley Estatutaria 1581 de 2012 define Tratamiento como, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

(Énfasis añadido). El significado legal de Tratamiento tiene varias características: En primer lugar, es omnicomprensiva porque incluye toda actividad, operación o conjunto de operaciones sobre Datos personales. Además, no se limita a los ejemplos enunciativos del citado concepto legal sino que, abarca cualquier otro que involucre directa o indirectamente el uso, almacenamiento o circulación de Datos personales.

Sobre este punto, la Corte Constitucional señaló en el numeral 2.5.9. de la Sentencia C-748 de 2011 que, “lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia”.

(Destacamos). En segundo lugar, la operación o conjunto de operaciones sobre Datos personales puede ser realizada directa o indirectamente por una o varias personas de forma tal que, en un Tratamiento de Datos personales pueden existir varios Responsables o corresponsables. Debe precisarse que, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo.

Puede ser un Tratamiento diseñado por una organización en la que se divide el trabajo para alcanzar ciertos objetivos pero, al final, unos y otros son Responsables y corresponsables del Tratamiento de Datos personales. RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA En tercer lugar, es neutral tecnológicamente porque cobija el Tratamiento realizado mediante cualquier medio físico o electrónico como, entre otras, las “cookies”.

Como se señaló, el artículo 2 de la Ley Estatutaria 1581 de 2012 ordena que ” La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

El el término “Tratamiento” no solo se menciona en el artículo 15 de la Constitución Política de la República de Colombia, sino que, es determinante para establecer el campo de aplicación de la citada ley, la cual lo define de la siguiente manera: Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a. El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “tratamiento de datos personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b. El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el presente caso, TikTok Pte. se encuentra dentro de lo señalado en el literal a) porque usa “cookies” para recolectar o realizar tratamiento Datos personales en el Territorio de la República de Colombia. En suma, se concluye por parte de esta Autoridad que, sin lugar a dudas, una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos Personales.

Por lo tanto, TIKTOK PTE. LTD. recolecta y trata Datos personales en el territorio colombiano, razón por la cual debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias. La investigada afirma y reconoce en sus políticas, las cuales son de acceso público en su página web, que utiliza la tecnología cookies para recopilar información de los ciudadanos, lo cual en últimas y de conformidad con la Ley Estatutaria 1581 de 2012 es un Tratamiento: Como se vio, la Ley 1581 de 2012 fija de manera expresa su ámbito de aplicación “al tratamiento de datos personales efectuado en territorio colombiano”.

Entonces, como las web cookies se instalan por parte de TIKTOK PTE. LTD. en equipos ubicados en Colombia, RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA el Tratamiento de la información recolectada por este medio, se somete al cumplimiento de la Ley 1581 de 2012. La Ley colombiana no distigue si el Tratamiento se debe hacer de determinada manera ni excluye ninguna forma, herramienta, tecnología o proceso para recolectar o tratar Datos personales.

De esta manera, si se adelanta recoleccion de Datos en el territorio colombiano aplica la ley colombiana. Esta entidad no está realizando una sustitución normativa sino aplicando la ley colombiana al presente caso. En suma, el Tratamiento de Datos Personales que realiza TIKTOK PTE. LTD. está sujeto a la legislación de la República de Colombia en virtud de la recolección de información de ciudadanos y residentes en este territorio.

La Ley Estatutaria 1581 de 2012 es aplicable a TIKTOK PTE. LTD. porque recolecta Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en Colombia, es decir, realiza un Tratamiendo sobre los mismos. 6. Del Tratamiento de Datos personales de los niños, niñas y adolescentes Cada día aumenta el uso de servicios digitales, portales web, redes sociales y aplicaciones tecnológicas por parte de los niños, niñas y adolescentes (en adelante NNA).

Los NNA son personas altamente influenciadas por la tecnología, internet y las redes sociales. Los menores de edad tienen acceso a internet a través de celulares, tabletas y computadores. La aparición de las redes sociales, los juegos en línea y los espacios de aprendizaje en internet, han abierto nuevos escenarios de interacción para los niños, niñas y adolescentes.

Lo que estos desconocen, es que cuando se accede a páginas en internet, de forma casi automática, se recaban Datos que permiten a los portales de internet y a terceros, saber quién ha accedido; en qué ubicación se encuentra; qué tipo de información consume; entre otros. Así las cosas, los Datos personales de niños, niñas y adolescentes son recolectados, usados y tratados por empresas, personas y entidades públicas ubicadas en diferentes partes del mundo.

Adicionalmente, los menores de edad comparten su información personal ignorando los peligros a los que se exponen al suministrar sus Datos y la información de terceros (amigos; compañeros de colegio; su familia) en plataformas web de manera indiscriminada. Nombres; apellidos; fotos; videos; comentarios; la edad; los gustos y preferencias;

Datos como correo electrónico; entre otros, son compartidos por los menores de edad sin pensar que estos hacen parte de su información personal y privada, que hace parte de su identidad digital. Tampoco tienen presente que una vez difunde su información en internet perderán control de la misma. Lo que se hace en internet deja huella y una vez se pone información en la red se pierde control sobre la misma porque puede ser recolectada y usada por terceros.

Igualmente, cada vez que los NNA se registran en las redes sociales, en páginas de internet, aplicaciones o en las páginas de juegos en línea, están creando una identidad digital a partir de sus Datos personales. Progresivamente han venido aumentado los casos que evidencian los riesgos y peligros a que se ven expuestos las NNA que interactúan en las redes sociales digitales y otros canales digitales.

Esas redes y tecnologías, por sí solas no son el problema, pero, infortunadamente, algunas personas han encontrado en las mismas un escenario perfecto para realizar RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA conductas indebidas. El acoso sexual “grooming”, el acoso online “ciberbullying”, los chantajes, la pornografía, las amenazas e invasiones de su privacidad están al orden del día. La Organización para la Cooperación y el Desarrollo Económico (OCDE) estableció los “principios para un entorno digital seguro y beneficioso para los niños” 16 en donde pone de presente que, entre otras, las organizaciones públicas y privadas que desempeñan un papel activo en el establecimiento de políticas y prácticas o en la prestación de servicios para los niños en el entorno digital, deben: a) Defender el interés superior del niño como consideración primordial, e b) Identificar cómo se pueden proteger y respetar los derechos de los niños en el entorno digital y tomar las medidas adecuadas para hacerlo.

Adicionalmente, señala la OCDE que se deben tomar medidas para ayudar a los niños a darse cuenta de los beneficios y disfrutar de aquellos en el entorno digital al: • Apoyar a los padres, tutores y cuidadores en su papel fundamental de evaluar y minimizar los riesgos a daños y optimizar los beneficios para sus hijos tanto en línea como fuera de línea; • Asegurar que los niños y sus padres, tutores y cuidadores sean conscientes de sus derechos en el entorno digital y establecer mecanismos accesibles para hacer cumplir dichos derechos, incluidos los mecanismos de denuncia u otros recursos legales; • Apoyar a los niños y a sus padres, tutores y cuidadores para que comprendan: o los derechos de los niños como Titulares de información; y o la forma en que se recopilan, tratan, comparten y utilizan los Datos personales de los niños; • Defender y respetar el derecho de los niños a expresar libremente sus opiniones y su capacidad, según corresponda teniendo en cuenta su edad y madurez, para participar en los asuntos que les afecten en el entorno digital; • Dar a conocer a los niños, así como a sus padres, tutores y cuidadores, los servicios legales, psicosociales o terapéuticos disponibles para los niños que requieran asistencia como resultado de actividades o acciones en el entorno digital, y facilitar el acceso a estos; y • Desarrollar mecanismos para generar consciencia a los niños, padres, tutores y cuidadores de las prácticas comerciales en línea que puedan causar daños a los niños.

En línea con lo anterior, y dentro del marco de sus competencias legales como autoridad de protección de datos, la Superintendencia de Industria y Comercio (SIC) está facultada para ejercer “la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”17.

A continuación nos referiremos a esta función de esta entidad. 7. De la facultad que tiene la Superintendencia de Industria y Comercio para emitir órdenes en relación con el debido Tratamiento de Datos personales En el recurso interpuesto se argumentó que esta entidad no tiene las facultades legales para imponerle a TIKTOK PTE. LTD. las órdenes impartidas mediante la Resolución No. 62132 de 5 de octubre de 2020, en los siguientes términos: 16 Cfr. OECD (2021).

Recommendation of the Council on Children in the Digital Environment. En: https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0389 17 Cfr. Artículo 19 de la Ley Estatutaria 1581 de 2012 RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA “( ) pareciera que el Despacho, reclama jurisdicción sobre TikTok Pte. con base en una declaración de cookies para el territorio europeo, sin embargo, esta conclusión se basa en una aplicación inadecuada de técnica jurídica y apreciación indebida de pruebas puesto que utiliza referencias a la normativa europea, y a la política de tratamiento de datos europea, mismas que según el Despacho lo menciona, no aplicarían para Colombia”.

La afirmación de la recurrente es contraria a derecho porque la Ley Estatutaria 1581 de 2012 expresamente faculta a esta entidad para emitir órdenes o impartir las instrucciones que considere necesarias para que el Tratamiento de Datos personales se realice conforme con dispuesto con la ley. En el artículo 19 de esta ley, se le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “(…) la vigilancia necesaria para garantizar que en el tratamiento [sic] de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, su artículo 21 determina cuáles funciones ejercerá la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; (…) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.

(Destacamos). Visto lo anterior, contrario a lo afirmado por la recurrente, sí existen expresas y suficientes facultades legales para que esta autoridad pueda impartir órdenes o instrucciones. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales.

Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.” En suma, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales a compañías como la investigada.

Por eso, esta entidad ha sido respetuosa del principio de legalidad y ha obrado conforme con lo establecido en el derecho colombiano. RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA 8. TikTok Pte. tiene la obligación de cumplir la legislación colombiana, así como las órdenes y requerimientos de esta autoridad, en cumplimiento de la Ley 1581 de 2012 Nuestra Constitución Política Nacional establece: Artículo 4.

“(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades” 18. Artículo 333 “(…) La actividad económica y la iniciativa privada son libres, dentro de los límites del bien común. Para su ejercicio, nadie podrá exigir permisos previos ni requisitos, sin autorización de la ley.

La libre competencia económica es un derecho de todos que supone responsabilidades. La empresa, como base del desarrollo, tiene una función social que implica obligaciones.. (Destacamos). Entonces, es la misma Constitución Política la que dispone el cumplimiento de la normatividad a los extranjeros que estén en este territorio. La cual incluye, además de la Carta Superior, el sometimiento a la ley en general, así como a las órdenes de autoridades administrativas, entre otras. 9.

Del debido proceso en la actuación administrativa y de los Datos personales que recolecta TIKTOK PTE. LTD. A continuación se transcriben afirmaciones de TIKTOK PTE. LTD. y posteriormente se responde cada una de ellas como complemento o reiteración -en algunos casos- de lo señalado sobre esos aspectos en el acto administrativo recurrido y la presente resolución: Afirma lo siguiente el apoderado de de TIKTOK, PTE., “pongo de presente que la posibilidad de interponer recursos contra actos administrativos como la Resolución no es suficiente garantía del debido proceso administrativo ( ) ( ) la Resolución debe ser revocada, y la actuación administrativa debe ser reiniciada de forma que se adecúe a los lineamientos y garantías mínimas del debido proceso.

Solo así podrá la SIC contar con toda la información relevante para establecer si la App cumple o no con la regulación colombiana en materia de protección de datos, y quiénes son los responsables del tratamiento de estos datos que además serán los llamados a cumplir las órdenes de la SIC”. ( ) En el presente caso, la Resolución se fundamenta en hechos contrarios a la realidad y contiene imprecisiones de derecho que obligan a la revocatoria del acto de acuerdo con la presente solicitud.

( ) En cualquier caso, no existe una relación vinculante entre la interpretación de la Legislación Europea realizada por la Agencia Española de Protección de Datos y la ley colombiana, que mantiene silencio en relación con este tema, atentando contra la seguridad jurídica que debe “Dicho reconocimiento genera al mismo tiempo la responsabilidad en cabeza del extranjero de atender cabal y estrictamente el cumplimiento de deberes y obligaciones que la misma normatividad consagra para todos los residentes en el territorio de la República pues, así lo establece, entre otras disposiciones, el artículo 4o. inciso segundo de la Carta (…)”.

Corte Constitucional, Sentencia C-1259 de 2001 RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA primar para que las personas a quienes se dirige la normativa puedan desarrollar sus actividades también en atención y en virtud de los principios fundamentales que les amparan. Se comprende que la SIC utilice como referencia guías internacionales para el desarrollo de algunos conceptos, sin embargo, estas guías no pueden ser consideradas como vinculante cuando no hay un tratado o una ley vigente que la imponga como derecho aplicable.

Al fundamentar, el Despacho su decisión de aplicabilidad de la normativa colombiana solamente en una decisión extranjera, sin ninguna base legal en la Ley colombiana, se constituye en una violación abierta a la seguridad jurídica. Lo anterior, en la medida en que bajo la regulación actual en Colombia no existe derecho positivo que dé certeza a los actores respecto de la aplicabilidad de la ley en el marco de tecnologías como las cookies.

Entendemos que la SIC no debe crear consecuencias jurídicas en el territorio colombiano con normativa y/o jurisprudencia extranjera que no resulta vinculante en el territorio colombiano. ( ) Como se mencionó, esta Delegatura no desconoció el principio de legalidad, sino que aplicó lo que ordena la ley colombiana. De esta manera, se hizo una remisión expresa a los fundamentos constitucionales, legales y tecnológicos señalados, entre otras, en las siguientes partes de esta resolución: - - Cookies y recolección de Datos personales;

La ley colombiana aplica al Tratamiento de Datos efectuado en el territorio colombiano sin distinguir si el mismo se realiza mediante mecanismos físicos o herramientas tecnológicas; La Ley 1581 de 2012 es aplicable a TIKTOK PTE. LTD. porque recolecta Datos personales en el territorio de la República de Colombia a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en Colombia.

Según el artículo 26 de Código Civil, “Los jueces y los funcionarios públicos, en la aplicación de las leyes a los casos particulares y en los negocios administrativos, las interpretan por vía de doctrina, en busca de su verdadero sentido, así como los particulares emplean su propio criterio para acomodar las determinaciones generales de la ley a sus hechos e intereses peculiares”.

(Énfasis añadido). Son respetables los argumentos de TIKTOK PTE. LTD. para defender sus intereses frente a la actuación administrativa. Pero no por ello son aceptables y ajustados a derecho. El hecho de que esta autoridad no comparta el criterio ni las interpretaciones de TIKTOK PTE. LTD. para proteger sus intereses empresariales no significa que esta Delegatura haya obrado de forma contraria a lo ordenado por la Constitución Política Nacional y la Ley Estatutaria 1581 de 2012 junto con sus normas reglamentarias.

El apoderado de TIKTOK, PTE. reiteró que en el recurso bajo estudio que, la resolución impugnada se basó en varios hechos contrarios a la realidad y contiene imprecisiones de derecho: “La Resolución, de forma inapropiada, contiene hechos y conclusiones que son contrarias a la realidad, por lo que está basada en una falsa motivación y debe ser revocada ( ).

De la lectura de los actos administrativos se puede constatar que el acto administrativo recurrido fue suficientemente motivado conforme con la regulación colombiana. RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Adicionalmente, reiteramos los fundamentos legales señalado por esta Delegatura respecto del ámbito de aplicación de la Ley Estatutaria 1581 de 2012.

La recurrente también se refiere a que no pudo contribuir efectivamente al proceso de formación del acto administrativo impugnado, ni pudo ejercer adecuadamente su derecho de defensa. Sobre este particular, en el expediente reposa evidencia de las comunicaciones realizadas a TIKTOK PTE. LTD. para que ejerza su derecho de defensa. Como fruto de lo anterior, dicha empresa nombró un apoderado quien ha presentado los recursos de reposición y apelación con sus argumentos y pruebas que han sido analizados para adoptar la decisión recurrida y el presente acto administrativo. 10.

De la autorización informada y los deberes del Responsable del Tratamiento de Datos personales De acuerdo con lo establecido por la ley colombiana, es necesario tener en cuenta las siguientes normas: “Artículo 17 de la Ley 1581 de 2012. Deberes de los Responsables del Tratamiento ( ) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización [sic] otorgada por el Titular;

( )” “Artículo 4 de la Ley 1581 de 2012. Principios para el Tratamiento de datos personales ( ) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización [sic], o en ausencia de mandato legal o judicial que releve el consentimiento;

( )” “Artículo 9 de la Ley 1581 de 2012. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización [sic] previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. “Artículo 5 del Decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015).

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos [sic] personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Artículo 13 del Decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015). “ Políticas de Tratamiento de la información. Los responsables [sic] del tratamiento RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

( ) 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. ( ) 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. ( )” “Artículo 12 de la Ley 1581 de 2012. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Lo anterior se trata simplemente de lo establecido por la regulacion colombiana interpretada con las herramientas hermenéuticas de nuestro ordenamiento jurídico. 11.

Datos personales de niños, niñas y adolescentes. Sujetos de especial protección. Dada la importancia de los niños, niñas y adolescentes (NNA), a continuación nos referiremos a sus derechos en la Constitución de la República de Colombia y en la Ley 1098 de 2006 (Código de la Infancia y la adolescencia) así como a los derechos de los NNA frente al tratamiento de sus datos personales y la autorización que exige la ley para que la recolección de sus datos sea lícito.

Adicionalmente, se precisa que según la ley colombiana los NNA son menores de 18 años de edad. A. Los derechos de los niños, niñas y adolescentes en nuestra Constitución Política y en la Ley 1098 de 2006 (Código de la Infancia y la Adolescencia) Conviene empezar por referir lo establecido en el artículo 44 de Constitución Política colombiana donde se da prevalencia a la protección de los niños, niñas y adolescentes, RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA quienes son sujetos que gozan de una protección reforzada por parte del Estado, señalando específicamente que: “Son derechos fundamentales de los niños: la vida, la integridad física, la salud y la seguridad social, la alimentación equilibrada, su nombre y nacionalidad, tener una familia y no ser separados de ella, el cuidado y amor, la educación y la cultura, la recreación y la libre expresión de su opinión. Serán protegidos contra toda forma de abandono, violencia física o moral, secuestro, venta, abuso sexual, explotación laboral o económica y trabajos riesgosos.

Gozarán también de los demás derechos consagrados en la Constitución, en las leyes y en los tratados internacionales ratificados por Colombia. La familia, la sociedad y el Estado tienen la obligación de asistir y proteger al niño para garantizar su desarrollo armónico e integral y el ejercicio pleno de sus derechos. Cualquier persona puede exigir de la autoridad competente su cumplimiento y la sanción de los infractores.

Los derechos de los niños prevalecen sobre los derechos de los demás”. (Destacamos). Dentro de la normatividad colombiana se acoge y desarrolla el principio de protección integral, en virtud del cual se establece un conjunto de derechos y garantías encaminados a proteger los derechos de los niños, niñas y adolescentes (NNA) como sujetos que gozan de protección especial de acuerdo con lo establecido en el artículo 44 mencionado.

Y, entre otras, establece el deber del Estado de protegerlos ante cualquier acción que afecte sus derechos a la intimidad y al buen nombre. En este sentido el Código de la Infancia y la Adolescencia19 en su artículo 7, adopta el principio de la protección integral así: “Protección Integral. Se entiende por protección integral de los niños, niñas y adolescentes el reconocimiento como sujetos de derechos, la garantía y cumplimiento de los mismos, la prevención de su amenaza o vulneración y la seguridad de su restablecimiento inmediato en desarrollo del principio del interés superior.

La protección integral se materializa en el conjunto de políticas, planes, programas y acciones que se ejecuten en los ámbitos nacional, departamental, distrital y municipal con la correspondiente asignación de recursos financieros, físicos y humanos”. Este principio es el parámetro fundamental para las acciones de protección a cargo de la familia, la sociedad y el Estado, así como las garantías a favor de los niños, niñas y adolescentes, entre las que están aquellas encaminadas a garantizar el goce efectivo del derecho a la intimidad y el respeto de su dignidad humana, dispuesto en el artículo 33 de Ley 1098 de 2006 (Código de la Infancia y la Adolescencia): “Derecho a la Intimidad.

Los niños, las niñas y los adolescentes tienen derecho a la intimidad personal, mediante la protección contra toda injerencia arbitraria o ilegal en su vida privada, la de su familia, domicilio y correspondencia. Así mismo, serán protegidos contra toda conducta, acción o circunstancia que afecte su dignidad”. B. Según la ley colombiana, los niños, niñas y adolescentes son menores de 18 años El artículo 3 de la Ley 1098 de 2006 establece: 19 Diario Oficial No. 46.446 de 8 de noviembre de 2006 RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA “Sujetos titulares de derechos.

Para todos los efectos de esta ley son sujetos titulares de derechos todas las personas menores de 18 años. Sin perjuicio de lo establecido en el artículo 34 del Código Civil, se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad”. (Destacamos). Esta disposición debe ser concordada con la norma prevista en el artículo 28 del Código Civil Colombiano, el cual se refiere al significado de las palabras así: “Las palabras de la ley se entenderán en su sentido natural y obvio, según el uso general de las mismas palabras; pero cuando el legislador las haya definido expresamente para ciertas materias, se les dará en éstas su significado legal”.

(Énfasis añadido). Al realizar un análisis conjunto y sistemático de las normas mencionadas ha sido el legislador el que determinó lo que debe entenderse por menor de edad (niño, niña y/o adolescente). C. De la Autorización para recolectar y tratar lícitamente los Datos personales de niños, niñas y adolescentes El artículo 15 de la Constitución Política Nacional, establece que “en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.

Esta norma fue reglamentada por la Ley Estatutaria 1581 de 2012 que no solo define como “Tratamiento” cualquier actividad que se realice con Datos personales sino que en el artículo 19 determina que, “La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” El Título III de la Ley 1581 de 2012, incluye dentro de la categoría especial de Datos personales, los de los niños, niñas y adolescentes, señalando expresamente en su artículo 7: “En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes.

Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública (…)”. (Énfasis añadido). En este punto resulta necesario traer a colación las consideraciones iniciales realizadas por la Corte Constitucional en la Sentencia C-748 de 2011 al examinar la constitucionalidad del artículo mencionado: “2.9.3.4.

El examen de constitucionalidad del artículo 7 A la luz de lo expuesto precedentemente, esta Corporación considera que el principio del interés superior de los niños, las niñas y adolescentes se concreta, en el caso particular, en el establecimiento de condiciones que permitan garantizar los derechos de los menores de 18 años en la sociedad de la Información y el Conocimiento, dentro de la cual se encuentran las herramientas de Internet y redes sociales.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Se concluye entonces, ante la evidencia del entorno inmediato que rodea el proceso de crecimiento y desarrollo de los niños, las niñas y los adolescentes en el aspecto físico, mental y emocional; y la urgencia del reconocimiento de su dignidad humana, que todos los actores involucrados en el aseguramiento y efectividad de los derechos de los menores de 18 años deben cumplir con sus responsabilidades en la protección de los mismos, concretamente, en la salvaguarda de sus datos personales”.

(Subrayado fuera del texto). El artículo 9, por su parte, recalca lo siguiente en relación con la Autorización del Titular, “Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por su parte, el Decreto 1074 de 2015 precisa: “Artículo 2.2.2.25.2.9.

Requisitos especiales para el tratamiento [sic] de datos [sic] personales de niños, niñas y adolescentes. El Tratamiento de datos [sic] personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos [sic] de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1.

Que responda y respete el interior superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y presente capítulo. La familia y la sociedad deben velar porque los responsables [sic] y encargados [sic] del tratamiento [sic] de los datos [sic] personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo”.

(Énfasis añadido). La Corte Constitucional mediante la Sentencia T-260 de 2012 señaló: “La afectación de los derechos fundamentales en redes sociales ( ) puede generarse en el momento en el cual el usuario se registra en la red escogida, durante su participación en la plataforma, e incluso en el momento en que decide dejar de utilizar el servicio.

En el estudio sobre la privacidad de los datos personales y la seguridad de la información en las redes sociales on line, realizado por el Instituto Nacional de Tecnologías de la Comunicación - Agencia Española de Protección de Datos- se señala que el primer momento crítico se sitúa al momento del registro del usuario y la configuración del perfil, pues este incidirá en el derecho a la intimidad y en el honor y la honra en caso de que el usuario no establezca adecuadamente su perfil de privacidad en el momento del registro, ya sea por desconocimiento o porque la red no disponga de estas opciones de configuración. Los derechos de los usuarios pueden RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA verse afectados además con la publicación de contenidos e información en la plataforma –fotos, videos, mensaje, estados, comentarios a publicaciones de amigos, “pues los alcances sobre la privacidad de los mismos pueden tener un alcance mayor al que consideró el usuario en un primer momento, ya que estas plataformas disponen de potentes herramientas de intercambio de información, de capacidad de procesamiento y de análisis de la información facilitada por los usuarios”.

En el caso en particular de los menores de edad los riesgos están íntimamente relacionados con lo siguiente: los niños y niñas tienen la posibilidad de acceder en las redes sociales a contenidos de carácter inapropiado para su edad; los menores tienen la posibilidad de iniciar contacto on line, e incluso físicamente con usuarios malintencionados; existe proliferación de la información personal gráfica de los menores, ya sea publicada por ellos mismos o por terceros con desconocimiento de los riesgos a los cuales pueden ser expuestos.

Las anteriores circunstancias pueden exponer a los niños y niñas, en caso de no acceder al mundo de las redes sociales con el debido acompañamiento de los padres a situaciones como abusos, discriminación, pornografía y otros que pueden incidir de manera negativa en su crecimiento y desarrollo armónico e integral. Tales riesgos pueden ser evitados si se tiene conocimiento acerca del funcionamiento y las políticas de privacidad de los diferentes sitios en línea, en especial de las redes sociales.

De allí que en el caso específico de los menores de edad, en especial niños y niñas, el acceso a las redes sociales debe darse con el acompañamiento de los padre o personales responsables de su cuidado, a fin de que éstos sean consientes de que si bien en mundo de la información y la tecnología implica un sinnúmero de beneficios para su desarrollo, al mismo tiempo genera una serie de riesgos que se pueden evitar con un correcto manejo de la información y con una adecuada interacción con los demás miembros de la red”.

Asimismo, la misma corporación en la Sentencia T-620 de 2019 determinó en relación con los menores de edad (entiéndase el significado establecido en el Código de la Infancia y la Adolescencia): “Entonces, la labor periodística no puede ser utilizada para publicar contenido de manera irresponsable, que revele datos íntimos de menores de edad sin la autorización previa de su titular y sus representantes legales, pues por su situación de indefensión, vulnerabilidad y debilidad, los niños, niñas y adolescentes deben ser especialmente protegidos por la familia, la sociedad y el Estado”.

(Énfasis añadido). De acuerdo con todo lo anterior se concluye que el Tratamiento de los Datos personales de los menores de edad responde al interés constitucional de los mismos. Los niños, niñas y adolescentes son Titulares del derecho fundamental de habeas data y del debido tratamiento de sus datos personales. La autorización para el tratamiento de esa información debe ser otorgada por el representante legal del niño, niña o adolescente, tal como lo señala el artículo 12 del Decreto 1377 de 2013.

Así las cosas, las órdenes impartida se ajustan a lo que ordena la regulación vigente. Dichas órdenes son claras y fáciles de cumplir porque se reducen a que dicha empresa cumpla lo que ordenan las normas citadas. 12. De la responsabilidad demostrada frente al Tratamiento de los Datos personales de menores de edad RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Finalmente, a pesar de las buenas prácticas dentro de las organizaciones, existe un incumplimiento de la Ley 1581 de 2012, las buenas prácticas no se ponen en discusión, lo que se está ordenando mediante el acto administrativo impugnado es que se cumpla la norma en su totalidad.

Las buenas prácticas son tenidas en cuenta por la SIC, sin embargo en ocasiones existen falencias palmarias e indiscutibles en las políticas de Tratamiento de Datos, La Superintendencia de Industria y Comercio lo único que ha hecho es dar cumplimientro al mandato constitucional del articulo 44 de dar prevalencia o preferencia a los derechos de los menores de edad.

Por lo tanto, no comparte los argumentos presentados por TikTok Pte. porque no se ajustan a derecho ni a la realidad de lo señado en resolución recurrida. 13. Las órdenes no son sanciones De la primera parte del literal b) del artículo 21 de la Ley 1581 de 2012, es claro que la función establecida en ese literal no solo se ejerce para imponer sanciones frente a la violación del Régimen General de Protección de Datos Personales.

Al contrario, esa norma también se aplica dentro del ejercicio de las funciones de vigilancia, pedagogía, control, etc., diferentes al poder sancionatorio frente al incumplimiento de la Ley. El literal b) del artículo 21 de la Ley 1581 de 2012 establece que la Superintendencia ejercerá la función de: “b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;” (Negrita fuera del original). Esta función legal contiene la posibilidad de “ordenar las medidas” que sean necesarias para hacer efectivo el derecho de habeas data.

Ahora bien, la norma exige que esas medidas deben ser impuestas luego de una investigación, iniciada de oficio o a petición de parte. Es necesario aclarar que esa investigación, empero, no siempre termina con una sanción, como sucede en el procedimiento administrativo sancionatorio desarrollado en virtud del artículo 47 de la Ley 1437 de 2011, sino que también puede finalizar con una orden o instrucción. De otra manera, el término “investigación” al que se refiere la norma citada no puede ser equiparado con el procedimiento administrativo sancionatorio al que se refiere la norma antes mencionada.

En el presente caso la investigación se realizó dentro del expediente 18-233402 y siguiendo el procedimiento administrativo general, señalado en los artículos 34 y siguientes de la Ley 1437 de 2011. Por supuesto que las órdenes o instrucciones se pueden impartir de forma paralela a una sanción, luego de realizado el procedimiento administrativo sancionatorio.

Sin embargo, ese procedimiento particular no es requisito esencial para impartir órdenes o instrucciones diferentes a las sanciones. Si esta entidad busca impartir una orden o instrucción, no está obligado a seguir un proceso administrativo sancionatorio; cosa distinta sucede cuando la actuación administrativa deriva en una sanción (de las señaladas en el artículo 23 de la Ley 1581 de 2012), caso en el cual indudablemente debe adecuar su actuación obligatoriamente al procedimiento administrativo sancionatorio dispuesto en el artículo 47 de la Ley 1437 de 2011. 14.

De la notificación de TIKTOK, PTE. LTD. RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Tal como quedó demostrado en las páginas 16 y 17 de la Resolución No. 14025 de 16 de marzo de 2021, en esta actuación administrativa se surtieron todos los procesos de notificación correspondientes: Asimismo la recurrente afirma que, “( ) TikTok Pte.

No ha autorizado el uso del correo electrónico legal@tiktok.com como un canal de comunicaciones autorizado con TikTok Pte. para recibir comunicaciones administrativas y judiciales. Frente a lo anterior, se demostró en sede de reposición que esa afirmación era contraria a lo publicado en el enlace https://www.tiktok.com/legal/law-enforcement: RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA 15.

De la orden para acreditar evidencia de las Autorizaciones Mediante el artículo quinto de la Resolución No. 62132 de 5 de octubre de 2020 se ordenó a “ByteDance Ltd, TikTok, Inc y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta Superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho -18- años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012”.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Este Despacho considera innecesario que se acredite prueba de dichas Autorizaciones porque, a la fecha, no existe queja de ningún niño, niña o adolescente respecto del Tratamiento de sus Datos por parte de TikTok Pte. El proceso administrativo que originó la resolución recurrida fue fruto de una actuación de oficio para verificar si dicha empresa cumple con la regulación colombiana sobre Tratamiento de Datos personales.

Frente a las irregularidades detectadas se emitieron órdenes pertinentes en los artículos primero; segundo; tercero y cuarto del citado acto administrativo. Dado lo anterior, se revocará el artículo quinto de la parte resolutiva del acto administrativo No. 62132 de 5 de octubre de 2020, sin perjuicio de reiterar que cualquier persona tiene derecho a solicitar dicha Autorización y TikTok Pte.

(Responsable del Tratamiento) tiene el deber legal de suministrar copia de la misma tal y como lo ordenan los siguientes artículos de Ley Estatutaria 1581 de 2012: “ARTÍCULO 8o. DERECHOS DE LOS TITULARES. El Titular de los datos personales tendrá los siguientes derechos: (…) b) Solicitar prueba de la autorización otorgada al Responsable del Tratamiento ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;” 16.

Responsabilidad Demostrada (Accountability) En El Tratamiento De Datos Personales. La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”20. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos. 20 Cfr. Corte Constitucional, sentencia T-227 de 2003.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. El artículo 2621 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic].”22 Es de resaltar que la Corte Constitucional mediante la sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219.

El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic). El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los 21 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 22 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal. Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos.

A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable; (ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales.

El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”23 (Destacamos) Como se observa, la Corte Constitucional pone de presente en la obligación de demostrar que se han adoptado medidas para cumplir la regulación de datos personales.

El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza24 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos Personales. El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales. El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos Personales. El éxito del mismo, dependerá del compromiso real y ético de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones 23 Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021.

M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm 24 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 25.(Énfasis añadido). El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas.

Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos. 17.

Responsabilidad de los administradores en el Tratamiento de Datos personales El artículo 2 de la Constitución Política señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, la protección de los derechos humanos, los cuales, son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto. En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el fin justifica los medios. En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso que, la Constitución pone de presente que la participación en el 25 Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales.

Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley. Ahora, según el artículo 22 de la Ley 222 de 199526 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Énfasis añadido). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2427 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”28.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. 18. Conclusiones 26 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 27 Artículo 24, Ley 222 de 1995 “"Responsabilidad de los administradores.

El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 28 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995.

RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Sin perjuicio de lo expuesto, no se accederá a las pretensiones de TikTok Pte. Ltd. Por, entre otras, las siguientes razones: 1. La Ley Estatutaria 1581 de 2012 debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para tratar Datos, pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico.

Quienes crean, diseñan o usan "innovaciones tecnológicas" deben cumplir todas las normas sobre Tratamiento de Datos personales; 2. TIKTOK PTE. LTD. mediante mecanismos electrónicos recolecta Datos personales en el territorio de la República de Colombia. Así las cosas, el Tratamiento de Datos Personales que realiza TIKTOK PTE. LTD. está sujeto a la legislación colombiana.

En otras palabras, la Ley Estatutaria 1581 de 2012 es aplicable a TIKTOK PTE. LTD. porque recolecta Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en el territorio de la República de Colombia. 3. TIKTOK PTE. LTD. emplea diversas tecnologías para recolectar Datos personales en el territorio de la República de Colombia, entre las que se incluyen las web cookies; 4.

La Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: i) El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “tratamiento [sic] de datos [sic] personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. ii) El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el presente caso, TikTok Pte. se encuentra dentro de lo señalado en el literal a) porque usa “cookies” para recolectar o realizar Tratamiento de Datos personales en el territorio de la República de Colombia; 5. La Ley colombiana no distingue si el Tratamiento se debe hacer de determinada manera ni excluye ninguna forma, herramienta, tecnología o proceso para recolectar o tratar Datos personales.

De esta manera, si se adelanta recolección o tratamiento de Datos en el territorio colombiano aplica la ley colombiana; 6. Según un principio general de interpretación jurídica, en donde la ley no distingue, no le es dado al intérprete hacerlo. Principio que en este caso resulta plenamente aplicable porque TIKTOK PTE. LTD. realiza Tratamiento de Datos en el territorio colombiano mediante el uso de cookies.

Si la ley colombiana no distingue la forma ni los mecanismos como se realiza el Tratamiento en el territorio colombiano, pues no le corresponde a esta autoridad excluir el uso de cookies como una de tales RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA herramientas. Por ende, a TIKTOK PTE. LTD. le es aplicable la Ley Estatutaria 1581 de 2012; 7.

Esta autoridad no desconoció el debido proceso para emitir una orden administrativa de naturaleza preventiva; 8. La sociedad TIKTOK PTE. LTD. es corresponsable del Tratamiento de Datos personales que realiza esta aplicación. Ello no significa que es la única propietaria de dicha aplicación, sino que, por sí misma o en asocio con otros, decide sobre la Base de Datos y/o el Tratamiento de los Datos que se recolectan por medio de la aplicación TikTok; 9.

Las sociedades BYTEDANCE LTD y TIKTOK, PTE. LTD. están en la obligación de cumplir con todos los deberes que emanan del ordenamiento jurídico colombiano en relación con el debido Tratamiento de Datos personales. Incluido, por supuesto, los mandatos de la Ley Estatutaria 1581 de 2012 y del Decreto 1377 de 2013 incorporado en el Decreto Reglamentario 1074 de 2015; 10.

Una orden no es una sanción. La decisión adoptada mediante la resolución recurrida fue objetiva, lícita y necesaria para proteger los derechos de los menores de edad como Titulares de sus Datos personales y dar cumplimiento al artículo 44 de la Constitución de la República de Colombia según el cual los derechos de los niños prevalecen sobre los derechos de los demás. Uno de esos derechos es, precisamente, el establecido en el artículo 15 de nuestra Constitución Política -habeas data y debido Tratamiento de Datos personales.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, concluye el Despacho que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad, la Resolución No. 62132 de 5 de octubre de 2020.

En mérito de lo expuesto, este Despacho, Resuelve Artículo primero. REVOCAR el artículo quinto (5) de la Resolución No. 62132 de 5 de octubre de 2020, de conformidad con lo expuesto en la parte motiva del presente acto administrativo Artículo segundo. CONFIRMAR los artículos primero; segundo; tercero y cuarto de la Resolución No. 62132 de 5 de octubre de 2020, cuyo texto es el siguiente: “ARTÍCULO PRIMERO. ORDENAR a ByteDance Ltd, TIKTOK PTE.

LTD. y TikTok Pte. Ltd. (en adelante TIKTOK) que respecto de los Datos personales que recolectan o tratan en el territorio de la Republica de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informen en idioma castellano, de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus Datos personales y la finalidad del mismo;

PARÁGRAFO. TIKTOK deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos personales de esta entidad la evidencia del RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO CUARTO: ORDENAR a ByteDance Ltd, TikTok, Inc y TikTok Pte.

Artículo tercero. ACLARAR que de conformidad con el artículo 3 de la Ley 1098 de 2006 (Por la cual se expide el Código de la Infancia y la Adolescencia) “se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad”. Artículo cuarto. Notificar personalmente el contenido de la presente resolución a TIKTOK PTE.

LTD. a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno. Artículo quinto. Comunicar el contenido de la presente resolución a CORPORACIÓN COLOMBIANA DE PADRES Y MADRES – RED PAPAZ, en su calidad de tercero interviniente dentro de la actuación administrativa.

Artículo sexto. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., noviembre 22 de 2021 El Superintendente Delegado para la Protección de Datos Personales, NELSON REMOLINA ANGARITA Firmado digitalmente por NELSON REMOLINA ANGARITA Fecha: 2021.11.22 15:16:31 -05'00' NELSON REMOLINA ANGARITA CGC RESOLUCIÓN NÚMERO 75008 DE 2021 VERSIÓN ÚNICA Notificación Sociedad: Identificación: Apoderado: Identificación: Tarjeta profesional: Dirección: Ciudad: Correo electrónico: TIKTOK, PTE.

Sin identificar Andrés Fernández de Soto C.C. 79.153.646 41615 del Consejo Superior de la Judicatura Carrera 7 No. 71-52, Torre B piso 9 Bogotá D.C., andres.fernandezdesoto@dentons.com Comunicación Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: País: Correo electrónico: CORPORACIÓN COLOMBIANA DE PADRES Y MADRES – RED PAPAZ Nit. 830130422 – 3 Carolina Piñeros Ospina C.C. 39.694.233 Calle 103 No. 14A-53, Edificio Bogotá Business Center, Oficina 403 Bogotá Bogotá Colombia director@redpapaz.org y soportelegal@redpapaz.org

Resolución sancionatoria N° 75008 de 2021