A-00001-2019

1/13 Procedimiento Nº: A/00001/2019 RESOLUCIÓN: R/00151/2019 En el procedimiento A/00001/2019, instruido por la Agencia Española de Protección de Datos a la entidad LIVING TERRITORIWEB, S.L., vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 14 de septiembre de 2018 Don A.A.A., (en adelante el reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos exponiendo, entre otras irregularidades, que el responsable de la página web no informa sobre el uso de cookies o dispositivos de almacenamiento y recuperación de datos (DARD o cookies, en lo sucesivo), toda vez que carece de “Política de cookies” y no muestra ninguna pestaña emergente informativa sobre dichos dispositivos al acceder al sitio web. Asimismo, el reclamante indica que al carecer de “Aviso Legal” en el que se especifiquen los datos obligatorios del titular del sitio web no puede facilitar información al respecto. SEGUNDO: Tras la recepción de la reclamación los Servicios de Inspección de esta Agencia efectuaron las siguientes actuaciones y tuvieron conocimiento de los siguientes hechos: 2.1 Con fecha 4 de octubre de 2018 se accede al mencionado sitio web constatándose que la mencionada página web utiliza los siguientes DARD de analítica web del Servicio de Google Analytics no exentos del deber de informar: _utma, _utmb, _utmc, _utmt, _utmz. 2.2 Con fecha 23 de noviembre de 2018 tiene entrada en esta Agencia escrito del representante legal del titular del mencionado sitio web comunicando que, a la vista de información solicitada en relación con la reclamación interpuesta por el reclamante, han procedido a actualizar la “Política de Cookies”, la “Política de Privacidad” y el “Aviso Legal” del sitio web ***URL.1, habiendo también dirigido, con fecha 21 de noviembre de 2018, un correo electrónico al reclamante informándole que habían procedido a actualizar los contenidos de su sitio web. 2.3 Con fecha 14 de enero de 2019 se visita el mencionado sitio web, constatándose que: - En el “Aviso Legal” que se ha incorporado al sitio web citado se informa que la sociedad LIVING TERRITORIWEB, S.L., (en adelante, el reclamado), es titular de dicho portal web. - Que en la parte inferior de la página de inicio del sitio web se ha insertado, en forma visible, un enlace denominado “Cookies”, que al pincharlo conduce a la “Política de Cookies” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 - Que se ha incluido una primera capa de información o aviso sobre el uso de contenido: “Si continúa navegando entendemos que acepta nuestra política de texto “Más información” . Esta primera capa o aviso no informa sobre el uso de cookies de tercera parte de analítica web ni de las finalidades para las que se utilizan dichos dispositivos. El texto del botón “Más información” es un enlace que remite a una segunda capa de información denominada “Política de Cookies”, y donde se señala que: “Cookies que utilizamos Las únicas cookies que utiliza nuestra página y su finalidad se detallan a continuación:  Cookies de navegación: son estrictamente necesarias y permiten al usuario la navegación a través de nuestra página web así como la utilización de las diferentes opciones o servicios que haya, como, por ejemplo, controlar el tráfico y la comunicación de datos. (…)  Cookies de terceros para el análisis estadístico, como Google Analytics, que de forma anónima permite realizar un seguimiento de la interacción del usuario dentro de la página web, saber cuántas veces visita el lugar, cuando fue la primera y última vez que visitó la web y plug-in, que permite compartir contenidos para la difusión de vídeos o sonidos o compartir contenidos a través de redes sociales. Desactivación de cookies Usted puede permitir, bloquear o eliminar las cookies instaladas en su equipo mediante la configuración de las opciones del navegador instalado en el dispositivo. Muchos navegadores permiten activar un modo privado a través del cual las cookies se borran después de la visita. Lea atentamente la sección de ayuda de su navegador para conocer más sobre cómo activar el modo de navegación privada. Podrá seguir visitando nuestra web aunque su navegador esté en modo privado si bien su navegación por nuestra web puede no ser óptima y algunas utilidades pueden no funcionar” A la vista del tipo de DARD que se descargan, se observa que la información ofrecida en esta segunda capa sobre la desactivación de cookies, además de genérica, no proporciona el enlace del “Complemento inhabilitación para navegadores de Google Analytics” que facilita la información necesaria para poder bloquear las usuario, localizable en la página web https://tools.google.com/dlpage/gaoptout?hl=es. 2.4 Con fecha 30 de enero de 2019 se accede a la configuración del navegador (GOOGLE CROME), y después de borrar todas las cookies almacenadas, se vuelve a acceder la página web ***URL.1, comprobándose que sin haber realizado ningún tipo de acción, como pulsar el botón de aceptar a fin de consentir su instalación, ni haber tampoco navegado por dicha página web, se habían instalado las siguientes cookies persistentes del Servicio de Google Analytics : _utma, _utmb, _utmc, _utmt, _utmz. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 Es decir, la instalación o descarga de dichos dispositivos se produce sin mediar el consentimiento informado del usuario que accede al sitio web. TERCERO: Consultada con fecha 30 de enero de 2019 la aplicación de la AEPD que muestra información sobre de antecedentes de sanciones y apercibimientos precedentes, no constan registros previos por infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico asociados a LIVING TERRITORIWEB, S.L. CUARTO: Con fecha 6 de febrero de 2019, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00001/2019, con arreglo a lo dispuesto en el artículo 39 bis 2 de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), con relación a la denuncia por infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4

1. g)de dicha norma. Dicho acuerdo fue notificado al reclamado. QUINTO: Con fecha 1 de marzo de 2019 se recibe en esta Agencia escrito del representante legal del reclamado alegando que a la vista del trámite de audiencia recibido habían efectuado las siguientes modificaciones: - Quitar todos los plugins de cualquier red social para asegurarse de que no se guardaba ninguna cookie ni ninguna información de los usuarios por parte de la entidad o de tercera empresa. Cambios oportunos para que sólo se active el enlace a Google Analytics una vez que el usuario haya hecho click en el botón “Aceptar” del aviso de Cookies. Han añadido el enlace al inhabilitador de Google Analytics en la sección de más información de las cookies. SEXTO: Con fecha 27 de marzo de 2018 se accede al sitio web ***URL.1, comprobándose los siguientes hechos: Que ya no se instalan cookies de tercera parte de analítica web del Servicio Google Analytics. Que la descarga de cookies no exentas del deber de informar se produce con posterioridad a la navegación por dicha página web. La instalación de la cookie persistente de tercera parte “NID” del dominio google.com, con funciones de personalización y de publicidad comportamental. - Que no se ha variado el contenido del aviso informativo de la primera capa. - Que en el apartado “Cookies que utilizamos” de la segunda capa informativa, a la que se accede desde el enlace “Más información” de la primera capa, se señala: “Las únicas cookies que utiliza nuestra página y su finalidad se detallan a continuación: navegación a través de nuestra página web así como la utilización de las diferentes opciones o servicios que haya, como, por ejemplo, controlar el tráfico y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 comunicación de datos. La información que contienen es genérica y anónima, no se incluyen datos personales, ni se recoge información que identifique a los visitantes.” Que en la parte inferior de cada una de las páginas del sitio web se mantienen enlaces permanentes a los documentos denominados “Accesibilidad”, “Política de Privacidad”, “Aviso Legal” y “Cookies”. Este último contiene la información a la que remite el enlace de “más información” que aparece en la primera capa. HECHOS PROBADOS PRIMERO: La sociedad LIVING TERRITORIWEB, S.L., responsable del sitio web ***URL.1 informa sobre el uso de cookies mediante un sistema de capas informativas, conforme se ha comprobado en los accesos efectuados al citado portal con fechas 14 y 30 de enero y 27 de marzo de 2019. SEGUNDO: En la visita efectuada al sitio web ***URL.1 de de fecha 14 de enero de 2019 se comprobó la instalación de las siguientes cookies del Servicio de Google Analytics : _utma, _utmb, _utmc, _utmt, _utmz. Se comprobó, igualmente, que la primera capa informativa relativa al uso de de cookies”, proporcionando un botón para “Aceptar” y un enlace para obtener “Más información” que conducía a la segunda capa. En la segunda capa, en el apartado de “Cookies que utilizamos” se señala: “Las únicas cookies que utiliza nuestra página y su finalidad se detallan a continuación: navegación a través de nuestra página web así como la utilización de las diferentes opciones o servicios que haya, como, por ejemplo, controlar el tráfico y la comunicación de datos. La información que contienen es genérica y anónima, no se incluyen datos personales, ni se recoge información que identifique a los visitantes.” forma anónima permite realizar un seguimiento de la interacción del usuario dentro de la página web, saber cuántas veces visita el lugar, cuando fue la primera y última vez que visitó la web y plug-in, que permite compartir contenidos para la difusión de vídeos o sonidos o compartir contenidos a través de redes sociales. Desactivación de cookies Usted puede permitir, bloquear o eliminar las cookies instaladas en su equipo mediante la configuración de las opciones del navegador instalado en el dispositivo. Muchos navegadores permiten activar un modo privado a través del cual las cookies se borran después de la visita. Lea atentamente la sección de ayuda de su navegador para conocer más sobre cómo activar el modo de navegación privada. Podrá seguir visitando nuestra web aunque su navegador esté en modo privado si bien su navegación por nuestra web puede no ser óptima y algunas utilidades pueden no funcionar” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 TERCERO: En la visita al sitio web ***URL.1 de de fecha 30 de enero de 2019 se verificó que la instalación de los dispositivos de analítica web citados (_utma, _utmb, _utmc, _utmt, _utmz) se producía en los equipos terminales de los usuarios tan pronto como se accedía al mismo, es decir, antes de haber solicitado y obtenido el consentimiento informado de los mismos para ello y sin ofrecer ofrecerles una información clara y completa sobre el uso de cookies. CUARTO: En el acceso efectuado con fecha 27 de febrero 2018 al sitio web ***URL.1 se comprueba: -Que la instalación de la cookie permanente de terceros “NID”, del dominio google.com, se produce después de que el usuario tenga acceso a la información ofrecida por el responsable del sitio web sobre el uso de cookies y de que haya navegado por la página web. -Que en la parte inferior de cada una de las páginas del sitio web se mantiene un enlace de “Cookies” que dirige a la información contenida en la segunda capa de información o “Política de Cookies” del sitio web. QUINTO: En el acceso efectuado con fecha 27 de febrero 2018 al sitio web ***URL.1 se constata que LIVING TERRITORIWEB, S.L. ofrece la siguiente información relativa al uso de cookies: La primera capa mantiene que: “Si continúa navegando entendemos que acepta nuestra política de cookies” junto con un botón para “Aceptar” y el enlace “Más información” a la segunda capa. La segunda informa de los siguientes extremos: “¿Qué son las cookies” (…) “Las únicas cookies que utiliza nuestra página y su finalidad se detallan a continuación: navegación a través de nuestra página web así como la utilización de las diferentes opciones o servicios que haya, como, por ejemplo, controlar el tráfico y la comunicación de datos. La información que contienen es genérica y anónima, no se incluyen datos personales, ni se recoge información que identifique a los visitantes.” Desactivación de cookies Usted puede permitir, bloquear o eliminar las cookies instaladas en su equipo mediante la configuración de las opciones del navegador instalado en el dispositivo. Muchos navegadores permiten activar un modo privado a través del cual las cookies se borran después de la visita. Lea atentamente la sección de ayuda de su navegador para conocer más sobre cómo activar el modo de navegación privada. Podrá seguir visitando nuestra web aunque su navegador esté en modo privado si bien su navegación por nuestra web puede no ser óptima y algunas utilidades pueden no funcionar” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1, párrafo segundo, de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico. II El artículo 22.2 de la LSSI dispone: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. “ El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. III El Anexo de la LSSI define en su apartado
2. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
3. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a la entidad LIVING TERRITORIWEB, S.L., como titular de la página web objeto de análisis y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las cookies estén individualmente exentas del deber de informar y obtener el consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 La remisión efectuada en el mencionado artículo 22.2 de la LSSI a la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en lo relativo a los requisitos del consentimiento informado, en la actualidad se ha de interpretar como referida al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos(RGPD), aplicable desde el 25 de mayo de 2018, y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). El artículo 4.11) del RGPD define en como <<consentimiento del interesado>>: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; >>. Respecto de las “Condiciones para el consentimiento” el artículo 7 del RGPD determina que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” El precepto anterior se conecta con lo indicado respecto del consentimiento en los Considerandos 32 y 42 del RGPD, en los que se señala: “