REPÚBLICA DE COLOMBIA (19 MAYO 2021) Radicación 21-11032 VERSIÓN ÚNICA EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el artículo 17 del Decreto 4886 de 2011, y
CONSIDERANDO
PRIMERO: Que el 12 de enero del 2021 esta Dirección requirió a la sociedad WhatsApp LLC para que informara a esta autoridad lo siguiente1: Preguntas: 1. ¿Cuál es el número total de usuarios, ciudadanos y residentes que tiene WhatsApp en el territorio colombiano? 2. ¿Qué pasa si un usuario actual no acepta las nuevas políticas de privacidad o las condiciones de servicio de la aplicación WhatsApp? 3.
¿Al aceptar las actualizaciones, el usuario está obligado a aceptar las nuevas políticas de privacidad? 4. ¿Es factible que un usuario pueda seguir usando la aplicación WhatsApp sin aceptar las nuevas Políticas de Privacidad y Términos de Servicio? 5. ¿De qué manera WhatsApp LLC ha obtenido y va a obtener la Autorización previa, expresa e informada que exige la regulación colombiana para poder recolectar y tratar los Datos personales de los usuarios? 6.
¿Cómo WhatsApp LLC probará ante esta entidad que tiene la Autorización de todos y cada uno de los Titulares de los Datos personales? 7. ¿De qué forma WhatsApp LLC dará cumplimiento al artículo 12 de la Ley Estatutaria 1581 de 2012? 8. ¿Cómo WhatsApp LLC probará ante esta entidad que cumplió lo que ordena el precitado artículo 12 respecto de todos y cada uno de los Titulares de los Datos personales? 9.
¿Cuáles son las finalidades específicas del Tratamiento de los Datos por parte de WhatsApp LLC a través de la aplicación WhatsApp? 10. ¿Cuáles son los Datos específicos que recolectará WhatsApp LLC? 11. ¿Por qué es estrictamente necesario recolectar esos Datos personales? 12. ¿El Titular del Dato personal tiene la opción de manifestar que no está de acuerdo con que se recolecten determinados Datos personales o debe aceptar todo lo que WhatsApp LLC le imponga? 13.
¿La nueva política de privacidad cambiará las finalidades del Tratamiento de los Datos personales? En caso positivo, de qué manera se obtendrá la nueva Autorización que exige la parte final del párrafo tercero del artículo 5 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015). 14. ¿En qué país o países se almacenarán los Datos de los usuarios residentes o domiciliados en la República de Colombia? 15.
Respecto de los mecanismos para que las personas ejerzan sus derechos, ¿Cómo WhatsApp LLC dará cumplimiento al artículo 18 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015)? Documentos solicitados: 1. El texto de la nueva Política de Privacidad que regirá el Tratamiento de Datos personales efectuado en territorio colombiano. 2.
El texto de la Política de Privacidad actual que rige el Tratamiento de Datos personales efectuado en territorio colombiano y que será modificado por la compañía. Requerimiento de información con número de radicado 21-11032-0-0 HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” 3. El texto de los nuevos Términos de Servicio de WhatsApp. 4.
Una tabla comparativa de la actual Política de Privacidad y la nueva Política de Privacidad. En la misma deben detallarse todos los cambios que la nueva Política de Privacidad trae consigo. 5. Una tabla comparativa de los Términos de Servicio actuales y los nuevos Términos de Servicio. En la misma, deben detallarse todos los cambios que los nuevos Términos de Servicio traen consigo.
SEGUNDO: Que el 19 de marzo de 20212, la sociedad WhatsApp LLC remitió la respuesta a lo anterior.
TERCERO: Que de conformidad con lo expuesto en la actuación administrativa en curso y, sin perjuicio de que más adelante esta autoridad vuelva a pronunciarse dentro del marco de este expediente, se presentan las siguientes: CONSIDERACIONES DE LA DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES I. Competencia de la Superintendencia de Industria y Comercio para ordenar las medidas que sean necesarias para hacer efectivo el derecho al debido Tratamiento de Datos Personales El artículo 19 de la Ley Estatutaria 1581 de 2012, establece que “la Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.
El artículo 21, por su parte, faculta a esta entidad para, entre otras: “b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;
(…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” Así las cosas, existen expresas y suficientes facultades legales para que esta superintendencia pueda iniciar investigaciones, así como para impartir órdenes o instrucciones. II. La Ley 1581 de 2012 es aplicable a WhatsApp LLC, compañía que recolecta Datos personales en el territorio de la República de Colombia a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en Colombia Ordena la Constitución Política de Colombia en su artículo 15 que en cualquier actividad sobre Datos Personales se respete la libertad y demás garantías consagradas en dicha norma.
Así, es de vital importancia recordar que el caso bajo estudio hace referencia al cumplimiento de exigencias de naturaleza constitucional referidas al Derecho Fundamental al debido Tratamiento de los Datos personales de los ciudadanos. En efecto, el artículo 15 de la Constitución Política Nacional no solo establece que “todas las personas (…) a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”3, sino que es tajante en exigir que: “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.
(Destacamos y subrayamos). Con fundamento en lo anterior, se promulga la Ley Estatutaria 1581 de 2012 que desarrolla, entre otras, el citado derecho constitucional de naturaleza fundamental. El artículo 2 de la referida norma dispone lo siguiente: “La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales”.
Documento con número de radicado 21-11032-6 Constitución Política de Colombia. Artículo 15. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” El término “Tratamiento” no solo se menciona en el artículo 154 de la Constitución Política Colombiana, sino que, es determinante para establecer el campo de aplicación de la citada ley, la cual lo define así: “Artículo 3.
Definiciones. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” De esta manera, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a. El Tratamiento lo realiza el Responsable o Encargado, domiciliado o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.
Las anteriores hipótesis son ejemplos de “tratamiento [sic] de datos [sic] personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b. El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.
La Corte Constitucional, por su parte, en relación con el ámbito de aplicación de ese artículo señaló en la Sentencia C-748 de 20115: “Para la Sala, esta disposición se ajusta a la Carta, pues amplía el ámbito de protección a algunos Tratamientos de datos personales que ocurren fuera del territorio nacional, en virtud del factor subjetivo.
En un mundo globalizado en el que el flujo transfronterizo de datos es constante, la aplicación extraterritorial de los estándares de protección es indispensable para garantizar la protección adecuada de los datos personales de los residentes en Colombia, pues muchos de los Tratamientos, en virtud de las nuevas tecnologías, ocurren precisamente fuera de las fronteras.
Por tanto, para la Sala se trata de una medida imperiosa para garantizar el derecho al habeas data”6. (Subrayado fuera de texto). De acuerdo con lo indicado en la Política de Cookies7 de WhatsApp LLC, una “Cookie se refiere a un archivo de texto que se almacena en tu computadora o teléfono móvil cuando visitas una página web”. De esta manera, dice la compañía, “Utilizamos las cookies para entender, operar y garantizar la seguridad de nuestros servicios.
Por ejemplo: • Usamos las cookies para proveer WhatsApp para computadoras y otros servicios basados en la web. Así podemos mejorar tu experiencia, entender mejor cómo usas nuestros servicios y personalizar nuestros servicios. • Usamos las cookies para averiguar cuales son las preguntas frecuentes más leídas y así crear y proveer mejor contenido. • Usamos las cookies para acordarnos de tus preferencias, tal como tu idioma, para poder personalizar tu servicio. • Usamos las cookies para poder ordenar las preguntas frecuentes de tal manera que puedas ver las preguntas más leídas primero. También, nos ayudan a entender la diferencia entre las preferencias que tienes usando WhatsApp en tu teléfono o en tu computadora y lo eficaz de la información que proporcionamos”.
Entonces, se concluye por parte de esta autoridad que, sin lugar a duda, una cookie es un mecanismo que la investigada instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos Personales. Por tanto, WhatsApp realiza un Tratamiento de Datos Personales en el territorio colombiano sujeto a las disposiciones de la Ley 1581 de 2012.
III. WhatsApp LLC recolecta y trata datos personales de por lo menos treinta y nueve (39) millones de usuarios activos mensualmente en Colombia y de mas de dos mil (2000) millones de personas de otros países El artículo 15 de la Constitución de la República de Colombia dice, entre otras, lo siguiente: “ Todas las personas tienen derecho a (…)conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas.
En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.(Subrayamos) Cfr. Corte Constitucional. Sentencia C-748 de 2011. Disponible en: http://www.corteconstitucional.gov.co/relatoria/2011/c-748-11.htm Cfr. Corte Constitucional. Sentencia C-748 de 2011. Consideración 2.4.4.
Obtenido el 13 de mayo en https://www.whatsapp.com/legal/cookies?lang=es HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” Mediante comunicación radicada en esta entidad el 19 de marzo de 2021, WhatsApp LLC respondió que “brinda servicios a, aproximadamente, 39 millones de usuarios activos mensualmente en Colombia.
Esa cifra se da con corte a 11 de marzo de 2021”8. Dado ese alto número de personas, WhatsApp LLC tiene la enorme responsabilidad ser muy diligente y profesional de tratar adecuadamente los datos de millones de personas en Colombia y otros países del mundo. En efecto, según la información publicada en su página web, “más de 2 mil millones de personas en más de 180 países usan WhatsApp” 9 Como es sabido, la regulación colombiana sobre tratamiento de datos impone al Responsable del Tratamiento el deber demostrar que ha adoptado medidas efectivas para cumplir la ley (Deber de Responsabilidad demostrada).
Esto se deriva de lo expresamente señalado en el Decreto 1377 de 201310 que ordena lo siguiente: “Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)” (Destacamos y subrayamos).
Sobre este punto, en la sentencia C-32 del 18 de febrero de 2021 la Corte Constitucional reiteró lo anterior en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013.
El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas. (…) “El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.” (…) “el principio de responsabilidad demostrada no se opone a la Constitución sino que, antes bien, es desarrollo propio de la eficacia del derecho al habeas data.
(…) “ (Destacamos) Cfr. Radicado 21-11032-6 del 19 de marzo de 2021 9 Cfr. https://www.whatsapp.com/about/ (Última consulta: mayo 17 de 2021) 10 Incorporado en el Decreto 1074 de 2015 HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” La regulación sobre Tratamiento de Datos Personales debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para tratar Datos, pero, al mismo tiempo, exige que se haga respetando el ordenamiento jurídico.
A pesar de que el campo de acción de Internet desborda las fronteras nacionales, para la Corte Constitucional el nuevo escenario tecnológico y las actividades en Internet no se sustraen del respeto de los mandatos constitucionales. Por eso, concluyó dicha entidad que “en Internet (…) puede haber una realidad virtual pero ello no significa que los derechos, en dicho contexto, también lo sean.
Por el contrario, no son virtuales: se trata de garantías expresas por cuyo goce efectivo en el llamado “ciberespacio” también debe velar el juez constitucional”11. Recalca dicha Corporación que, “nadie podría sostener que, por tratarse de Internet, los usuarios sí pueden sufrir mengua en sus derechos constitucionales”12. IV. Sobre el Tratamiento de Datos Personales por parte de WhatsApp LLC No es menor la cantidad de información que trata la sociedad WhatsApp LLC de sus usuarios.
Con la finalidad de entender qué información es tratada por la sociedad y para qué finalidades, la Dirección procede a revisar la información que fue allegada por WhatsApp LLC en su “Anexo B - Política de Privacidad de febrero de 2021”. De lo anterior, se extrae lo siguiente: República de Colombia. Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001.
República de Colombia. Corte Constitucional. Sentencia C-1147 del 31 de octubre de 2001. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” V. Verificación sobre el cumplimiento del deber de informar lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012 por parte de la sociedad WhatsApp LLC Esta autoridad le preguntó a la sociedad investigada, ¿De qué forma WhatsApp LLC dará cumplimiento al artículo 12 de la Ley Estatutaria 1581 de 2012? A lo cual respondió que, “Como se mencionó anteriormente, los usuarios no podrán seguir utilizando la aplicación WhatsApp sin aceptar expresamente las nuevas Condiciones del Servicio y la nueva Política de Privacidad.
Estos documentos incluyen una descripción del tratamiento al que será sometida la información personal de los usuarios de la aplicación de WhatsApp y la finalidad del tratamiento”13. (Destacamos). Página 6 del documento con número de radicado 21-11032-6. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” La regulación colombiana exige que la autorización debe ser informada.
Por lo tanto, a continuación, se determinará si la sociedad WhatsApp informa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012. Para el efecto, se revisaron los siguientes documentos enviados por WhatsApp LLC a esta entidad: Anexo B - Política de Privacidad de febrero de 2021 y Anexo D -Condiciones del Servicio Actualizadas14.
Los resultados de la evaluación son los siguientes: i. ii. iii. iv. Número de ítems evaluados: 24. Número de obligaciones que se cumplen correctamente: 4 (16.67%) Número de obligaciones que se cumplen parcialmente (P): 2 (8.33%) Número de obligaciones que no se cumplen: 18 (75%) A continuación, se detalla lo evaluado y los resultados o comentarios sobre cada ítem: DEBER DE INFORMAR AL TITULAR AL MOMENTO DE SOLICITAR LA AUTORIZACIÓN ¿Se informa al momento de solicitar la Autorización el Tratamiento físico o automatizado al cual serán sometidos sus Datos personales? (Literal a) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa de manera clara y expresa el Tratamiento físico o automatizado al cual serán sometidos sus Datos personales? (Literal a) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa al momento de solicitar la Autorización la finalidad de la recolección, uso o Tratamiento de los Datos personales? (Literal a) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa de manera clara y expresa la finalidad de la recolección, uso o Tratamiento de los Datos personales? COMENTARIO Sí Sí Sí Sí (Literal a) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa al momento de solicitar la Autorización el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos sensibles? (Literal b) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa de manera clara y expresa el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos sensibles? (Literal b) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa al momento de solicitar la Autorización el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre los Datos de las niñas, niños y adolescentes (menores de 18 años de edad)? (Literal b) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa de manera clara y expresa el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre los Datos de las niñas, niños y adolescentes (menores de 18 años de edad)? (Literal b) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa al momento de solicitar la Autorización los derechos que le asisten como Titular? (Literal c) del Artículo 12 de la Ley 1581 de 2012) Documentos con número de radicado 21-11032-6 No No No No No HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” ¿Se informa de manera clara y expresa los derechos que le asisten como Titular? (Literal c) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa al momento de solicitar la Autorización al Titular del Dato que tiene derecho a “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.
Este derecho se podrá ejercer, entre otros frente a Datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del Dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.
Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal -a) del artículo 8 de la L 1581 de 2012). ¿Se informa al momento de solicitar la Autorización al Titular del Dato que tiene derecho a “solicitar prueba de la Autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal b) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del Dato que tiene derecho a “solicitar prueba de la Autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal b) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización al Titular del Dato que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus Datos personales”? (Literal c) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del Dato que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus Datos personales”? (Literal c) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización al Titular del Dato que tiene derecho a “presentar ante la infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (Literal d) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del Dato que tiene derecho a “presentar ante la infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? No No No No No No No No No HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” (Literal d) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización al Titular del Dato que tiene derecho a revocar la Autorización y/o solicitar la supresión del Dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal e) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del Dato que tiene derecho a revocar la Autorización y/o solicitar la supresión del Dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal e) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización al Titular del Dato que tiene derecho a “acceder en forma gratuita a sus Datos personales que hayan sido objeto de Tratamiento”? (Literal f) del artículo 8 de la L 1581 de 2012) ¿Se informa de manera clara y expresa al Titular del Dato que tiene derecho a “acceder en forma gratuita a sus Datos personales que hayan sido objeto de Tratamiento”? (Literal f) del artículo 8 de la L 1581 de 2012) ¿Se informa al momento de obtener la Autorización la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento? (Literal d) del Artículo 12 de la Ley 1581 de 2012) ¿Se informa de manera clara y expresa la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento? No No No No P No se informa el número telefónico del Responsable P No se informa el número telefónico del Responsable (Literal d) del Artículo 12 de la Ley 1581 de 2012) VI.
Verificación sobre el cumplimiento de los requisitos legales de la Política de Tratamiento de Información (PTI) de WhatsApp LLC Como quiera que la sociedad WhatsApp LLC debe redactar y poner en conocimiento de las personas Titulares de los datos una Política de Tratamiento de Información (en adelante PTI), se determinará si dicha empresa cuenta con la PTI y si la misma cumple con los mínimos que exige el Decreto 1377 de 2013 (incorporado en el Decreto Único Reglamentario 1074 de 2015).
Para el efecto, se revisó la siguiente documentación remitida por WhatsApp LLC a esta entidad: Anexo B - Política de Privacidad de febrero de 202115. Los resultados de la evaluación son los siguientes: i. ii. iii. iv. Número de ítems evaluados: 19. Número de obligaciones que se cumplen correctamente: 7 (36,84%) Número de obligaciones que se cumplen parcialmente (P): 1 (5,26%) Número de obligaciones que no se cumplen: 11 (57,89%) A continuación, se detalla lo evaluado y los resultados o comentarios sobre cada ítem: REQUISITOS DE LA PTI ¿La Política de Tratamiento de la Información (en adelante PTI) consta en medio físico o electrónico? Documento con número de radicado 21-11032-6 COMENTARIO Sí HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).
¿La PTI fue redactada con un lenguaje claro y sencillo? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). ¿La PTI ha sido puesta en conocimiento de los Titulares? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). ¿La PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable? Sí Si P (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).
¿La PTI señala el tipo de Tratamiento – manual o automatizado- al cual serán sometidos los Datos? Sí (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). ¿La PTI informa la finalidad del Tratamiento de los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).
¿La PTI menciona de manera completa los derechos del Titular del Dato? Sí (Numeral 1 del artículo 13 del Decreto No 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012). ¿En la PTI se informa al Titular del Dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.
Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, No incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L. 1581 de 2012) ¿En la PTI se informa al Titular del Dato que tiene derecho a “solicitar prueba de la Autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal b) del artículo 8 de la L 1581 de 2012) No • • • • • Nombre o razón social: Si Domicilio: Si Dirección: Si Correo electrónico: No Teléfono del Responsable: No HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” ¿En la PTI se informa al Titular del Dato que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus Datos personales”? (Literal c) del artículo 8 de la L 1581 de 2012) ¿En la PTI se informa al Titular del Dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (Literal d) del artículo 8 de la L 1581 de 2012) ¿En la PTI se informa al Titular del Dato que tiene derecho a revocar la Autorización y/o solicitar la supresión del Dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? No No No (Literal e) del artículo 8 de la L 1581 de 2012) ¿En la PTI se informa al Titular del Dato que tiene derecho a “acceder en forma gratuita a sus Datos personales que hayan sido objeto de Tratamiento”? No (Literal f) del artículo 8 de la L 1581 de 2012) ¿En la PTI se señala quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? Sí (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.4.4 del Decreto 1074 de 2015).
¿En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización? (Numeral 5 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015).
¿En la PTI se señala los canales o medios para que los Titulares ejerzan sus derechos? No No HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” (Artículo 14 de la Ley 1581 de 2012, artículo 21 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.4.2 del Decreto 1074 de 2015 y el artículo 23 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.4.4 del Decreto 1074 de 2015).
¿Los anteriores canales prevén, por lo menos, la posibilidad de que el Titular ejerza sus derechos a través del mismo medio por el cual fue recogida su información, dejando constancia de la recepción y trámite de la respectiva solicitud? No (Artículo 18 del Decreto 1377 del 2013 incorporado en el artículo 2.2.2.25.3.6 del Decreto 1074 de 2015).
¿La PTI indica la fecha de entrada en vigencia de la política de Tratamiento de la información? Sí (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). ¿La PTI informa el período de vigencia de la Base de Datos? (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).
VII. No Sobre el Registro Nacional de Bases de Datos El Registro Nacional de Bases de Datos (en adelante RNBD) es el directorio público de las Bases de Datos sujetas a Tratamiento que operan en el país. Por su parte, el artículo 25 de la Ley 1581 de 2012 obliga a los Responsables a aportar a la Superintendencia de Industria y Comercio las PTI para realizar el registro de Bases de Datos.
En adición, el citado artículo dispone que las PTI en ningún caso podrán ser inferiores a los deberes contenidos en la Ley 1581 de 2012. Adicionalmente, señala dicho artículo que las PTI “obligarán a los responsables y encargados del mismo, cuyo incumplimiento acarreará las sanciones correspondientes” De otra parte, el Decreto 90 del 18 de enero de 2018 ordena, entre otras, lo siguiente: “ARTÍCULO 1.
Modifíquese el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015 - Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así: "ARTÍCULO 2.2.2.26.1.2. Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características: a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT).
(…)” Luego de consultar el RNBD, esta autoridad pudo constatar que la sociedad WhatsApp LLC no ha registrado las Bases de Datos de acuerdo con lo establecido en la regulación colombiana. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” Por este motivo, se procederá a ordenarle, entre otras cosas, a la sociedad WhatsApp LLC el cumplimiento de lo dispuesto en el artículo 25 de la Ley Estatutaria 1581 de 2012.
CUARTO: DIRECCIÓN DE CORREO ELECTRÓNICO DE WHATSAPP LLC Dado el alto número de personas respecto de las cuales WhatsApp LLC recolecta y trata datos personales, se EXHORTARÁ a dicha empresa para que informe a esta autoridad una dirección de correo electrónico para recibir comunicaciones y notificaciones. Lo anterior es muy importante para contar con un canal de comunicación y notificación expedito con miras a atender de inmediato requerimientos o decisiones que involucran la protección de los derechos humanos de millones de personas usuarias de los servicios de WhatsApp LLC.
CONCLUSIONES Sin perjuicio de lo establecido, se concluye, entre otras, lo siguiente: 1. WhatsApp LLC brinda servicios a, aproximadamente, treinta y nueve (39) millones de usuarios activos mensualmente en Colombia. 2. WhatsApp LLC emplea diversas tecnologías para recolectar y almacenar la información, entre las que se incluyen cookies. 3.
WhatsApp LLC usa “cookies” para recolectar o tratar Datos personales en el Territorio de la República de Colombia. Por ende, debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias. En otras palabras, el Tratamiento de Datos personales que realiza WhatsApp LLC está sujeto a la legislación de la República de Colombia toda vez que, recolecta información de ciudadanos y residentes que se encuentran en el territorio nacional.
Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable a WhatsApp LLC porque acopia o captura Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en la República de Colombia. 4. WhatsApp LLC recolecta, entre otras, la siguiente información: HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” 5.
WhatsApp LLC no informa el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre los Datos de las niñas, niños y adolescentes (menores de 18 años de edad). 6. WhatsApp LLC no informa el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre Datos sensibles.
Por ejemplo, las fotografías de los Titulares. 7. Respecto del cumplimiento del deber de informar todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012 se pudo establecer que WhatsApp LLC: a. Incumple el 75% de los requisitos exigidos por dicha norma; b. Cumple correctamente el 16,67% y parcialmente, el 8,33% de los mismos. 8.
Finalmente, en relación con la Política de Tratamiento de Información (PTI) se pudo establecer que WhatsApp LLC: a. Incumple el 57,89% de los requisitos mínimos que exige la regulación colombiana. b. Cumple correctamente el 36,84% y parcialmente el 5,26%.
QUINTO: Que, en virtud de la situación actual, en particular la emergencia sanitaria, se ha restringido el ingreso a las instalaciones de la Superintendencia de Industria y Comercio, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando el número de radicado del expediente;
(ii) una vez reciba respuesta respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo, luego del registro, puede consultar el expediente digitalmente. No obstante, en aras de garantizar los derechos de defensa y contradicción de la investigada, en el caso en que la misma considere necesario el acceso físico del expediente, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa” que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.
SEXTO: Una orden administrativa no es una sanción, sino una medida necesaria para la adecuación de las actividades u operaciones de los Responsables del Tratamiento a las disposiciones de la regulación colombiana sobre protección de Datos personales. Las sanciones por infringir la Ley Estatutaria 1581 de 2012 -multas, suspensión de actividades, cierre temporal o definitivo- están previstas en el artículo 23 de dicha norma.
Allí se puede constatar que las órdenes no son sanciones.
SÉPTIMO: Que para garantizar el debido Tratamiento de Datos personales efectuado en territorio de la República de Colombia es necesario emitir varias órdenes administrativas a la sociedad WhatsApp LLC. En mérito de lo expuesto, este Despacho.
RESUELVE
ARTÍCULO PRIMERO. ORDENAR a la sociedad WhatsApp LLC (en adelante WhatsApp) que respecto de los Datos personales que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implementen un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informen en idioma castellano, de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;
“b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” WhatsApp como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.”
PARÁGRAFO. WhatsApp deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.
ARTÍCULO SEGUNDO: ORDENAR a WhatsApp LLC (en adelante WhatsApp) crear una Política de Tratamiento de Información (PTI) redactada en idioma castellano y que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). Dicha PTI debe ser puesta en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano.
PARÁGRAFO. WhatsApp deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.
ARTÍCULO TERCERO: ORDENAR a WhatsApp LLC (en adelante WhatsApp) que respecto de los Datos que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registren sus Bases de Datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.
PARÁGRAFO. WhatsApp deberá cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.
ARTÍCULO CUARTO. EXHORTAR a WhatsApp LLC para que informe a esta entidad la dirección de correo electrónico para recibir comunicaciones o notificaciones de actos administrativos. HOJA “Por la cual se imparten órdenes dentro de una actuación administrativa”
ARTÍCULO QUINTO. NOTIFICAR el contenido de la presente resolución a WhatsApp LLC informándole que contra el presente acto administrativo procede recurso de reposición ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a la diligencia de notificación.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 19 MAYO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.05.19 10:02:27 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ ALC/CEZ NOTIFICACIÓN: Sociedad (1): Identificación: Correo electrónico: Dirección: i ii No se cuenta con identificación No se cuenta con identificación WhatsApp LLC N/Ai N/Aii 1601 Willow Road Menlo Park, California 94025 Estados Unidos de América