A-00013-2019

1/12 863-240719 Procedimiento Nº: A/00013/2019 RESOLUCIÓN: R/00461/2019 En el procedimiento A/00013/2019, instruido por la Agencia Española de Protección de Datos a la entidad ID UNIQUE SNEAKERS, S.L., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 14 de septiembre de 2018 se registra de entrada en la Agencia Española de Protección de Datos reclamación formulada por Don A.A.A., (en lo sucesivo, el reclamante) contra el responsable del sitio web ***URL.1 por no informar conforme a la normativa vigente sobre el uso de cookies o dispositivos de almacenamiento y recuperación de datos (DARD o cookies, en lo sucesivo), toda vez que carece de “Política de cookies” y no muestra ninguna pestaña emergente informativa sobre dichos dispositivos al acceder al sitio web. Asimismo, el reclamante indica que al carecer de “Aviso Legal” en el que deben aparecer los datos obligatorios del titular del sitio web no puede facilitar información al respecto. SEGUNDO: Tras la recepción de la reclamación, de conformidad con los artículos 9.4 y 14 del Real Decreto-ley 5/2018, de 27 de julio, la Subdirección General de Inspección de Datos procedió, con fecha ***FECHA.1, a trasladar dicha reclamación a Don B.B.B. (en adelante GSE) en su condición de presunto responsable de la mencionada página web, para su análisis y comunicación al reclamante de la decisión adoptada al respecto, así como para que remitiera a la AEPD determinada información. Con fecha 23 de noviembre de 2018 se registra de entrada en esta Agencia escrito de Don GSE comunicando que el dominio inicialmente inscrito a su nombre se cedió con fecha 16 de octubre de 2017 a ID UNIQUE SNEAKERS, S.L., entidad que registró el cambio de titularidad el 12 de noviembre de 2018. Añade que dicha sociedad ha procedido a actualizar la información ofrecida en el sitio web a fin de adaptarlo a la normativa vigente. A fin de acreditar dicho extremo, aporta “Acta de requerimiento” notarial de fecha 19 de noviembre de 2018 en la que figura diligencia de incorporación y comprobación de determinada documentación de fecha 18 de noviembre de 2018 obtenida de la web ***URL.1, entre la que se encuentra impresión de la página de inicio y, de los documentos de “Política de En lo que se refiere a la información sobre uso de cookies que aparece en la documentación incluida en la mencionada acta notarial, se comprueba que el aviso de la primera capa presenta el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 ”USO DE COOKIES: Al visitar este sitio web se instalan “cookies” de terceros para analizar el tráfico web y publicitarias. Puede ampliar información, o saber cómo cambiar la configuración, visita la “POLÍTICA DE COOKIES” ACEPTO. Mas información” La información contenida en la segunda capa informativa o “Política de detalle respecto de las cookies utilizadas en el sitio web e información sobre el modo de bloquearlas o eliminarlas: Nombre. dominio asociado PHPSESSID vam.cat Tipo finalidades Primera parte. De El dard contiene un identificador de sesión. sesión y se utiliza en el sitio web desarrollado con tecnología PHP para gestionar la sesión del usuario en este lugar. _ga _gid hicimos, cat De terceros Persistentes Los dard son utilizados por el servicio de analítica web de Google Analytics prestado por Google Inc. Se usan para distinguir los usuarios ID de canal ID de canal fonts.googleapis.com gstatic.com De terceros. Almacenamiento local. Dominio utilizado por Google para habilitar cookies De terceros. Almacenamiento local. Dominio utilizado por Google para habilitar cookies que utiliza en sus productos publicitarios. que utiliza en sus productos publicitarios. Puede obtener más información de las cookies de terceros que usa esta web, en los siguientes enlaces: ***ENLACE.1 Asimismo, usted puede permitir, bloquear o eliminar las cookies instaladas en su equipo mediante la configuración de las opciones del navegador en su ordenador. ***NAVEGADOR.1 ***NAVEGADOR.2 ***NAVEGADOR.3 ***NAVEGADOR.4 Otros navegadores: Consulte la documentación del navegador que tenga instalado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 Además, también puede gestionar el almacén de cookies en su navegador a través de herramientas como Your online choices: ***URL.2. TERCERO: A la vista de la información y documentación aportadas por Don GSE, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, con fecha 26 de febrero de 2019 se visitó el sitio web ***URL.1, comprobándose que la información mostrada en el sistema por capas utilizado por el responsable del portal no ha variado su contenido respecto del señalado en el hecho anterior. Asimismo, se constató que al acceder al portal se instalaban las cookies de tercera parte -ga, -gid y -gat de analítica web del servicio de Google Analytics sin mediar ningún tipo de información ni acción afirmativa clara de aceptación del usuario para ello. 3.1 En lo que se refiere al aviso informativo de la primera capa: Se observa que aparece situado al final de las páginas del sitio web, no resultando visible al usuario tan pronto como accede al portal. Respecto del contenido del aviso se observa que no informa sobre los siguientes aspectos: modo o posibilidad de rechazar la instalación de cookies. 3.2 En lo que se refiere al contenido de la “Política de cookies” o segunda capa: No incluye un sistema o panel de configuración que permita al usuario rechazar todas las cookies, habilitar todas las cookies o habilitarlas de forma granular. No informa sobre la forma de revocar el consentimiento prestado ni proporciona información sobre el enlace del “Complemento inhabilitación para navegadores de Google Analytics”, que facilita la información necesaria para poder bloquear las localizable en la página web ***URL.3. No indica el período de conservación de los datos para los diferentes fines. CUARTO: Consultada con fecha 22 de marzo de 2019 la aplicación de la AEPD que muestra información sobre de antecedentes de sanciones y apercibimientos precedentes, no constan registros previos por infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico asociados a la mercantil ID UNIQUE SNEAKERS, S.L. QUINTO: Con fecha 8 de abril de 2019, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00013/2019, con arreglo a lo dispuesto en el artículo 39 bis 2 de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, (en lo sucesivo, LSSI), con relación a la reclamación por infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4

1. g)de dicha norma. Dicho acto fue notificado al reclamado con fecha 12 de abril de 2019. SEXTO: Con fecha 7 de mayo de 2019 se recibe en esta Agencia escrito del representante legal del reclamado solicitando el archivo el expediente sin ninguna sanción con fundamento, en síntesis, en los siguientes argumentos: - En el trámite de audiencia se recoge que con fecha 26 de febrero de 2019 la AEPD comprobó que el sitio web ***URL.1 informaba sobre el uso de cookies mediante un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 sistema de capas, tal y como el reclamado había informado el su escrito de 23 de noviembre de 2018. - La empresa ha decidido cerrar su actividad en el sitio web de comercio electrónico de su titularidad, por lo que a la fecha del escrito, según afirma dicho representante: “sólo se encuentra en el mismo una mera información comercial de la empresa, sin que se realice ningún tipo de transacción ni actividad relacionada con el tratamiento de datos de carácter personal. A estos efectos, el aviso legal informa de que no se recogen en el espacio web ningún tipo de cookies, ni propias ni de terceros.” - El reclamado atendió los requerimientos de la Agencia con la máxima diligencia a fin de actualizar las informaciones de las que carecía el portal originariamente creado por otra sociedad disuelta desde el 3 de julio de 2017. SEXTO: Con fecha 13 de septiembre de 2019 se visita el sitio web ***URL.1, comprobándose que en la página de inicio del mismo se informa sobre el cierre de la actividad comercial del sitio web y que en el “Aviso Legal” del mismo se indica que no se instalan cookies propias ni de terceros. Asimismo, se constata que tanto antes como después de navegar por la página de inicio del portal y por el “Aviso Legal” del mismo no se instalan cookies de ningún tipo en los terminales de los usuarios. HECHOS PROBADOS PRIMERO: Con fecha 16 de octubre de 2017 Don GSE cedió, a título gratuito, el dominio ***URL.1 a la sociedad ID UNIQUE SNEAKERS, S.L., (el reclamado), mercantil que pasó a explotar el sitio web ***URL.1, aunque no fue hasta el 12 de noviembre de 2018 que se registró formalmente el cambio de titularidad de dicho dominio a favor del reclamado. SEGUNDO: Con fecha 14 de septiembre de 2018 se registra de entrada en esta Agencia reclamación formulada por el reclamante contra el responsable del sitio web ***URL.1 por no informar sobre el uso de cookies. TERCERO: Consta que con fecha 18 de noviembre de 2018 el responsable del sitio web ***URL.1 informaba sobre el uso de cookies mediante un sistema de capas. En la primera capa se señalaba lo siguiente: ”USO DE COOKIES: Al visitar este sitio web se instalan “cookies” de terceros para analizar el tráfico web y publicitarias. Puede ampliar información, o saber cómo cambiar la configuración, visita la “POLÍTICA DE COOKIES” ACEPTO. Mas información” En la segunda capa o “Política de cookies” se informaba sobre el uso de Google Analyticis) y de publicidad (cookie ID de canal de los dominios fonts.googleapis.com y gstatic.com utilizada por Google). Asimismo, ofrecía información sobre las URLs que dirigían a las herramientas de configuración disponibles en los navegadores Firefox, Chrome, Explorer y Safari como modo de “permitir, bloquear o eliminar las cookies instaladas en su equipo mediante la configuración de las opciones del navegador en su ordenador.” CUARTO: Con fecha 26 de febrero de 2019 se accedió al sitio web ***URL.1, verificándose los siguientes hechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 4.1 Que la información mostrada en el sistema de información por capas utilizado por el responsable del portal era idéntica a la de fecha 18 de noviembre de 2018. 4.2 Que al acceder al portal se instalaban las cookies de tercera parte -ga, -gid y -gat de analítica web del servicio de Google Analytics sin mediar ningún tipo de información ni acción afirmativa clara de aceptación del usuario para ello. 4.3 Que el aviso informativo de la primera capa no resultaba directamente visible al acceder al portal (estaba situado al final de las páginas del sitio web) y no indicaba el modo o posibilidad de rechazar la instalación de cookies. 4.4 Que la segunda capa o “Política de cookies” no informaba sobre los siguientes aspectos: -No incluía un sistema o panel de configuración que permita al usuario rechazar todas las cookies, habilitar todas las cookies o habilitarlas de forma granular. -No informaba sobre la forma de revocar el consentimiento prestado ni proporciona información sobre el enlace del “Complemento inhabilitación para navegadores de Google Analytics”. QUINTO: Con fecha 13 de septiembre de 2019 se accede al sitio web ***URL.1, comprobándose: - Que en la página de inicio del mismo aparece la siguiente información: “Hola amigas y amigos, después de estos años llenos de reivindicaciones, paradas, concursos, fiestas, manifestaciones, zapatillas y sobre todo muchas emociones, en Can VamCats queremos parar un tiempo para afrontar nuevos retos y dedicarnos a otros proyectos . No es un adiós sino un hasta proto. Todo vuelve. Gracias a todos por estar ahí! Equipo VamCats: Ni un paso atrás! AVISO LEGAL.” El texto subrayado es un enlace que dirige a la página del “Aviso Legal” del sitio web, documento en el que, entre otra información, se señala “En este espacio web no se recogen ningún tipo de cookies, ni propias ni de terceros” - Que tanto antes como después de navegar por la página de inicio del portal y por el “Aviso Legal” del mismo no se instalan cookies de ningún tipo en los terminales de los usuarios. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico. II El artículo 22.2 de la LSSI dispone: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. III El Anexo de la LSSI define en su apartado
2. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
3. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a la entidad CUATRO DATOS SOLUCIONES Y DESARROLLO, S.L., como titular de la página web objeto de análisis y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las cookies estén individualmente exentas del deber de informar y obtener el consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. IV La remisión efectuada en el mencionado artículo 22.2 de la LSSI a la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en lo relativo a los requisitos del consentimiento informado, en la actualidad se ha de interpretar como referida al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos(RGPD), aplicable desde el 25 de mayo de 2018, y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). El artículo 4.11) del RGPD define en como <<consentimiento del interesado>>: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; >>. Respecto de las “Condiciones para el consentimiento” el artículo 7 del RGPD determina que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” V En el presente supuesto, el prestador de servicios de la sociedad de la información ha utilizado un sistema de información por capas, de modo que la segunda capa complemente a la primera. En la primera capa debe mostrarse la información esencial sobre el uso de sitio web, no siendo necesaria la denominación social y se desprende de forma evidente del propio sitio web; si son propias y/o de terceros, las finalidades de las rechazar su instalación y configurar su uso, advirtiendo, en su caso, de que si se realiza una determinada acción, se entenderá que acepta el uso de las cookies, existencia del derecho a revocar el consentimiento. Además, deberá incluir un enlace claramente visible a la segunda capa informativa, donde se incluirá una información más detallada. La información adicional y complementaria ofrecida en la segunda capa, que deberá encontrarse disponible en forma permanente en el sitio web o en la aplicación, deberá incluir la siguiente información: definición y función genérica de las cookies, los tipos de cookies utilizadas y su finalidad, período de conservación de los datos para los diferentes fines, forma de permitir, revocar el consentimiento ya prestado o eliminar las cookies enunciadas a través de las funcionalidades facilitadas por el editor (el sistema de gestión o configuración de cookies habilitado) o el terminal o a través de las plataformas comunes que pudieran existir para esta finalidad. Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las las herramientas proporcionadas por los principales navegadores y se advertirá que si el usuario acepta cookies de terceros, deberá eliminarlas desde las opciones del navegador. Finalmente, en esta segunda capa debe ofrecerse información sobre la identificación de quien utiliza las cookies, esto es, si la información obtenida por las contratado la prestación de un servicio para el cual se requiera el uso de cookies, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 identificación de estos últimos. VI En el presente caso, con motivo de las actuaciones practicadas, se ha verificado la utilización de cookies no exentas del deber de informar por parte de la entidad responsable y titular de la página web ***URL.1 sin mediar el consentimiento previo e informado de los usuarios que accedían a dicho portal, amén de las carencias informativas observadas en cuanto al tipo de información proporcionada por el reclamado en la primera y segunda capa informativa. Así, consta que en la fecha de la formulación de la reclamación (14 de septiembre de 2018) la página web estudiada no ofrecía a los usuarios información alguna sobre el uso de cookies, no siendo hasta después de que esta Agencia trasladara dicha reclamación que el reclamado adoptara medidas tendentes a informar sobre el uso de esos dispositivos de almacenamiento y recuperación de datos mediante un sistema de información por capas, tal y como el reclamado acreditó aportando copia de Acta Notarial que incluía diversas capturas con la información sobre cookies facilitada a fecha 18 de noviembre de 2018, conforme se recoge en el Hecho Probado Tercero. Sin perjuicio de las medidas adoptadas por el responsable del sitio web para adecuar la página web de su titularidad a lo requerido en el artículo 22.2 de la LSSI, con fecha 26 de febrero de 2019 se constató que al acceder al reseñado sitio web, que mantenía la misma información que la mostrada con fecha 18 de noviembre de 2018, se instalaban cookies no exentas del deber de informar sin mediar el consentimiento previo e informado de los usuarios, toda vez que sin producirse navegación alguna o acción explicita de aceptación o consentimiento de los usuarios, se almacenaron las Por lo que la instalación de estos dispositivos utilizados para el seguimiento de los hábitos de navegación de los usuarios se producía antes de ofrecer a los mismos la información clara y completa sobre su utilización que resulta precisa para obtener su consentimiento informado. A mayor abundamiento, en este mismo acceso se comprobó que la información ofrecida en ambas capas presentaba las carencias informativas también reseñadas en el Hecho Probado Cuarto. No será hasta después de recibir el trámite de audiencia del presente procedimiento que el reclamado decida cesar en su actividad de comercio electrónico y adoptar las medidas necesarias para dejar de usar cookies en el sitio de su titularidad, circunstancias ambas que puso de manifiesto en su escrito de alegaciones y, posteriormente, fueron constatadas por esta Agencia en el acceso efectuado con fecha 13 de septiembre de 2019, cuyo resultado se refleja en el Hecho Probado Quinto de esta resolución. Con arreglo a lo expuesto, de la valoración del conjunto de elementos de prueba obrantes en el expediente, se evidencia que, al menos hasta la recepción por el reclamado del trámite de audiencia del presente procedimiento, se ha venido produciendo la instalación de cookies en los equipos terminales de los usuarios que visitaban el portal estudiado sin que el reclamado hubiera obtenido, previamente, el consentimiento informado de los mismos para su utilización. Situación que ocurría sin que, además, en ninguno de los niveles de información descritos se ofreciera a los usuarios información clara y completa sobre todos los aspectos que se estiman precisos para entender válidamente prestado dicho consentimiento, que se recuerda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 debe ser libre, específico informado e inequívoco, incumpliendo de este modo el mandato del artículo 22.2 de la LSSI. Por lo tanto, La conducta descrita está tipificada como leve en el artículo 38.4.
4. g)de la LSSI, que señala como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” VII El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula en su apartado 2 lo siguiente: “2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
5. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
6. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Por su parte, el artículo 40 de la LSSI, en cuanto a la “Graduación de la cuantía de las sanciones.”, dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
7. a)La existencia de intencionalidad.
8. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
9. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
10. d)La naturaleza y cuantía de los perjuicios causados.
11. e)Los beneficios obtenidos por la infracción.
12. f)Volumen de facturación a que afecte la infracción cometida.
13. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 En el presente supuesto se cumplen los requisitos recogidos en las letras
14. a)y
15. b)del citado apartado 2 del artículo 39 bis. Junto a ello, se aprecia que concurre la circunstancia prevista en el artículo 39 bis, apartado 1.a), que dispone que “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40 , concurriendo este supuesto concurren los criterios
16. d)y
17. e)del citado precepto, por cuanto no hay constancia de la existencia de perjuicios causados ni de beneficios obtenidos por la reseñada sociedad a raíz de la comisión de la infracción descrita. VIII En todo caso, debe señalarse que, si bien se ha razonado la existencia de la conducta infractora descrita por parte del reclamado, éste, tras recibir el trámite de audiencia, ha comunicado a esta Agencia tanto el cierre de su actividad de comercio electrónico a través de la reseñada página web como la adopción de medidas para impedir que se instalen cookies en los terminales de los usuarios. Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto advierte, a propósito de la naturaleza jurídica de esta figura, la cual pese a referirse al apercibimiento regulado en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) tiene plena aplicación al apercibimiento regulado por la LSSI, que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD (estas consideraciones deben entenderse hechas, por lo que aquí respecta, al artículo 39 bis, 2 de la LSSI) confiere a la Agencia Española de Protección de Datos una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso, teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, y que se ha verificado que en la actualidad no se instalan cookies en el sitio web analizado, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordar el archivo de las actuaciones del presente procedimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: ARCHIVAR el procedimiento (A/00013/2019) seguido a ID UNIQUE SNEAKERS, S.L. con arreglo a lo dispuesto en el artículo 39 bis, apartado 2, de la LSSI, en relación con la reclamación por infracción de su artículo 22.2 de la LSSI, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 tipificada como leve en el artículo 38.4.
18. g)de la misma norma. SEGUNDO: NOTIFICAR el presente Acuerdo a ID UNIQUE SNEAKERS, S.L. y a Don A.A.A., De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es