1/7 Procedimiento Nº A/0022/2019 RESOLUCIÓN: R/00433/2019 En el procedimiento A/0022/2019, instruido por la Agencia Española de Protección de Datos, a la entidad, PASTOR TOYS INTERNACIONAL, S.L (en adelante, “la entidad reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “el reclamante”) y teniendo como base los siguientes, ANTECEDENTES PRIMERO: con fecha 18/12/18, el reclamante presenta escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, indica: “Se ha detectado la instalación de, al menos, cookies de los siguientes servicios sin consentimiento con la herramienta Ghostery: Google Analytics, Google Tag Manager, Google Ads, Criteo, Bing Ads, Google Dynamic Remarketing, Google Doubleclick y Sales Mango. Se adjuntan capturas de pantalla. No incorpora un mecanismo de doble opt-in en su formulario de suscripción a su boletín de noticias, pudiendo cualquier persona introducir el correo electrónico de un tercero para que reciba los e-mails. Se adjunta captura de pantalla. Infracción del deber de información en su formulario de suscripción al citado boletín de noticias, ya que la finalidad que se informa en su primera capa es la de "responder a su consulta, así como gestionar el envío de información y prospección comercial y envío de boletines informativos en el caso que nos autorice". Cuando un usuario olvida la contraseña, se le envía en texto claro otra contraseña a su correo electrónico, no obligando a cambiar la misma el sistema una vez se accede a éste”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (RGPD). Así, con fecha 31/01/19, se dirige un requerimiento informativo a la entidad reclamada. Se reitera dicho requerimiento con fecha 11/02/19, al no haber respondido en el plazo concedido. TERCERO: Con fecha 05/04/19, la entidad reclamada presenta alegaciones, indicando en las mismas, entre otras, lo siguiente: “Sobre la situación en el contexto de la página web de “Juguetilandia”, si bien hemos hecho esfuerzos en cumplir con el Reglamento Europeo de Protección de datos, estableciendo las cláusulas oportunas y las medidas técnicas, es cierto que hemos cometido algunos errores a la hora de la implementación real. Siendo actualmente conscientes de estos errores, hemos procedido a la subsanarlos. Se ha procedido a realizar las siguientes acciones con el fin de dar solución a las incidencias acaecidas. No obstante, lo anterior y dado nuestro compromiso de cumplimiento, en caso de que no se estimen dichas medidas adecuadas, estamos abiertos a cualquier acción que la Agencia estime oportuna. Con respecto a Cookies:
- Implementación en Primera capa del siguiente aviso de obtener información de estadísticas, finalidad comportamental y de publicidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Necesitamos su consentimiento para instalar nuestras cookies, en su caso puede revocar el mismo o cambiar de preferencias. Para más información sobre las cookies que utilizamos, lea nuestra política de cookies. “Acepto” o “Más configuración”. Este banner no desaparece de la parte inferior de la web hasta que se pincha, ”el acepto” por el usuario, o se configuran las cookies. - Si el usuario pincha botón Acepto: La web procederá a la instalación de las cookies - Si pincha botón Mas Configuración: la web no podrá proceder a la instalación de las cookies que precisen consentimiento. Este segundo botón da acceso a panel de configuración donde el usuario podrá optar por autorizar o no las cookies de forma granular, agrupadas por finalidad (estadísticas, publicidad, publicidad comportamental, de redes sociales...). Una vez que se pulsa en este panel un botón "guardar” sólo se cargarán las cookies autorizadas y recordará para futuras visitas lo indicado por el usuario. 2.-Se ha procedido a revisar la política de cookies en segunda capa y se han actualizado las Con respecto al formulario: ”boletines informativos", El RGPD, establece la obligación de que el Responsable del tratamiento pueda garantizar y justificar el consentimiento dado por las personas, no obstante, no dice cómo y no habla expresamente del sistema "doble opt—in”. Por ello, la utilización del mismo no parece ser obligatorio por norma. No obstante, en la web de “Juguetilandia” se ha procedido a implementar con el objeto de ser garantista del derecho de los usuarios de nuestros boletines. Con respecto al formulario: ”boletines informativos" y el derecho de información La información facilitada al interesado en este formulario se ha modificado con el fin de que sea transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Así pues, la información facilitada en primera capa es la siguiente: ”PASTOR TOYS INTERNACIONAL S.L. como responsable del tratamiento y legitimado por su consentimiento, tratará sus datos con la finalidad del envío de publicidad y boletines informativos de índole comercial. Sus datos no serán cedidos a terceros, salvo imperativo legal. Sus datos se conservarán mientras exista un interés mutuo y siempre que el interesado no haya manifestado su oposición o retire su consentimiento. Tiene derecho al acceso, rectificación, supresión, oposición y limitación de los datos, así como otros derechos detallados en nuestra Política de Privacidad. Con respecto al cambio de contraseñas en el apartado "olvido de contraseñas”. El sistema se ha corregido y en caso de pérdida de la contraseña, se procederá al envío de link al correo proporcionado para habilitar contraseña temporal y proceder al cambio obligatorio en el primer acceso a la misma. CUARTO: Con fecha 14/06/19, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el procedimiento de apercibimiento A/0022/2019 a la entidad reclamada, y en el que se la requería para que tomase las medidas adecuadas para incluir en la página web de su titularidad un mecanismo que permita prestar el consentimiento o revocar el mismo con relación al tratamiento de cookies realizado por la página en cuestión, y que no se carguen QUINTO: Notificado el mencionado trámite de Audiencia, no se recibe en esta Agencia ningún escrito de la entidad reclamada, en el periodo concedido al efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 HECHOS PROBADOS a.- Primera Capa: En el acceso efectuado a la página web www.juguetilandia.com, con fecha 14/08/19, se observa un banner de cookies (primera capa), en la parte superior de la pantalla que contiene el mensaje, “Este sitio usa cookies propias y de terceros para facilitar la navegación, obtener información de estadísticas, finalidad comportamental y de publicidad. Necesitamos su consentimiento para instalar nuestras cookies, en su caso puede revocar el mismo o cambiar de preferencias. Para más información sobre las cookies que utilizamos, lea nuestra Política de cookies”. Existen otras dos opciones: “Aceptar” y “Salir”. b.- Segunda Capa - “Política de Cookies”: accesible desde el enlace en el banner de Datos. Existe información sobre la utilización de cookies (necesarias, de análisis, de publicidad), su dominio, la finalidad y la fecha de caducidad. Para configurar la instalación de cookies, la página indica “Para que podamos instalar las cookies que no sean estrictamente técnicas en tu ordenador debemos contar con tu consentimiento y éste debe ser expreso, por lo que deberás aceptar nuestra Política de Cookies”. A continuación, se informa de cómo desactivar las cookies en función del navegador utilizado en PC o móvil. También existe un enlace para acceder a la página http://www.allaboutcookies.org/es. para obtener mas información sobre las cookies e información para desinstalar cookies publicitarias Para realizar la Revocación del consentimiento, se indica que: “Si más adelante decides revocar el consentimiento tan solo debes pinchar el botón residual de cookies, ir a más información y configurar tu navegador para que rechace las cookies y también deberás borrar el historial para eliminar las ya instaladas”. En el caso de no querer que se instalen cookies, se indica que: “Si por cualquier motivo decides que no quieres que se instalen las cookies en tu ordenador tenemos obligación de informarte sobre cómo hacerlo y para ello deberás configurar tu navegador. A continuación, te facilitamos los enlaces para la configuración de las c.- Segunda Capa - opción de “salir”: dentro del banner de cookies, se redirige a una página con el siguiente mensaje: “Política de cookies no aceptadas: Le informamos que hemos realizado las acciones oportunas, (eliminación de todas las cookies generadas desde Juguetilandia.com), en respuesta a la no aceptación por su parte de la política de cookies. Si seleccionó esta opción por error y desea volver a la página y acepta la política de cookies haga click <<aquí>>. Tenga en cuenta que la mayor parte de los sitios de internet utilizan cookies, independientemente de que cumplan la ley, como si hace Juguetilandia.com informando y pidiendo el consentimiento del uso de estas, o no lo hagan. Por esta razón le animamos a que reconsidere su elección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 ¿Estás seguro qué quieres salir de Juguetilandia? <<Salir de Juguetilandia.com>> o <<Permanecer en Juguetilandia.com>> Si se opta por permanecer en juguetilandia.com automáticamente se cargan cookies. d.- Segunda Capa – opción “aceptar”: con esta opción se acepta cargar todas la FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación de la entidad reclamada, que ha quedado reflejada en los hechos declarados probados. La entidad PASTOR TOYS INTERNACIONAL, S.L, es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia relacionados con el 22.2 de la LSSI, que dispone: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. Según se desprende del citado artículo, el modo de ofrecer la información no obedece a supuestos tasados, cualquier fórmula que satisfaga la finalidad del precepto es perfectamente válida. Así, si el prestador de servicios utiliza un sistema de información por capas, la segunda capa debe complementar a la primera. En la primera capa debe mostrarse la información esencial sobre el uso de cookies, que, como mínimo, deberá reseñar: si son propias y/o de terceros, las finalidades de las cookies empleadas, modo en que el usuario puede prestar el consentimiento o rechazar la instalación de cookies, advirtiendo, en su caso, de que, si se realiza una determinada acción, se entenderá que acepta el uso de las cookies, existencia del derecho a revocar el consentimiento. Además, deberá incluir un enlace claramente visible a la segunda capa informativa, donde se incluirá una información más detallada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 La información ofrecida en la segunda capa, que deberá encontrarse disponible en forma permanente en el sitio web o en la aplicación, deberá incluir la siguiente información: - qué son y para qué se utilizan las cookies, - los tipos de cookies utilizadas y su finalidad, - período de conservación de los datos para los diferentes fines, - forma de revocar el consentimiento ya prestado, - forma de permitir, bloquear o eliminar las cookies enunciadas a través de las funcionalidades facilitadas por el editor o el terminal, - las herramientas proporcionadas por el navegador o a través de las plataformas comunes que pudieran existir para esta finalidad, pudiendo también proporcionar información sobre la configuración de las opciones de los principales navegadores, - y ofrecer información sobre la identificación de quien utiliza las y/o también por terceros con los que el editor haya contratado la prestación de un servicio para el cual se requiera el uso de cookies, con la identificación de estos últimos. En el caso que nos ocupa, la página web www.juguetilandia.com , no facilita un sistema de gestión o panel de configuración de cookies que permita al usuario eliminarlas por tipología. Para facilitar esta selección el panel deberá habilitar un mecanismo o botón para rechazar todas las cookies, otro para habilitar todas las administrar sus preferencias. A este respecto se considera que la información ofrecida sobre las herramientas proporcionadas por varios navegadores para configurar las cookies a través del navegador sería complementaria a la anterior, pero insuficiente por si sola para el fin pretendido de permitir configurar las preferencias de una forma selectiva. III La infracción a este precepto se encuentra tipificada como leve en el artículo 38.4.g) de la citada LSSI, que considera como tal, “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” El artículo 39 bis, 2, de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “
- Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos: a) que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley y b) que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras a) y b) del citado apartado 2 del artículo 39 bis. Junto a ello, y de conformidad con las evidencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 de las que se dispone en el presente momento, se aprecia que concurre la circunstancia, prevista en el artículo 39 bis, apartado 1.a), que dispone que “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40 de la LSSI”, concurriendo en este caso los criterios d) y e) del citado precepto, por cuanto no hay constancia de la existencia de perjuicios causados ni de beneficios obtenidos a raíz de la supuesta comisión de la infracción descrita. Por lo tanto, de acuerdo con lo señalado la Directora de la Agencia Española de Protección de Datos ACUERDA: PRIMERO: APERCIBIR (A/0022/2019) a la entidad PASTOR TOYS INTERNACIONAL, S.L, con arreglo a lo dispuesto en el artículo 39 bis, apartado 2, de la LSSI, con relación a la reclamación por infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.g) de la citada norma. SEGUNDO: REQUERIR a la entidad PASTOR TOYS INTERNACIONAL, S.L, de acuerdo con lo establecido en el apartado 2 del artículo 39 bis de la LSSI para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1.- CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a adecuar la información ofrecida en el sitio web www.juguetilandia.com , del que es responsable, a las exigencias reseñadas en el mencionado precepto, procediendo, por tanto a tomar las medidas necesarias para facilitar un sistema de gestión o panel de configuración de 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando en el plazo indicado los documentos o medios de prueba que acrediten dicha circunstancia. TERCERO: NOTIFICAR el presente Acuerdo a la entidad PASTOR TOYS INTERNACIONAL, S.L, De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Mar España Martí Directora de la Agencia Española C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es