Mediante Resolución No. 62132 del 5 de octubre de 2020, la SIC ordenó a TIKTOK implementar un mecanismo adecuado para recolectar la autorización de datos personales de sus usuarios en español; crear una política de tratamiento de datos personales en español; obtener de los representantes legales de menores de edad la autorización previa, expresa a e informada para el tratamiento de datos personales de menores de edad; entre otras;
Dentro de las consideraciones de la orden administrativa, la SIC determinó que la Ley 1581 de 2012 es aplicable a Bytedance Ltda, debido a que mediante la aplicación TIKTOK recolectan datos personales en el territorio colombiano. Esta recolección se hace a través de cookies que instala en los equipos o dispositivos de las personas residentes o domiciliadas en Colombia. Para la SIC, los cookies son un mecanismo idóneo para recopilar información de los particulares y tratar los datos personales mediante la aplicación TIKTOK. Así las cosas, la SIC estableció que Bytedance Ltda, a través de TIKTOK, tiene la obligación de cumplir la legislación colombiana en materia de protección de datos personales.
Adicionalmente, teniendo en cuenta que TIKTOK tiene 12,447,549 de cuentas registradas por personas residentes en Colombia, de las cuales 1,933,835 son de usuarios menores de 18 años, la SIC concluyó que ByteDance Ltda tiene la obligación legal y constitucional de garantizar el debido tratamiento de sus datos personales, ser extremadamente diligente y garantizar la efectividad real de los derechos de los titulares.
Con base en la información allegada por Bytedance Ltda, la SIC manifestó que pudo comprobar varias fallas en el cumplimiento de la regulación de protección de datos personales. Según la Entidad, TIKTOK no cuenta con una política de privacidad en castellano para los usuarios residentes y domiciliados en Colombia, lo cual dificulta que todos los titulares de los datos comprendan o entiendan las reglas del tratamiento de sus datos personales.
Por otra parte, teniendo en cuenta que según la Entidad TIKTOK recolecta datos de niños, niñas y adolescentes, la SIC indicó que la empresa debe estar en la capacidad de obtener la autorización previa, expresa e informada del representante legal del menor, y de implementar mecanismos efectivos que garanticen que en efecto sea el representante legal, pues no basta con que el menor indique que cuenta con la autorización de sus padres.
En cuanto a la verificación sobre el cumplimiento del artículo 12 de la Ley Estatutaria 1581 de 2012 sobre el deber de información al titular, para la SIC se comprobó que TIKTOK incumple el 58% de las obligaciones requeridas, entre ellas el deber de informar el carácter facultativo de la respuesta a las preguntas que se le hagan a los usuarios cuando versen sobre sus datos sensibles. Así mismo, cuando se analizó el cumplimiento del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) sobre el contenido de una Política de Tratamiento de Información, se comprobó, según la SIC, que TIKTOK incumple el 47% de las obligaciones, por ejemplo, al no mencionar de manera completa los derechos del titular.
De acuerdo con estos hallazgos, la Dirección resolvió:
- ORDENAR a Bytedance Ltda, y demás compañías vinculadas a TIKTOK, que respecto de los datos personales que recolectan o tratan en el territorio de la República de Colombia sobre personas residentes o domiciliadas en el país, implementen un mecanismo o procedimiento apropiado y demostrable para que al momento de solicitar la Autorización al titular, le informen en castellano y de manera sencilla todo lo que ordene el artículo 12 de la Ley 1581 de 2012, conservando prueba del cumplimiento de lo previsto.
- ORDENAR a Bytedance Ltda, y demás compañías vinculadas a TIKTOK, crear una Política de Tratamiento de Información en castellano y que contenga todos los requisitos del artículo 13 del Decreto 1377 de 2013. Dicha Política debe ser puesta en conocimiento de los titulares de datos domiciliados o residentes en Colombia.
- ORDENAR a Bytedance Ltda, y demás compañías vinculadas a TIKTOK, respecto de los datos que recolecte en Colombia, implemente un mecanismo efectivo y demostrable para dar cumplimiento a los requisitos especiales que ordena el artículo 12 del Decreto 1377 de 2013, para la recolección y tratamiento de los datos personales de menores de 18 años de edad.
- ORDENAR a Bytedance Ltda, y demás compañías vinculadas a TIKTOK, que respecto de los datos que recolecte en Colombia, registre sus bases de datos en el Registro Nacional de Bases de Datos (RNBD).
- ORDENAR a Bytedance Ltda, y demás compañías vinculadas a TIKTOK, que respecto de los datos que recolecte en Colombia, presente ante la SIC autorización previa, expresa e informada emitida por los representantes legales de los menores de edad, cuyos datos hayan sido recolectados o tratados con posterioridad a la entrada en vigencia de la Ley 1581 de 2012
Para demostrar el cumplimiento de lo anterior, Bytedance Ltda, y las demás compañías vinculadas a TIKTOK, deberán enviar a la SIC, al finalizar los plazos otorgados, certificación emitida por una empresa imparcial y profesional donde se acredite: i) el número de autorizaciones que tiene TIKTOK desde la entrada en vigencia de la Ley 1581 de 2012 hasta el día anterior al que se expida la certificación; y ii) que estas autorizaciones cumplan con todos los requisitos exigidos por la Ley para el tratamiento de datos de menores de edad.
Este documento es un resumen de la decisión adoptada por la SIC. No contiene opiniones, apreciaciones, valoraciones subjetivas o comentarios de la Firma con respecto a la decisión. Su publicación no implica aprobación o desaprobación frente a la decisión, y se realiza únicamente con fines académicos.