A-00010-2019

1/13 863-240719 Procedimiento Nº: A/00010/2019 RESOLUCIÓN: R/00389/2019 En el procedimiento A/00010/2019, instruido por la Agencia Española de Protección de Datos a la entidad AGROMILLORA CATALANA, S.A.U., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 3 de septiembre de 2018 se registra de entrada escrito en la Agencia Española de Protección de Datos reclamación formulada por Don A.A.A., (en lo sucesivo, el reclamante) contra la entidad AGROMILLORA CATALANA, S.A.U., (en lo sucesivo AGROMILLORA o el reclamado), manifestando que “La web agromillora.com carece de pestaña emergente de cookies. Asimismo su política de SEGUNDO: A la vista de los hechos expuestos, con fecha 21 de septiembre de 2018 se accede a la página web https://www.agromillora.com constatándose que no advierte del uso de cookies al entrar al citado portal, si bien en el “Aviso Legal” del sitio incluye un apartado denominado “Política de Cookies” en el que se señala que esa página web utiliza cookies para una serie de finalidades, entre las que incluye las cookies analíticas, técnicas y de sesión para las finalidades que describe. Con fecha 7 de noviembre de 2018 se registra de entrada en esta Agencia escrito de contestación de AGROMILLORA al requerimiento de información efectuado, en el que señalan que teniendo en cuenta lo establecido en el Dictamen 15/2011 del Grupo de Trabajo del artículo 29 y la Guía sobre el uso de cookies de la AEPD, han implantado un sistema de información por capas que incluía una pestaña emergente (primera capa) en la que se informaba sobre la recogida de cookies propias y de terceros; la finalidad de su recogida, la condición por la que se aprobaba su uso y las instrucciones con las indicaciones a seguir en caso de no estar de acuerdo con lo indicado. Para más información se incluía un enlace a la “Política de Cookies” (segunda capa), documento al que se han añadido los siguientes apartados: - Quién las instala, donde informan para qué se utilizan y quién es el que las instala en el equipo del usuario, bien sean propias o de terceros. - Cómo se eliminan o bloquean. Se explica cómo se pueden eliminar las usuario y se dirige hacia más información de cada uno de los navegadores más utilizados. Se incluye información para descargar un complemento para inhabilitar Google Analytics del navegador con un enlace a la descarga propia de Google. A los efectos de constatar dichas manifestaciones, con fechas 22 y 28 de febrero de 2018 desde la Subdirección General de Inspección de Datos se accede a la mencionada página web, constatándose los siguientes hechos: En cuanto a la primera capa de información se comprueba que al entrar en el reseñado portal, en la parte inferior de la página de inicio aparece el siguiente aviso: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 “Utilizamos cookies propias y de terceros para el correcto funcionamiento y visualización y la recogida de estadísticas tal y como se recoge en la política de información, o bien conocer como cambiar la configuración, pulsando en Mas información. ACEPTO”. El subrayado es de la AGPD, constituyendo un enlace que dirige a la Política de Cookies o segunda capa de información integrada en el Aviso Legal del sitio web. Al pulsar el botón ACEPTO, desaparece el reseñado aviso de uso de cookies, manteniéndose visible la información relativa a la “Política de Cookies”, “Política de Privacidad” y al “Aviso Legal” al final de cada una de las páginas del sitio. En este aviso no se informa claramente la finalidad para la que se recoge información estadística a través de las cookies o para qué finalidad se destinan las finalidades para las que se usan cookies de preferencias. En la segunda capa de información, junto con información de carácter general sobre estos dispositivos, se detallan las cookies de terceros técnicas y de seguridad de Cormerstone OnDemand así como las utilizadas por Google Analytics, Youtube y Twitter para las finalidades que se describen, incluyendo enlaces referidos a sus políticas de privacidad o de uso de cookies. Este documento también se incluye un apartado referido a la eliminación o bloqueo de las cookies en los siguientes navegadores Firefox, Chrome, Internet Explorer, Safari y Opera. Esta segunda capa no detalla el uso de cookies publicitarias ni de preferencias que también se instalan en el navegador del usuario, tal y como se justifica a continuación. Con fecha 28 de febrero de 2018 se vuelve a visitar el reseñado portal, comprobándose, conforme consta en la Diligencia levantada para reflejar el resultado obtenido, que sin haber consentido el uso de las cookies y sin haber navegado por las páginas del portal se instalan cookies no exceptuadas del deber de informar del dominio youtube.com, en concreto las cookies permanentes PREF de preferencias y VISITOR _INFO1_ LIVE del servicio de video. Es decir, sin mediar el consentimiento correctamente informado del usuario se produce el uso de cookies no exceptuadas. Asimismo, se comprueba que tras haber navegado por las distintas páginas del sitio web también se instalan las cookies de terceros del servicio de analítica web de Google Analytics _ga, _gat y _gid, las cookies publicitarias de Google NID, que se usa para personalizar los anuncios, y la cookie IDE que se almacena en navegadores en el dominio doubleclick.net.. En la “Política de Cookies” no se informa sobre el uso de las que las instalan y las finalidades a las que obedece su uso. TERCERO: Consultada con fecha 28 de febrero de 2019 la aplicación de la AEPD que muestra información sobre de antecedentes de sanciones y apercibimientos precedentes, no constan registros previos por infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico asociados a la mercantil AGROMILLORA CATALANA, S.A.U.. CUARTO: Con fecha 13 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00010/2019, con arreglo a lo dispuesto en el artículo 39 bis 2 de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 la Información y Comercio Electrónico (en lo sucesivo, LSSI), con relación a la reclamación por infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4

1. g)de dicha norma. Dicho acuerdo fue notificado al reclamado con fecha 15 de marzo de 2019. QUINTO: Con fecha 5 de abril de 2019 se recibe en esta Agencia escrito de alegaciones del representante legal del reclamado señalando que se habían adoptado las siguientes medidas correctoras: Se ha modificado el texto informativo en cuestión, cuya transcripción se aporta. Se ha reformulado el texto de la política de cookies para poder especificar las las cookies analíticas y publicitarias de tercera utilizadas que se mencionaban en el trámite de audiencia. También se incluyen dentro del granulado según la finalidad especificada de cada cookie, creándose un nuevo apartado de cookies con la finalidad de publicidad Se adjunta copia del texto implementado de la política de cookies. Igualmente, se indica la modificación de las herramientas utilizadas con la característica necesaria para que la instalación de las cookies se condicione a la aceptación de las mismas y se comprueba su correcta utilización. SEXTO: Con fecha 2 de agosto de 2019 se accede al mencionado sitio web, comprobándose los siguientes hechos: - Que la información sobre cookies contenida en la primera y segunda capa publicada en el sitio coincide con la aportada por el reclamado en su escrito de alegaciones. -Respecto de la primera capa, se ha modificado el contenido del “Aviso de para realizar el análisis de la navegación de los usuarios, personalizar el contenido y los anuncios, ofrecer funciones de redes sociales y analizar el tráfico. Al pulsar el botón “ACEPTAR” consiente dichas cookies. Puede obtener más información, o bien conocer cómo cambiar la configuración, pulsando en más información.” A continuación aparece un enlace con el texto “Más información” debajo del cual se encuentra un botón con el texto “ACEPTAR” Aunque este aviso incluye el botón “ACEPTAR” para consentir la instalación de todas las cookies no ofrece otro botón que permita “Rechazar” todas las cookies con la misma facilidad con la que pueden aceptarse. No proporciona información genérica sobre el tipo de datos que se recopilarán para elaborar perfiles de los usuarios dado que se instalan cookies de publicidad comportamental (cookies IDE y NID), como podría ser, a modo de ejemplo, referirse a páginas visitadas. -Respecto de la segunda capa, a la que dirige el enlace “Mas información” de la primera capa, se observa que únicamente puede accederse al contenido del documento “Aviso Legal”, tras pulsar el botón “ACEPTAR” incluido en el texto del “Aviso de Cookies” de la primera capa que aparece sobreimpreso sobre el citado documento. Una vez pulsado dicho botón desaparece el mencionado aviso, debiendo el usuario navegar hasta la parte final del “Aviso Legal” para localizar el apartado relativo a la “Política de Cookies” o segunda capa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 La “Política de Cookies” no proporciona un panel de configuración de cookies u otro sistema, que permita al usuario gestionar su aceptación o rechazo de forma granular, de tal modo que el usuario pueda, como mínimo, optar entre las cookies agrupadas por finalidades para manifestar su consentimiento o rechazo a su instalación. La información sobre la forma de permitir, revocar el consentimiento o eliminarlas cookies también podría facilitarse mediante el sistema operativo del terminal, siempre que éste permitiera configurar las cookies cuya instalación opta por aceptar o rechazar. No se informa sobre el periodo de conservación de los datos para los diferentes fines para los que se utilizarán las cookies. Se constata que la instalación de las cookies no exentas se produce con posterioridad a la navegación por el sitio web o a la acción consistente en pulsar el botón de “ACEPTAR”. HECHOS PROBADOS PRIMERO: Con fecha 3 de septiembre de 2018 se registró de entrada en la AEPD reclamación formulada contra AGROMILLORA en la que el reclamante exponía que al visitar el portal https://www.agromillora.com no se informaba a los usuarios, en forma accesible (inexistencia de pestaña emergente), clara y completa sobre el uso de SEGUNDO: La sociedad AGROMILLORA CATALANA, S.A.u., responsable del sitio web https://www.agromillora.com informa sobre el uso de cookies mediante un sistema de capas, conforme se ha comprobado en los accesos efectuados al citado portal con fechas 22 y 28 de febrero y 2 de agosto de 2019. TERCERO: En las visitas efectuadas al sitio web https://www.agromillora.com con fechas 22 y 28 de febrero de 2019 se comprobó:  Que al acceder al sitio web en la parte inferior de la página de inició aparecía el siguiente aviso: “Utilizamos cookies propias y de terceros para el correcto funcionamiento y visualización y la recogida de estadísticas tal y como se recoge en la política de cookies. Al pulsar el botón “ACEPTAR” consiente dichas cookies. Puede obtener más información, o bien conocer como cambiar la configuración, pulsando en Mas información. ACEPTO”. (El subrayado es de la AGPD) Este aviso no informaba claramente sobre la finalidad para la que se recogía información estadística a través de las cookies ni para qué se usarían las cookies de visualización. No incluía las finalidades para las que se utilizarían las cookies publicitarias y de preferencias cuya instalación se constató en el segundo de los accesos anteriormente reseñados.  Al pulsar el botón “Mas información” se accedía a la Política de Cookies o segunda capa de información integrada en el Aviso Legal del sitio web. No incluía información sobre el uso de cookies publicitarias ni de preferencias detectada conforme se indica en el siguiente hecho probado. CUARTO: En la visita efectuada con fecha 28 de febrero de 2019 al sitio web titularidad del reclamado se verificó: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13  Que la instalación de las cookies permanentes PREF de preferencias y VISITOR _INFO1_ LIVE del servicio de video, ambas del dominio youtube.com, se producía en los equipos terminales de los usuarios sin haber consentido el uso de las  Que tras haber navegado por las distintas páginas del sitio web también se instalaban las siguientes cookies de terceros: las cookies _ga, _gat y _gid, del servicio de analítica web de Google Analytics; la cookie NID utilizada por Google tanto para recordar las preferencias del usuario como en publicidad comportamental para personalizar los anuncios; la cookie IDE utilizada con fines de publicidad comportamental por la empresa Doubleclik de Google, y que se almacena en navegadores en el dominio doubleclick.net.  En la “Política de Cookies” no se informaba sobre el uso de las cookies de tercera parte del servicio de video, de publicidad comportamental y de preferencias citadas, ni sobre los terceros que las instalan ni las finalidades para las que se utilizarán. QUINTO: En el acceso efectuado con fecha 2 de agosto de 2019 al sitio web sitio web https://www.agromillora.com se comprueba: - Que el “Aviso de Cookies“ de la primera la primera capa ha sido modificado, pasando a tener el siguiente contenido: “Utilizamos cookies propias y de terceros para realizar el análisis de la navegación de los usuarios, personalizar el contenido y los anuncios, ofrecer funciones de redes sociales y analizar el tráfico. Al pulsar el botón “ACEPTAR” consiente dichas cookies. Puede obtener más información, o bien conocer cómo cambiar la configuración, pulsando en más información.” A continuación aparece un enlace con el texto “Más información” debajo del cual se encuentra un botón con el texto “ACEPTAR”. Este aviso no ofrece la opción de “Rechazar” todas las cookies incluyendo un botón para dicha finalidad. Tampoco proporciona información genérica sobre el tipo de datos que se recopilarán para elaborar perfiles de los usuarios dado que se instalan las cookies IDE y NID de publicidad comportamental. El enlace “Mas información” no dirige directamente a la segunda capa informativa, llevando al “Aviso Legal” del sitio web, en cuya parte final se localiza la “Política de Cookies” del sitio o segunda capa informativa. -Respecto de la segunda capa, se observa que para poder acceder y navegar por el contenido del “Aviso Legal” hay que pulsar el botón “ACEPTAR” incluido en el texto del “Aviso de Cookies” de la primera capa que aparece sobreimpreso sobre la primera página del “Aviso Legal”. Al pulsar dicho botón desaparece el mencionado aviso, pero no se accede directamente al apartado relativo a la “Política de Cookies”, sino que hay que navegar hasta el último apartado del “Aviso Legal” para localizar la segunda capa o nivel de información sobre este tipo de dispositivos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 La “Política de Cookies” no proporciona un panel de configuración de cookies u otro sistema, que permita al usuario gestionar su aceptación o rechazo de forma granular, de tal modo que el usuario pueda, como mínimo, optar entre las cookies agrupadas por finalidades para manifestar su consentimiento o rechazo a su instalación. Tampoco informa sobre el periodo de conservación de los datos para los diferentes fines para los que se utilizarán las cookies. SEXTO: Con fecha 2 de agosto de 2019 se constata que ya no se almacenan cookies no exentas del deber de informar con el mero acceso al sitio web, no siendo hasta después de navegar por el mismo o de pulsar el botón “ACEPTAR” que se produce su instalación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1, párrafo segundo, de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico. II El artículo 22.2 de la LSSI dispone: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” El artículo 38.4.
2. g)de la LSSI tipifica como infracción leve “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. III El Anexo de la LSSI define en su apartado
3. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
4. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a la entidad AGROMILLORA CATALANA, S.A.U., como titular de la página web objeto de análisis y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las cookies estén individualmente exentas del deber de informar y obtener el consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. IV La remisión efectuada en el mencionado artículo 22.2 de la LSSI a la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en lo relativo a los requisitos del consentimiento informado, en la actualidad se ha de interpretar como referida al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos(RGPD), aplicable desde el 25 de mayo de 2018, y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). El artículo 4.11) del RGPD define en como <<consentimiento del interesado>>: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; >>. Por su parte, el artículo 6.1.
5. a)del RGPD, bajó la rúbrica “Licitud del tratamiento”, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;” Respecto de las “Condiciones para el consentimiento” el artículo 7 del RGPD determina que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” El precepto anterior se conecta con lo indicado respecto del consentimiento en los Considerandos 32 y 42 del RGPD, en los que se señala: “