1/5 Procedimiento Nº A/0024/2019 RESOLUCIÓN: R/00435/2019 En el procedimiento A/0024/2019, instruido por la Agencia Española de Protección de Datos, a la entidad, SILBON CLASICO SL., (en adelante, “la entidad reclamada”), en virtud de la reclamación presentada por A.A.A., (en adelante, “el reclamante”) y teniendo como base los siguientes, ANTECEDENTES PRIMERO: con fecha 24/12/18, el reclamante presenta escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, indica: “En la web ***URL.1 en la pestaña de aviso de cookies no aparece ningún botón con el que se pueda cancelar las cookies, sino que se presume tu voluntad de aceptarlas y de hecho se tienen por aceptadas. No hay posibilidad de rechazar el consentimiento ya que no disponemos de ningún botón que nos permita denegar el uso de las cookies ni uno que abra la configuración de éstas. La única forma de quitar las cookies es configurando nuestro navegador”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 30/01/19, se dirige un requerimiento informativo a la entidad reclamada, reiterado con fecha 11/02/
- TERCERO: Con fecha 02/04/19, la entidad reclamada presenta alegaciones, indicando en las mismas, entre otras, lo siguiente: “Hemos comunicado al denunciante, reconocemos un error lamentable e inintencionado, al no haber incluido un enlace con la Política de Cookies en el aviso inicial del portal de Silbón sobre el uso de estos dispositivos en la web. Este lamentable descuido contraviene lo dispuesto en el art. 22.2 de la LSSI, en tanto no se facilita la información preceptiva previa el consentimiento en el uso de dichas cookies. Sin embargo, las cookies utilizadas por la web en la mayoría de las ocasiones son necesarias para el propio uso de la misma y están excluidos de la necesidad de consentimiento, mientras que en los casos en que no es así, en ningún momento recaban datos personales del usuario. Además, tal y como indicamos al denunciante, la Política de Cookies recogida en el portal web siempre ha ofrecido la información exigida legalmente entre la que se incluye lo referido a la posibilidad de poder bloquear o eliminar dichas cookies. Hemos de insistir en que, del error descrito en el párrafo anterior, y que ya ha sido subsanado, no se ha beneficiado Silbón de ninguna manera y ha sido un fallo totalmente inintencionado que no consideramos que haya causado un perjuicio a los usuarios de la web. Sin embargo, si ha supuesto un perjuicio para la entidad por la presentación de esta reclamación y por la mala imagen que ha dado la web mientras que ha estado mostrando el aviso erróneo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Como ya hemos adelantado, desde el momento que nos fue notificada la reclamación realizamos un análisis pormenorizado del cumplimiento de la normativa incluida en la LSSI v en concreto en todo lo referido al uso de las incorporando la opción de información que exige el art 22.2 de dicha LSSI. Acompañamos los siguientes documentos: lº) Imagen del aviso de cookies que aparece actualmente en la web, modificado; v 2º| Apartado de Política de CUARTO: Con fecha 14/06/19, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el procedimiento de apercibimiento A/0024/2019 a la entidad reclamada, y en el que se la requería para que tomase las medidas adecuadas para incluir en la página web de su titularidad un mecanismo que permita prestar el consentimiento o revocar el mismo con relación al tratamiento de cookies realizado por la página en cuestión, y que no se carguen QUINTO: Con fecha 17/07/19, la entidad reclamada envía a esta Agencia, escrito de alegaciones, en las cuales, entre otras, indica: “Tal y como se nos requería en el traslado de la AEPD, consideramos que hemos tomado las medidas adecuadas aplicando un mecanismo que permite prestar el consentimiento a revocar el mismo con relación al tratamiento de las cookies, garantizando que las mismas no se carguen con la mera visita a la página web. Asi, hemos procedido a adquirir un módulo de Prestashop que se encarga de bloquear todas las cookies de terceros y todas las cookies propias antes de dar el consentimiento. Enlace al módulo: ***ENLACE.
- El módulo bloquea la creación de cookies mediante una condición que solo se cumple cuando el cliente ha dado su consentimiento. Mediante la página https://www.cookiemetríx.com podemos comprobar que cookies se crean antes de dar el consentimiento. Se crean 2 cookies antes de dar el consentimiento, pero son cookies indispensables para el funcionamiento de Prestashop, no hay ninguna de terceros (acompañamos reporte donde se pueden comprobar las cookies creadas antes de dar el consentimiento. Documento nº1). AI acceder a nuestra página web ***URL.1, aparece el aviso de consentimiento informado sobre la Política de Cookies de la página (se aporta imagen del aviso. Documento nº 2). El texto "Política de Cookies" tiene un enlace a nuestra página CMS en donde se encuentra alojada toda la información sobre dicha Política, y el texto: ”Modificar preferencias”, nos permite cambiar dinámicamente la ventana para poder denegar las cookies de terceros previamente a iniciar la visita a la web, pero siempre aprobando las cookies necesarias para el funcionamiento básico del sitio web. Una vez pulsado sobre el botón aceptar se actualiza la página y se crean, solo entonces, las cookies de terceros (se acompaña imagen de la ventana para la modificación de preferencias en la Política de cookies. Documento nº 3). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 HECHOS PROBADOS En el acceso realizado a la página web ***URL.1, con fecha 21/08/19 se puede constatar: a.- Primera Capa: se observa un banner de cookies, en la parte central de la página que contiene el mensaje, POLITICA DE COOKIES “Utilizamos cookies propias y de terceros para mejorar nuestros servicios y mostrarte publicidad relacionada con tus preferencias, mediante el análisis de tus hábitos de navegación. Puedes obtener más información en nuestra Política de Cookies. Pulsa el botón ACEPTAR para confirmar que has leído y aceptado la información presentada”. El banner posee dos enlaces a las segundas capas: “Política de cookies” y “Modificar Preferencias” además de la opción de “aceptar” todas las cookies. b.- Segunda Capa - “Política de Cookies”: accesible desde el enlace en el banner de publicidad), su dominio, la finalidad y la fecha de caducidad. También se da información sobre terceros prestadores de servicios con los que se ha contratado algún servicio para el que es necesaria la utilización de cookies. Para configurar la instalación de cookies, la página indica “Revocación y eliminación de cookies. En todo momento podrá acceder a la configuración de su navegador aceptando o rechazando todas las cookies, o bien seleccionar aquéllas cuya instalación admite y cuáles no, siguiendo uno de los siguientes procedimientos, que depende del navegador que utilice (…)”. c.- Segunda Capa - opción de “Modificar Preferencia”: se redirige a una página con información sobre cookies obligatorias que no pueden ser canceladas e información sobre las cookies de terceros y la opción de aceptar o no éstas últimas. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI). II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación de la entidad reclamada, que ha quedado reflejada en los hechos declarados probados. La entidad SILBON CLASICO SL., es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia relacionados con el 22.2 de la LSSI, que dispone: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. Según se desprende del citado artículo, el modo de ofrecer la información no obedece a supuestos tasados, cualquier fórmula que satisfaga la finalidad del precepto es perfectamente válida. Así, si el prestador de servicios utiliza un sistema de información por capas, la segunda capa debe complementar a la primera. En la primera capa debe mostrarse la información esencial sobre el uso de cookies, que, como mínimo, deberá reseñar: si son propias y/o de terceros, las finalidades de las cookies empleadas, modo en que el usuario puede prestar el consentimiento o rechazar la instalación de cookies, advirtiendo, en su caso, de que, si se realiza una determinada acción, se entenderá que acepta el uso de las cookies, existencia del derecho a revocar el consentimiento. Además, deberá incluir un enlace claramente visible a la segunda capa informativa, donde se incluirá una información más detallada. La información ofrecida en la segunda capa, que deberá encontrarse disponible en forma permanente en el sitio web o en la aplicación, deberá incluir la siguiente información: - qué son y para qué se utilizan las cookies, - los tipos de cookies utilizadas y su finalidad, - período de conservación de los datos para los diferentes fines, - forma de revocar el consentimiento ya prestado, - forma de permitir, bloquear o eliminar las cookies enunciadas a través de las funcionalidades facilitadas por el editor o el terminal, - las herramientas proporcionadas por el navegador o a través de las plataformas comunes que pudieran existir para esta finalidad, pudiendo también proporcionar información sobre la configuración de las opciones de los principales navegadores, - y ofrecer información sobre la identificación de quien utiliza las y/o también por terceros con los que el editor haya contratado la prestación de un servicio para el cual se requiera el uso de cookies, con la identificación de estos últimos. III La infracción a este precepto se encuentra tipificada como leve en el artículo 38.4.g) de la citada LSSI, que considera como tal, “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” El artículo 39 bis, 2, de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “
- Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos: a) que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley y b) que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras a) y b) del citado apartado 2 del artículo 39 bis. Junto a ello, y de conformidad con las evidencias de las que se dispone en el presente momento, se aprecia que concurre la circunstancia, prevista en el artículo 39 bis, apartado 1.a), que dispone que “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40 de la LSSI”, concurriendo en este caso los criterios d) y e) del citado precepto, por cuanto no hay constancia de la existencia de perjuicios causados ni de beneficios obtenidos a raíz de la supuesta comisión de la infracción descrita. Por lo tanto, de acuerdo con lo señalado la Directora de la Agencia Española de Protección de Datos ACUERDA: ARCHIVAR: el procedimiento A/0024/2019 seguido a la entidad SILBON CLASICO SL, con arreglo a lo dispuesto en el artículo 39 bis, apartado 2 de la LSSI, con relación a la denuncia por infracción del artículo 22.2 de la citada norma. NOTIFICAR el presente Acuerdo a la entidad SILBON CLASICO SL De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es