Decisión 60478 de 2021 — SIC

REPÚBLICA DE COLOMBIA (Septiembre 21 de 2021) VERSIÓN ÚNICA Radicado 19-202397 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 53593 de 3 de septiembre de 2020 la Dirección de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio con el fin de garantizar el debido Tratamiento de Datos personales en el territorio colombiano emitió las siguientes órdenes administrativas de carácter preventivo a la sociedad GOOGLE LLC: “ARTÍCULO PRIMERO. ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos personales que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informe de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

“b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” GOOGLE LLC, como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá́ conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” PARÁGRAFO.

La sociedad GOOGLE LLC deberá́ cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO SEGUNDO: ORDENAR a la sociedad GOOGLE LLC crear una Política de Tratamiento de Información (PTI) que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015), y, ponerla en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA PARÁGRAFO.

La sociedad GOOGLE LLC deberá́ cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá́ que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO TERCERO. ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 (incorporado en el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015) para la recolección y Tratamiento de los Datos personales de niños, niñas y adolescentes (menores de dieciocho -18- años edad).

PARÁGRAFO. La sociedad GOOGLE LLC deberá́ cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá́ que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término. ARTÍCULO CUARTO: ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registre sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.

PARÁGRAFO. La sociedad GOOGLE LLC deberá́ cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. ARTÍCULO QUINTO: ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho -18- años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012.

( )”

SEGUNDO. Que en el término legal establecido, mediante escrito 19-202397-38 de 9 de octubre de 2020, GOOGLE LLC (en adelante, la recurrente) presentó recurso de reposición y en subsidio apelación contra la Resolución No. 53593 de 3 septiembre de 2020, con fundamento en los siguientes hechos y argumentos: Ámbito de aplicación de la Ley No. 1581 de 2012 Google es una sociedad extranjera, conforme con la definición establecida en el artículo 469 del Código de Comercio1, con domicilio comercial en 1600 Amphitheatre Parkway, Mountain View, California, Estados Unidos, sin presencia o representación societaria o corporativa en Colombia.

Google LLC tampoco provee o presta servicios en Colombia o desde Colombia. ( ) la ley colombiana no es aplicable a Google ya que la empresa no cumple con la calidad de “nacional”, ni “habitante” ni “persona transeúnte”, pues está domiciliada fuera RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA del territorio nacional. Google, como persona jurídica extranjera, domiciliada en Estados Unidos de América, no se encuentra en Colombia y, como tal, no le aplica la ley colombiana sino la ley de su domicilio.

( ) De lo anterior se puede concluir que el motivo por el cual la Superintendencia de Industria y Comercio aplica extraterritorialmente la ley colombiana de protección de datos personales a la sociedad extranjera Google no se enmarca dentro de las excepciones del principio de territorialidad de la ley colombiana, pues Google no es residente del país, su actividad no involucra bienes situados dentro de Colombia ni ha celebrado actos jurídicos en Colombia.

( ) Si bien la SIC tiene facultades de vigilancia de la LGPD y, en tal sentido, debe aplicarlas conforme a las competencias precisas definidas por la ley, esto no permite a la SIC modificar la ley a partir de una interpretación libre y arbitraria de sus disposiciones, para poderla acomodar a supuestos fácticos que se encuentran claramente por fuera de su alcance.

No existe fundamento legal o jurisprudencial alguno que permita a la SIC hacer una interpretación de la ley que exceda lo dicho en ella, particularmente respecto a su ámbito de aplicación. Dicha interpretación es contraria a los principios de legalidad y tipicidad que rigen el ordenamiento jurídico, y que son requisitos esenciales para garantizar la seguridad jurídica.

En suma, el tratamiento de datos personales que realiza la sociedad extranjera Google ocurre fuera del territorio colombiano y, por ende, no se configuran ninguna de las dos hipótesis de aplicación de la LGPD, conforme el análisis de la Corte Constitucional. Además, no existe ninguna norma de derecho internacional ni tratado que establezca que Google se encuentra sujeto a la legislación colombiana.

Competencia de la SIC y alcance de sus funciones El artículo 19 y ss. de la LGPD dispone las competencias de la SIC en relación con sus facultades de vigilancia de la LGPD, las cuales se limitan a los tratamientos de datos personales realizados en el territorio nacional o cuando la legislación colombiana sea aplicable en virtud de un tratado o norma de derecho internacional.

Así las cosas, la competencia de la SIC depende exclusivamente de que la legislación colombiana sea aplicable al caso concreto. Situación que no ocurre en el presente caso, como queda en evidencia a lo largo de este recurso. Es necesario advertir que, en la presente decisión, la SIC ha excedido sus facultades al introducir nuevas reglas que no están consagradas legalmente y bajo las cuales modifica de manera sustancial la LGPD, al transformar la esencia de lo dispuesto en el ámbito de aplicación de la LGPD, arrogándose competencia y jurisdicción universal en materia de protección de datos personales en Internet.

Dado que bajo la presente actuación, la SIC actúa en su rol de autoridad administrativa, no le corresponde bajo ninguna circunstancia reemplazar por esta vía al legislador para re-configurar los contenidos de la LGPD, que además es una ley estatutaria, de competencia reservada del legislador. La reconfiguración del ámbito de aplicación de la Ley a partir de la interpretación de la Autoridad respecto a las cookies no es la única que se advierte.

A través de la Resolución, la SIC ha modificado la LGPD y, de facto, ha introducido criterios, obligaciones y estándares diferentes al estándar nacional y no previstos en la LGPD, RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA como ocurre con diversas medidas propias de GDPR, que la SIC parecería añorar para Colombia. Un ejemplo de esto, es que en Colombia el criterio de aplicación de la LGPD es objetivo, en la medida en que se deriva del lugar de donde se realice el tratamiento, no de la nacionalidad, residencia o domicilio del titular de los datos.

Pese a lo anterior, a lo largo de la Resolución, la SIC alude constantemente a expresiones como la siguiente: los datos “de las personas residentes o domiciliadas en la República de Colombia”. En Colombia, el lugar de domicilio o residencia del titular no es criterio de aplicación de la LGPD, ni tiene injerencia alguna en la Ley, al punto de que no hay mención a esto en ninguno de sus artículos.

Esta precisión no es menor, pues esta narrativa transforma el lenguaje mismo de la Ley y sus efectos. Igualmente, la SIC procede a utilizar como soporte de autoridad o doctrina las decisiones de autoridades extranjeras como la AEPD o la FTC, descontextualizando de manera evidente estas decisiones y desconociendo los elementos jurídicos propios de cada una de las legislaciones de esos países, que no son parecidos a la colombiana en cuanto a su ámbito de aplicación. Esto, obviamente, tiene el efecto de confundir y abstraer de manera desproporcionada argumentos jurídicos y reglas al caso colombiano que no aplican.

La SIC no puede utilizar el derecho español ni el estadounidense para hacer una interpretación propia de la ley colombiana cuando esta es clara y concreta. Por lo anterior, nos permitimos señalar respetuosamente que lo antedicho excede las facultades de la SIC y usurpa la reserva legislativa que sobre la materia tiene el Congreso de la República.

Sobre cookies y la LGPD En la sección III de la Resolución, la SIC concluye que, “sin lugar a dudas, una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos Personales [SIC].

Por lo tanto, GOOGLE LLC recolecta y trata datos personales en el territorio colombiano, razón por la cual debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias”. (Negritas fuera del texto). El sustento de tal interpretación se basa principalmente en: (i) una transcripción incompleta y descontextualizada de la sentencia C-748 de 2011; y (ii) una decisión de 2013 proferida por la Autoridad Española de Protección de Datos (autoridad extranjera sin injerencia en Colombia) sobre el uso de cookies bajo disposiciones legales diferentes a las nuestras.

La interpretación de la SIC desconoce y deja por fuera varios análisis relevantes al caso bajo estudio, tales como: la naturaleza de las cookies, su rol y funcionamiento; la naturaleza per se de los datos recolectados a través de cookies; los diferentes momentos que operan; el hecho de que las cookies en los sitios web de Google pueden ser propias y de terceros; y, la realidad de Internet de cara a evaluar la razonabilidad de su interpretación. Es importante resaltar que quien controla este proceso es el usuario que configura su navegador para permitir o no permitir el uso de cookies.

El usuario puede eliminar las cookies a través de los controles de su navegador, entre otros. Los sitios web utilizan cookies de muchas formas diferentes. Mediante el uso de cookies, los sitios pueden determinar cuántos visitantes llegan, cuántos son visitantes RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA nuevos o habituales y la frecuencia de visitas de un usuario, por ejemplo.

Los sitios web pueden almacenar las preferencias de los usuarios para que el sitio pueda verse diferente para cada visitante (personalización). Los sitios de comercio electrónico pueden implementar carritos de compras y opciones de pago rápido, por ejemplo. Así, en general, las cookies son archivos de texto benignos, que permiten el correcto funcionamiento del Internet y proporcionan muchas capacidades útiles en la Web.

Sobre la decisión de la AEPD y el uso de cookies En la Resolución objeto del presente recurso de reposición, la SIC cita como fundamento una decisión proferida en 2013 por la Agencia Española de Protección de Datos (AEPD) ( ) Como se observa, el prisma del análisis de la AEPD descansa sobre un supuesto de hecho diferente al de nuestra legislación y, por ende, la interpretación de la AEPD no es equiparable al presente caso.

A diferencia de la ley colombiana, la ley española tenía dentro de su ámbito de aplicación a aquellos responsables que encontrándose fuera de España, utilizan en el tratamiento de datos medios situados en dicho territorio. Esta circunstancia no está prevista en la ley colombiana. La SIC, así, no puede pretender darle el alcance de la LOPD a la LGPD, en la medida en que la norma es completamente distinta y no puede pretender cambiarse el alcance de la LGPD por medio de una interpretación irrazonable de la ley para darle el alcance que preveía la LOPD.

La interpretación que hace la SIC en el presente caso requeriría la modificación previa de la LGPD por parte del legislador y no mediante opinión o interpretación de la SIC. En Colombia, como se explicó anteriormente, el criterio de aplicación de la Ley se funda en que el tratamiento del dato personal se realice en el territorio nacional, no se refiere a los medios utilizados como sí lo hacía la norma española.

Esta interpretación de la SIC también desconoce la naturaleza y funcionamiento de las cookies. Como se explicó anteriormente, una cookie es un pequeño archivo informático que ciertos sitios web, sean de Google o de terceros, envían al navegador (browser) del usuario para que el sitio web acceda a ciertas configuraciones de navegación la siguiente vez que el usuario visite el sitio.

De hecho, la política de privacidad de Google define a las cookies como “(…) un pequeño fragmento de texto que los sitios web que visitas envían al navegador y que permite que el sitio web recuerde información sobre tu visita, como tu idioma preferido y otras opciones, lo que puede facilitar tu próxima visita y hacer que el sitio te resulte más útil.

Las cookies desempeñan un papel muy importante ya que sin ellas el uso de la Web sería una experiencia mucho más frustrante”. Además, bajo “Tecnologías” en la página Políticas y Condiciones de Google (policies.google.com), sección “Cómo administrar cookies en el navegador”, Google define a las cookies como “( ) archivos que crean los sitios web que visitas y guardan datos de navegación para que disfrutes de una experiencia online más sencilla.

Gracias a ellas, los sitios web no cierran tu sesión, recuerdan tus preferencias y te proporcionan contenido relevante según tu ubicación”5. En la misma sección se ofrecen instrucciones para administrar las cookies en Chrome (el navegador de Google). RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Uno de los usos más comunes de los archivos cookies es para los procesos de autentificación, es decir para recordar si el usuario está logueado y bajo qué nombre.

Obviamente, esta es una función informática como cualquier otra y no el “uso de un medio físico para recolectar datos”. Los datos de autentificación residen en el servidor del sitio web (no en la computadora del usuario), por ende no podrían ser “recolectados” por las cookies, como erróneamente sostiene la SIC. De lo anterior podemos concluir que las cookies son simples archivos informáticos que los sitios web colocan en el navegador de un usuario que permiten al sitio web reconocer al navegador que lo visita por segunda vez y de esta forma vincular ese sistema a información de navegación anterior.

En este sentido, no es un medio físico ni informático separado del navegador del usuario. Tampoco puede afirmarse que las cookies “recolectan” datos personales en el sentido de la LGDP. Además, en el supuesto de que las cookies recopilaran información en el sentido de la LGDP, este hecho sólo tendría relevancia en términos de protección de datos, si esa información se usará para identificar a la persona a la que corresponda, situación que no se materializaría dentro del territorio colombiano sino que, en caso de darse, se materializaría en el exterior, en el país donde se procesa y realiza el tratamiento de datos personales.

Así, mientras la información se encuentra en Colombia, no es información personal sino un archivo informático que guarda información de navegación a la que el sitio web accede cada vez que el usuario lo visita y hasta tanto el usuario decida eliminarlo o se elimine automáticamente. En conclusión, los cookies no constituyen un medio físico ni informático separado o diferente a cualquier otro archivo informático, no recolectan “información” en el sentido de la LGPD sino que sirven para que un sitio web identifique la computadora o el sistema que lo visita por segunda vez y recupere información de navegación que ya tiene en su servidor sobre ese sistema (por ejemplo, nombre de usuario, preferencias, idioma, país, las cosas que puso en su carro de compras, etc).

La información que podría recogerse mediante las cookies no es necesariamente personal, circula al exterior y su procesamiento se efectúa en otro país por lo que la ley colombiana no aplica. Así las cosas, no puede afirmarse que por vía de las cookies, Google recolecte datos personales en Colombia. ( ) suponiendo que mediante cookies se recolectaron datos en Colombia, sólo eventualmente, en un momento posterior, alguna información de la recolectada podría considerarse dato personal.

La SIC así lo ha reconocido en Concepto No. 16-172268 de 2016 en donde indica que “las cookies son archivos que recogen información a través de una página web sobre los hábitos de navegación de un usuario o de su equipo y eventualmente podrían conformar una base de datos de acuerdo a la definición legal de la Ley 1581 de 2012”. En la medida en que la información recolectada no sea un dato personal, la LGPD no aplica.

En el presente caso, la SIC no ha identificado con precisión y claridad cuáles serían los datos personales recolectados supuestamente en Colombia mediante cookies de Google y, por tanto, tampoco ha identificado a qué datos personales, servicios o productos de Google se circunscribiría la presente actuación. Esta vaguedad y falta de claridad sobre el objeto de la actuación y sobre el alcance de la Resolución, implicaría un grave vicio de legalidad en cuanto a la falta de competencia de la SIC, violación a la ley y la constitución, falsa motivación y, en especial, la desviación de las atribuciones legales de la SIC.

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA En segundo lugar, no son relevantes para este procedimiento, ni quedan sujetos de manera alguna a la ley colombiana, los tratamientos de datos de usuarios de servicios de Google, dado que se hacen por fuera del territorio colombiano. La SIC insiste, para tratar de justificar su competencia territorial, en sostener que Google recoge información personal de sus usuarios mediante cookies, y pretende que ese supuesto tratamiento de datos (que afectaría a los usuarios que acceden a Google desde Colombia) estaría sujeto a su competencia territorial.

Insistimos que los datos personales que procesa y trata Google por fuera de Colombia no pueden ser objeto de esta investigación como quiera que no se encuentran dentro del alcance de aplicación de la LGPD por los motivos mencionados anteriormente [sic]. Sobre la legalidad de la Resolución [sic] y el debido proceso Violación al debido proceso administrativo ( ) a pesar de que buena parte de las páginas web que operan en internet usan cookies, Google es la primera empresa a la cual la SIC ha impuesto órdenes tales como: modificar su PTI y adecuarla, en esencia, a la mención de los artículos de la LGPD y otros temas formales (pues en lo sustancial Google cumple con sus deberes respecto a la protección de datos personales de sus usuarios), registrarse ante el RNBD, entre otras cosas.

De hecho, la SIC usó el año pasado el criterio de cookies para alegar competencia respecto a una red social de amplio espectro así como frente a una compañía de economía colaborativa, pese a lo anterior no emitió órdenes relacionadas con la PTI, registro ante RNBD, entre otros, sino que emitió una orden preventiva sólo en materia de ciberseguridad, aunque dichas compañías extranjeras tampoco incluyen las referencias a la LGPD en sus PTI.

( ) antes de que mi representada fuera siquiera notificada de la Resolución, la misma se encontraba en prensa nacional aun cuando, por instrucciones expresas de la SIC, el expediente ha estado restringido completamente a su visualización o consulta digital por parte de Google. Falta de competencia y extralimitación de funciones Si bien la SIC tiene facultades de vigilancia de la LGPD y, en tal sentido, debe aplicarla conforme a las competencias precisas definidas por la ley, esto no implica que tenga facultades para modificar la ley a partir de una interpretación libre y arbitraria de sus disposiciones, particularmente en lo que respecta al ámbito de aplicación de la Ley, acomodando supuestos fácticos que se encuentran claramente por fuera de su alcance.

No existe fundamento legal o jurisprudencial alguno que permita a la SIC hacer una lectura de la ley que exceda lo dicho en ella, creando nuevos criterios interpretativos por vía de una actuación administrativa ( ) Violación de la debida motivación de los actos administrativos ( ) es necesario señalar que la autoridad no cumplió con la carga impuesta por el ordenamiento colombiano a la administración en tanto que, respecto a su interpretación sobre las cookies como criterio de aplicación de la ley colombiana a una persona jurídica extranjera sin domicilio en Colombia, la SIC no ofrece una motivación o justificación clara sobre las razones que soporten su interpretación. Igualmente, la SIC incumple su deber de garantizar la seguridad jurídica y confianza legítima de los administrados, en tanto modifica sin sustento legal alguno su posición manifestada RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA sobre el tratamiento de datos personales en Internet, expresado en Concepto No. 14218349 del 24 de noviembre de 2014.

El marco legal y las circunstancias fácticas siguen siendo esencialmente las mismas en la época en que se emitió el concepto ( ) la SIC procede a citar un extracto de una resolución de la AEPD, una autoridad extranjera que arriba a una conclusión fundada en la aplicación de la norma local española en materia de protección de datos personales.

Hay que recalcar, como se ha explicado en detalle anteriormente, que la norma de protección de datos de España comprende supuestos de hecho diferentes para establecer el ámbito de aplicación de la norma y en esa medida no son escenarios análogos. ( ) Este asunto es trascendental en la medida en que permite afirmar que, contrario a lo que señala la SIC, no existe tratamiento de datos personales por el solo hecho de que Google utilice cookies.

( ) Sobre las imprecisiones en torno a la decisión y la confidencialidad de la información aportada por Google ( ) Google solicitó a la SIC mantener bajo plena reserva toda la información que fuese aportada durante la actuación, en especial aquella aportada en dicha comunicación, como el número de Cuentas de Google, en tanto esta es información confidencial de carácter comercial y respecto de la cual Google ha adoptado las medidas establecidas en la Decisión 486 de la Comunidad Andina de Naciones (“CAN”), razón por la cual se encuentra cubierta por la protección relativa a los secretos empresariales.

A pesar de esto, la SIC hizo pública esta información, como se explicó anteriormente, lo cual puede causar un grave perjuicio para mi representada. Es deber de la SIC garantizar esta confidencialidad, por lo cual la reiteramos y exigimos que la información confidencial de Google sea protegida por la SIC, incluyendo la que ha sido entregada con anterioridad.

Tratamiento de datos [sic] de niños, niñas y adolescentes en los servicios de Google ( ) la SIC no tuvo en consideración la información allegada por parte de Google en donde queda probado que, en efecto, Google sí solicita autorización [sic] previa, expresa e informada conforme a las disposiciones legales, tomando medidas eficaces y razonables de conformidad con la edad y el grado de madurez de los menores.

La capacidad legal de los menores de edad ( ) lo primero que hay que señalar es que los menores de edad (es decir, todo aquél por debajo de los 18 años de edad) disfrutan de capacidad de goce absoluta. Sin embargo, respecto a la capacidad de ejercicio, que hace referencia a la capacidad de obligarse y hacer ejercicio de los derechos por sí mismos, el Código Civil establece en su artículo 1504 lo siguiente: ● Son absolutamente incapaces los impúberes, es decir, los menores de 14 años.

En razón de lo anterior, éstos no pueden obligarse por sí mismos, sin la autorización [sic] de otro; RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA ● Los menores adultos, es decir aquellos que tienen entre 14 y 18 años son incapaces relativos. Esto implica que “sus actos pueden tener valor en ciertas circunstancias y bajo ciertos respectos determinados por las leyes”.

En 2019 por medio de la sentencia T-447, en el análisis sobre la capacidad y autonomía los menores adultos en un caso sobre la posibilidad de que un menor de edad modifique su registro civil de nacimiento en relación a su nombre y su género, la alta corte concluyó que: “las limitaciones a la capacidad de ejercicio fundadas en la edad constituyen, por regla general, medidas de protección de los derechos de los niños, niñas y adolescentes.

De lo anterior se aprecia que el ordenamiento jurídico colombiano ha adoptado una visión en la que favorece la capacidad evolutiva de los menores de edad, por lo que se considera que los actos de los menores adultos (aquellos mayores de 14 años en adelante) no son nulos (salvo que los padres los demanden ante un juez y éste así lo declare) y que éstos gozan de relativa capacidad de ejercicio que les permiten celebrar actos civiles y/o hacer ejercicio de sus derechos.

Sobre el uso de redes sociales por parte de menores de edad y tratamiento [sic] de sus datos [sic] en Internet En diversos pronunciamientos la Corte Constitucional se ha referido al uso de redes sociales por parte de los menores de edad. En ese sentido, el consenso al que ha arribado la Corte es que es posible que los menores de edad utilicen redes sociales, por cuanto estas inciden en el derecho a la educación de los menores, así como en su desarrollo integral.

A partir de lo anterior, la Corte Constitucional ha sido enfática en el necesario acompañamiento que requieren los menores por parte de los padres de familia para mitigar los posibles riesgos que puedan presentarse en el escenario virtual. ( ) Es decir el acompañamiento, permite a los padres asesorar, apoyar, formar, enseñar y discutir sobre los efectos e implicaciones de acceso y uso de Internet por parte de sus hijos menores de edad pero no es un derecho de los padres determinar si sus hijos pueden o no, usar Internet y redes sociales.

En ese sentido, es claro que no puede confundirse el necesario acompañamiento de los padres con la autorización [sic] de éstos. En sentencia T-260 de 2012, al estudiar los riesgos para la privacidad a los que estarían expuestos los menores de edad en la sociedad de la información, la Corte Constitucional señala que: “Tales riesgos pueden ser evitados si se tiene conocimiento acerca del funcionamiento y las políticas de privacidad de los diferentes sitios en línea, en especial de las redes sociales.

De allí que en el caso específico de los menores de edad, en especial niños y niñas, el acceso a las redes sociales debe darse con el RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA acompañamiento de los padres o personales [SIC] responsables de su cuidado, a fin de que éstos sean conscientes de que si bien en mundo de la información y la tecnología implica un sinnúmero de beneficios para su desarrollo, al mismo tiempo genera una serie de riesgos que se pueden evitar con un correcto manejo de la información y con una adecuada interacción con los demás miembros de la red”.

( ) Resaltamos que el mandato constitucional está dirigido a que los padres acompañen a sus hijos adolescentes; no a que los controlen. Por tal motivo, es trascendental evitar confundir acompañamiento con autorización [sic]. Privacidad y libertad de expresión en línea de los menores adultos ( ) el Toolkit de UNICEF aboga por hacer un balance entre el derecho a la privacidad y el derecho a la libertad de expresión e información, en el mejor interés de los menores.

( ) Al igual que UNICEF, la organización Save the Children ha reconocido que, sin duda, es necesario promover medidas adecuadas y efectivas para proteger los derechos de los menores de edad. Sin embargo, al referirse a la idea de algunos estados europeos de aumentar la edad para que los padres den consentimiento para el tratamiento de datos personales de sus hijos (pasando de 14 a 16), la organización es enfática en señalar que: “Esta medida está lejos de dotar de autonomía al adolescente, ya que ésta se fomenta mediante el empoderamiento de las niñas y niños, no limitando sus decisiones.

Internet ofrece una ventana abierta al mundo y una amplia gama de oportunidades. ( ) Derecho comparado relativo a la autorización [sic] para el tratamiento [sic] de datos [sic] personales de menores de edad ( ) Se evidencia cómo en el ámbito internacional es comprendido que los menores adultos son sujetos con capacidad de consentir el tratamiento de sus datos personales en virtud de su desarrollo cognitivo, motivo por el cual en un amplio número de jurisdicciones, incluso con diferentes tradiciones legales, a partir de una edad determinada se omite la solicitud de autorización [sic] por parte de los representantes legales bastando únicamente la autorización [sic] del titular [sic].

Sobre la autorización [sic] de tratamiento [sic] de datos [sic] personales de menores de edad en Colombia ( ) según la Corte, el tratamiento de los datos personales de los menores de 18 años, al margen de su naturaleza, está permitido “siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes.

Sumado a la efectividad del interés superior de esta población, también es importante que se les asegure su derecho a ser escuchados en todos los asuntos RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA que los afecten; y el tratamiento de sus datos, sin duda alguna, es un asunto que les concierne directamente”. En nuestro ordenamiento, así, se reconoce el derecho del menor a ser escuchado y a que su opinión sea valorada en virtud de su madurez y entendimiento.

( ) Valga establecer con claridad que ni la Constitución, ni la ley ni la jurisprudencia constitucional exigen que la autorización [sic] para el tratamiento [sic] de los datos [sic] de los menores adultos (los mayores de 14 años) sea dada por los padres o representantes legales. Es en virtud del Decreto 1377 de 2013, una norma de rango inferior a la Constitución y la Ley, donde se introduce tal regla.

( ) No es razonable, por ende, interpretar la LGPD en el sentido que un menor adulto puede contraer matrimonio u obligarse civilmente pero no puede entrar en un servicio online sin autorización [sic] de sus padres. Esto lleva a contradicciones lógicas. Por ejemplo, si bien un menor adulto puede contraer matrimonio por su propia decisión, para que pueda contraer matrimonio tendrá que entregar datos personales para su tratamiento con estas finalidades; si el padre no autoriza este tratamiento, el menor no podría contraer matrimonio.

Igualmente, la Corte Constitucional, en sentencia C-507 de 2004, ha reconocido que los mayores de 14 años tienen el derecho a su libertad sexual, a decidir si quieren o no tener relaciones sexuales, y esta no depende de la autorización [sic] de los padres. Igualmente, tiene derecho a la salud sexual y reproductiva sin tener que acudir con un padre o representante legal a los servicios de salud.

Para satisfacer este derecho, seguramente tendría que entregar sus datos personales en el centro de salud o al personal médico. Sería absurdo pretender que un menor tenga libertad sexual o acudir a un centro de salud sexual y reproductiva pero no pueda decidir sobre el tratamiento de sus datos. ( ) Así, lo considerado por la SIC en la Resolución desconoce la jurisprudencia y doctrina constitucional que ha desarrollado la Corte Constitucional en la materia.

En esa medida, la autorización [sic] del menor de una edad superior a los 14 años ya no se encuentra sujeta a las mismas reglas de control total de los padres o representantes legales sobre que pueden o no acceder, sino a partir de este principio, esta se sujeta al criterio propio de la madurez y su capacidad. Con respecto al límite de edad para crear una cuenta de Google, cabe destacar que los países lo establecen entre los 13 y 16 años.

En España, por citar uno de los países cuyas resoluciones en temas de privacidad cita la SIC en su Resolución, dicho límite es 14 años. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA La congruencia y coherencia del derecho, que exige una interpretación teleológica, sistemática y orgánica de todo el ordenamiento jurídico hace que no sea razonable entender que el tratamiento de los datos personales de los mayores de 14 años solo procede ante la autorización [sic] directa de los padres.

Esta tiene que moderarse y ponderarse de acuerdo a la razonabilidad de nuestro sistema jurídico y de la realidad de la sociedad. ( ) El tratamiento [sic] de datos [sic] de menores de 14 años por parte de Google ( ) en Colombia, los menores de 14 años sólo pueden tener una cuenta especial creada por sus padres a través de Family Link. Estas cuentas no pueden acceder a YouTube y sólo tienen acceso a YouTube Kids.

Es decir, el tratamiento de datos de estos menores requiere previa autorización [sic] de los padres o representantes legales. Lo mismo se establece en las Condiciones del Servicio de Google, donde se detallan los requisitos de edad para cada país ( ) El proceso para obtener el consentimiento de los padres es el siguiente: (a) Primero, se muestra información sobre la aplicación Family Link y los controles disponibles para los padres.

Seguidamente se incluyen algunos extractos del proceso que seguirán los padres para instalar Family Link ( ) (b) Segundo, si el padre optara por crear una cuenta para el menor deberá hacer clic en el botón “Sí, continuar” y completar el nombre, apellido, fecha de nacimiento, sexo (opcional) y el nombre de la cuenta del menor o nombre de usuario.

A continuación, deberá informarse sobre las condiciones del servicio y el tratamiento de datos leyendo el Aviso de Family Link para padres de niños menores de 14 años ( ) que incluye el Aviso de Privacidad para Cuentas de Google de menores de 14 años. Este documento informa de manera sintética y clara (i) el funcionamiento de las cuentas gestionadas con Family Link, (ii) los datos objeto de tratamiento (ver “Información que recogemos”), (iii) el propósito del tratamiento (ver “Cómo utilizamos la información que recogemos”) y (iv) cómo ejercer los derechos de acceso, rectificación, borrado, copiado, revocación de autorización y eliminación de cuenta, entre otros (ver “Acceso a la información personal de tu hijo”).

Además, tiene vínculos a la Política de Privacidad36 (Ver Anexo 6), al centro de ayuda y a un correo electrónico, e incluye la dirección y teléfono de Google. Por último, se informa la posibilidad de ponerse en contacto con la autoridad local de protección de datos personales (a continuación se incluyen algunas imágenes del Aviso) ( ) (c) Revisado el Aviso de Privacidad, los padres deberán: (i) autorizar y aceptar la creación de la cuenta y el tratamiento de los datos personales haciendo click en la casilla correspondiente, en los términos mencionados en el Aviso de Family Link37 (Ver Anexo 5) descripto arriba y en la Política de Privacidad de Google (Ver Anexo 6) (que también se menciona y vincula en el aviso);

(ii) hacer clic en una segunda casilla para aceptar los términos de servicio aplicables, en nombre del menor; y, finalmente, (iii) autorizar la creación y el procesamiento de datos haciendo click en el botón “Acepto” o no autorizar haciendo click en la opción “Cancelar” ( ) (d) A los efectos de verificar la edad y el consentimiento del padre o tutor, Google exige el uso de alguno de los siguientes mecanismos: RESOLUCIÓN NÚMERO 60478 DE 2021 • • • VERSIÓN ÚNICA Autorización de Tarjeta de Crédito: el padre provee el código de seguridad (CVV/CVN) de su tarjeta y debe tener una Cuenta de Google con una edad superior a 18 años.

Google realiza la verificación del CVV/CVN, sin aplicar cargos a la tarjeta. Verificación vía SMS: si un padre ya tiene asociado un número de teléfono a su Cuenta de Google, podrá dar su consentimiento vía código enviado por SMS. Google enviará un código al número de teléfono vía SMS, y el padre deberá entonces verificar la cuenta del menor con ese código.

Señales internas: le pedimos al padre que vuelva a ingresar su contraseña y se analizan señales internas para evaluar si la cuenta es confiable. (e) Una vez creada la cuenta del menor, Google envía un correo electrónico de confirmación que también incluye un enlace al Aviso de Family Link para padres de niños menores de 14 años ( ) El tratamiento [sic] de datos [sic] de mayores de 14 años Google requiere 14 años de edad para crear una cuenta en Colombia ( ) y poder acceder con ella a YouTube.

Para ello, el usuario deberá informar su fecha de nacimiento al momento de solicitar la apertura de una cuenta. En caso de recibir un reporte sobre el incumplimiento de este requisito, Google solicita al titular de la cuenta que remita prueba avalando su cumplimiento y procederá a su suspensión y posterior eliminación en caso de no recibir respuesta.

El proceso para crear y autorizar una cuenta de Google (Ver Anexo 14) requiere el consentimiento previo, expreso e informado, según surge del proceso de creación de cuenta que se describe a continuación: (a) El interesado en crear la cuenta deberá proveer la información mínima necesaria consistente en nombre, apellido, nombre de usuario, contraseña, sexo (opcional), fecha de nacimiento, código de país, teléfono (opcional) y correo electrónico para recuperación de la cuenta (opcional).

En caso de tener dudas sobre el propósito de la recolección de esta información, puede hacer click sobre el vínculo “Porque pedimos esta información” ( ) (b) Google muestra el aviso titulado Condiciones y Privacidad que deberá ser revisado por el interesado. El aviso vincula a las Condiciones del Servicio de Google (Ver Anexo 9) y a la Política de Privacidad (Ver Anexo 6), en caso de que éste deseara obtener más detalles sobre algún tema.

A su vez, el usuario puede desplegar más opciones haciendo clic en el botón “MÁS OPCIONES” donde puede autorizar o no autorizar a Google a guardar su actividad en la web y de aplicaciones, mostrar o no mostrar anuncios personalizados, guardar o no guardar el historial de YouTube y hasta marcar una casilla si desea que Google le envíe recordatorios periódicos sobres sus configuraciones.

A continuación se incluyen imágenes del Aviso de Privacidad y Condiciones así como de las opciones de configuración de privacidad disponibles incluso antes de activar la cuenta ( ) (c) Una vez leído el aviso Privacidad y Condiciones, que se muestra arriba, el interesado podrá hacer clic en el botón “Acepto” para autorizar la apertura de la RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA cuenta y el consabido tratamiento de sus datos o no dar la autorización haciendo clic en la opción “Cancelar”.

Google ha tomado las medidas razonables respecto a la recolección de datos personales de menores de edad, teniendo en cuenta y valorando siempre el interés superior de éstos. No ocurre, como asegura equivocadamente la SIC, una transferencia de la responsabilidad hacia los menores de edad de solicitar la autorización. De ahí que la valoración de la SIC no se corresponde con las posibilidades técnicas existentes.

Es fácticamente imposible constatar directamente que el representante legal sea efectivamente quien alega ser. Se parte de las medidas más razonables y con mayor diligencia posible teniendo en cuenta las limitaciones que el estado actual de la tecnología y el Internet permiten. El esfuerzo extraordinario que pretende la SIC no está ni contemplado en la ley ni se exige a ninguna otra persona en Colombia.

En ese sentido, dado que nadie está obligado a lo imposible, el parámetro de la SIC no puede exceder las medidas razonables que las condiciones de Internet permiten. Además, los padres de niños mayores de 14 pueden controlar y vigilar la actividad del menor adulto a través de Family Link si padre e hijo están de acuerdo en continuar esa supervisión. Esta opción se describe en la Ayuda de Google.

No queda claro, entonces, cuáles son las expectativas de la SIC para acreditar el cumplimiento de un parámetro de verificación de edad, así como de autorización de representantes legales y su vínculo con el menor. Lo dispuesto en la Resolución parece desconocer el criterio de razonabilidad en lo que respecta a las actuaciones que involucran medios virtuales.

Sobre el numeral IX. Actuaciones y decisiones de autoridades extranjeras respecto de la obtención del consentimiento previo, expreso e informado del representante legal para el Tratamiento de niños, niñas y/o adolescentes. Colombia es un Estado soberano, cuyas decisiones judiciales o administrativas no se someten a la actuación de otros Estados.

Así las cosas, para efectos de la presente Resolución es irrelevante lo que otras autoridades en otras jurisdicciones hayan decidido o analizado, y no se puede ni debe extrapolar al caso concreto ( ) Sobre la valoración hecha por la SIC del cumplimiento de la LGPD En la sección XI de la Resolución se analiza el supuesto cumplimiento o incumplimiento de lo dispuesto en el artículo 12 de la LGPD.

No obstante, se anuncia que la verificación se circunscribe a dicho artículo, la SIC hace una valoración, de diversos artículos más allá del mero artículo 12. En ese sentido, la SIC realiza una “evaluación” de cumplimiento respecto del deber de información, así como respecto a la Política de Tratamiento de la Información (“PTI”) a la legislación colombiana.

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Esta valoración tiene un alto grado de subjetividad y supera lo requerido por la Ley y las guías de la SIC. Igualmente, existe una evidente valoración equivocada del peso que tiene cada ítem en el cumplimiento de la ley. Hay obligaciones cuyo valor material es sustancialmente mayor (tener o no la autorización) y otras que, más allá de ser obligaciones, son meras formalidades que no afectan ni para bien ni para mal a los titulares de los datos.

Esta equivocada ponderación, como si todas las obligaciones pesaran igual, le permite concluir a la SIC, que Google presuntamente incumple con un porcentaje alto, lo que no ocurre en la realidad. Por otro lado, el grado de subjetividad en la valoración del cumplimiento de las obligaciones legales, distorsiona la realidad. Muchas de las obligaciones que efectivamente cumple Google, son consideradas incumplidas por la SIC con meras opiniones, sin prueba alguna.

( ) Para verificar lo anterior, procedimos a analizar la política de privacidad de la SIC y encontramos que la descripción de las finalidades del tratamiento es bastante más detallada y clara en la política de Google que en la propia política de la SIC. ( ) En síntesis, la creación de una cuenta de Google y el consabido tratamiento de datos personales, sea con Family Link o sin ella, requieren la autorización, es decir un consentimiento expreso, previo e informado, ya que requieren la revisión de los avisos de privacidad, que remiten a las políticas correspondientes de Privacidad y Condiciones (Ver Anexo 9) en el caso de mayores de 14 y el Aviso de Family Link para cuentas de menores de 14 años (Ver Anexos 5 y 7 y Ver secciones 3.6 y 3.7) siempre previo a autorizar la cuenta y el procesamiento de datos personales.

Leídos los avisos correspondientes (el usuario debe desplazarse por ellos), el usuario podrá autorizar la activación de la cuenta y el tratamiento de datos haciendo click en el botón “Aceptar” o podrá negar la autorización eligiendo la opción “Cancelar”. Como se ha mostrado y explicado detalladamente, los avisos proveen además vínculos a la Política de Privacidad (Ver Anexo 6), en caso que el usuario deseara más información sobre un tema particular.

( ) Resulta además contradictorio que, por un lado, se exija la duplicación de información en la Política de Privacidad y durante el proceso de apertura de una cuenta (o la cita casi textual de artículos de la ley), y por el otro se pretenda que las políticas sean más breves, y fáciles de comprender y navegar. Observamos que los comentarios de la SIC tienden a centrarse en el formalismo de citar artículos y no en el espíritu de la ley, que es la protección material de los titulares, otorgar derechos y velar por su cumplimiento efectivo, esto es que el Responsable del tratamiento de datos provea medios concretos para hacerlos efectivos.

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA ( ) queremos solicitar a la SIC que nos aclare a qué se refiere cuando se señala que “Los hipervínculos rotulados para estos propósitos no cumplen su finalidad”, un comentario que se repite en varias oportunidades en el examen de cumplimiento de la PTI. Los hipervínculos cumplen la función de un índice y permiten al usuario desplazarse fácilmente por la política de privacidad, pero ellos no impiden que el usuario revise la política sin hacer click sobre ellos sino simplemente desplazándose por la política con el mouse o con la barra lateral de navegación. A continuación la investigada analiza los comentarios y observaciones que realizó esta autoridad en relación con el cumplimiento del artículo 12 de la Ley Estatutaria 1581 de 2012 en la resolución recurrida.

Sobre la política de privacidad de Google La política de tratamiento de datos de Google es sumamente didáctica, clara, asequible y simple, que cualquier persona puede analizar y entender. Es una política de tratamiento redactada en un lenguaje cotidiano para la mayoría de las personas y que consta de gran cantidad de explicaciones, videos y ejemplos.

( ) En este sentido, la política de privacidad de Google (Ver Anexo 6) está dirigida a un amplio público, que pueda cobijar no solo a legos y abogados, sino a la gente común, a personas mayores, a menores adultos o personas con diferentes niveles de educación, etc. Vale la pena compararla con la política de tratamiento de la misma SIC, que es un texto legal, dirigido exclusivamente a abogados y personas que entiendan a fondo la LGPD y no a la gente común y ordinaria y menos a los niños.

( ) Sobre las conclusiones de la SIC La investigada se refiere a las conclusiones que esta autoridad expuso en la resolución recurrida. Sobre las órdenes impartidas Respecto de la orden primera, “Como se explicó con precisión, Google no realiza ningún tipo de tratamiento de datos personales en el territorio de Colombia. En segundo lugar, la LGPD no establece como obligación de los responsables informar en la autorización [sic] lo previsto en la orden.

Esta información, según la LGPD y el Decreto 1377 de 2013, puede disponerse en un aviso o política de privacidad, tal como lo hace adecuadamente Google. En consecuencia se solicita que se revoque esta orden”. Sobre el articulo segundo, “Google, como se demostró anteriormente, da cumplimiento a todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015), y la tiene puesta a disposición y conocimiento de los titulares de los datos que pueden o no estar domiciliados o residentes en el territorio colombiano. En consecuencia, solicitamos muy respetuosamente revocar esta orden.

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA En relación con la tercera orden la investigada manifestó, “Como se ha demostrado suficientemente en el presente recurso, Google tiene implementado un mecanismo y procedimiento apropiado, efectivo y demostrable para dar cumplimiento a lo previsto en la ley en cuanto a la autorización [sic] y tratamiento [sic] de datos [sic] de niños, niñas y adolescentes.

En consecuencia, se solicita que se revoque la orden” En cuanto a la cuarta orden, “Como se ha demostrado anteriormente, Google no realiza tratamiento de datos en Colombia. En tal medida no tiene la obligación de registrar bases de datos en el RNBD. En tal medida, solicitamos se revoque esta orden”. En lo referente a la quinta orden la investigada adujo, “El tratamiento de datos que realiza Google no se encuentra sujeto a la ley colombiana.

En esa medida, las bases de datos de Google se encuentran sujetas al cumplimiento de leyes extranjeras, así como la custodia de las autorizaciones [sic] de los titulares [sic]. En cualquier caso, el cumplimiento de la medida que propone la SIC implicaría una revelación de información personal y confidencial a terceros que tendría un importante impacto en la privacidad de los propios menores.

La entidad o empresa certificadora tendría que tener acceso a los datos personales de un número elevado de usuarios, sin que quede claro en la resolución cuál sería la base legal para tal cesión o la justificación de una medida tan intrusiva. Además de lo anterior, en primer lugar, esta orden no guarda coherencia alguna con las consideraciones de la SIC, por lo que no existe relación lógica entre las motivaciones del acto y la presente orden.

En segundo lugar, no existe ni en la ley ni en los reglamentos deber u obligación alguna de Google de entregar las autorizaciones [sic] a la SIC, sino a los titulares previa solicitud de éstos. En tercer lugar, no tiene razonabilidad ni proporcionalidad una orden de este calibre que impone una carga desproporcionada, irrazonable e imposible de cumplir.

No tiene sentido alguno solicitar la entrega de todas las autorizaciones [sic] que tiene Google, que hace que incluso un tercero sea incapaz de analizar y validar por las implicaciones excesivas de esta orden. Es una orden inocua, que solo pretende establecer una carga infundada e imposible de cumplir, pero que no repercute en nada en la garantía material de la protección de los datos personales.

No existe ninguna persona o empresa que en un plazo de dos meses pueda analizar todas las autorizaciones [sic] que tiene Google y verificar que cumple o no con el derecho colombiano. En cuarto lugar, no es posible entregar de manera masiva e indiscriminada todas las autorizaciones [sic] que ha recolectado Google desde el 2012. En quinto lugar, en virtud del principio de necesidad, los datos personales que pierden su utilidad o cumplen su finalidad son eliminados.

En ese sentido, es posible que haya información desde 2012 que ya no es conservada, en tanto no se realiza tratamiento de datos sobre datos personales eliminados”. Peticiones En consecuencia, se solicita revocar esta orden. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA TERCERO. Que mediante Resolución 14010 de 16 de marzo de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición confirmando en todas sus partes la Resolución No. 53593 de 3 de septiembre 2020.

CUARTO. Que el 2 de julio de 2021 mediante escrito 19-202397-64 el apoderado de la investigada presentó un memorial de alcance a los recursos presentados frente a la Resolución No. 14010 de 16 de marzo de 2021.

QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución No. 53593 de 3 septiembre de 2020, y en el memorial de alcance presentado mediante escrito 19-202397-64 de 2 de julio de 2021, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes, CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)”

2. NO ES CIERTO QUE, COMO LO AFIRMA GOOGLE LLC, LA ORDEN ADMINISTRATIVA SE FUNDA EN UNA NORMA ESPAÑOLA O POR LO QUE HAN HECHO OTRAS AUTORIDADES EXTRANJERAS Afirma lo siguiente Lorenzo Villegas Carrasquilla, apoderado de GOOGLE LLC: “( ) Google señaló́ de forma clara que el supuesto de hecho en el que la SIC funda su competencia no es válido, puesto que el Tratamiento de datos [sic] personales ocurre fuera del territorio nacional y adicionalmente la norma española en la que se funda la Resolución [sic] recurrida no es equivalente al supuesto de derecho ni de hecho de la norma colombiana, en la medida en que el criterio de aplicación de la norma colombiana es que ocurra un Tratamiento de datos [sic] personales en territorio colombiano y no hace referencia alguna a que el medio de recolección de información se encuentre o no en este último.

(…)”. (…) 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA “Colombia es un Estado soberano, cuyas decisiones judiciales o administrativas no se someten a la actuación de otros Estados.

Así las cosas, para efectos de la presente Resolución es irrelevante lo que otras autoridades en otras jurisdicciones hayan decidido o analizado, y no se puede ni debe extrapolar al caso concreto ( ) (…) “Frente a las opiniones subjetivas sobre el formato en que Google presenta sus textos de privacidad y sus políticas, se debe advertir que nuevamente la Autoridad afirma o más bien repite opiniones de casos internacionales que además hacen referencia a textos en otro idioma y, por supuesto, en otro contexto.

Traer un estudio, sin ningún contexto para Colombia y el presente caso, como es el de la autoridad australiana, para fundamentar la decisión de la SIC es contrario al principio de legalidad” (…) “Sabemos que durante los últimos años la SIC ha realizado una sustitución normativa a partir de interpretaciones que desdibujan los límites de la LGPD para acomodarlos por vía administrativa a la norma europea o haciendo referencias a casos internacionales, que no tienen los mismos alcances ni supuestos que la norma local”;

“Al decidir de manera selectiva y caprichosa a quienes aplicar una norma u otra, queda en evidencia el trato desigual y arbitrario del que ha sido objeto Google, pero sobretodo da cuenta que las investigaciones iniciadas por la SIC se guían y limitan por lo que han hecho otras autoridades extranjeras y no por el cumplimiento mismo de la guarda del derecho consagrado en el artículo 15 constitucional” (Énfasis añadido) La decisión adoptada mediante la Resolución No. 53593 de 3 septiembre de 2020 no fue selectiva ni caprichosa -como lo afirma el apoderado- sino objetiva, lícita y necesaria para proteger los derechos de los menores de edad como Titulares de sus Datos personales y dar cumplimiento al artículo 44 de la Constitución de la República de Colombia según el cual los derechos de los niños prevalecen sobre los derechos de los demás. Uno de esos derechos es, precisamente, el establecido en el artículo 15 de nuestra Constitución Política -habeas data y debido Tratamiento de Datos personales-.

Por eso, tal y como se señaló en el citado acto administrativo, esta autoridad inició la investigación porque GOOGLE LLC fue sancionado en los Estados Unidos por recolectar ilegalmente información personal de niños. A partir de ello se inició actuación administrativa para establecer si esa empresa cumple la regulación colombiana sobre el Tratamiento de los Datos personales de los niños, niñas y adolescentes (NNA).

En efecto, en la resolución recurrida se señaló: “PRIMERO: Que mediante comunicado de prensa del 4 de septiembre de 2019, la Federal Trade Commission -FTC- (Comisión Federal de Comercio de los Estados Unidos de América) comunicó lo siguiente: “Google LLC y su subsidiaria YouTube, LLC pagarán una suma récord de $170 millones de dólares para resolver las alegaciones presentadas por la Comisión Federal de Comercio (FTC, por sus siglas en ingles) y por el Fiscal General de Nueva York que indican que el servicio para compartir videos de YouTube recolectó ilegalmente información personal de niños sin el debido consentimiento de sus padres”.

Dado que el artículo 44 de la Constitución ordena que los derechos de los niños prevalecen sobre los derechos de los demás, RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA este Despacho requirió el 5 de septiembre de 2019 a la sociedad GOOGLE LLC2, para que informara a esta Autoridad: a. Si el procedimiento mencionado en el acuerdo de la FTC – obtención de Datos de menores de edad sin el consentimiento de sus padres – fue utilizado en Colombia por ustedes para recolectar Datos de personas menores de dieciocho (18) años ubicados en la República de Colombia.

En caso positivo, indicar el número de personas sobre las cuales se recolectó información y el tipo de Datos recolectados (privados, semiprivados, sensibles o públicos). b. Si en la actualidad, Google por medio de la plataforma YouTube, está recolectando Datos personales de menores de dieciocho (18) años en territorio colombiano. c. Cuál es el procedimiento que está empleando la compañía para la recolección de los Datos personales, por medio de la plataforma YouTube de menores de dieciocho (18) años ubicados en el territorio colombiano. Lo anterior también debía ser acreditado. d. Cuáles son las finalidades del Tratamiento de los Datos personales recolectados de menores de dieciocho (18) años en territorio colombiano. e. Cuáles mecanismos se están empleando para garantizar que los representantes legales y/o tutores autoricen el Tratamiento de los menores de dieciocho (18) años en territorio colombiano. Lo anterior también debía ser acreditado. f. Informe y acredite cómo dicho procedimiento de recolección de datos personales respeta y garantiza el cumplimiento de la Ley 1581 de 2012 y el Decreto 1377 de 27 de junio de 2013 (incorporado en el Decreto 1074 de 2015). g. Informe y acredite cómo dicho procedimiento de recolección de datos personales respeta y garantiza el cumplimiento de los derechos que tienen los Titulares del dato a la luz de la Ley 1581 de 2012, en especial, su artículo 7. h. Informe si ustedes están compartiendo con terceros los datos de menores dieciocho (18) años ubicados en el territorio colombiano.” Dado lo anterior, los argumentos del apoderado de GOOGLE LLC no son de recibo porque no se ajustan a la realidad de lo que dice el acto administrativo recurrido.

Adicionalmente, sus opiniones están estructuradas a partir de una valoración subjetiva de la Resolución 53593 de 3 septiembre de 2020, que, por si misma, no se predica de su texto y que, por tanto, tampoco tiene la entidad suficiente para poner en duda la legalidad de dicho acto administrativo. Como es sabido, el artículo 6 de la Constitutución de la República de Colombia dispone que “Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes.

Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.”. Es necesario que GOOGLE LLC demuestre sus aseveraciones y que no se limite a plantear la supuesta extralimitación de funciones de esta Delegatura porque, en opinión de su apoderado, fundó sus decisiones en normas de otros 2 Folios 5-6.

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA países o efectuó una “sustitución normativa”. Lo propio aplica respecto de la presunta labor selectiva y caprichosa a que se refiere el abogado Lorenzo Villegas Carrasquilla. Temas tan serios y delicados, como el profesionalismo y la probidad de los funcionarios públicos de la SIC, no pueden ser objeto de meras elucubraciones carentes de objetividad, sino que deben estar acompañadas de pruebas pertinentes y conducentes.

Las afirmaciones del apoderado son producto de una interpretación equivocada que, entre otras, omite tener en cuenta la regulación colombiana que motivó la orden administrativa impartida a GOOGLE LLC. En efecto, de la lectura de la Resolución No. 53593 de 3 septiembre de 2020 se puede constatar que las órdenes fueron emitidas con base en las siguientes normas de la República de Colombia: • Constitución Política de 1991 (Artículos 4 y 333); • Ley Estatutaria 1581 de 2012 (Artículos 2; 3; 9; 12; 14; 17; 19; 21); • Decreto 1074 de 2015 (Artículos 2.2.2.25.2.1; 2.2.2.25.2.2; 2.2.2.25.2.4; 2.2.2.25.2.5; 2.2.2.25.2.9; 2.2.2.25.3.1; 2.2.2.25.4.4; 2.2.2.25.3.6; 2.2.2.25.6.1; 2.2.2.25.6.2.) Adicionalmente, en dicho acto administrativo se procedió a establecer si GOOGLE LLC cumple o no algunas disposiciones de la regulación colombiana sobre protección de Datos personales tal y como se puede constatar en los siguientes fragmentos de la misma: “XI.

Verificación sobre el cumplimiento del artículo 12 de la Ley Estatutaria 1581 de 2012 por parte de Google” (Páginas 34-38) Los siguientes fueron los hallazgos que se pusieron de presente en la resolución en comento: “Como quiera que la autorización debe ser informada, a continuación, se determinará si Google informa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012.

Para el efecto, se revisaron los siguientes documentos: Notificación de Privacidad de YouTube Kids3, YouTube Kids Parental Guide4, Notificación para los niños acerca de YouTube Kid5 y la “POLÍTICA DE PRIVACIDAD DE GOOGLE”6. Los resultados de la evaluación son los siguientes: i. Número de ítems evaluados: 24 ii. Número de obligaciones que se cumplen correctamente: 3 (12,5%) iii.

Número de obligaciones que se cumplen parcialmente (P): 7 (29,2%) iv. Número de obligaciones que no se cumplen: 14 (58,3%)” “XII. Verificación sobre el cumplimiento de los requisitos que debe cumplir la Política de Tratamiento de Información” (Páginas 38-41). Allí se revisa si GOOGLE LLC cumple lo que ordena el artículo 13 del decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015) en concordancia con el artículo 8 de la Ley Estatutaria 1581 3 Obtenido el 19 de mayo de 2020 en https://kids.youtube.com/t/privacynotice. 4 Obtenido el 19 de mayo de 2020 en https://support.google.com/youtubekids/#topic=6130504 5 Obtenido el 19 de mayo de 2020 en https://kids.youtube.com/t/noticeforchildren 6 Google.

(31 de marzo de 2020). POLÍT ICA DE PRIVACIDAD DE GOOGLE. 18 de mayo de 2020, de Google Sitio web: https://www.gstatic.com/policies/privacy/pdf/20200331/acec359e/google_privacy_policy_es.pdf RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA de 2012 en donde se señalan los derechos de las personas respecto de sus datos personales y el tratamiento de los mismos.

Estos son los resultados que arrojó dicha verificación: “Como quiera que Google debe redactar y poner en conocimiento de los Titulares de los Datos una Política de Tratamiento de Información (en adelante PTI), a continuación, se determinará si Google cuenta con dicha política y si la misma cumple con los mínimos que exige el Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015).

Para el efecto, se revisó la “POLÍTICA DE PRIVACIDAD DE GOOGLE”7. Los resultados de la evaluación son los siguientes: i. Número de ítems evaluados: 19 ii. Número de obligaciones que se cumplen correctamente: 4 (21,05%) iii. Número de obligaciones que se cumplen parcialmente (P): 5 (26,31%) iv. Número de obligaciones que no se cumplen: 10 (52,63%)” Para realizar las citadas verificaciones, se elaboró una tabla en donde se detalló lo evaluado, los resultados y algunos comentarios.

Adicionalmente, en las conclusiones (página 42) se destacó lo siguiente: “7. Respecto del cumplimiento del deber de informar todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012 se pudo establecer que GOOGLE LLC: a. Incumple el 58,3% de los requisitos exigidos por dicha norma; b. Cumple correctamente el 12,5%; y, c. Parcialmente, el 29,2% de los mismos. 8.

Finalmente, en relación con la Política de Tratamiento de Información (PTI) se pudo establecer que GOOGLE LLC: a. Incumple el 52,63% de los requisitos mínimos que exige la regulación colombiana. b. Cumple correctamente el 21,05%; y, c. Parcialmente el 26,32%.” Como se observa, en ningún caso se concluyó que GOOGLE LLC incumple la ley de España o de otro país diferente a la República de Colombia.

Por eso, se emitieron órdenes para que esa empresa cumpla las normas colombianas mencionadas en la parte resolutiva de la Resolución 53593 de 3 septiembre de 2020. Coincidimos con el apoderado cuando afirma que “Colombia es un Estado soberano, cuyas decisiones judiciales o administrativas no se someten a la actuación de otros Estados.”. Esta Delegatura ha obrado conforme a la regulación colombiana y sus decisiones NO se han sometido a la actuación de otros Estados.

Para este Despacho, salta a la vista que el error del apoderado se originó en concluir que la resolución recurrida se fundó en una norma española por el mero hecho de citar casos de autoridades extranjeras. 7 Google. (31 de marzo de 2020). POLÍTICA DE PRIVACIDAD DE GOOGLE. 18 de mayo de 2020, de Google Sitio web: https://www.gstatic.com/policies/privacy/pdf/20200331/acec359e/google_privacy_policy_es.pdf RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA El apoderado ignoró la normativa colombiana que sirvió de fundamento para emitir las órdenes administrativas.

Su opinión tuvo como fundamento un análisis equivocado que no consulta la realidad de lo establecido en la resolución recurrida. Lo precedente significa que no son jurídicamente admisibles las afirmaciones de GOOGLE LLC. El simple hecho de que se citen casos de otras autoridades (Federal Trade Commission de los Estados Unidos de América -FTC-;

Agencia Española de Protección de Datos -AEPD-; Comisión Australiana de la Competencia y del Consumidor -ACCC- y La Commission Nationale de l'informatique et des libertés, CNIL), no significa que la decisión de esta entidad se funda en una norma española (como lo afirma GOOGLE LLC) o en la regulación de otros países. Adicionalmente, la ley no prohíbe que en los actos administrativos se citen las experiencias de autoridades extranjeras.

Ocultarlas o ignorarlas sería desconocer la realidad jurídica y tecnológica de temas que son objeto de investigación y sobre los cuales existen decisiones en otras partes del mundo. Es insensato concluir que esta Delegatura no obra conforme con la regulación colombiana porque cita casos, documentos o decisiones de autoridades extranjeras.

Ese tipo de referencias son ilustrativas de lo que ha sucedido en otras latitudes respecto de temas que son objeto de investigación en nuestras actuaciones administrativas. Es útil conocer las decisiones de autoridades extranjeras porque lo que sucede en otros países no solo puede estar pasando o replicándose en nuestro país sino que, podría estar afectando los derechos de los ciudadanos y residentes de la República de Colombia.

No debe perderse de vista que otras autoridades extranjeras han adelantado investigaciones y tomado decisiones contra empresas que recolectan y usan los Datos de los ciudadanos o residentes domiciliados en sus territorios. Dichas empresas actúan en muchos países del mundo y recogen Datos de ciudadanos de casi todas partes del mismo. Aunque no estén domiciliadas físicamente en todos los territorios, utilizan herramientas tecnológicas -como las cookies- para recolectar información en muchos países.

Antes del surgimiento de internet, algunas empresas se domiciliaban en varios países para poder emprender negocios o actuar en determinado territorio. Ahora, pueden realizar sus actividades recurriendo al uso de tecnologías sin que sea necesaria su presencia física creando sociedades o abriendo establecimientos de comercio, sucursales o agencias- en cada país. Aunque no existe presencia física, sí existe presencia tecnológica en muchos territorios para poder recolectar, usar o tratar Datos personales.

Tampoco debe olvidarse que algunas empresas obran de la misma manera en diferentes territorios y su labor impacta masivamente a millones de ciudadanos en el mundo. Su actuar global y transfronterizo afecta a ciudadanos de varios países, razón por la cual varias autoridades actúan desde sus territorios y dentro del marco de sus competencias frente a dichas situaciones con miras a lograr una real y efectiva protección de los derechos de todas las personas.

Eso es lo que ha hecho esta autoridad teniendo en cuenta lo que ordena la Constitución Política Nacional y la regulación colombiana. En línea con lo anterior, vale la pena recordar que, por ejemplo, se hizo referencia a la Federal Trade Commission de los Estados Unidos de América -FTC porque, como se indicó en el primer considerando de la resolución recurrida: RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA “mediante comunicado de prensa del 4 de septiembre de 2019, la Federal Trade Commission -FTC- (Comisión Federal de Comercio de los Estados Unidos de América) comunicó lo siguiente: “Google LLC y su subsidiaria YouTube, LLC pagarán una suma récord de $170 millones de dólares para resolver las alegaciones presentadas por la Comisión Federal de Comercio (FTC, por sus siglas en ingles) y por el Fiscal General de Nueva York que indican que el servicio para compartir videos de YouTube recolectó ilegalmente información personal de niños sin el debido consentimiento de sus padres”.

(Énfasis añadido) Ese asunto se desarrolló en el siguiente título del acto administrativo recurrido “IX. Actuaciones y decisiones de autoridades extranjeras respecto de la obtención del consentimiento previo, expreso e informado del representante legal para el Tratamiento de niños, niñas y/o adolescentes” (páginas 32-34). En la página 32 de la Resolución No. 53593 de 2020 se puso de presente lo siguiente: “Para los fines de la presente resolución, esta Dirección considera importante hacer referencia al acuerdo de $170 millones de dólares suscrito entre la COMISIÓN FEDERAL DE COMERCIO DE LOS ESTADOS UNIDOS DE AMÉRICA (“The Federal Trade Commission”), la OFICINA DEL FISCAL GENERAL DEL ESTADO DE NUEVA YORK76, en representación de las personas del Estado de Nueva York, GOOGLE LLC y su subsidiaria YOUTUBE LLC, por la presunta infracción por parte de estas últimas de la Regla de la Ley de Protección de la Privacidad Infantil en Internet (COPPA, por sus siglas en inglés) “La Comisión Federal de Comercio de los Estados Unidos de Norteamérica y la Oficina del Fiscal General del Estado de Nueva York, encontraron que el servicio para compartir videos de YouTube recogió ilegalmente información personal de niños.

Entre ellos, aquellos Datos recolectados a través de “cookies” o tecnologías similares, sin notificar (o informar) esas prácticas de recolección y, según la demanda presentada por esas autoridades, sin obtener el consentimiento verificable de los padres antes de recolectar esa información personal de los menores de edad.” (Énfasis añadido) Adicionalmente, se citaron las autoridades de Australia y Francia para destacar que: “Respecto a la claridad de la Política de Privacidad de Google, es pertinente destacar que la Comisión Australiana de la Competencia y del Consumidor (ACCC por sus siglas en inglés), en su reporte “Digital Platforms Inquiry” determinó que las políticas de privacidad de las plataformas digitales, entre ellas, la de Google, carecen de esa característica.

Señaló que la complejidad del lenguaje empleado hace que sea más difícil para los usuarios promedio procesar la información contenida dentro de estas políticas. También crea dificultades particulares para los niños. A esta misma conclusión llegó la Comisión Nacional de Informática y de las Libertades de Francia (La Commission Nationale de l'informatique et des libertés, CNIL) en su decisión contra GOOGLE.” También se transcribió lo siguiente en la página 10 respecto de la Agencia Española de Protección de Datos (AEPD) que: RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA “ (…) a finales de 2013 la Agencia Española de Protección de Datos (en adelante AEPD) concluyó lo siguiente con ocasión de una investigación que inició contra Google: “En todo caso, (…), la entidad Google Inc. recurre a medios situados en el territorio español con el fin de captar información en nuestro territorio (utilizando, entre otros, los equipos de los usuarios residentes en España para almacenar información de forma local a través de cookies y otros medios, así́ como ejecutando código en dichos dispositivos), sin que la utilización de tales equipos para la recogida de datos se realice exclusivamente con fines de tránsito por el territorio de la Unión Europea, es decir, no se trata de equipos de transmisión, sino que dichos equipos se emplean para la recogida y tratamiento de los datos”(Destacamos).

Si bien, las decisiones de autoridades extranjeras no son fuente de derecho ni sus decisiones son vinculantes para esta autoridad, sí nos permiten conocer lo que está sucediendo en otros países respecto de temas que son objeto de investigación por esta Delegatura. Por eso, hacer referencia a sus decisiones no significa que el acto administrativo recurrido se adoptó con fundamento en la regulación de otros países.

Solo son algunos antecedentes relevantes sobre la recolección de Datos personales y la protección de los menores de edad. Aunque el mundo está dividido territorialmente, no debe olvidarse que, al mismo tiempo, está fusionado tecnológicamente. Por eso, en temas de Tratamiento de Datos personales es frecuente que se utilicen como referencia casos, normas o documentos extranjeros dentro de los considerandos de las decisiones, sin que ello implique que la decisión esté soportada en esas referencias.

De hecho, la Corte Constitucional ha procedido de manera similar en algunas de sus decisiones. En el caso de la Sentencia C-748 de 2011 -mediante la cual efectuó la revisión integral del texto de la Ley Estatutaria 1581 de 2012- dicha corporación cita normas emitidas en Europa; la Organización de las Naciones Unidas; la Organización de Estados Americanos;

Estados Unidos de Norteamérica; España; Portugal; Argentina y Uruguay8. Eso no quiere decir que las decisiones de la Corte Constitucional se basen en esas referencias extranjeras. Para esta Delegatura no es aceptable que se recurra a argumentos contrarios a la verdad para atacar la decisión de esta entidad. Como bien se ha explicado ampliamente en el curso de esta actuación administrativa, GOOGLE LLC realiza Tratamiento de Datos personales en territorio colombiano porque usa cookies para recolectar Datos personales en este país. Razón suficiente, para que de conformidad con lo establecido en el artículo 2 de la Ley Estatutaria 1581 de 2012 cumpla con lo estipulado en dicha ley y sus normas reglamentarias.

En suma, no es cierto que la decisión de esta entidad se funda en una norma española. Aunque la investigada tiene derecho a la defensa, ello no debe hacerse recurriendo a afirmaciones que carecen de veracidad. Son inaceptables ese tipo de estrategias de defensa jurídica porque no son correctos ni éticos. Adicionalmente, esas aseveraciones no son respetuosas con las autoridades de la República de Colombia porque dan a entender que no estamos obrando dentro del marco legal de nuestro país sino el de España, afirmación totalmente alejada de la realidad. 8 Cfr. Numerales 2.1.1.1.2, 2.1.1.1.3., 2.1.1.1.4., 2.25.3.1., 2.1.2.1., 2.18.3.1., RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Sobre este punto, GOOGLE LLC y su apoderado deben tener presente que el artículo 4 de la Constitución Política de la República de Colombia establece que “(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades”.

(Destacamos). En síntesis, la ausencia de veracidad de los argumentos planteados descarta su aceptación por parte de este Despacho, razón por la cual son improcedentes y no son de recibo. 3. COOKIES: RECOLECCIÓN Y TRATAMIENTO DE DATOS PERSONALES El apoderado de GOOGLE LLC señala,”( ) mi representada nunca ha dicho que no usa cookies. De manera transparente los Titulares de los datos son informados del uso de estas tecnologías, y como se ha explicado esto es necesario para el funcionamiento correcto de la navegación en Internet ( )” (Énfasis añadido).

Una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar sus Datos. Adicionalmente, Google define el término cookie, en su Política de Privacidad como “( ) un pequeño archivo que incluye una cadena de caracteres que se envía al ordenador del usuario cada vez que visita un sitio web para que, cuando vuelva a visitarlo, el sitio web reconozca el navegador del usuario.

Entre otros datos, las cookies pueden almacenar las preferencias de los usuarios. Estos pueden configurar su navegador para que bloquee todas las cookies o para que avise cuando se esté enviando una. Sin embargo, puede que algunas de las funciones o servicios de un sitio web no funcionen correctamente sin cookies ( )” 9 y recalca, “Utilizamos diversas tecnologías para recoger y almacenar la información, entre las que se incluyen cookies, etiquetas de píxel, almacenamiento local (como el almacenamiento web del navegador o las cachés de datos de aplicaciones), bases de datos y registros de servidor.” (Énfasis añadido).

Autoridades de protección de datos de varios países -Uruguay, España, Irlanda, Reino Unido, Italia y Estados Unidos- y el Tribunal de Justicia de la Unión Europea (TJUE) se han referido a la definición de “cookies” y su función. De las mismas se concluye, entre otras: a) Las cookies se instalan en los equipos de las personas (teléfonos celulares, tablets, computadoras o cualquier otro dispositivo que almacene información) b) La finalidad de las cookies es recolectar o almacenar Datos personales (nombre de usuario, un identificador único, dirección de correo electrónico, las búsquedas que realiza de cada usuario y sus hábitos de navegación en internet, sitios que una personas visita en la web) y otros tipos de información. c) Las cookies son un mecanismo de rastreo o de seguimiento de las personas.

Por ejemplo, permiten realizar trazabilidad detallada de las búsquedas de un usuario en internet o de sus hábitos de navegación d) La recolección o almacenamiento de información mediante las cookies constituye un Tratamiento de Datos personales. Veamos: 9 https://policies.google.com/privacy?hl=es RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA En el caso de la República Oriental del Uruguay, la Unidad Reguladora y de Control de Datos Personales señala lo siguiente en su guía sobre “Cookies y perfiles”10: “La cookie es un tipo de archivo que almacena información del usuario y es enviada por un sitio web a través de un navegador.

Este archivo se descarga en computadoras, tablets, celulares o cualquier otro dispositivo, con la finalidad de almacenar datos que podrán ser actualizados o recuperados por el responsable de su instalación..” (Énfasis añadido) En el Reino de España, la Agencia Española de Protección de Datos señala lo siguiente en su “Guía sobre el uso de cookies” 11: “La LSSI resulta aplicable a las cookies entendidas en el sentido señalado al comienzo de esta guía, esto es, como cualquier tipo de dispositivo de almacenamiento y recuperación de datos que se utilice en el equipo terminal de un usuario con la finalidad de almacenar información y recuperar la información ya almacenada, según establece el artículo 22.2 de la LSSI.

Las cookies permiten el almacenamiento en el terminal del usuario de cantidades de datos que van de unos pocos kilobytes a varios megabytes.”. (Énfasis añadido). Adicionalmente, la Agencia Española de Protección de Datos (en adelante AEPD) concluyó lo siguiente con ocasión de una investigación que inició contra Google: “En todo caso, (…), la entidad Google Inc. recurre a medios situados en el territorio español con el fin de captar información en nuestro territorio (utilizando, entre otros, los equipos de los usuarios residentes en España para almacenar información de forma local a través de cookies y otros medios, así́ como ejecutando código en dichos dispositivos), sin que la utilización de tales equipos para la recogida de datos se realice exclusivamente con fines de tránsito por el territorio de la Unión Europea, es decir, no se trata de equipos de transmisión, sino que dichos equipos se emplean para la recogida y tratamiento de los datos”12.

(…). (Énfasis añadido). República Oriental del Uruguay, Unidad Reguladora y de Control de Datos Personales. Cookies y perfiles. En: https://www.gub.uy/unidad-reguladora-control-datos-personales/sites/unidad-reguladora-control-datospersonales/files/documentos/publicaciones/Guia%2Bcookies%2By%2Bperfiles.pdf Reino de España. Agencia Española de Protección de Datos.

Guía sobre el uso de cookies. En: https://www.aepd.es/es/documento/guia-cookies.pdf 12 La AEPD concluyó lo siguiente: “la Agencia Española de Protección de Datos también es competente para decidir sobre el tratamiento llevado a cabo por un responsable no establecido en territorio del Espacio Económico Europeo que ha utilizado en el tratamiento de datos medios situados en territorio español, por lo que debe concluirse, igualmente, que la LOPD es aplicable al presente supuesto y procedente la intervención de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 2.1.c) de la LOPD“ (AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS.

Resolución R/02892/2013 del 19 de diciembre de 2013. Procedimiento sancionador PS/00345/2013 instruido a las entidades Google Inc. y Google Spain, S.L. Madrid, España). RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA En la República de Irlanda, la Oficina del Comisionado de Protección de Datos publicó en el 2020 su guía sobre “Cookies y otras tecnologías de seguimiento”13.

En ella, se afirmó que: “Las cookies suelen ser pequeños archivos de texto almacenados en un dispositivo, como una PC, un dispositivo móvil o cualquier otro dispositivo que pueda almacenar información. Los dispositivos que pueden utilizar cookies también incluyen los llamados dispositivos de "Internet de las cosas" (IoT) que se conectan a Internet.

Las cookies cumplen una serie de funciones importantes, que incluyen recordar a un usuario y sus interacciones anteriores con un sitio web. Se pueden usar, por ejemplo, para realizar un seguimiento de los artículos en un carrito de compras en línea o para realizar un seguimiento de la información cuando ingresa detalles en un formulario de solicitud en línea.

Las cookies de autenticación también son importantes para identificar a los usuarios cuando inician sesión en servicios bancarios y otros servicios en línea (…) La información almacenada en las cookies puede incluir datos personales, como una dirección IP, un nombre de usuario, un identificador único o una dirección de correo electrónico.

Pero también puede contener datos no personales como configuraciones de idioma o información sobre el tipo de dispositivo que una persona está usando para navegar por el sitio”. (Énfasis añadido). En el Reino Unido de Gran Bretaña e Irlanda del Norte, la Oficina de la Comisión de Información publicó su “Guía sobre el uso de cookies y tecnologías similares”14, en la cual se afirma lo siguiente: “Qué son cookies? Las cookies son pequeños fragmentos de información, que normalmente constan de letras y números, que los servicios en línea proporcionan cuando los usuarios los visitan.

El software en el dispositivo del usuario (por ejemplo, un navegador web) puede almacenar cookies y enviarlas al sitio web la próxima vez que lo visite. ¿Cómo se utilizan las cookies? Las cookies son una tecnología específica que almacena información entre visitas al sitio web. Se utilizan de diversas formas, como por ejemplo: • • • • recordar lo que hay en una “cesta” al comprar productos en línea; ayudar a los usuarios a iniciar sesión en un sitio web; analizar el tráfico de un sitio web; o seguimiento del comportamiento de navegación de los usuarios.

Las cookies pueden ser útiles porque permiten que un sitio web reconozca el dispositivo de un usuario. Se utilizan ampliamente para hacer que los sitios web funcionen o funcionen de manera más eficiente, así como para proporcionar información a los editores del sitio. Sin cookies, o algún otro método similar, los sitios 13 Cfr. República de Irlanda.

Oficina del Comisionado de Protección de Datos (2020) Guidance note: Cookies and other tracking technologies. En https://www.dataprotection.ie/sites/default/files/uploads/202004/Guidance%20note%20on%20cookies%20and%20other%20tracking%20technologies.pdf 14 Cfr. Reino Unido de Gran Bretaña e Irlanda del Norte. Oficina de la Comisión de Información. Guidance on the use of cookies and similar technologies.

En: https://ico.org.uk/for-organisations/guide-to-pecr/guidance-on-the-use-of-cookiesand-similar-technologies/ RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA web no tendrían forma de "recordar" nada sobre los visitantes, como cuántos artículos hay en una cesta de compras o si han iniciado sesión.” La Oficina Garante de la protección de datos personales de la República de Italia publicó este año (2021) sus Directrices para cookies y otras herramientas de seguimiento15, en donde señalan, entre otras, lo siguiente: “Las cookies son, por regla general, cadenas de texto que los sitios web visitados por el usuario (los llamados sitios web de 'editores' o 'propios') o diferentes sitios web o servidores web (los llamados 'terceros') colocan y almacenan en un dispositivo terminal en posesión del usuario, ya sea directamente, como es el caso de los sitios web de los editores, o indirectamente, como es el caso de los "terceros", es decir, a través de la intermediación de los sitios web de los editores.

Los dispositivos terminales a los que se hace referencia incluyen, por ejemplo, un ordenador, una tableta, un teléfono inteligente o cualquier otro dispositivo capaz de almacenar información. (…) (…) La información codificada en las cookies puede incluir datos personales, como una dirección IP, un nombre de usuario, un identificador único o una dirección de correo electrónico, pero también puede incluir datos no personales como la configuración de idioma o información sobre el tipo de dispositivo que está usando una persona para navegar dentro del sitio web.

Por lo tanto, las cookies pueden realizar funciones importantes y diversas, incluido el seguimiento de la sesión, el almacenamiento de información de acceso al servidor específica relacionada con la configuración del usuario, facilitar el uso de contenido en línea, etc. Por ejemplo, se pueden utilizar para realizar un seguimiento de los elementos en una cesta de la compra en línea o la información utilizada para completar un formulario informático”.

(Énfasis añadido). La Comisión Federal de Comercio (FTC) de los Estados Unidos de América define e indica los usos de las cookies en los siguientes términos: “Una cookie es información guardada por su navegador web. Cuando usted visita un sitio web, el sitio puede colocar una cookie en su navegador web para que pueda reconocer su dispositivo en el futuro.

Si regresa a ese sitio más adelante, puede leer esa cookie para recordarlo de su última visita y realizar un seguimiento de usted a lo largo del tiempo. Usos • • • Recopilar información sobre las páginas que ve y sus actividades en el sitio Permitir que el sitio lo reconozca, por ejemplo: o Recordando su ID de usuario o Ofreciendo un carrito de compras en línea o Realizar un seguimiento de sus preferencias si vuelve a visitar el sitio web Personaliza tu experiencia de navegación 15 Cfr. República de Italia.

Oficina Garante de la protección de datos personales (2021) Linee guida cookie e altri strumenti di tracciamento - 10 giugno 2021 [9677876]. En: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876#english RESOLUCIÓN NÚMERO 60478 DE 2021 • VERSIÓN ÚNICA Entregar anuncios dirigidos a usted” 16. (Énfasis añadido).

La FTC público la guía “Cómo Proteger tu Privacidad en línea” 17, en donde afirma lo siguiente: “Lo que hay que saber acerca del rastreo en línea Cookies Cuando usted visita un sitio web, el sitio podría colocar un archivo llamado una cookie en su navegador o explorador de internet. Los sitios web usan cookies para personalizar su experiencia de navegación en internet.

Cuando un sitio web coloca una cookie en su navegador, esa es una cookie de origen. A continuación, se enumeran algunos ejemplos de cómo pueden usar las cookies de origen los sitios web: • Un sitio web de noticias le muestra el estado del tiempo en su localidad y artículos sobre temas de su interés. • Un sitio web recuerda su nombre de usuario o los artículos que dejó en su carro de compras en línea.

Los sitios web que usted visita suelen permitir que otras compañías también coloquen cookies, por ejemplo, para mostrarle anuncios personalizados o dirigidos de acuerdo a sus intereses. Estas son cookies de terceros. A continuación, algunos ejemplos de cookies de terceros: • Una compañía de publicidad le coloca una cookie y ve que usted visitó un sitio web sobre carreras a pie.

Entonces, cuando usted visita otros sitios web, le muestra un anuncio de calzado deportivo para correr. • Una compañía analítica usa una cookie para obtener detalles sobre su visita a un sitio web, por ejemplo, cuánto tiempo pasó en ese sitio y qué paginas visitó. Puede usar la información que recolecta para detectar problemas con el sitio y mejorarlo.” (Énfasis fuera de texto).

Adicionalmente, en el año 2012 la Comisión Federal de Comercio (FTC) anunció que Google Inc. acordó pagar una multa civil de US $ 22.5 millones 18. Lo anterior, con el propósito de resolver los cargos presentados por la autoridad relacionados con el presunto engaño a los usuarios del navegador de Internet Safari. Ya que, se les informó que dicho navegador no instalaría cookies de seguimiento ni mostraría anuncios dirigidos a esos usuarios, violando un acuerdo previamente firmado por la empresa y la Comisión. La FTC señaló: “Google, el desarrollador del motor de búsqueda de internet más popular del mundo, genera miles de millones de dólares en ingresos anuales por la venta de servicios de United States.

Federal Trade Commission. What are cookies? En: https://www.ftc.gov/site-information/privacypolicy/internet-cookies Consultada el 16 de septiembre de 2021. 17 Estados Unidos de América. Comisión Federal de Comercio. El texto completo de la guía puede consultarse en: https://www.consumidor.ftc.gov/articulos/como-proteger-su-privacidad-en-linea 18 Cfr. Google Will Pay $22.5 Million to Settle FTC Charges it Misrepresented Privacy Assurances to Users of Apple's Safari Internet Browser.

August 9, 2012. Privacy Settlement is the Largest FTC Penalty Ever for Violation of a Commission Order. En: https://www.ftc.gov/news-events/press-releases/2012/08/google-will-pay-225-million-settle-ftc-charges-itmisrepresented RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA publicidad en línea, incluida la remisión de anuncios publicitarios dirigidos.

Las cookies son pequeños fragmentos de texto de computadora que se utilizan para recopilar información de las computadoras y se pueden usar para mostrar anuncios dirigidos a los consumidores. Al colocar una cookie de seguimiento en la computadora de un usuario, una red publicitaria puede recopilar información sobre las actividades de navegación web del usuario y utilizar esa información para publicar anuncios en línea dirigidos a los intereses del usuario o para otros fines.

En su denuncia, la Comisión alegó que durante varios meses del 2011 y 2012, Google instaló una determinada cookie de seguimiento de publicidad en las computadoras de los usuarios que usaban Safari y que visitaban sitios dentro de la red publicitaria “DoubleClick” de Google, aunque Google había dicho previamente a estos usuarios que automáticamente serían removidos de dicho seguimiento, como resultado de la configuración predeterminada del navegador Safari utilizado en Macs, iPhones y iPads”19.

(Énfasis fuera de texto). Finalmente, el Tribunal de Justicia señaló lo siguiente en la sentencia con asunto C‐673/1720 de 1 de octubre de 2019: “(…) las cookies tienen como finalidad recabar información con fines publicitarios para los productos de las empresas colaboradoras del organizador del juego promocional (…)” De la resolución de remisión se desprende que las cookies son ficheros que el proveedor de un sitio de Internet coloca en el ordenador de los usuarios de dicho sitio y a los que puede acceder nuevamente, cuando estos vuelven a visitar el sitio, con el fin de facilitar la navegación en Internet o las transacciones o de obtener información sobre el comportamiento de dichos usuarios.

(…) Con carácter preliminar ha de precisarse que, según las indicaciones que figuran en la resolución de remisión, las cookies que pueden colocarse en el equipo terminal de los usuarios que participan en el juego con fines promocionales organizado por Planet49 llevan un número que se adjudica a los datos de registro de dicho usuario, quien debe inscribir su nombre y su dirección en el formulario de participación de dicho juego.

El órgano jurisdiccional remitente añade que la asociación de ese número y esos datos personaliza los datos almacenados por las cookies cuando el usuario se sirve de Internet, de modo que la recogida de tales datos mediante las cookies constituye un tratamiento de datos personales. Estas indicaciones fueron confirmadas por Planet49, quien subrayó en sus observaciones escritas que el consentimiento correspondiente a la segunda casilla constituye una autorización de recogida y tratamiento de datos personales, y no de información anónima.

Una vez realizadas estas precisiones, procede señalar que, conforme al artículo 5, apartado 3, de la Directiva 2002/58, los Estados miembros velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la 19 Ibídem. SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala) de 1 de octubre de 2019 en el asunto C‐673/17.

En: https://curia.europa.eu/juris/document/document.jsf;jsessionid=437F394E00932160C3A97E1093FF4B09?text=&docid=21 8462&pageIndex=0&doclang=ES&mode=lst&dir=&occ=first&part=1&cid=6852262 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA información ya almacenada, en el equipo terminal de un usuario cuando dicho usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46”.

(Énfasis añadido).

4. LA LEY COLOMBIANA APLICA AL TRATAMIENTO DE DATOS EFECTUADO EN EL TERRITORIO COLOMBIANO SIN DISTINGUIR SI EL MISMO SE REALIZA MEDIANTE MECANISMOS FÍSICOS O HERRAMIENTAS TECNOLÓGICAS Manifiesta el apoderado de GOOGLE LLC: “Si bien la SIC tiene facultades de vigilancia de la LGPD y, en tal sentido, debe aplicarla conforme a las competencias precisas definidas por la ley, esto no implica que tenga facultades para modificar la ley a partir de una interpretación libre y arbitraria de sus disposiciones, particularmente en lo que respecta al ámbito de aplicación de la Ley, acomodando supuestos fácticos que se encuentran claramente por fuera de su alcance.

No existe fundamento legal o jurisprudencial alguno que permita a la SIC hacer una lectura de la ley que exceda lo dicho en ella, creando nuevos criterios interpretativos por vía de una actuación administrativa ( )”; (Énfasis añadido) El campo de aplicación de la ley colombiana no ha sido ampliado ni modificado por esta autoridad. Tampoco ha sido objeto de una interpretación arbitraria como lo afirma el abogado Lorenzo Villegas Carrasquilla.

Mucho menos se trata de una decisión “selectiva y caprichosa” como lo sostiene el apoderado. Simplemente se ha aplicado lo que establece el texto de la misma. Para el efecto, se ha utilizado un principio general de interpretación jurídica según el cual en donde la ley no distingue, no le es dado al intérprete hacerlo. Principio que en este caso resulta plenamente aplicable porque GOOGLE LLC realiza Tratamiento de Datos en el territorio colombiano mediante el uso de cookies.

Si la ley colombiana no distingue la forma ni los mecanismos como se realiza el Tratamiento en el territorio colombiano, pues no le corresponde a esta autoridad excluir el uso de cookies como una de tales herramientas. La citada regla de interpretación jurídica ha sido utilizada por la Corte Constitucional y la Corte Suprema de Justicia para adoptar algunas decisiones.

A continuación nos permitimos transcribir lo esencial, no solo para recordar la existencia de ese principio sino para reiterar que esta autoridad no ha hecho nada diferente a aplicar la ley colombiana: • CORTE SUPREMA DE JUSTICIA. SALA DE CASACIÓN PENAL. AUTO INTERLOCUTORIO DE 3 DE MAYO DE 2017 (AP2789-2017. RADICACIÓN N.° 49891. APROBADO ACTA N.º 124) MP.

DR. FERNANDO ALBERTO CASTRO CABALLERO21.: “ Acorde con el principio interpretativo que reza que donde la ley no distingue no le es dado al interprete hacerlo, se concluye que si la Ley 1820 no excluyó de manera explícita como destinatarios de sus preceptos a los ex integrantes de las FARC - EP, por ejemplo a causa de anterior desmovilización en los términos de la Ley 975 de 2005 u otra normatividad, mal podría haberlo hecho como lo hizo en este caso la Sala de Justicia y Paz del Tribunal Superior de Bogotá” El texto puede leerse en: content/uploads/relatorias/pe/b2may2017/AP2789-2017.pdf En: https://www.cortesuprema.gov.co/corte/wp- RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA • CORTE CONSTITUCIONAL, SENTENCIA C-317 DEL 3 DE MAYO DE 2012.

MP. DRA MARÍA VICTORIA CALLE CORREA22. “Al respecto la Corte considera que no le asiste razón al demandante pues si bien la Constitución contiene una atribución expresa de representación gubernamental para la iniciativa legislativa en cabeza de los Ministros, y no una atribución similar para la iniciativa constituyente, resulta plenamente aplicable al tema, el principio general de interpretación jurídica según el cual donde la norma no distingue, no le corresponde distinguir al intérprete, no resultando jurídicamente viable deducir, por esta vía, reglas constitucionales implícitas que contrarían el texto mismo del artículo 208 Superior, cuyo mandato general de vocería gubernamental no establece tal diferenciación.” (Énfasis añadido) • CORTE CONSTITUCIONAL, SENTENCIA C-127 DE 22 DE ABRIL DE 2020.

MP. DRA. CRISTINA PARDO SCHLESINGER23.: “Por lo anterior, en desarrollo del principio general de interpretación jurídica según el cual donde la norma no distingue, no le corresponde distinguir al intérprete, no resulta viable deducir la existencia de la regla de exclusión implícita a que aluden los demandantes.” (Énfasis añadido). Contrario a lo afirmado por GOOGLE LLC, esta Delegatura no ha modificado la Ley Estatutaria 1581 de 2012, tampoco ha sido arbitraria en sus interpretaciones, ni mucho menos ha acomodado supuestos fácticos.

Únicamente ha aplicado el texto del artículo 2 de la citada ley, a saber: ” La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

Como se mencionó, tanto para la Constitución de la República de Colombia como para la precitada ley es importante la recolección y el Tratamiento de Datos sin que sea relevante si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías (cookies) conocidas o por conocer para dicho efecto. Se recalca que, el literal g) del artículo 3 de la Ley Estatutaria 1581 de 2012 define Tratamiento como, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

(Énfasis añadido). Esa definición legal es neutral tecnológicamente porque cobija el Tratamiento realizado mediante cualquier medio físico o electrónico como, entre otras, las “cookies”. GOOGLE LLC realiza Tratamiento de Datos personales en territorio colombiano porque usa cookies para recolectar Datos personales en el territorio de la República de Colombia.

Razón suficiente, para que de conformidad con lo establecido en el artículo 2 de la Ley Estatutaria 1581 de 2012 cumpla con lo estipulado en dicha ley y sus normas reglamentarias. El apoderado de GOOGLE LLC reconoce lo siguiente: “mi representada nunca ha dicho que no usa cookies. De manera transparente los Titulares de los datos son informados 22 El texto completo de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2012/C-317- 12.htm 23 La sentencia puede consultarse en: https://www.corteconstitucional.gov.co/Relatoria/2020/C-127-20.htm RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA del uso de estas tecnologías, y como se ha explicado esto es necesario para el funcionamiento correcto de la navegación en Internet ( )”.

Una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos personales. Por lo tanto, GOOGLE LLC recolecta y trata Datos personales en el territorio colombiano, razón por la cual debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias.

En conclusión, GOOGLE LLC mediante mecanismos electrónicos recolecta Datos personales en el territorio de la República de Colombia. Por ende, el Tratamiento de Datos personales que realiza GOOGLE LLC está sujeto a la legislación colombiana. En otras palabras, la Ley Estatutaria 1581 de 2012 es aplicable a GOOGLE LLC porque recolecta Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en Colombia, es decir, realiza un Tratamiendo sobre los mismos.

En virtud de lo anterior, no asiste razón a GOOGLE LLC en cuanto a que no le es aplicable la Ley Estatutaria 1581 de 2012.

5. LA LEY 1581 DE 2012 ES APLICABLE A GOOGLE LLC PORQUE RECOLECTA DATOS PERSONALES EN EL TERRITORIO DE LA REPÚBLICA DE COLOMBIA A TRAVÉS DE COOKIES QUE INSTALA EN LOS EQUIPOS O DISPOSITIVOS DE LAS PERSONAS RESIDENTES O DOMICILIADAS EN COLOMBIA Estas son las razones constitucionales y legales por las cuales no son de recibo los argumentos de GOOGLE LLC24 mediante los cuales concluye que la Ley Estatutaria 1581 de 2012 no le es aplicable.

El artículo 2 de la Ley Estatutaria 1581 de 2012 dispone: ” La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

El artículo 15 de la Constitución Política Colombiana, por su parte, establece el Derecho Fundamental al debido Tratamiento de Datos personales, de la siguiente manera: “Todas las personas tienen (…)derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. 24 Este Despacho precisa que al momento de resolver el recurso presentado se tienen en cuenta todos los argumentos y elementos probatorios que reposan en el expediente de la actuación administrativa, (incluidas las 84 páginas del recurso, los 124 folios anexos al mismo y el memorial de alcance de 15 páginas que presentó el apoderado Lorenzo Villegas Carrasquilla).

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución ( )”. (Énfasis añadido). Nótese como para la propia Constitución de la República de Colombia es importante la recolección y el Tratamiento de Datos sin que sea relevante si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías conocidas o por conocer para dicho efecto.

Para la Constitución lo determinante es que la recolección o el tratamiento de datos no se haga de cualquier manera sino respetando la libertad y demás garantías establecidas en la misma. Como es sabido, el literal g) de su artículo 3 de la Ley Estatutaria 1581 de 2012 define Tratamiento como, “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

(Énfasis añadido). El significado legal de Tratamiento tiene varias características: En primer lugar, es omnicomprensiva porque incluye toda actividad, operación o conjunto de operaciones sobre Datos personales. Además, no se limita a los ejemplos enunciativos del citado concepto legal sino que, abarca cualquier otro que involucre directa o indirectamente el uso, almacenamiento o circulación de Datos personales.

Sobre este punto, la Corte Constitucional señaló en el numeral 2.5.9. de la Sentencia C-748 de 2011 que, “lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia”.

(Destacamos). En segundo lugar, la operación o conjunto de operaciones sobre Datos personales puede ser realizada directa o indirectamente por una o varias personas de forma tal que, en un Tratamiento de Datos personales pueden existir varios Responsables o corresponsables. Debe precisarse que, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo.

Puede ser un Tratamiento diseñado por una organización en la que se divide el trabajo para alcanzar ciertos objetivos pero, al final, unos y otros son Responsables y corresponsables del Tratamiento de Datos personales. En tercer lugar, es neutral tecnológicamente porque cobija el Tratamiento realizado mediante cualquier medio físico o electrónico como, entre otras, las cookies.

GOOGLE LLC realiza Tratamiento de Datos personales en territorio colombiano porque usa cookies para recolectar Datos personales en el territorio de la República de Colombia. Razón suficiente, para que de conformidad con lo establecido en el artículo 2 de la Ley Estatutaria 1581 de 2012 cumpla con lo estipulado en dicha ley y sus normas reglamentarias.

Como se señaló, el artículo 2 de la Ley Estatutaria 1581 de 2012 ordena que ” La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales” (Énfasis añadido).

El término “Tratamiento” no solo se menciona en el artículo 15 de la Constitución Política de la República de Colombia, sino que, es determinante RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA para establecer el campo de aplicación de la citada ley, la cual lo define de la siguiente manera: Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a. El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “Tratamiento de Datos personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b. El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el presente caso, GOOGE LLC está dentro de lo señalado en el literal a) porque usa cookies para recolectar o realizar Tratamiento Datos personales en el Territorio de la República de Colombia. En suma, se concluye por parte de esta Autoridad que, sin lugar a dudas, una cookie es un mecanismo que se instala en los equipos o dispositivos (bien sea celular, computador portátil, u otro) de las personas residentes o domiciliadas en la República de Colombia con el objetivo de recolectar algunos de sus Datos personales.

Por lo tanto, GOOGLE LLC recolecta y trata Datos personales en el territorio colombiano, razón por la cual debe cumplir la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias. El apoderado de la investigada en el memorial de alcance presentado también afirma lo siguiente, “De hecho, la Autoridad [sic] se queda en argumentos generales y catedráticos sobre estas herramientas, pero en ningún momento entra a discutir aquellos supuestos Tratamientos realizados por mi representada a través de cookies” Esto también es falso, no es un secreto y así se ha demostrado en todas las instancias de esta actuación administrativa.

La investigada afirma y reconoce en sus políticas, las cuales son de acceso público en su página web, que utiliza la tecnología cookies para recopilar información de los ciudadanos, lo cual en últimas y de conformidad con la Ley Estatutaria 1581 de 2012 es un Tratamiento: RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA 25 https://policies.google.com/technologies/cookies?hl=es-419, consultada el 2 de septiembre de 2021 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Como se vio, la Ley 1581 de 2012 fija de manera expresa su ámbito de aplicación “al tratamiento de datos personales efectuado en territorio colombiano”.

Entonces, como las web cookies se instalan por parte de GOOGLE LLC en equipos ubicados en Colombia, el Tratamiento de la información recolectada por este medio, se somete al cumplimiento de la Ley 1581 de 2012. El apoderado de GOOGLE LLC aduce, “De igual modo, resulta necesario recordarle a la SIC que en Colombia el supuesto de hecho para la aplicación de la legislación local es que el Tratamiento ocurra en el territorio colombiano. La nacionalidad del titular del dato es irrelevante.

Sabemos que durante los últimos años la SIC ha realizado una sustitución normativa a partir de interpretaciones que desdibujan los límites de la LGPD para acomodarlos por vía administrativa a la norma europea o haciendo referencias a casos internacionales, que no tienen los mismos alcances ni supuestos que la norma local”. La Ley colombiana no distigue si el Tratamiento se debe hacer de determinada manera ni excluye ninguna forma, herramienta, tecnología o proceso para recolectar o tratar datos personales.

De esta manera, si se adelanta recoleccion de Datos en el territorio colombiano aplica la ley colombiana. Esta entidad no está realizando una sustitución normativa sino aplicando la ley colombiana al presente caso. En el memorial de alcance presentado por el apoderado de la investigada se manifiesta, “No obstante, le recordamos a la Autoridad [sic] que en Colombia el criterio de aplicación de la LGPD no es la nacionalidad del Titular sino el lugar donde ocurre el Tratamiento”.

Precisamente y con fundamento en esta afirmación es que se impusieron las órdenes recurridas, porque el Tratamiento de la información se realiza en el territorio colombiano. Finalmente, frente a la referencia de conceptos jurídicos de la Oficina Jurídica de esta entidad, debe recordarse que los mismos no son de obligatorio cumplimiento tal y como expresamente lo ordena el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo: “Alcance de los conceptos.

Salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuestas a peticiones realizadas en 26 https://policies.google.com/technologies/cookies?hl=es-419, consultada el 2 de septiembre de 2021 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución”.

(Énfasis añadido). Ahora bien, a pesar de lo anterior y solo en gracia de discusión, vale la pena mencionar el Concepto 14-218349 de 3 de marzo de 2016 en el cual en relación con el ámbito de aplicación de la Ley 1581 de 2012 se dijo: “( ) Sin duda alguna, el precepto jurídico citado extiende el ámbito de aplicación de la ley estatutaria de protección de datos personales a un sinnúmero de escenarios de tratamiento de información personal en Colombia, verbigracia, de manera ilustrativa, el tratamiento de datos personales efectuado por proveedores de servicios de redes sociales establecidos fuera del país, a través de un “medio”20 situado en territorio colombiano. Con el fin de otorgar mayor claridad en el tema, esta Superintendencia se permite referir lo expuesto en el Informe de Trabajo No. 56, del grupo de trabajo del artículo 29 de la Directiva 95/46/CE, relativo a la aplicación internacional de la legislación comunitaria sobre protección de datos al tratamiento de los datos personales en Internet por sitios web establecidos fuera de la UE, el cual indicó que “( ) los PC, los terminales y los servidores, que se pueden utilizar para casi todos los tipos de operaciones de tratamiento de datos, son ejemplo de medios” 21 Interpretación conforme con el entendimiento que ha tenido la Corte Constitucional sobre el asunto en Colombia, dado que en Sentencia C-748 de 2011, manifiesta que dentro de los medios informáticos de divulgación o comunicación masiva, se encuentran las redes sociales y la internet, otorgándole gran importancia a la determinación de los medios de tratamiento utilizados, toda vez que es uno de los parámetros que contribuye a la identificación del responsable del tratamiento de datos personales22.

En otras palabras, la SIC se encuentra completamente facultada para garantizar el tratamiento de datos personales de los colombianos que, a través de las redes sociales en internet compartan información personal; todo en observancia de los principios, derechos, garantías y procedimientos establecidos por la Ley 1581 de 2012. (…) Al tenor de lo anterior, se colige que el deseo del legislador estatutario y de la Corte Constitucional desde el punto de vista del ámbito de aplicación de la ley estatutaria de protección de datos personales, es evitar que una persona quede desprotegida durante el tratamiento de sus datos por la única razón de que el responsable y/o encargado del tratamiento no se encuentre establecido en el territorio colombiano. ( )” En suma, el Tratamiento de Datos Personales que realiza GOOGLE LLC está sujeto a la legislación de la República de Colombia en virtud de la recolección de información de ciudadanos y residentes en este territorio.

La Ley Estatutaria 1581 de 2012 es aplicable a GOOGLE LLC porque recolecta Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en Colombia, es decir realiza un Tratamiendo sobre los mismos. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA

6. GOOGLE LLC RECONOCE QUE EL TRATAMIENTO DE DATOS TAMBIÉN ESTÁ SUJETO A LA LEGISLACIÓN APLICABLE AL LUGAR DONDE OCURRE DICHO TRATAMIENTO Mediante escrito de 16 de octubre de 2019 (folio 2), GOOGLE LLC afirmó que: El apoderado de GOOGLE LLC afirma que el “tratamiento de datos también está sujeto a la legislación aplicable al lugar donde ocurre dicho tratamiento”.

Precisamente, GOOGLE LLC recolecta y trata Datos personales en el territorio colombiano mediante el uso de cookies, razón por la cual debe cumplir la regulación colombiana sobre Tratamiento de Datos personales. Según la política de privacidad de Google, “Una cookie es un pequeño archivo que incluye una cadena de caracteres que se envía al ordenador del usuario cada vez que visita un sitio web”27.

Así las cosas, se reitera que GOOGLE LLC no solo recolecta y Trata Datos personales en la República de Colombia, sino que, debe cumplir la Ley Estatutaria 1581 de 2012. En suma, el Tratamiento de Datos Personales que realiza GOOGLE LLC está sujeto a la legislación de la República de Colombia toda vez que recolecta información de ciudadanos y residentes que están en el territorio nacional.

Así las cosas, la Ley 1581 de 2012 es aplicable a GOOGLE LLC porque la acopia o captura Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en la República de Colombia.

7. DEL TRATAMIENTO DE DATOS PERSONALES DE LOS NIÑOS, NIÑAS Y ADOLESCENTES Cada día aumenta el uso de servicios digitales, portales web, redes sociales y aplicaciones tecnológicas por parte de los niños, niñas y adolescentes (en adelante NNA). Los NNA son personas altamente influenciadas por la tecnología, internet y las redes sociales. Los menores de edad tienen acceso a internet a través de celulares, tabletas y computadores.

La aparición de las redes sociales, los juegos en línea y los espacios de aprendizaje en internet, han abierto nuevos escenarios de interacción para los niños, niñas y adolescentes. Lo que estos desconocen, es que cuando se accede a páginas en internet, de forma casi automática, se recaban Datos que permiten a los portales de internet y a terceros, saber quién ha accedido; en qué ubicación se encuentra; qué tipo de información consume; entre otros.

Así las cosas, los Datos personales de niños, niñas y adolescentes son recolectados, usados y tratados por empresas, personas y entidades públicas ubicadas en diferentes partes del mundo. Adicionalmente, los menores de edad comparten su información personal ignorando los peligros a los que se exponen al suministrar sus Datos y la información de terceros (amigos; compañeros de colegio; su familia, entre otros) en plataformas web de manera 27 Google.

Política de privacidad, en: https://policies.google.com/privacy#footnote-cookies. Consultada el 19 de mayo de 2020. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA indiscriminada. Nombres; apellidos; fotos; videos; comentarios; la edad; los gustos y preferencias; Datos como correo electrónico; entre otros, son compartidos por los menores de edad sin pensar que estos hacen parte de su información personal y privada, que hace parte de su identidad digital.

Tampoco tienen presente que una vez difunde su información en internet perderán control de la misma. Lo que se hace en internet deja huella y una vez se pone información en la red se pierde control sobre la misma porque puede ser recolectada y usada por terceros. Igualmente, cada vez que los NNA se registran en las redes sociales, en páginas de internet, aplicaciones o en las páginas de juegos en línea, están creando una identidad digital a partir de sus Datos personales.

Progresivamente han venido aumentado los casos que evidencian los riesgos y peligros a que se ven expuestos las NNA que interactúan en las redes sociales digitales y otros canales digitales. Esas redes y tecnologías, por sí solas no son el problema, pero, infortunadamente, algunas personas han encontrado en las mismas un escenario perfecto para realizar conductas indebidas.

El acoso sexual “grooming”; el acoso online “ciberbullying”; los chantajes; la pornografía; las amenazas e invasiones de su privacidad están al orden del día. La Organización para la Cooperación y el Desarrollo Económico (OCDE) estableció los “principios para un entorno digital seguro y beneficioso para los niños”28 en donde pone de presente que, entre otras, las organizaciones públicas y privadas que desempeñan un papel activo en el establecimiento de políticas y prácticas o en la prestación de servicios para los niños en el entorno digital, deben: a) Defender el interés superior del niño como consideración primordial; e b) Identificar cómo se pueden proteger y respetar los derechos de los niños en el entorno digital y tomar las medidas adecuadas para hacerlo.

Adicionalmente, señala la OCDE que se deben tomar medidas para ayudar a los niños a darse cuenta de los beneficios y disfrutar de aquellos en el entorno digital al: • • • • • • Apoyar a los padres, tutores y cuidadores en su papel fundamental de evaluar y minimizar los riesgos a daños y optimizar los beneficios para sus hijos tanto en línea como fuera de línea;

Asegurar que los niños y sus padres, tutores y cuidadores sean conscientes de sus derechos en el entorno digital y establecer mecanismos accesibles para hacer cumplir dichos derechos, incluidos los mecanismos de denuncia u otros recursos legales; Apoyar a los niños y a sus padres, tutores y cuidadores para que comprendan: o los derechos de los niños como Titulares de información; y o la forma en que se recopilan, tratan, comparten y utilizan los Datos personales de los niños;

Defender y respetar el derecho de los niños a expresar libremente sus opiniones y su capacidad, según corresponda teniendo en cuenta su edad y madurez, para participar en los asuntos que les afecten en el entorno digital; Dar a conocer a los niños, así como a sus padres, tutores y cuidadores, los servicios legales, psicosociales o terapéuticos disponibles para los niños que requieran asistencia como resultado de actividades o acciones en el entorno digital, y facilitar el acceso a estos; y Desarrollar mecanismos para generar consciencia a los niños, padres, tutores y cuidadores de las prácticas comerciales en línea que puedan causar daños a los niños.

Cfr. OECD (2021). Recommendation of the Council on https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0389 Children in the Digital Environment. En: RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA En línea con lo anterior, y dentro del marco de sus competencias legales como Autoridad de Protección de Datos Personales, la Superintendencia de Industria y Comercio (SIC) está facultada para ejercer “la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”29.

A continuación nos referiremos a esa función de esta entidad.

8. DE LA FACULTAD QUE TIENE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO PARA EMITIR ÓRDENES EN RELACIÓN CON EL DEBIDO TRATAMIENTO DE DATOS PERSONALES En el recurso interpuesto se argumentó que esta entidad no tiene las facultades legales para imponerle a GOOGLE LLC las órdenes impartidas mediante la Resolución No. 53593 de 3 septiembre de 2020.

La afirmación de la recurrente es contraria a derecho porque la Ley Estatutaria 1581 de 2012 expresamente faculta a esta entidad para emitir órdenes o impartir las instrucciones que considere necesarias para que el Tratamiento de Datos personales se realice conforme con lo dispuesto en la ley. En el artículo 19 de esta ley, se le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “(…) la vigilancia necesaria para garantizar que en el tratamiento [sic] de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, su artículo 21 determina cuáles funciones ejercerá la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; (…) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.

(Destacamos). Visto lo anterior, y contrario a lo afirmado por GOOGLE LLC, sí existen expresas y suficientes facultades legales para que esta autoridad pueda impartir órdenes o instrucciones. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales.

Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del 29 Cfr. Artículo 19 de la Ley Estatutaria 1581 de 2012 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.” Así, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales a compañías como la investigada.

Por eso, esta entidad ha sido respetuosa del principio de legalidad y ha obrado conforme con lo establecido en el derecho colombiano.

9. DEL DEBIDO PROCESO EN LA ACTUACIÓN ADMINISTRATIVA Y DE LOS DATOS PERSONALES QUE RECOLECTA GOOGLE LLC A continuación se transcriben afirmaciones de GOOGLE LLC y posteriormente se responden cada una de ellas como complemento o reiteración -en algunos casos- de lo señalado sobre esos aspectos en el acto administrativo recurrido y la presente resolución: • Afirma lo siguiente el apoderado de GOOGLE LLC: “( ) Vulneración del principio de legalidad, al traer una reinterpretación de la LGPD que reconfigura lo dispuesto en la norma misma en temas sustanciales como su ámbito de aplicación o el alcance de sus obligaciones ( ) al extralimitarse en sus funciones y tomar las funciones del legislador para ampliar su competencia introduciendo nuevos criterios por vía de una actuación administrativa, la SIC compromete el principio de seguridad jurídica y el principio de legalidad” Esta Delegatura no desconoció el principio de legalidad, sino que, aplicó lo que ordena la ley colombiana.

Nos remitimos a los fundamentos constitucionales, legales y tecnológicos señalados, entre otras, en las siguientes partes de esta resolución: - - Cookies y recolección de Datos personales La ley colombiana aplica al Tratamiento de Datos efectuado en el territorio colombiano sin distinguir si el mismo se realiza mediante mecanismos físicos o herramientas tecnológicas.

La Ley 1581 de 2012 es aplicable a GOOGLE LLC porque recolecta Datos personales en el territorio de la República de Colombia a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en este país. Según el artículo 26 de Código Civil Colombiano, “Los jueces y los funcionarios públicos, en la aplicación de las leyes a los casos particulares y en los negocios administrativos, las interpretan por vía de doctrina, en busca de su verdadero sentido, así como los particulares emplean su propio criterio para acomodar las determinaciones generales de la ley a sus hechos e intereses peculiares.” (Énfasis añadido).

Son respetables los argumentos de GOOGLE LLC para defender sus intereses frente a la actuación administrativa. Pero no por ello son aceptables y ajustados a derecho. El hecho de que esta autoridad no comparta el criterio ni las interpretaciones de GOOGLE LLC para proteger sus intereses empresariales no significa que esta Delegatura haya obrado de forma contraria a lo ordenado por la Constitución Política Nacional y la Ley Estatutaria 1581 de 2012 junto con sus normas reglamentarias. • Manifiesta lo siguiente el apoderado de GOOGLE LLC: “Violación de la debida motivación de los actos administrativos ( ) la SIC incumple su deber de RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA garantizar la seguridad jurídica y confianza legítima de los administrados, en tanto modifica, sin sustento legal alguno, su posición manifestada sobre el tratamiento de datos personales en Internet, expresado en Concepto No. 14218349 del 24 de noviembre de 2014.

De la lectura de los actos administrativos se puede constatar que el acto administrativo recurrido fue suficientemente motivado conforme con la regulación colombiana. Respecto de los conceptos nos remitimos a lo señalado en líneas anteriores y recordamos que no son de obligatorio cumplimiento o ejecución tal y como lo establece el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo: “Alcance de los conceptos.

Salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuestas a peticiones realizadas en ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución”. (Énfasis añadido). Adicionalmente, reiteramos los fundamentos legales señalados por esta Delegatura respecto del ámbito de aplicación de la Ley Estatutaria 1581 de 2012. • Señala lo siguiente el apoderado de GOOGLE LLC: “La publicación de las decisiones de la SIC sobre la apertura del presente proceso en medios de comunicación, antes de que la información fuera comunicada a mi representada.

Baste mencionar que ni siquiera mi representada como parte del proceso ha tenido pleno ni permanente acceso al mismo por ningún medio, dado que la SIC alegaba que por ser una investigación de datos personales se establecían unos controles y limitaciones adicionales para su acceso. Pese a lo anterior, todos los medios de comunicación nacionales fueron informados antes que mi representada de la decisión de la Resolución No. 53593 de 2020, sumando entrevistas en vivo del mismo Superintendente, comentando dicha Resolución [sic].

La publicación de las decisiones de la SIC en medios de comunicación no hace parte de la resolución recurrida razón por la cual el argumento es impertinente porque se refiere a un aspecto no mencionado ni ordenado en la Resolución 53593 de 3 de septiembre de 2020. En el expediente reposa evidencia de las comunicaciones realizadas a GOOGLE LLC para que ejerza su derecho de defensa.

Como fruto de lo anterior, dicha empresa nombró un apoderado quien ha presentado los recursos de reposición y apelación con sus argumentos y pruebas que han sido analizados para adoptar la decisión recurrida y el presente acto administrativo. No se ha ocultado nada a GOOGLE LLC para que ejerza su defensa. Tanto es así que los recursos presentados por su apoderado reflejan que conocen todo detalle de lo que obra en el expediente. • Argumenta lo siguiente el apoderado de GOOGLE LLC: Violación al principio de debido proceso administrativo, ( ) la SIC no probó en contrario su supuesta diligencia y cumplimiento al debido proceso, por lo cual, resulta insuficiente que sólo afirme haberlo respetado sin hacer alusión a ninguno de los hechos específicamente alegados por mi representada en el Recurso presentado.” RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA No se ajusta a la realidad esa afirmación. El apoderado ha presentado más de doscientos veintitrés (223) folios para defender a su cliente.

Toda esa información ha sido analizada y tenida en cuenta. Esta Delegatura ha justificado jurídicamente por qué no tiene razón GOOGLE LLC. Así pues, el hecho de que no se acojan los argumentos del apoderado no significa que se haya desconocido el debido proceso. La diligencia y el cumplimiento del debido proceso por parte de esta entidad ha quedado acreditado en el expediente y la motivación de las decisiones adoptadas.

Si es insuficiente para el apoderado de GOOGLE LLC, no por ello deja de ser ajustada a derecho la actuación administrativa realizada y las órdenes impartidas. Sobre el argumento según el cual ( ) Google no tuvo la oportunidad en el presente caso de rebatir ese estudio, no se le dio derecho a contradecirlo dentro de un periodo probatorio determinado.

Introducirlo en ese momento para sustentar un argumento, vulnera los derechos de mi representada”. Es importante recordar lo establecido por el artículo 40 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el cual determina que, “Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales”.

Se recalca que todas las pruebas y argumentos de GOOGLE LLC han sido analizados. Igualmente reinteramos, el hecho de que no se acojan los argumentos del apoderado no significa que se haya desconocido el debido proceso. • Precisa lo siguiente el apoderado de GOOGLE LLC: “Igualmente, la SIC falla en indicar y probar qué datos personales serían recolectados por vía de cookies para alegar la existencia de tratamiento en Colombia ni tampoco demuestra cuál es el tratamiento al que presuntamente se sujetarían estos supuestos “datos personales” en Colombia” “Este asunto es trascendental en la medida en que permite afirmar que, contrario a lo que señala la SIC, no existe tratamiento de datos personales por el solo hecho de que Google utilice cookies.

En las conclusiones del acto administrativo recurrido se señaló lo que sigue a continuación: “GOOGLE LLC recolecta la siguiente información personal: nombres; contraseñas; información de pago; números de teléfono; edad; dirección de correo electrónico; medios de pago; contactos; gustos y preferencias; dirección IP; localización; datos de sensores del dispositivo; puntos de acceso WI-Fi; torres de telefonía y dispositivos con Bluetooth activado; términos de búsqueda; vistas e interacciones con videos; contenido y anuncios; información sobre la voz y el audio; videos mirados; compras; personas con las que se comunica o comparte contenido; actividad en sitios y aplicaciones de terceros; historial de navegación; identificadores únicos; tipo y configuración del navegador; tipo y configuración del dispositivo; sistema operativo; información sobre la red móvil; como el nombre y número de teléfono del proveedor; y el número de versión de la aplicación; etc.30” En cuanto a la expresión “supuestos datos [sic] personales” que utiliza el apoderado de la investigada en el memorial de alcance, es importante volver a mencionar en esta instancia y al detalle, los tipos de Datos que la misma investigada acepta recolectar, y en sus palabras, de acuerdo con lo publicado en su página web Cfr. POLÍTICA DE PRIVACIDAD DE GOOGLE.

En: https://policies.google.com/privacy?hl=es#infocollect. Última consulta: 3 de septiembre de 2020 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA (https://policies.google.com/privacy?hl=es), los cuales se resumen, sin que se limiten, a los siguientes: • El idioma que habla el usuario; • Los anuncios que le parecen más útiles al usuario; • La gente que más le importa en línea al usuario; • Los videos de YouTube que le puedan gustar al usuario;

Asimismo, afirma que cuando el usuario no accede a su Cuenta de Google, esta última almacena la información que ella recopila con identificadores únicos que están vinculados con el navegador, la aplicación tecnológica o el dispositivo que el usuario esté usando. La investigada asevera en sus políticas que al crear una Cuenta de Google el usuario: • Proporciona su información personal que incluye su nombre y contraseña; • Puede agregar un número de teléfono o información de pago a su cuenta; • Incluso sin haber accedido a una Cuenta de Google probablemente decida proporcionar información como una dirección de correo electrónico para recibir actualizaciones sobre los servicios de la investigada.

Google también recopila el contenido que el usuario crea, carga o recibe de otras personas cuando usa los servicios de la investigada. El contenido incluye: • Los correos electrónicos que el usuario escribe y recibe; • Las fotos y videos que el usuario guarda; • Los documentos y hojas de cálculo creadas por el usuario; • Los comentarios que el usuario hace en YouTube.

Asimismo, mientras un usuario utiliza los servicios de Google mediante aplicaciones tecnológicas, navegadores y dispositivos, esta compañía podría recolectar los siguientes Datos: • Información sobre las aplicaciones, los navegadores y los dispositivos que el usuario utiliza para acceder a los servicios de Google; Esa información que recolecta Google incluye, entre otras: • Identificadores únicos; tipo y configuración del navegador; tipo y configuración del dispositivo; sistema operativo; información sobre la red móvil, como el nombre y número de teléfono del proveedor, y el número de versión de la app. • Interacción de las aplicaciones, navegadores y dispositivos con los servicios de Google, como la dirección IP; los informes de fallos; la actividad del sistema y la fecha, hora y URL de referencia de la solicitud del usuario;

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA En cuanto a la actividad de los usuarios, Google podría recolectar los siguientes Datos: • Actividad del usuarios en los servicios de Google; • Términos que busca el usuario; • Videos que mira el usuario; • Vistas e interacciones con contenido y anuncios; • Información sobre la voz y el audio cuando el usuario utiliza las funciones de audio; • Actividad de compra del usuario; • Personas con las que el usuario se comunica o comparte contenido; • Actividad en sitios y aplicaciones de terceros que usan los servicios de Google; • Historial de navegación de Chrome que haya sincronizado con la Cuenta de Google del usuario.

Ahora, en el caso en el que el usuario utilice los servicios de Google para realizar y recibir llamadas, o enviar y recibir mensajes, es posible que la investigada recopile información relacionada con: • El registro de los mensajes y llamadas; • Número de teléfono del usuario; • El número de teléfono de quienes llaman al usuario o él llama; • Los números de desvío; • Las direcciones de correo electrónico de los remitentes y destinatarios; • El día y la hora de los mensajes y las llamadas; • La duración de las llamadas; • Los datos de enrutamiento; • Los tipos de volúmenes de los mensajes y las llamadas.

Google también podría recolectar la información relativa a la ubicación de sus usuarios, y expresamente manifiesta, “Podemos determinar su ubicación con diferentes niveles de precisión a través de los siguientes medios: • GPS • Dirección IP • Datos de los sensores de su dispositivo • Información sobre elementos cerca de su dispositivo, como puntos de acceso de WIFi, torres de telefonía y dispositivos con Bluetooth activado ( )” Lo anterior se puede evidenciar en las siguientes imágenes tomadas de la página web de Google: RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA 31 https://policies.google.com/technologies/cookies?hl=es-419, consultada el 2 de septiembre de 2021 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA 32 https://policies.google.com/technologies/cookies?hl=es-419, consultada el 2 de septiembre de 2021 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA 33 https://policies.google.com/technologies/cookies?hl=es-419, consultada el 2 de septiembre de 2021 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA

10. EL NÚMERO DE TITULARES DE UNA BASE DE DATOS NO ES UN SECRETO EMPRESARIAL El apodero de GOOGLE LLC plantea lo siguiente: “Violación a la confidencialidad de información protegida por secreto empresarial,(…). Mediante radicado No. 19-202397-00017-0001 del 11 de febrero de 2020, Google solicitó a la SIC mantener bajo plena reserva toda la información que fuese aportada durante la actuación, en especial aquella aportada en dicha comunicación, como el número de Cuentas de Google ( )”.

Debe recordarse que no basta afirmar que cierta información es un secreto empresarial para que la misma adquiera esa naturaleza jurídica. El artículo 260 de la Decisión 486 de 2000 define el secreto empresarial e indica los requisitos que debe cumplir la información para que se tenga como tal: “Se considerará como secreto empresarial cualquier información no divulgada que una persona natural o jurídica legítimamente posea, que pueda usarse en alguna actividad productiva, industrial o comercial, y que sea susceptible de transmitirse a un tercero, en la medida que dicha información sea: a) secreta, en el sentido que como conjunto o en la configuración y reunión precisa de sus componentes, no sea generalmente conocida ni fácilmente accesible por quienes se encuentran en los círculos que normalmente manejan la información respectiva; b) tenga un valor comercial por ser secreta; y 34 https://policies.google.com/technologies/cookies?hl=es-419, consultada el 2 de septiembre de 2021 35 https://policies.google.com/technologies/cookies?hl=es-419, consultada el 2 de septiembre de 2021 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA c) haya sido objeto de medidas razonables tomadas por su legítimo poseedor para mantenerla secreta.

La información de un secreto empresarial podrá estar referida a la naturaleza, características o finalidades de los productos; a los métodos o procesos de producción; o, a los medios o formas de distribución o comercialización de productos o prestación de servicios. (Énfasis añadido) En el presente caso no puede considerarse secreta la información que es difundida en medios de comunicación o redes sociales digitales.

Este Despacho ha podido verificar que el número de usuarios de Google se ha publicado en 2017 y 2018 (antes del inicio de la actuación administrativa que dio origen a la resolución recurrida): • Desde la cuenta de Gmail (@gmail) en Twitter se anunció el 26 de octubre de 2018 que había alcanzado 1,5 billones de usuarios activos. Según Google, “para registrarse en Gmail, crea una cuenta en Google”.

Para obtener una cuenta en Gmail, la persona debe ir a la “página de creación de cuentas Google”36. Lo anterior puede constatarse en las siguientes imágenes: • El Diario El Español publicó: “Las enormes cifras de Google: 2.000 millones de usuarios Android y más. Las cifras de Google anunciadas a lo largo del Google I/O 2017 son sorprendentes: tenemos más de 2.000 millones de usuarios Android activos, y mucho más.” (18 mayo, 2017).

Fuente: https://www.elespanol.com/elandroidelibre/noticias-y-novedades/20170518/enormescifras-google-millones-usuarios-android/216979209_0.html Adicionalmente, la cantidad de Titulares de una Base de Datos es información que debe reportarse en el Registro Nacional de Bases de Datos -RNBD-, el cual, según el artículo 25 de la Ley Estatutaria 1581 de 2012, es un directorio público de las Bases de Datos personales, administrado por la Superintendencia de Industria y Comercio y de libre consulta para los ciudadanos: 36 Cfr. https://support.google.com/mail/answer/56256?hl=es-419 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA “ARTÍCULO 25.

DEFINICIÓN. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.” (Énfasis añadido) El artículo 3 del Decreto 886 de 2004 establece que "El Responsable del Tratamiento debe inscribir en el Registro Nacional de Bases de Datos, de manera independiente, cada una de las bases de datos que contengan datos personales sujetos a Tratamiento.".

El artículo 2.2. del Título V de la Circular Única se la Superintendencia de Industria y Comercio, por su parte, ordena que en el RNBD se inscribirán las bases de datos "de acuerdo con las instrucciones contenidas en el “Manual del Usuario del Registro Nacional de Bases de Datos - RNBD” publicado en el sitio Web de la Superintendencia de Industria y Comercio, www.sic.gov.co." En la página 36 dicho manual se precisa que por cada Base de Datos se debe indicar, entre otras, lo siguiente: "Cantidad de titulares de la base de datos: Corresponde a la cantidad de titulares o personas naturales cuyos datos personales almacene en la base de datos que está inscribiendo.

( )"37 Así las cosas, el número de Titulares de una Base de Datos (por ejemplo cantidad de clientes de la empresa) no es un secreto empresarial porque esa información hace parte de un directorio público de libre consulta para los ciudadanos.

11. GOOGLE LLC NO HA CUMPLIDO EL DEBER LEGAL DE REGISTRAR SUS BASES DE DATOS EN EL RNBD RESPECTO DE LA INFORMACIÓN QUE RECOLECTA O TRATA EN EL TERRITORIO DE LA REPÚBLICA DE COLOMBIA SOBRE PERSONAS RESIDENTES O DOMICILIADAS EN ESTE PAÍS. El Decreto 90 de 18 de enero de 2018 ordena, entre otras, lo siguiente: “Artículo 1. Modifíquese el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015 - Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así́: "Artículo 2.2.2.26.1.2.

Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos Cfr. https://www.sic.gov.co/sites/default/files/files/Proteccion_Datos/RNBD/Manual%20de%20Usuario%206_4%20RNBD_ 29112019_V_Final.pdf RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características: a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT).

( )” Este Despacho constató que GOOGLE LLC a 9 de septiembre de 2021 no había registrado sus Bases de Datos de acuerdo con lo establecido en la regulación colombiana: Dado lo anterior, se mantendrá, entre otras, la orden de la Resolución No. 53593 de 3 de septiembre de 2020 para que GOOGLE LLC registre sus Bases de Datos respecto de los Datos pesonales que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país.

12. ESTA DELEGATURA NO HA REALIZADO AFIRMACIONES TEMERARIAS. SOLO HA VERIFICADO SI GOOGLE LLC CUMPLE LA REGULACIÓN COLOMBIANA SOBRE TRATAMIENTO DE DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLESCENTES (NNA) El apoderado Lorenzo Villegas Carrasquilla expresa, “La SIC hace una afirmación temeraria al indicar o sugerir que Google no respeta la Ley o que tiene una actitud desobligante frente a la misma.

A lo largo del proceso se demuestra con creces, no sólo dentro de la narrativa de nuestros escritos si no [sic] en materia probatoria, cómo, desde lo sustancial, Google cumple los criterios base para la protección de datos personales, haciéndolo por supuesto en los términos en los que dispone la legislación que le resulta aplicable.” (Énfasis añadido).

Ni lo uno, ni lo otro. Esta Delegatura no ha hecho afirmaciones temerarias ni ha sugerido nada. Solo ha constatado y probado algunas irregularidades legales de GOOGLE LLC frente al Tratamiento de Datos de NNA y millones de personas. Esta entidad ha obrado objetivamente y conforme con lo dispuesto en la ley. En efecto, en la Resolución No. 53593 de 3 de septiembre de 2020 se procedió a establecer si GOOGLE LLC cumple o no algunas RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA disposiciones de la regulación colombiana sobre protección de Datos personales tal y como se puede constatar en los siguientes fragmentos de la misma: “XI.

Verificación sobre el cumplimiento del artículo 12 de la Ley Estatutaria 1581 de 2012 por parte de Google” (Páginas 34-38) “XII. Verificación sobre el cumplimiento de los requisitos que debe cumplir la Política de Tratamiento de Información” (Páginas 38-41). Allí se revisa si GOOGLE LLC cumple lo que ordena el artículo 13 del decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015) en concordancia con el artículo 8 de la Ley Estatutaria 1581 de 2012 en donde se señalan los derechos de las personas respecto de sus datos personales y el tratamiento de los mismos.

La Real Academia Española define temeraria como,“excesivamente imprudente arrostrando peligros”. Esta entidad pudo constatar que GOOGLE LLC no cumple varias normas imperativas de la regulación colombiana sobre Tratamiento de Datos personales de los NNA. Ese hallazgo no es una afirmación temeraria -como lo afirma el apoderado de esa empresa- sino el resultado del análisis imparcial y objetivo de contrastar lo que ordena la ley colombiana con lo que dicen los documentos y las políticas de GOOGLE LLC.

13. DE LA AUTORIZACIÓN INFORMADA Y LOS DEBERES DEL RESPONSABLE DEL TRATAMIENTO DE DATOS PERSONALES En el recurso bajo estudio se manifestó que, “( ) la SIC omite las pruebas entregadas en donde se acredita el pleno cumplimiento de los requisitos legales que dan validez a la autorización, como son que la misma sea recolectada de manera previa, expresa e informada.

( ) para que la SIC estime cumplido el criterio de “informado”, los Responsables deberán entonces decir las finalidades de la recolección, repetir las finalidades para el uso, las finalidades para la supresión, las finalidades para la circulación y así sucesivamente según la operación que se realice sobre el dato. En ningún momento ninguna de las normas en materia de protección de datos exige un estándar tal como el que pretende la SIC frente a mi representada.

De aplicarse este absurdo estándar, (…)”. (Énfasis añadido) Esta Delegatura no comparte las apreciaciones de GOOGLE LLC ni pretende nada diferente a que cumpla la regulación colombiana para garantizar el debido Tratamiento de Datos de millones de personas. No es cierto que la Delegatura ha omitido la pruebas para demostrar el “pleno cumplimiento de los requisitos legales”.

Esto no lo ha dicho esta entidad sino es la interpretación del apoderado de GOOGLE LLC:”para que la SIC estime cumplido el criterio de “informado”, los Responsables deberán entonces decir las finalidades de la recolección, repetir las finalidades para el uso, las finalidades para la supresión, las finalidades para la circulación y así sucesivamente según la operación que se realice sobre el dato.

En ningún momento ninguna de las normas en materia de protección de datos exige un estándar tal como el que pretende la SIC frente a mi representada”. Este tipo de conjeturas o de conclusiones interpretativas no son de recibo por parte de esta Delegatura porque no son ciertas ni objetivas. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA La SIC no está aplicando un “absurdo estándar” como lo afirma el apoderado de GOOGLE LLC.

Al contrario, esta Delegatura únicamente está exigiendo a GOOGLE LLC que cumpla lo que expresamente ordena la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios para proteger los derechos de los niños, niñas y adolescentes respecto del Tratamiento de su información. El hecho de que GOOGLE LLC no cumplan algunas normas de la República de Colombia, no significa que nuestra regulación sea absurda.

Lo correcto es cumplir la Constitución Política Nacional y la ley. En este sentido, la Corte Constitucional ha establecido que “la obediencia al derecho no puede dejarse a merced de la voluntad de cada uno, pues si así ocurriera, al mínimo de orden que es presupuesto de la convivencia comunitaria, se sustituiría la anarquía que la imposibilita.”38 Visto lo anterior, reiteramos lo expresado en otra parte de esta resolución en el sentido de que GOOGLE LLC y su apoderado deben tener presente que el artículo 4 de la Constitución Política de la República de Colombia establece que “(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades”.

Adicionalmente, el artículo 95 ordena que “Toda persona está obligada a cumplir la Constitución y las leyes”. En la Resolución No. 53593 de 3 de septiembre 2020 se señalaron específicamente las omisiones de GOOGLE LLC respecto de los que exige la regulación colombiana. Sobre este punto, nos remitimos a estas partes de la misma: “XI. Verificación sobre el cumplimiento del artículo 12 de la Ley Estatutaria 1581 de 2012 por parte de Google” (Páginas 34-38) “XII.

Verificación sobre el cumplimiento de los requisitos que debe cumplir la Política de Tratamiento de Información” (Páginas 38-41). Allí se revisa si GOOGLE LLC cumple lo que ordena el artículo 13 del decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015) en concordancia con el artículo 8 de la Ley Estatutaria 1581 de 2012 en donde se señalan los derechos de las personas respecto de sus datos personales y el tratamiento de los mismos.

Al respecto, y de acuerdo con lo que ordena la ley colombiana es necesario tener en cuenta las siguientes normas: “Artículo 17 de la Ley 1581 de 2012. Deberes de los Responsables del Tratamiento ( ) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización [sic] otorgada por el Titular;

( )” “Artículo 4 de la Ley 1581 de 2012. Principios para el Tratamiento de datos personales ( ) Cfr. Corte Constitucional. Sentencia C-651 del 3 de diciembre de 1997. MP. Dr. Carlos Gaviria Díaz. En: https://www.corteconstitucional.gov.co/relatoria/1997/C-651-97.htm RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización [sic], o en ausencia de mandato legal o judicial que releve el consentimiento; ( )” “Artículo 9 de la Ley 1581 de 2012. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización [sic] previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

“Artículo 5 del Decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015). Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos [sic] personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Artículo 13 del Decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015). “ Políticas de Tratamiento de la información. Los responsables [sic] del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. ( ) 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad.

( ) 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. ( )” “Artículo 12 de la Ley 1581 de 2012. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA La investigada de manera reiterada se refiere a una reinterpretación de la norma por parte de esta entidad, obviando que se trata simplemente de lo establecido por la regulacion colombiana interpretada con las herramientas hermenéuticas de nuestro ordenamiento jurídico.

14. DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLESCENTES. PROTECCIÓN CONSTITUCIONAL SUJETOS DE ESPECIAL Dada la importancia de los niños, niñas y adolescentes (NNA), a continuación nos referiremos a sus derechos en la Constitución de la República de Colombia y en la Ley 1098 de 2006 (Código de la Infancia y la Adolescencia) así como a los derechos de los NNA frente al Tratamiento de sus Datos personales y la Autorización que exige la ley para que la recolección de sus Datos sea lícita.

Adicionalmente, se precisa que según la ley colombiana los NNA son menores de 18 años de edad. A. LOS DERECHOS DE LOS NIÑOS, NIÑAS Y ADOLESCENTES EN NUESTRA CONSTITUCIÓN POLÍTICA Y EN LA LEY 1098 DE 2006 (CÓDIGO DE LA INFANCIA Y LA ADOLESCENCIA) Conviene empezar por referir lo establecido en el artículo 44 de Constitución Política de Colombia, donde se da prevalencia a la protección de los niños, niñas y adolescentes, quienes son sujetos que gozan de una protección reforzada por parte del Estado, señalando específicamente que: “Son derechos fundamentales de los niños: la vida, la integridad física, la salud y la seguridad social, la alimentación equilibrada, su nombre y nacionalidad, tener una familia y no ser separados de ella, el cuidado y amor, la educación y la cultura, la recreación y la libre expresión de su opinión. Serán protegidos contra toda forma de abandono, violencia física o moral, secuestro, venta, abuso sexual, explotación laboral o económica y trabajos riesgosos.

Gozarán también de los demás derechos consagrados en la Constitución, en las leyes y en los tratados internacionales ratificados por Colombia. La familia, la sociedad y el Estado tienen la obligación de asistir y proteger al niño para garantizar su desarrollo armónico e integral y el ejercicio pleno de sus derechos. Cualquier persona puede exigir de la autoridad competente su cumplimiento y la sanción de los infractores.

Los derechos de los niños prevalecen sobre los derechos de los demás”. (Destacamos). Dentro de la normatividad colombiana se acoge y desarrolla el principio de protección integral, en virtud del cual se establece un conjunto de derechos y garantías encaminados a proteger los derechos de los niños, niñas y adolescentes (NNA) como sujetos que gozan de protección especial de acuerdo con lo establecido en el artículo 44 mencionado.

Y, entre otras, establece el deber del Estado de protegerlos ante cualquier acción que afecte sus derechos a la intimidad y al buen nombre. En este sentido el Código de la Infancia y la Adolescencia 39 en su artículo 7, adopta el principio de la protección integral así: “Protección Integral. Se entiende por protección integral de los niños, niñas y adolescentes el reconocimiento como sujetos de derechos, la garantía y cumplimiento de los mismos, la prevención de su amenaza o vulneración y la seguridad de su restablecimiento inmediato en desarrollo del principio del interés superior. 39 Diario Oficial No. 46.446 de 8 de noviembre de 2006 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA La protección integral se materializa en el conjunto de políticas, planes, programas y acciones que se ejecuten en los ámbitos nacional, departamental, distrital y municipal con la correspondiente asignación de recursos financieros, físicos y humanos”.

Este principio es el parámetro fundamental para las acciones de protección a cargo de la familia, la sociedad y el Estado, así como las garantías a favor de los niños, niñas y adolescentes, entre las que están aquellas encaminadas a garantizar el goce efectivo del derecho a la intimidad y el respeto de su dignidad humana, dispuesto en el artículo 33 de Ley 1098 de 2006 (Código de la Infancia y la Adolescencia): “Derecho a la Intimidad.

Los niños, las niñas y los adolescentes tienen derecho a la intimidad personal, mediante la protección contra toda injerencia arbitraria o ilegal en su vida privada, la de su familia, domicilio y correspondencia. Así mismo, serán protegidos contra toda conducta, acción o circunstancia que afecte su dignidad”. B. SEGÚN LA LEY COLOMBIANA, LOS NIÑOS, NIÑAS Y ADOLESCENTES SON LOS MENORES DE DIEICIOCHO (18) AÑOS En punto a aclarar la controversia generada por la investigada en cuanto a la aplicación de las normas establecidas en la Ley 1581 de 2012 y el Decreto 1377 de 2013 relacionadas con el Tratamiento de los Datos personales de los menores de edad, conviene memorar lo establecido por el artículo 3 de la Ley 1098 de 2006: “Sujetos titulares de derechos.

Para todos los efectos de esta ley son sujetos titulares de derechos todas las personas menores de 18 años. Sin perjuicio de lo establecido en el artículo 34 del Código Civil, se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad”. (Destacamos). Esta disposición debe ser concordada con la norma prevista en el artículo 28 del Código Civil colombiano, el cual se refiere al significado de las palabras así: “Las palabras de la ley se entenderán en su sentido natural y obvio, según el uso general de las mismas palabras; pero cuando el legislador las haya definido expresamente para ciertas materias, se les dará en éstas su significado legal”.

(Énfasis añadido). Al realizar un análisis conjunto y sistemático de las normas mencionadas ha sido el legislador el que determinó lo que debe entenderse por menor de edad (niño, niña y/o adolescente). Esta autoridad administrativa no está facultada para cambiar la norma colombiana, pues en ese caso sí se estaría realizando una sustitución normativa de acuerdo con lo manifestado por el apoderado de la investigada.

C. DE LA AUTORIZACIÓN PARA RECOLECTAR Y TRATAR LÍCITAMENTE LOS DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLESCENTES El artículo 15 de la Constitución Política Nacional, establece que “en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”. Esta norma fue reglamentada por la Ley Estatutaria 1581 de 2012 que no solo define como “Tratamiento” cualquier actividad que se realice con Datos personales RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA sino que en el artículo 19 determina que, “La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” El Título III de la Ley 1581 de 2012, incluye dentro de la categoría especial de Datos personales, los de los niños, niñas y adolescentes, señalando expresamente en su artículo 7: “En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes.

Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública (…)”. (Énfasis añadido). En este punto resulta necesario traer a colación las consideraciones iniciales realizadas por la Corte Constitucional en la Sentencia C-748 de 2011 al examinar la constitucionalidad del artículo mencionado: “2.9.3.4.

El examen de constitucionalidad del artículo 7 A la luz de lo expuesto precedentemente, esta Corporación considera que el principio del interés superior de los niños, las niñas y adolescentes se concreta, en el caso particular, en el establecimiento de condiciones que permitan garantizar los derechos de los menores de 18 años en la sociedad de la Información y el Conocimiento, dentro de la cual se encuentran las herramientas de Internet y redes sociales.

Se concluye entonces, ante la evidencia del entorno inmediato que rodea el proceso de crecimiento y desarrollo de los niños, las niñas y los adolescentes en el aspecto físico, mental y emocional; y la urgencia del reconocimiento de su dignidad humana, que todos los actores involucrados en el aseguramiento y efectividad de los derechos de los menores de 18 años deben cumplir con sus responsabilidades en la protección de los mismos, concretamente, en la salvaguarda de sus datos personales”.

(Subrayado fuera del texto). El artículo 9, por su parte, recalca lo siguiente en relación con la Autorización del Titular, “Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por su parte, el Decreto 1074 de 2015 precisa: “Artículo 2.2.2.25.2.9.

Requisitos especiales para el tratamiento [sic] de datos [sic] personales de niños, niñas y adolescentes. El Tratamiento de datos [sic] personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos [sic] de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1.

Que responda y respete el interior superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y presente capítulo. La familia y la sociedad deben velar porque los responsables [sic] y encargados [sic] del tratamiento [sic] de los datos [sic] personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo”.

(Énfasis añadido). La Corte Constitucional mediante la Sentencia T-260 de 2012 señaló: “La afectación de los derechos fundamentales en redes sociales ( ) puede generarse en el momento en el cual el usuario se registra en la red escogida, durante su participación en la plataforma, e incluso en el momento en que decide dejar de utilizar el servicio.

En el estudio sobre la privacidad de los datos personales y la seguridad de la información en las redes sociales on line, realizado por el Instituto Nacional de Tecnologías de la Comunicación - Agencia Española de Protección de Datos- se señala que el primer momento crítico se sitúa al momento del registro del usuario y la configuración del perfil, pues este incidirá en el derecho a la intimidad y en el honor y la honra en caso de que el usuario no establezca adecuadamente su perfil de privacidad en el momento del registro, ya sea por desconocimiento o porque la red no disponga de estas opciones de configuración. Los derechos de los usuarios pueden verse afectados además con la publicación de contenidos e información en la plataforma –fotos, videos, mensaje, estados, comentarios a publicaciones de amigos, “pues los alcances sobre la privacidad de los mismos pueden tener un alcance mayor al que consideró el usuario en un primer momento, ya que estas plataformas disponen de potentes herramientas de intercambio de información, de capacidad de procesamiento y de análisis de la información facilitada por los usuarios”.

En el caso en particular de los menores de edad los riesgos están íntimamente relacionados con lo siguiente: los niños y niñas tienen la posibilidad de acceder en las redes sociales a contenidos de carácter inapropiado para su edad; los menores tienen la posibilidad de iniciar contacto on line, e incluso físicamente con usuarios malintencionados; existe proliferación de la información personal gráfica de los menores, ya sea publicada por ellos mismos o por terceros con desconocimiento de los riesgos a los cuales pueden ser expuestos.

Las anteriores circunstancias pueden exponer a los niños y niñas, en caso de no acceder al mundo de las redes sociales con el debido acompañamiento de los padres a situaciones como abusos, discriminación, pornografía y otros que pueden incidir de manera negativa en su crecimiento y desarrollo armónico e integral. Tales riesgos pueden ser evitados si se tiene conocimiento acerca del funcionamiento y las políticas de privacidad de los diferentes sitios en línea, en especial de las redes sociales.

De allí que en el caso específico de los menores de edad, en especial niños y niñas, el acceso a las redes sociales debe darse con el acompañamiento de los padre o personales responsables de su cuidado, a fin de que éstos sean consientes de que si bien en mundo de la información y la tecnología implica un sinnúmero de beneficios para su desarrollo, al mismo tiempo genera una serie de riesgos que se pueden evitar con un correcto RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA manejo de la información y con una adecuada interacción con los demás miembros de la red”.

Asimismo, la misma corporación en la Sentencia T-620 de 2019 determinó en relación con los menores de edad (entiéndase el significado establecido en el Código de la Infancia y la Adolescencia): “Entonces, la labor periodística no puede ser utilizada para publicar contenido de manera irresponsable, que revele datos íntimos de menores de edad sin la autorización previa de su titular y sus representantes legales, pues por su situación de indefensión, vulnerabilidad y debilidad, los niños, niñas y adolescentes deben ser especialmente protegidos por la familia, la sociedad y el Estado”.

(Énfasis añadido). De acuerdo con todo lo anterior se concluye que, el Tratamiento de los Datos personales de los menores de edad responde al interés constitucional de los mismos. Los niños, niñas y adolescentes son Titulares del Derecho Fundamental de Habeas Data y del debido Tratamiento de sus Datos personales. La Autorización para el Tratamiento de esa información debe ser otorgada por el representante legal del niño, niña o adolescente, tal como lo señala el artículo 12 del Decreto 1377 de 2013.

Así las cosas, la orden impartida se ajusta a lo que ordena la regulación vigente razón por la cual no son de recibo los argumentos del apoderado de GOOGLE LLC. Dichas órdenes son claras y fáciles de cumplir porque se reducen a que dicha empresa cumplan lo que ordenan las normas citadas.

15. DEL TRATAMIENTO DE DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLESCENTES EN LOS SERVICIOS DE GOOGLE LLC Afirma el apoderado de la investigada que, ( ) la SIC omite deliberadamente pronunciarse sobre las pruebas y argumentos presentados frente al hecho de que Google sí solicita autorización [sic] previa, expresa e informada conforme a las disposiciones legales, tomando medidas eficaces y razonables de conformidad con la edad y el grado de madurez de los menores y el contexto de capacidad que se refiere a este tema en materia local e internacional.

De igual forma, la SIC también guarda silencio frente a los argumentos presentados sobre la falta de razonabilidad que implica su interpretación en la cual no distingue entre niños ni adolescentes, omitiendo todo el ordenamiento jurídico existente en relación con la capacidad legal de los menores de edad ( ) ( ) la sentencia [sic] T-447, en el análisis sobre la capacidad y autonomía los menores adultos en un caso sobre la posibilidad de que un menor de edad modifique su registro civil de nacimiento en relación a su nombre y su género, la alta corte concluyó que: “ las limitaciones a la capacidad de ejercicio fundadas en la edad constituyen, por regla general, medidas de protección de los derechos de los niños, niñas y adolescentes.

No obstante, la jurisprudencia constitucional en diversos ámbitos, ( ) ha resaltado la necesidad de asegurar la autonomía de los menores de edad y ha precisado que, si bien la edad es un referente sobre la capacidad evolutiva, no permite establecer, de forma objetiva y exclusiva, la posibilidad de emitir el consentimiento” RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Sobre esto, no es correcto que al presentar un argumento como el anterior no se tenga en cuenta todo el contexto jurisprudencial que se presenta, pues, en todo caso, la misma Sentencia T-447 de 2019 estableció que: “35.- Ahora bien, en el marco de la capacidad de ejercicio el ordenamiento jurídico previó una serie de disposiciones que constituyen limitaciones a esa potestad, fundadas en diversos criterios, entre estos, la edad.

Por ejemplo, el Código Civil establece los 18 años como la edad mínima para contraer matrimonio, pero admite que los mayores de 14 años de edad puedan casarse, siempre que cuenten con el consentimiento de los padres[65]. El límite de edad referido demuestra las facetas de la capacidad, pues aunque se reconoce que todas las personas por el hecho de serlo son titulares de los derechos a la personalidad jurídica, al libre desarrollo de la personalidad y a la autonomía, se restringe el ejercicio de una de las expresiones de esos derechos, esto es, contraer matrimonio.

( ) 37.- En atención a los límites de la capacidad de ejercicio y como un mecanismo de protección surge la figura de la representación, uno de los atributos de la patria potestad. Esta última institución, de acuerdo con el artículo 288 del Código Civil, constituye el“(…) conjunto de derechos que la ley reconoce a los padres sobre sus hijos no emancipados, para facilitar a aquellos el cumplimiento de los deberes que su calidad les impone.” La potestad descrita debe ejercerse con el objetivo de asegurar que los menores de edad logren el nivel máximo de satisfacción de sus derechos, deber que se ha denominado “responsabilidad parental”.

En efecto, como quiera que los menores de edad tienen capacidad de goce irrestricta, pero su capacidad de ejercicio está limitada, opera la representación como una herramienta que facilita el ejercicio de sus derechos y permite otorgar el consentimiento sustituto”. (Énfasis añadido). También aduce la investigada que, “( ) fácticamente la interpretación de la SIC contraría lo dispuesto en dichos precedentes, pues en cualquier caso para ejercer esos otros derechos o facultades reconocidas por las cortes será necesario el Tratamiento de datos personales.

La congruencia y coherencia del derecho, que exige una interpretación teleológica, sistemática y orgánica de todo el ordenamiento jurídico hace que no sea razonable entender que el tratamiento de los datos personales de los mayores de 14 años solo procede ante la autorización [sic] directa de los padres”. Esta Delegatura no puede contrariar lo que ordena el artículo 12 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) ni modificar el artículo 3 de la Ley 1098 de 2006 según el cual los NNA son los menores de 18 años de edad.

Posteriormente el apoderado le solicita a esta autoridad que, “( )se pronuncie de fondo, no aisladamente ni descontextualizadamente, frente a los argumentos esgrimidos en la sección 3 del Recurso presentado respecto a la Resolución No. 53593 de 2020. Frente a ésto, el artículo 12 del Decreto 1377 de 2013 determina los requisitos especiales para el Tratamiento de Datos personales de niños, niñas y adolescentes: “El Tratamiento de datos [sic] personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos [sic] de naturaleza pública, de RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA conformidad con lo establecido en el artículo 7° de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1.

Que responda y respete el interés superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización [sic] previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento [sic] de los datos [sic] personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente decreto. La familia y la sociedad deben velar porque los responsables [sic] y encargados [sic] del tratamiento [sic] de los datos [sic] personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente decreto”.

(Énfasis añadido). Se reitera, es el mismo Decreto 1377 de 2013 el que ordena que el representante legal del niño, niña o adolescente otorgará la Autorización para el Tratamiento de los Datos personales de estos. Asimismo, este Despacho recuerda que en las páginas 18 y 19 de la resolución recurrida se responde de manera completa y de fondo a las inquietudes del apoderado.

Se recalca que esta Delegatura no puede contrariar lo que ordena el artículo 12 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) ni modificar el artículo 3 de la Ley 1098 de 2006 según el cual los NNA son menores de 18 años de edad.

16. DE LA RESPONSABILIDAD DEMOSTRADA FRENTE AL TRATAMIENTO DE LOS DATOS PERSONALES DE MENORES DE EDAD Finalmente el apoderado de la investigada precisa que esta autoridad “( ) omite deliberadamente el acervo probatorio remitido, particularmente todas las medidas tomadas por mi representada, tales como Family Link, las cuales acreditan plenamente que sí existen medidas técnicas y compromisos claros que promueven la Responsabilidad Demostrada frente al Tratamiento de los datos personales de menores de edad.

Tampoco tuvieron en consideración los controles aplicados ni el ejercicio didáctico pretendido con los diversos documentos que se presentan a los Titulares y a los representantes legales”. Lo primero que se concluye es que, a pesar de las buenas prácticas dentro de la organización GOOGLE LLC, existe un innegable incumplimiento de la Ley 1581 de 2012.

Las buenas prácticas no se ponen en discusión, lo que se está ordenando mediante la Resolución No. 53593 de 3 de septiembre de 2020 es que se cumpla la norma en su totalidad. Las buenas prácticas fueron tenidas en cuenta por la SIC, sin embargo existen falencias palmarias e indiscutibles en las políticas de Tratamiento de Datos de la investigada y en el proceso de informar a los NNA lo que ordena el artículos 12 de la Ley Estatutaria 1581 de 2012.

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Se reitera que esta autoridad no desconoce las buenas prácticas, lo que es contundente e innegable es que los documentos que se verificaron no reúnen los mínimos exigidos por la regulación colombiana. La Superintendencia de Industria y Comercio lo único que ha hecho es dar cumplimientro al mandato constitucional del articulo 44 de dar prevalencia o preferencia a los derechos de los menores de edad.

Por lo tanto, no comparte los argumentos presentados por GOOGLE LLC porque no se ajustan a derecho ni a la realidad de lo señado en la resolución recurrida.

17. DE LAS INVESTIGACIONES A FACEBOOK Y UBER En el recurso presentado mediante escrito 19-202397-38 de 9 de octubre de 2020, el apoderado Lorenzo Villegas Carrasquilla manifestó lo siguiente refiriéndose expresamente a las resoluciones mediante las cuales se impartieron unas órdenes a las compañías Uber y Facebook, tal como se muestra a continuación: Según Villegas Carrasquilla, “dichas compañías tampoco incluyen referencias a la LGDP en sus PTI”.

Se precisa que una Política de Tratamiento de Información (PTI) no tiene que citar las normas colombianas sino cumplir lo mínimo que ellas ordenan. Como es de público conocimiento, las investigaciones contra Facebook y Uber surgieron por motivos sustancialmente diferentes al proceso contra GOOGLE LLC, razón por la cual no fue necesario evaluar las PTI.

En efecto, la investigación contra GOOGLE LLC nació para proteger los derechos de los NNA, dado que mediante comunicado de prensa del 4 de septiembre de 2019, la Federal Trade Commission -FTC- (Comisión Federal de Comercio de los Estados Unidos de América) comunicó lo siguiente: “Google LLC y su subsidiaria YouTube, LLC pagarán una suma récord RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA de $170 millones de dólares para resolver las alegaciones presentadas por la Comisión Federal de Comercio (FTC, por sus siglas en ingles) y por el Fiscal General de Nueva York que indican que el servicio para compartir videos de YouTube recolectó ilegalmente información personal de niños sin el debido consentimiento de sus padres”.

(Énfasis añadido). Los casos de Facebook y Uber surgieron por cuestiones relacionadas con la seguridad en el Tratamiento de Datos personales, razón por la cual se les ordenó adoptar nuevas medidas y mejorar las existentes para garantizar la seguridad de los Datos personales. Lo anterior puede constatarse en las Resoluciones 1321 de 2019 (Facebook) y 21478 de ese mismo año (Uber).

Vale la pena mencionar que Facebook y Uber acreditaron ante esta entidad evidencia del cumplimiento de las órdenes remitidas por esta Delegatura. No obstante, si el abogado Villegas Carrasquilla tiene pruebas sobre las presuntas irregularidades de dichas empresas se le EXHORTA para que las allegue a esta autoridad con el fin de iniciar la actuación administrativa correspondiente.

18. DE LA OBLIGACIÓN LEGAL DE INFORMAR DE MANERA CLARA Y EXPRESA LO QUE ORDENA EL ARTÍCULO 12 DE LA LEY ESTUTARIA 1581 DE 2012 El apoderado de la investigada manifiesta que en la resolución objeto del recurso bajo estudio se analiza el “supuesto cumplimiento o incumplimiento” de lo dispuesto en el artículo 12 de la Ley 1581 de 2012. Asimismo señala: “No obstante, se anuncia que la verificación se circunscribe a dicho artículo, la SIC hace una valoración, de diversos artículos más allá del mero artículo 12.

En ese sentido, la SIC realiza una “evaluación” de cumplimiento respecto del deber de información, así como respecto a la Política de Tratamiento de la Información (“PTI”) a la legislación colombiana. Esta valoración tiene un alto grado de subjetividad y supera lo requerido por la Ley [sic] y las guías de la SIC. Igualmente, existe una evidente valoración equivocada del peso que tiene cada ítem en el cumplimiento de la ley.

Hay obligaciones cuyo valor material es sustancialmente mayor (tener o no la autorización [sic] y otras que, más allá de ser obligaciones, son meras formalidades que no afectan ni para bien ni para mal a los titulares [sic] de los datos [sic]. Esta equivocada ponderación, como si todas las obligaciones pesaran igual, le permite concluir a la SIC, que Google presuntamente incumple con un porcentaje alto, lo que no ocurre en la realidad.

Por otro lado, el grado e subjetividad en la valoración del cumplimiento de las obligaciones legales, distorsiona la realidad. Muchas de las obligaciones que efectivamente cumple Google, son consideradas incumplidas por la SIC con meras opiniones, sin prueba alguna. ( ) Por tal motivo la autorización [sic] no solo es válida si reposa en un documento, sino puede manifestarse de otras formas no escritas (aunque expresas).

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA ( ) Observamos que los comentarios de la SIC tienden a centrarse en el formalismo de citar artículos y no en el espíritu de la ley, que es la protección material de los titulares [sic], otorgar derechos y velar por su cumplimiento efectivo, esto es que el Responsable del tratamiento [sic] de datos [sic] provea medios concretos para hacerlos efectivos.

( ) queremos solicitar a la SIC que nos aclare a qué se refiere cuando se señala que “Los hipervínculos rotulados para estos propósitos no cumplen su finalidad”, un comentario que se repite en varias oportunidades en el examen de cumplimiento de la PTI. Los hipervínculos cumplen la función de un índice que permite al usuario desplazarse fácilmente por la política sin hacer click sobre ellos sino simplemente desplazándose por la política con el mouse o con la barra lateral de navegación. ( )” Frente a las anteriores apreciaciones respondemos lo que sigue a continuación: a. Esta Autoridad tiene amplias facultades legales para verificar el cumplimiento del régimen general de protección de Datos personales, lo cual incluye lo establecido en la Ley Estatutaria 1581 de 2012 y sus demás normas reglamentarias.

Por lo que, si esta entidad lo considera necesario también se cerciorará del cumplimiento de los requisitos de la Política de Tratamiento de la Información de cualquier compañía que realice Tratamiento de Datos personales. b. En la valoración no se está dando ningún tipo de peso o “puntaje” a cada deber como equivocadamente lo afirma el apoderado.

Pues, en todo caso, la investigada debe tener claro que TODOS LOS DEBERES Y OBLIGACIONES LEGALES SON IGUAL DE IMPORTANTES. Lo que se hizo fue desglosar uno a uno los puntos establecidos en la norma con el propósito de dar mayor claridad y lograr que el destinatario de la orden comprenda de manera detallada lo que ordena la ley. c. La afirmación del apoderado Lorenzo Villegas Carrasquilla, “más allá de ser obligaciones, son meras formalidades que no afectan ni para bien ni para mal a los titulares [sic] de los datos [sic]”, no es compartida por este Despacho, la misma trata de restarle importancia a los derechos de los niños, niñas y adolescentes (NNA) y a los deberes y obligaciones que especialmente le encarga la ley a los Responsables y Encargados del debido Tratamiento de la información de los ciudadanos. No se puede omitir el cumplimiento del Régimen General de Protección de Datos Personales, desconociendo lo que expresamente ordena.

Se reitera, lo establecido en la Ley 1581 de 2012 y sus normas reglamentarias son disposiciones de obligatorio cumplimiento y no le es dable a la investigada decidir cuáles normas desea o no cumplir. d. No es cierta la siguiente afirmación de GOOGLE LLC “Muchas de las obligaciones que efectivamente cumple Google, son consideradas incumplidas por la SIC con meras opiniones, sin prueba alguna”.

Es la misma Ley Estatutaria 1581 de 2012 la que de manera expresa exige unos requisitos para entenderse cumplidas sus disposiciones. Entonces si la investigada no da cumplimiento a lo establecido expresamente en ese cuerpo normativo no puede esta autoridad ignorar esta situación. Un ejemplo de esto es la obligación comprendida en el literal d) del artículo 8 de la Ley 1581 de 2012, según el cual se debe informar al momento de obtener la Autorización al Titular del Dato que tiene derecho a presentar ante la RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA esa ley y las demás normas que la modifiquen, adicionen o complementen.

Sin embargo lo que tiene la investigada en su Política de Tratamiento de Información, la cual no está específicamente dirigida a Colombia, sino que se trata de una política global no adaptada a la norma colombiana- es lo siguiente: e. La expresión “Los hipervínculos rotulados para estos propósitos no cumplen su finalidad”, quiere decir que cada vez que se ingresa al vínculo para el fin que el vínculo mismo está describiendo sigue llevando a otros enlaces sin que se logre realizar la acción inicialmente descrita.

Debe recordarse que esta investigación se hizo para proteger los derechos de los niños, niñas y adolescentes (NNA) razón por la cual la información debe ponerse a disposición de ellos de manera fácil y sencilla sin que tengan que ir de “link” en “link” para que conozcan lo mínimo que exige la regulación colombiana para proteger sus derechos.

Por ejemplo en la siguiente imagen se muestra al final el vínculo que ofrece eliminar información del usuario. 40 https://policies.google.com/privacy?hl=es, consultada el 13 de septiembre de 2021 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Sin embargo, en la siguiente imagen se ve cómo al ingresar a ese enlace muestra otras opciones distintas a “Eliminar tu información”:

19. VERIFICACIÓN SOBRE EL CUMPLIMIENTO DEL ARTÍCULO 12 DE LA LEY ESTATUTARIA 1581 DE 2012 POR PARTE DE GOOGLE LLC Este Despacho realizó una nueva revisión con base en lo publicado en el enlace https://www.gstatic.com/policies/privacy/pdf/20200331/acec359e/google_privacy_policy_es. pdf (fecha de entrada en vigor, 1 de julio de 2021) No obstante lo anterior, no encontramos ningún cambio en el documento revisado respecto de los ítems evaluados.

Por eso, reitera el proceso de verificación y los hallazgos señalados en las páginas 34 a 38 de la Resolución 53593 de 3 de septiembre de 2020, a saber: “Como quiera que la autorización debe ser informada, a continuación, se determinará si Google informa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012. Para el efecto, se revisaron los siguientes documentos: Notificación de Privacidad de YouTube Kids43, YouTube Kids Parental Guide44, Notificación para los niños acerca de YouTube Kid45 y la “POLÍTICA DE PRIVACIDAD DE GOOGLE”46.

Los resultados de la evaluación son los siguientes: • Número de ítems evaluados: 24 • Número de obligaciones que se cumplen correctamente: 3 (12,5%) • Número de obligaciones que se cumplen parcialmente (P): 7 (29,2%) • Número de obligaciones que no se cumplen: 14 (58,3%)” 41 https://policies.google.com/privacy?hl=es, consultada el 13 de septiembre de 2021 42 https://policies.google.com/privacy?hl=es, consultada el 13 de septiembre de 2021 43 Obtenido el 19 de mayo de 2020 en https://kids.youtube.com/t/privacynotice. 44 Obtenido el 19 de mayo de 2020 en https://support.google.com/youtubekids/#topic=6130504 45 Obtenido el 19 de mayo de 2020 en https://kids.youtube.com/t/noticeforchildren 46 Google.

(31 de marzo de 2020). POLÍT ICA DE PRIVACIDAD DE GOOGLE. 18 de mayo de 2020, de Google Sitio web: https://www.gstatic.com/policies/privacy/pdf/20200331/acec359e/google_privacy_policy_es.pdf RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA En suma, respecto del cumplimiento del deber de informar todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012 se pudo establecer que GOOGLE LLC: • • • Incumple el 58,3% de los requisitos exigidos por dicha norma;

Cumple correctamente el 12,5%; y, Parcialmente, el 29,2% de los mismos.

20. VERIFICACIÓN SOBRE EL CUMPLIMIENTO DE LOS REQUISITOS QUE DEBE CUMPLIR LA POLÍTICA DE TRATAMIENTO DE INFORMACIÓN Este Despacho realizó una nueva revisión con base en lo publicado en el enlace https://www.gstatic.com/policies/privacy/pdf/20200331/acec359e/google_privacy_policy_es. pdf (fecha de entrada en vigor, 1 de julio de 2021) a. Resumen de cambios: - Un (1) ítem que al momento de impartir la orden se consideraba que cumplía parcialmente el deber, su estado cambio a SÍ ( ¿La PTI fue redactada con un lenguaje claro y sencillo?) - Un (1) ítem que al momento de impartir la orden se consideraba que NO cumplía el deber y su estado cambio a SÍ PARCIALMENTE (¿En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización?.

En la PTI se informa la posibilidad de conocer; actualizar; rectificar y suprimir la información. Sin embargo, no se describe el procedimiento para que los Titulares lo realicen. En la PTI no se informa el procedimiento para revocar la Autorización. b. Los nuevos resultados de la evaluación son los siguientes: • Número de ítems evaluados: 19 • Número de obligaciones que se cumplen correctamente: 5 (26,31%) • Número de obligaciones que se cumplen parcialmente (P): 6 (31,57%) • Número de obligaciones que no se cumplen: 8 (42,1%) Todo lo demás se reitera, razón por la cual nos remitimos a las páginas 38 a 41 de la Resolución 53593 de 3 de septiembre de 2020.

Adicionalmente, se recalca que al revisar la política de privacidad se constató que la información más relevante sobre la recolección de Datos personales está dispersa a lo largo del documento descargable y, además, el mismo documento, lleva a diferentes enlaces y opciones, lo cual genera que los niños, niñas y adolescentes no tenga la posibilidad de acceder a un contenido más simple, claro y en últimas comprensible sobre el Tratamiento de su Datos.

Para garantizar que el menor de edad sea debidamente informado de lo que ordena la Ley, es imprescindible que se le proporcione esa información de manera sencilla y que los términos de la redacción sean comprensibles para niños, niñas y adolescentes. No se está pensando en los derechos de los NNA cuando se les obliga a revisar varios links o enlaces que, en algunas ocasiones, desmotivan al usuario para que encuentren la información. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Tampoco es transparente que se diseñe un mecanismo para que los NNA tengan que realizar un “paseo” en varios sitios de la página web.

Una PTI pensada para proteger los NNA debe ser redactada de manera clara y fácil de entender sin que se utilice un lenguaje complejo o técnico que solo comprenden los expertos en protección de Datos o los adultos.

21. DE LA ORDEN PARA ACREDITAR EVIDENCIA DE LAS AUTORIZACIONES Mediante el artículo quinto de la Resolución No. 53593 de 3 de septiembre de 2020 se ordenó a “la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, presente ante esta superintendencia prueba de la Autorización previa, expresa e informada emitida por los representantes legales de los niños, niñas y adolescentes (menores de dieciocho 18- años de edad), cuyos Datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley Estatutaria 1581 de 2012”.

Este Despacho considera innecesario que se acredite prueba de dichas Autorizaciones porque, a la fecha, no existe queja de ningún niño, niña o adolescente respecto del Tratamiento de sus Datos por parte de GOOGLE LLC. La actuación administrativa que originó la resolución recurrida fue fruto de una actuación de oficio para verificar si dicha empresa cumple con la regulación colombiana sobre Tratamiento de Datos personales.

Frente a las irregularidades detectadas se emitieron órdenes pertinentes en los artículos primero; segundo; tercero y cuarto del citado acto administrativo. Dado lo anterior, se revocará el artículo quinto de la parte resolutiva del acto administrativo No. 53593 de 3 de septiembre de 2020, sin perjuicio de reiterar que cualquier persona tiene derecho a solicitar dicha Autorización y GOOGLE LLC (Responsable del Tratamiento) tiene el deber legal de suministrar copia de la misma tal y como lo ordenan los siguientes artículos de Ley Estatutaria 1581 de 2012: “ARTÍCULO 8o.

DERECHOS DE LOS TITULARES. El Titular de los datos personales tendrá los siguientes derechos: (…) b) Solicitar prueba de la autorización otorgada al Responsable del Tratamiento ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;”

22. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) EN EL TRATAMIENTO DE DATOS PERSONALES RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del Titular del Dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.

Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases [sic] de datos [sic] que contengan información personal o socialmente relevante”47. Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el Principio de Responsabilidad Demostrada. El artículo 2648 -Demostración- establece que, “los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los Responsables del Tratamiento de Datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares [sic], con respecto a cualquier aspecto del tratamiento [sic].”49 47 Cfr. Corte Constitucional, sentencia T-227 de 2003. 48 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables [sic] del tratamiento [sic] de datos [sic] personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable [sic] y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos [sic] personales objeto del tratamiento [sic]. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento [sic] podrían causar sobre los derechos de los titulares [sic].

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos [sic] personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos [sic] personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos [sic] personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” 49 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable [sic] para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento [sic]. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA Es de resaltar que la Corte Constitucional mediante la Sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219.

El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic). El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal.

Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable;

(ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales. El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal”50.

(Destacamos). Como se observa, la Corte Constitucional pone de presente en la obligación de demostrar que se han adoptado medidas para cumplir la regulación de Datos personales. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza51 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos Personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos Personales. El éxito del mismo, dependerá del para el manejo adecuado de los datos [sic] personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 50 Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021.

M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm 51 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo, involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA compromiso real y ético de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de Datos.

Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento [sic] indebido de sus datos [sic] personales” 52.(Énfasis añadido).

El Principio de Responsabilidad Demostrada, busca que los mandatos constitucionales y legales sobre Tratamiento de Datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del Tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los Titulares de los Datos personales y ii) una gestión respetuosa de los derechos humanos.

23. RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES El artículo 2 de la Constitución Política de Colombia señala como uno de los fines esenciales del Estado, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de Datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad, a tal punto que es una obligación del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República (…) proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de Datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común”, se refiere a cuestiones relevantes para una sociedad como, por ejemplo, la protección de los derechos humanos, los cuales, son imprescindibles para que cualquier ser humano sea tratado como una persona y no como un objeto. 52 Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales.

Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA En línea con lo anterior, la Constitución Política Colombiana resalta que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera, y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el fin justifica los medios.

En efecto, no se trata de una libertad ilimitada, sino de una actividad responsable y restringida porque no solo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.

Es por eso que, la Constitución pone de presente que la participación en el mercado supone compromisos y que efectuar actividades empresariales implica cumplir rigurosamente las obligaciones previstas en la ley. Ahora, según el artículo 22 de la Ley 222 de 199553 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los Titulares de los Datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Énfasis añadido). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2454 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar 53 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 54 Artículo 24, Ley 222 de 1995 “"Responsabilidad de los administradores. El artículo 200 del Código de Comercio quedará así: Artículo 200.

Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”.

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”55.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el Tratamiento de Datos personales. 24. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá totalmente a las pretensiones de la recurrente por, entre otras, las siguientes razones: I. GOOGLE LLC posee y trata Datos personales de 1,847,592 niños, niñas y/o adolescentes y 38,962,184 personas mayores de edad domiciliadas o residentes en la República de Colombia56.

Según el DANE, el 31,02% de la población colombiana (15.454.633) son niños, niñas y adolescentes 57; II. La decisión adoptada mediante la Resolución 53593 de 3 de septiembre de 2020 no fue selectiva ni caprichosa -como lo afirma el apoderado de GOOGLE LLC- sino objetiva, lícita y necesaria para proteger los derechos de los menores de edad como titulares de sus datos personales y dar cumplimiento al artículo 44 de la Constitución de la República de Colombia según el cual los derechos de los niños prevalecen sobre los derechos de los demás. Uno de esos derechos es, precisamente, el establecido en el artículo 15 de nuestra Constitución Política Nacional -habeas data y debido Tratamiento de Datos personales-.

III. No es cierto que la decisión de esta entidad se funda en una norma española. Aunque la investigada tiene derecho a la defensa, ello no debe hacerse recurriendo a afirmaciones que carecen de veracidad. Son inaceptables ese tipo de estrategias de defensa jurídica y de argumentos que faltan a la verdad porque no son correctos ni éticos.

Adicionalmente, esas aseveraciones no son respetuosas con las autoridades de la República de Colombia porque dan a entender que no estamos obrando dentro del marco legal de nuestro país sino el de España, afirmación totalmente alejada de la realidad; IV. Esta Delegatura ha obrado conforme a la regulación colombiana y sus decisiones NO se han sometido a la actuación de otros Estados.

Para este Despacho salta a la vista que el error del apoderado se originó en concluir que la resolución recurrida se fundó en una norma española por el mero hecho de citar casos de autoridades extranjeras. 55 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995. 56 Cfr. Radicado 19-202397- -000017-0001 del 11 de febrero de 2020 de GOOGLE LLC 57 Cfr. Departamento Nacional de Estadística (Dane), en: https://www.dane.gov.co/files/dane-para-ninos/sabias-que.html.

Consultada el 20 de septiembre de 2021. RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA El apoderado ignoró la normativa colombiana que sirvió de fundamento para emitir las órdenes administrativas. Su opinión tuvo como fundamento un análisis equivocado que no consulta la realidad de lo establecido en la resolución recurrida. Lo precedente significa que no son jurídicamente admisibles las afirmaciones de GOOGLE LLC.

V. El simple hecho de que se citen casos de otras autoridades (Federal Trade Commission de los Estados Unidos de América -FTC-; Agencia Española de Protección de Datos -AEPD-; Comisión Australiana de la Competencia y del Consumidor -ACCC- y La Commission Nationale de l'informatique et des libertés, CNIL), no significa que la decisión de esta entidad se funda en una norma española (como lo afirma GOOGLE LLC) o en la regulación de otros países.

Adicionalmente, la ley no prohíbe que en los actos administrativos se citen las experiencias de autoridades extranjeras. Ocultarlas o ignorarlas sería desconocer la realidad jurídica y tecnológica de temas que son objeto de investigación y sobre los cuales existen decisiones en otras partes del mundo; VI. Según el artículo 26 de Código Civil, “Los jueces y los funcionarios públicos, en la aplicación de las leyes a los casos particulares y en los negocios administrativos, las interpretan por vía de doctrina, en busca de su verdadero sentido, así como los particulares emplean su propio criterio para acomodar las determinaciones generales de la ley a sus hechos e intereses peculiares.” (Énfasis añadido”).

Son entendibles y respetables los argumentos de GOOGLE LLC para defender sus intereses frente a la actuación administrativa. Pero no por ello son necesariamente aceptables y ajustados a derecho. El hecho de que esta autoridad no comparta el criterio ni las interpretaciones de GOOGLE LLC para proteger sus intereses empresariales no significa que esta Delegatura haya obrado de forma contraria a lo ordenado por la Constitución Política Nacional y la Ley Estatutaria 1581 de 2012 junto con sus normas reglamentarias;

VII. Autoridades de protección de datos de varios países -Uruguay, España, Irlanda, Reino Unido, Italia y Estados Unidos- y el Tribunal de Justicia de la Unión Europea (TJUE) se han referido a la definición de “cookies” y su función. De las mismas se concluye, entre otras, lo siguiente: a. Las cookies se instalan en los equipos de las personas (teléfonos celulares, tablets, computadoras o cualquier otro dispositivo que almacene información); b. La finalidad de las cookies es recolectar o almacenar Datos personales (nombre de usuario, un identificador único, dirección de correo electrónico, las búsquedas que realiza de cada usuario y sus hábitos de navegación en internet, sitios que una personas visita en la web) y otros tipos de información; c. Las cookies son un mecanismo de rastreo o de seguimiento de las personas.

Por ejemplo, permiten realizar trazabilidad detallada de las búsquedas de un usuario en internet o de sus hábitos de navegación; d. La recolección o almacenamiento de información mediante las cookies constituye un Tratamiento de Datos personales; VIII. GOOGLE LLC emplea diversas tecnologías para recolectar Datos personales en el territorio de la República de Colombia, entre las que se incluyen las web cookies;

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA IX. GOOGLE LLC recolecta la siguiente información personal: nombres; contraseñas; información de pago; números de teléfono; edad; dirección de correo electrónico; medios de pago; contactos; gustos y preferencias; dirección IP; localización; datos de sensores del dispositivo; puntos de acceso WI-Fi; torres de telefonía y dispositivos con Bluetooth activado; términos de búsqueda; vistas e interacciones con videos; contenido y anuncios; información sobre la voz y el audio; videos mirados; compras; personas con las que se comunica o comparte contenido; actividad en sitios y aplicaciones de terceros; historial de navegación; identificadores únicos; tipo y configuración del navegador; tipo y configuración del dispositivo; sistema operativo; información sobre la red móvil; como el nombre y número de teléfono del proveedor; y el número de versión de la aplicación; etc.58;

X. La Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a) El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “tratamiento [sic] de datos [sic] personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b) El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el presente caso, GOOGE LLC se encuentra dentro de lo señalado en el literal a) porque usa “cookies” para recolectar o realizar tratamiento datos personales en el territorio de la República de Colombia. XI. La Ley colombiana no distingue si el Tratamiento se debe hacer de determinada manera ni excluye ninguna forma, herramienta, tecnología o proceso para recolectar o tratar datos personales.

Por eso, si se adelanta recolección o tratamiento de Datos en el territorio colombiano aplica la ley colombiana. XII. Existe un principio general de interpretación jurídica según el cual “en donde la ley no distingue, no le es dado al intérprete hacerlo”. Principio que en este caso resulta plenamente aplicable porque GOOGLE LLC realiza Tratamiento de Datos en el territorio colombiano mediante el uso de cookies.

Si la ley colombiana no distingue la forma ni los mecanismos como se realiza el Tratamiento en el territorio colombiano, pues no le corresponde a esta autoridad excluir el uso de cookies como una de tales herramientas. Por ende, no asiste razón a GOOGLE LLC en cuanto a que no le es aplicable la Ley Estatutaria 1581 de 2012. XIII. GOOGLE LLC mediante mecanismos electrónicos recolecta Datos personales en el territorio de la República de Colombia.

Por ende, el Tratamiento de Datos Personales que realiza GOOGLE LLC está sujeto a la legislación colombiana. En otras palabras, la Ley Estatutaria 1581 de 2012 es aplicable a GOOGLE LLC porque recolecta Datos personales por medio de cookies que instala en dispositivos móviles y computadores ubicados en Colombia, es decir realiza un Tratamiendo sobre los mismos.

Cfr. POLÍTICA DE PRIVACIDAD DE GOOGLE. En: https://policies.google.com/privacy?hl=es#infocollect. Última consulta: 3 de septiembre de 2020 RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA XIV. La SIC no está aplicando un “absurdo estándar” (como lo califica el apoderado). Solo está exigiendo a GOOGLE LLC que cumpla lo que expresamente ordena la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios para proteger los derechos de los niños, niñas y adolescentes.

El hecho de que GOOGLE LLC no cumplan las normas de la República de Colombia señaladas en el acto administrativo recurrido, no significa que nuestra regulación sea absurda. Lo correcto es cumplir la Constitución Política Nacional y la ley; XV. GOOGLE LLC y su apoderado deben tener presente que el artículo 4 de la Constitución Política de la República de Colombia establece que “(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades”.

Adicionalmente, el artículo 95 ordena que “Toda persona está obligada a cumplir la Constitución y las leyes”; XVI. Esta entidad pudo constatar que GOOGLE LLC no cumple varias normas imperativas de la regulación colombiana sobre tratamiento de datos personales de niños, niñas y adolescentes (NNA). Ese hallazgo no es una afirmación temeraria -como lo afirma el apoderado de esa empresa- sino el resultado del análisis imparcial, completo y objetivo de contrastar lo que ordena la ley colombiana con lo que dicen los documentos y las políticas de GOOGLE LLC;

XVII. El artículo 12 del Decreto 1377 de 2013 -no esta Delegatura- ordena que el representante legal del niño, niña o adolescente otorgará la Autorización para el Tratamiento de los Datos personales de los NNA. Esta Delegatura no puede contrariar lo que ordena el artículo 12 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) ni modificar el artículo 3 de la Ley 1098 de 2006 según el cual los NNA son los menores de 18 años;

XVIII. Para garantizar que el menor de edad sea debidamente informado de lo que ordena la ley es imprescindible que se le proporcione esa información de manera sencilla y que los términos de la redacción sean comprensibles para niños, niñas y adolescentes. No se está pensando en los derechos de los NNA cuando se les obliga a revisar varios links o enlaces que, en algunas ocasiones, desmotivan al usuario para que encuentren la información. Tampoco es transparente que se diseñe un mecanismo para que los NNA tengan que realizar un “paseo” en varios sitios de la página web;

XIX. Una Política de Tratamiento de Informción (PTI) pensada para proteger los NNA debe ser, entre otras, redactada de manera clara y fácil de entender sin que se utilice un lenguaje complejo o técnico que solo comprenden los expertos en protección de Datos o los adultos; XX. Una orden administrativa no es una sanción, sino una medida necesaria para la adecuación de las actividades u operaciones de los Responsables del Tratamiento a las disposiciones de la regulación colombiana sobre protección de Datos personales.

Las sanciones por infringir la Ley Estatutaria 1581 de 2012 -multas, suspensión de actividades, cierre temporal o definitivo- están previstas en el artículo 23 de dicha norma. Allí se puede constatar que las órdenes no son sanciones; XXI. Respecto del cumplimiento del deber de informar todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012 se pudo establecer que GOOGLE LLC: • Incumple el 58,3% de los requisitos exigidos por dicha norma;

RESOLUCIÓN NÚMERO 60478 DE 2021 • • XXII. • • • VERSIÓN ÚNICA Cumple correctamente el 12,5%; y, Parcialmente, el 29,2% de los mismos; En relación con la Política de Tratamiento de Información (PTI) se pudo establecer que GOOGLE LLC: Incumple el 42,1% de los requisitos mínimos que exige la regulación colombiana; Cumple correctamente el 26,31; y, Parcialmente el 31,57%;

XXIII. Las buenas prácticas informadas por GOOGLE LLC fueron tenidas en cuenta por esta entidad, sin embargo existen falencias palmarias e indiscutibles en las políticas de Tratamiento de Datos de la investigada y en el proceso de informar a los NNA lo que ordena el artículos 12 de la Ley Estatutaria 1581 de 2012. Es contundente e innegable que los documentos que se verificaron no reúnen los mínimos exigidos por la regulación colombiana.

XXIV. Para garantizar el debido Tratamiento de los Datos de los niños, niñas y adolescentes residentes o domiciliadas en la República de Colombia es necesario que GOOGLE LLC cumpla las órdenes impartidas por esta autoridad. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, concluye el Despacho que la resolución objeto de impugnación fue expedida observando la ley.

De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará parcialmente la Resolución No. 53593 de 3 septiembre de 2020. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO. REVOCAR el Artículo Quinto (5) de la Resolución No. 53593 de 3 de septiembre de 2020.

ARTÍCULO SEGUNDO. CONFIRMAR los artículos primero; segundo; tercero y cuarto de la Resolución No. 53593 de 3 de septiembre de 2020, cuyo texto es el siguiente:

ARTÍCULO PRIMERO. ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos personales que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para que, al momento de solicitar la Autorización al Titular, le informe de manera clara, sencilla y expresa todo lo que ordena el artículo 12 de la Ley Estatutaria 1581 de 2012, a saber: “a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA “b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; “c) Los derechos que le asisten como Titular; “d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” GOOGLE LLC, como Responsable del Tratamiento, también deberá cumplir lo que ordena el parágrafo del citado artículo 12: “El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.”

PARÁGRAFO. La sociedad GOOGLE LLC deberá cumplir lo anterior dentro del mes siguiente a la ejecutoria del presente acto administrativo. Asimismo, tendrá que remitir a la Dirección de Investigación de Protección de Datos Personales de esta entidad la evidencia del cumplimiento de lo ordenado en este artículo dentro de los cinco (5) días siguientes al vencimiento de dicho término.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad GOOGLE LLC crear una Política de Tratamiento de Información (PTI) que cumpla todos los requisitos que exige el artículo 13 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015), y, ponerla en conocimiento de los Titulares de los Datos domiciliados o residentes en el territorio colombiano.

ARTÍCULO TERCERO. ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, implemente un mecanismo o procedimiento apropiado, efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 (incorporado en el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015) para la recolección y Tratamiento de los Datos personales de niños, niñas y adolescentes.

ARTÍCULO CUARTO: ORDENAR a la sociedad GOOGLE LLC que respecto de los Datos que recolecta o trata en el territorio de la República de Colombia sobre personas residentes o domiciliadas en este país, registre sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.

PARÁGRAFO. La sociedad GOOGLE LLC deberá cumplir lo anterior dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.” RESOLUCIÓN NÚMERO 60478 DE 2021 VERSIÓN ÚNICA ARTÍCULO TERCERO. ACLARAR que de conformidad con el artículo 3 de la Ley 1098 de 2006 (Por la cual se expide el Código de la Infancia y la Adolescencia) “se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad”.

ARTÍCULO CUARTO Notificar personalmente el contenido de la presente resolución a GOOGLE LLC a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO QUINTO. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., septiembre 21 de 2021 El Superintendente Delegado para la Protección de Datos Personales, NELSON Firmado digitalmente por REMOLINA REMOLINA NELSON ANGARITA Fecha: 2021.09.21 ANGARITA 13:24:17 -05'00' NELSON REMOLINA ANGARITA CGC RESOLUCIÓN NÚMERO 60478 DE 2021 Notificación Sociedad: GOOGLE LLC Identificación: Sin identificación Dirección: 1600 Amphiteatre Parkway Ciudad: Mountain View, California, 94043 País: Estados Unidos de Norteamérica Apoderado: Lorenzo Villegas Carrasquilla Identificación: C.C. 79.942.672 Tarjeta profesional: 102122 del Consejo Superior de la Judicatura Dirección: Calle 75 # 3-53 Ciudad: Bogotá Correo electrónico: lorenzo.villegas@cms-ra.com VERSIÓN ÚNICA

Resolución sancionatoria N° 60478 de 2021

CONSIDERANDO

RESUELVE