A-00075-2015

1/16 Procedimiento Nº: A/00075/2015 RESOLUCIÓN: R/02176/2015 En el procedimiento A/00075/2015, instruido por la Agencia Española de Protección de Datos a la entidad MAGUS CREATIVA EUROPE, S.L. , vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 13 de mayo de 2014 de tiene entrada en esta Agencia un escrito de Don A.A.A., en adelante el denunciante, poniendo de manifiesto que al navegar por el sitio web www.micropolix.com no se informa sobre la instalación de dispositivos de almacenamiento y recuperación de datos de Google Analytics en los terminales de los visitantes. El 25 de julio de 2014 el Director de la Agencia resolvió inadmitir la denuncia presentada debido a que no aportaba indicio alguno de la infracción denunciada. El 19 de agosto de 2014 el denunciante interpuso recurso de reposición en el que aportó un dispositivo de almacenamiento USB con un video con evidencias de los hechos denunciados. La resolución del recurso RR/00649/2014 acordó iniciar las actuaciones de investigación del presente expediente. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican actuaciones previas de inspección teniéndose conocimiento de los siguientes extremos: 1. El dominio micropolix.com en el que se aloja el sitio web denunciado está registrado a nombre de MAGUS CREATIVA EUROPE, S.L., en adelante MICROPOLIX. 2. El video aportado por el denunciante como prueba en el recurso de reposición muestra que al acceder al sitio web www.micropolix.com se descargan, entre otras, En el video no se observa que en la página principal del sitio web se informe sobre el uso de dispositivos de almacenamiento y recuperación de datos, en adelante DARD. 3. El 15 de octubre de 2014 se realizó una prueba de acceso al sitio www.micropolix.com utilizando navegadores Mozilla Firefox y Google Chrome. Durante el transcurso de dicha prueba se descargaron los siguientes DARD: Dominio C/ Jorge Juan, 6 28001 – Madrid Nombre Primera - Tercera parte Caducidad www.agpd.es sedeagpd.gob.es 2/16 micropolix.com cdp-cookies-pluginwp Primera Persistente micropolix.com _ga Tercera Persistente micropolix.com _gat Tercera Persistente* entradas.micropolix.com _utma Tercera Persistente entradas.micropolix.com _utmb Tercera Persistente entradas.micropolix.com _utmc Tercera Sesión entradas.micropolix.com _utmt Tercera Persistente* entradas.micropolix.com _utmz Tercera Persistente entradas.micropolix.com ja_cloris_tpl Primera Persistente entradas.micropolix.com 1fe0acaa8488….. Primera Sesión * Estas cookies son persistentes pero caducan a los 10 minutos. 4. En esta prueba de acceso se advierte es que el aspecto del sitio web ha cambiado respecto del que mostraba en el video aportado por el denunciante el 19 de agosto de 2014. El sitio web muestra al acceder por primera vez a cualquiera de sus páginas un aviso informativo con el siguiente texto: “Uso de cookies. Este sitio web utiliza navegando está dando su consentimiento para la aceptación de las mencionadas información.”. El enlace lleva a una página de política de cookies en la que se proporciona la siguiente información:  Definición de cookies, (también citados como DARD en el expediente)  Enlace a una página distinta donde se proporciona más información sobre las en los principales navegadores.  Lista de las cookies utilizadas por responsable y finalidad que incluye a una ( _utma, _utmb, _utmc y _utmz).  Enlace a la información que Google Inc., prestador del servicio Google Analytics, proporciona sobre el uso de las cookies. 5. En cuanto a la finalidad de los DARD descargados: 5.1. El DARD denominado “cdp-cookies-plugin-wp” tiene como finalidad mostrar u ocultar el mensaje informativo de la primera capa. 5.2. Los DARD denominados _ga, _gat, _utma, _utmb, _utmc, _utmt y _utmz son utilizados por el servicio de analítica web Google Analytics para monitorizar el comportamiento de los usuarios que visiten la página web y ofrecer a MICROPOLIX información estadística sobre dicho uso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 5.3. El DARD cuyo nombre comienza por “1fe0acaa8488” caduca con la sesión. 6. De los hechos anteriormente expuestos, y sin perjuicio de lo que resulte de la tramitación del expediente, se observan los siguientes aspectos destacables de la información por capas sobre DARD proporcionada en el sitio web www.micropolix.com: 6.1. El aviso relativo al “Uso de Cookies” (primera capa) no informa sobre el uso de su finalidad. 6.2. En la segunda capa de información se observa que: La información sobre los tipos de DARD utilizados es incompleta ya que no se informa sobre la finalidad de la cookie “ja_cloris_tpl”. El listado detallado de los DARD descargados en relación con el servicio Google Analytics no incluye los denominados “_ga”, “_gat” y “_utmt”. La política de cookies contiene un enlace sobre el uso de las cookies Google Analytics, y en dicha página se informa sobre el uso de la primera de las tres, pero no de los otros dos dispositivos. El aviso informativo que se muestra al pie de la página inicial al acceder por primera vez al sitio web no se muestra en las posteriores páginas, en las que no existe un enlace que permita acceder directamente a la política de cookies (DARD), sino que debe de accederse previamente a la página de política de privacidad del sitio web que contiene un enlace a la política de cookies. TERCERO: Con fecha 20 de marzo de 2015, se acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00075/2015. Dicho acuerdo fue notificado a la entidad denunciada el día 27 de abril de 2015 y al denunciante el día 1 de abril de 2015. CUARTO: Con fecha 21 de abril de 2014 se registra de entrada escrito del administrador único de MICROPOLIX efectuando las siguientes alegaciones: - La entidad contratada para el desarrollo y mantenimiento del sitio web también presta servicios de análisis y consultoría de posicionamiento web que originan cambios en el diseño y DARD instaladas, lo que ha dificultado que los textos informativos sobre las momentos puntuales se hayan podido detectar cookies diferentes. - En relación con los posibles incumplimientos destacados en el punto 6º del Antecedente de Hecho Segundo se señala: • C/ Jorge Juan, 6 28001 – Madrid 6.1 En relación con el aviso de la primera capa, se indica que la entidad ignoraba la existencia de las recomendaciones de la AEPD en la “Guía sobre el uso de cookies” hasta el inicio de procedimiento, por lo que hasta ese momento MICROPOLIX www.agpd.es sedeagpd.gob.es 4/16 intentó cumplir con la obligación de informar sobre el uso de las previsiones incluidas en la citada Guía sobre el contenido de la primera capa no revisten carácter normativo, sino que son meras recomendaciones u orientaciones sobre las posibles soluciones a las obligaciones impuestas por la normativa. Afirman que el literal del artículo 22.2 de la LSSI no exige diferenciar entre cookies propias y de terceros, ni establece la obligación de informar sobre la tipología y finalidad de las cookies en la primera capa, máxime cuando son cuestiones informadas en la segunda capa informativa (política de cookies). C/ Jorge Juan, 6 28001 – Madrid • 6.2 La DARD “ja_cloris_tpl” ya no se instala en la actualidad. Se ignoraba que debía informarse sobre la misma, ya que era una sobre la que no se tenía control ni información. • Debido a los cambios recurrentes habidos en el sitio web, durante el mes de octubre de 2014 se hicieron pruebas con los distintos servicios analíticos de Google, decantándose por el uso de las DARD de Google Analytics “ga” y “gat”. Aunque las DARD analíticas sólo se usan para tener información estadística sobre los accesos y los usos del sitio web, el enlace que remite a Google Analytics se incluyó como información complementaria a los usuarios sobre otros tipos de usos que Google puede dar a esa información. En caso de resultar problemático o incompleto se plantea la posibilidad de eliminar todo enlace a textos informativos de Google, aunque tienen dudas que su inclusión represente un incumplimiento de la normativa. • En cuanto a la ausencia de un enlace que dirija a la “política de documento no sólo resulta accesible desde la política de privacidad, sino también desde el primer aviso informativo que le aparece a los usuarios en el primer acceso a la web . No obstante, no tienen inconveniente en destacar más ese texto de forma independiente a la política de privacidad. - Se ha concluido que únicamente se instalarán las DARD “ga” y “gat” de Google Analytics; DARD de control de la aceptación de cookies y de control de las compras y reservas (carrito). - Paralelamente, proponen a la AEPD adoptar las siguientes medidas de subsanación: 1) Mejora del contenido de la primera capa informativa para introducir información relativa al origen y finalidad de las DARD; 2) Mejora del contenido de la segunda capa informativa (política de cookies) consistente en establecer una explicación de las finalidades y usos de las DARD analíticas, en lugar de una relación exhaustiva de las mismas, y no incluir el enlace a la información adicional de Google sobre el servicio Analytics.; 3) Mejora de la ubicación y accesibilidad a la política de cookies, para que sea accesible directamente desde el pie de la web, al igual que el resto www.agpd.es sedeagpd.gob.es 5/16 de documentos legales del sitio; 4) Instalación de un plug-iun que permite configurar las DARD para que no sean instaladas hasta que el usuario interactúe con la página web a modo de obtención de consentimiento. - Finalmente solicitan que en la resolución se especifiquen y motiven qué hechos concretos de los imputados son constitutivos de infracción del artículo 22.2 de la LSSI, procediéndose, en caso contrario, al archivo del expediente. QUINTO: Con fecha 28 de julio de 2015 se visita el sitio web www.micropolix.com mediante un navegador Google Chrome a fin de comprobar los DARD que se descargan al navegar por el citado portal, cuyo resultado se incorpora al procedimiento. Asimismo, con fechas 28 de julio y 10 de agosto de 2015 se accede al citado sitio web para verificar la información ofrecida a los usuarios que acceden al mismo sobre el uso e instalación de dispositivos de almacenamiento y recuperación de datos, cuyo resultado se adjunta también al procedimiento. Con fecha 31 de agosto de 2015 se incorpora al procedimiento el documento “Tipos de que utiliza Google” obtenido del sitio web https://www.google.es/intl/es/policies/technologies/types/ HECHOS PROBADOS PRIMERO: La entidad MAGUS CREATIVA EUROPE, S.L. es titular del micropolix.com, en el que se aloja el sitio web www.micropolix.com dominio SEGUNDO: En la prueba de acceso realizada con fecha 15 de octubre de 2014 se instalaron las siguientes DARD de tercera parte del servicio de Google Analytics, proporcionado por Google Inc. no exentas del deber de información: Dominio Nombre Primera - Tercera parte Caducidad micropolix.com _ga Tercera Persistente micropolix.com _gat Tercera Persistente entradas.micropolix.com _utma Tercera Persistente entradas.micropolix.com _utmb Tercera Persistente entradas.micropolix.com _utmc Tercera Sesión entradas.micropolix.com _utmt Tercera Persistente entradas.micropolix.com _utmz Tercera Persistente entradas.micropolix.com ja_cloris_tpl Primera Persistente TERCERO: Con fecha C/ Jorge Juan, 6 28001 – Madrid 15 de octubre de 2014 se comprueba que MICROPOLIX www.agpd.es sedeagpd.gob.es 6/16 informaba sobre el uso de dispositivos de almacenamiento y recuperación de datos mediante un sistema de capas. Al acceder por primera vez al mencionado portal aparecía el siguiente aviso informativo al pie de la página inicial: “Uso de cookies. Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.”. Este aviso informativo que aparece en la página inicial no se muestra en las posteriores páginas del sitio web El enlace dirigía al segundo nivel de información que, bajo la denominación “Política de de sesión y cookies de terceros del servicio Google Analytics, incluyendo una lista con la denominación de las cookies utilizadas, responsable y finalidad de las mismas. En esa lista aparecían las cookies del servicio Google Analytics _utma, _utmb, _utmc y _utmz, sin mencionar las cookies del mismo servicio “ga” y “gat” que también se descargaban. En cuanto a las cookies propias no se proporcionaba información sobre la finalidad de la cookie “ja_cloris_tpl” . Asimismo se indica la posibilidad de desactivar o eliminar las cookies, ofreciendo un enlace a una página distinta con “Más información sobre las cookies”, que contiene instrucciones para configurar la eliminación de las En esa fecha, el sitio web no ofrece un enlace para acceder directamente al documento de “Política de cookies” desde todas sus páginas. El acceso a dicho documento se realiza desde un enlace contenido en la página de política de privacidad del sitio web. CUARTO: En la prueba de acceso al mencionado sitio web realizada el 28 de julio de 2015 se comprueban las siguientes modificaciones en el sistema de información por capas: En el primer nivel se advierte lo siguiente: “Utilizamos cookies propias y de terceros para mejorar nuestros servicios y mostrarle publicidad personalizada mediante el análisis de sus hábitos de navegación y preferencias. Si sigue navegando, entendemos que acepta su uso. Para cambiar la configuración y obtener más información Pinche aquí” El enlace conduce al segundo nivel de información constituido por el documento de “Política de Cookies”, en el que se informa sobre la definición de cookies, el uso de y cookies de terceros “administradas por prestadores de servicios publicitarios y/o análisis ajenos a Magus” sin identificar al tercero que las gestiona. Se incluyen una serie de enlaces que permiten configurar las opciones de los navegadores más utilizados para bloquear o eliminar los DARD y a las instrucciones recogidas en “Complemento de inhabilitación para navegadores de Google Analytics”. QUINTO: En la prueba de acceso efectuada el 28 de julio de 2015 se instalaron los siguientes DARD no exentos del deber de informar de tercera parte: “_ga” y “_gat” del Servicio de Google Analytics, prestado por Google Inc. NID y PREF del dominio google.es. PREF, GEUP y VISITOR_INFO1_LIVE del dominio youtube.com Dos dispositivos de almacenamiento local basados en HTML5 asociado a los sitios www.google.es y www.youtube.com, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 SEXTO: Con fecha 10 de agosto de 2015 se comprueba que el documento de “Política de Cookies” resulta accesible desde el pie de las diferentes páginas que conforman el sitio web de MICROPOLIX. También se verifica que el documento de “Política de privacidad” del reseñado sitio web contiene un apartado de “Política de cookies” en el que hay un enlace que dirige a un documento con información complementaria sobre las cookies, denominado “Más información sobre las cookies”. SÉPTIMO: Con fecha 31 de agosto de 2015 se constata que en la página web https://www.google.es/intl/es/policies/technologies/types relacionada con los “Tipos de - (…) En la categoría correspondiente a las cookies de “Preferencias” se señala: “La mayoría de los usuarios de Google tienen habilitada en sus navegadores una cookie de preferencias denominada “NID”. Un navegador envía esta cookie a través de solicitudes a los sitios web de Google. La cookie NID contiene un ID único que Google utiliza para recordar tus preferencias y otra información, como tu idioma preferidos (por ejemplo, el español), el número de resultados de búsqueda que quieres que se muestren por página (por ejemplo, 10 o 20) y si quieres que el filtro SafeSearch de Google esté activado o desactivado.” - En la categoría correspondiente a cookies de Publicidad se informa: “(…)Google utiliza cookies, como NID y SID, para personalizar los anunciaos que se muestran en sus propiedades (p.ej., en el buscador de Google). Por ejemplo, utilizamos estas cookies para recordar tus búsquedas más recientes, tus interacciones anteriores con los resultados de búsqueda o con la publicidad de un anunciante y tus visitas al sitio web de un anunciante. De ese modo, podemos mostrarte anuncios personalizaos en Google.” - En la categoría correspondiente a Google Analytics se refiere que: “Google Analytics es la herramienta de análisis que ayuda a los propietarios de sitios web y de aplicaciones a entender cómo interactúan los visitantes con sus propiedades. Esta herramienta puede utilizar un conjunto de cookies para recopilar información y ofrecer estadísticas de uso de los sitios web sin identificar personalmente a los visitantes de Google. La principal cookie que utiliza Google Analytics es “_ga”. Además de para ofrecer estadísticas de uso de los sitios web, Google Analytics también se puede utilizar junto con algunas de las cookies publicitarias descritas anteriormente para mostrar anuncios más relevantes en las propiedades de Google (p.ej., en el buscador de Googles ) y en toda la Web.” FUNDAMENTOS DE DERECHO I El artículo 43.1 de la LSSI establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 infracciones tipificadas en los artículos 38.3.c),

1. d)e
2. i)y 38.4.d),
3. g)y
4. h)de esta Ley”; otorgando por tanto a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 22 de la Ley 34/2002, de 11 de julio, o, en su caso, apercibir al sujeto responsable en la forma prevista en el nuevo artículo 39 bis 2 de dicha norma. II Los hechos objeto de imputación del presente expediente constituyen infracción a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Conviene señalar que el citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo los DARD o en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. Dicho precepto se ha integrado en la LSSI utilizando conceptos propios de dicha norma; y se trata de conceptos legales, no vulgares, que cuentan con una definición establecida en la propia ley que los delimita. Por un lado, tanto la rúbrica del artículo como el tenor literal del artículo hablan del destinatario, que según el apartado
5. d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. Por otro lado, el Anexo de la LSSI define en su apartado
6. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
7. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) En el Aviso Legal de la página web htttp://micropolix.com se indica que MAGUS CREATIVA EUROPA, S.L. (MICROPOLIX) es la titular de la web www.micropolix.com y que “pone la misma a disposición de los usuarios de Internet, con el fin tanto de proporcionar información sobre su productos, ofertas y eventos, así como permitir la prestación de distintos servicios de compra de entradas a través de la Web o de la contratación y reserva de otros productos a través de la web”. Por lo que, con arreglo a las definiciones legales anteriores, dicha sociedad ostenta la condición de Prestador de Servicios de la Sociedad de la Información y está, consecuentemente, sujeta al régimen sancionador previsto en la LSSI en caso de incumplimiento de las obligaciones previstas en el artículo 22.2 de la LSS para dicha figura. De acuerdo con la redacción del citado artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. III La Exposición de Motivos del Real Decreto Ley 13/2012, de 30 de marzo, que introduce modificaciones en el artículo 22.2 de la LSSI señala que (…), se modifican varios artículos de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico, a fin de adecuar su régimen a la nueva redacción dada, por la Directiva 2009/136/CE, a la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 electrónicas, debiéndose destacar la nueva redacción que se da a su artículo 22.2, para exigir el consentimiento del usuario sobre los archivos o programas informáticos (como las llamadas «cookies») que almacenan información en el equipo de usuario y permiten que se acceda a ésta; dispositivos que pueden facilitar la navegación por la red pero con cuyo uso pueden desvelarse aspectos de la esfera privada de los usuarios, por lo que es importante que los usuarios estén adecuadamente informados y dispongan de mecanismos que les permitan preservar su privacidad”. La protección que otorga el citado precepto tiene su justificación en la medida en que, en muchos casos, los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. IV Con carácter previo al análisis del sistema de información por capas actualmente ofrecido sobre el uso e instalación de DARD no exentos en los terminales de los usuarios que acceden al sitio web estudiado, conviene señalar que el modo de ofrecer la información relativa al artículo 22.2 de la LSSI no obedece a supuestos tasados, por lo que cualquier fórmula que satisfaga la finalidad del citado precepto es perfectamente válida, siendo uno de los métodos más comunes el sistema de información por capas empleado por MICROPOLIX. Así, conforme a lo indicado en la “Guía sobre el uso de cookies” respecto de este sistema, en la primera capa de información debe mostrarse la información esencial sobre la existencia de cookies, si son propias o de terceros y las finalidades de las cookies empleadas, así como los modos de prestar el consentimiento. En cuanto a la información ofrecida en la segunda capa, esta Agencia ha venido indicando, singularmente en la Guía sobre el uso de cookies, que dicha información adicional debería versar sobre qué son y para qué se utilizan las cookies, los tipos de enunciadas a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o a través de las plataformas comunes que pudieran existir, para esta finalidad o en su caso, la forma de revocación del consentimiento ya prestado. Finalmente, debe en esta segunda capa ofrecerse información sobre la identificación de quien utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros. Con la identificación de aquellos con los que haya contratado o cuyos servicios ha decidido integrar el editor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 La normativa estudiada pretende que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal, siendo esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Es decir, no resulta necesario que dicha información se establezca a través de una relación exhaustiva de cookies, pudiendo proporcionarse por grupos de señalados respecto de las finalidades de los distintos tipos de DARD no exentos que se utilicen por el propio editor o por terceros, con identificación de estos últimos. Ahora bien, nada obsta a que dicha información adicional se ofrezca, a los efectos de dar cumplimiento a los requisitos de la segunda capa, en un cuadro adjunto que señale el dominio bajo el cual figura cada cookie, su finalidad concreta, y si es propia o de tercera parte, con identificación, en su caso, del tercero en cuestión. Es decir, aunque dicho sistema no sea exigible la Agencia entiende que la descripción contenida en un cuadro o tabla puede dar cumplimiento a los requisitos de la segunda capa relativos a los tipos de cookies utilizadas y su finalidad, así como sobre quién utiliza las cookies, en la medida en que contenga en forma actualizada la información exigible antes especificada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 En el caso analizado, en relación con la información por capas sobre el uso de DARD que se suministraba a los visitantes que accedían al sitio web, con fecha 15 de octubre de 2014, se comprobaron las deficiencias mencionadas en el punto 6 del Antecedente de Hecho Segundo de esta resolución. Las irregularidades observadas en ambas capas ponían de manifestó la falta de suministro por parte del titular del sitio web de una “información clara y completa” relacionada con los DARD utilizados y los “fines del tratamiento de los datos” recabados a través de dichos dispositivos, ello no obstante su relevancia a los efectos de que los afectados puedan consentir o rechazar el uso de los DARD antes de su instalación en sus equipos terminales. En esa visita, se constató que sólo resultaba directamente visible y accesible la referencia expresa al documento de “Política de Cookies” a través del aviso informativo de la primera capa que aparecía con el primer acceso al sitio web, por lo que ocultado éste tan pronto como el usuario acepta la instalación de dichos dispositivos resultaba que la información complementaria recogida en el mencionado documento de “Política de Cookies sólo era localizable, en esas fechas, mediante el enlace que conducía al mismo insertado en el documento de “Política de Privacidad”, si bien del tenor de su denominación el usuario no podía inferir que proporcionase o remitiese a información sobre cookies. Por otra parte, la afirmación relativa a que los DARD detallados en la segunda capa era incompleta debía ponerse en relación con la fórmula elegida por el proveedor de servicios, ya que en la tabla incluida listando todos los DARD de terceros usados no aparecían detallados tres de los dispositivos del servicio de Google Analytics que se constató se descargaron en el acceso de fecha 15 de octubre de 2014. En esta misma línea se realizó la observación referente a que en el enlace que dirigía al Servicio de Google Analytics no se informaba sobre los DARD “_gat” y ”_utmt” , es decir, que a través de esa vía tampoco podía considerarse como informado el uso y finalidades concretas de dichos dispositivos. De lo que, en consecuencia, no cabe deducir que esta Agencia considere inadecuado ofrecer información complementaria o adicional sobre los DARD de tercera parte. Entroncando esta cuestión con la posibilidad planteada por MICROPOLIX de informar en esta segunda capa agrupando las cookies utilizadas por tipología y finalidades en lugar de a través de una relación exhaustiva de cookies, de las consideraciones expuestas en este Fundamento de Derecho se desprende que cabe el suministro de la información adicional en una segunda capa por grupos de cookies (también DARD), siempre que, en orden a asegurar la obtención de un consentimiento informado, además de estar actualizada, exista identidad entre ellas y ello no produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de rechazo de las cookies enunciadas y la forma de revocación del consentimiento ya prestado. V Relacionando dichas exigencias, todas ellas acordes con lo dispuesto en el artículo 22.2 de la LSSI, con la información ofrecida por la entidad denunciada en su página web sobre el uso y las finalidades de las cookies utilizadas deben efectuarse las siguientes consideraciones: En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas durante la tramitación del expediente de apercibimiento, ha quedado acreditado que, aunque MICROPOLIX ha modificado el contenido del sistema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 información por capas sobre cookies que se constató al acceder, con fecha 15 de octubre de 2014, al sitio web www.micropolix.com. No obstante lo cual, en la actualidad, continúan produciéndose carencias informativas en ambos niveles de dicho sistema de información en lo que se refiere a la tipología y finalidades de las de julio de 2015 En este segundo acceso, se comprueba que el aviso de la primera capa informativa advierte lo siguiente: “Utilizamos cookies propias y de terceros para mejorar nuestros servicios y mostrarle publicidad personalizada mediante el análisis de sus hábitos de navegación y preferencias. Si sigue navegando, entendemos que acepta su uso. Para cambiar la configuración y obtener más información Pinche aquí” Si bien es cierto que informa sobre cookies de primera y de tercera parte, resulta que no se hace mención alguna a las finalidades de las cookies persistentes de tercera parte asociadas a la reproducción de contenidos multimedia, ya que se ha comprobado la descarga de las cookies GEUP y VISITOR_INFO1_LIVE vinculadas al servicio de reproducción de vídeos. Entre las medidas propuestas por MICROPOLIX que afectarían al primer nivel de información, en el que se requiere advertir el tipo de acciones que suponen que el usuario acepta el uso de las cookies, la instalación de un plug-in que permita configurar estos dispositivos de almacenamiento para que no sean descargados hasta que el usuario realice determinadas acciones previstas en dicho complemento podría resultar un mecanismo válido de aceptación de cookies, siempre y cuando se advierta expresa y previamente al usuario que hacer un clic en cualquier punto de la página o desplazarse verticalmente por la misma supone aceptar el uso de las cookies. Por el contrario, la mera inactividad, con independencia del tiempo que se prolongue tras el acceso, no otorga el consentimiento a la instalación de cookies. A su vez, parece también adecuada la medida propuesta consistente en considerar como excepción al consentimiento a la instalación de DARD acceder a la información de “Política de Cookies”, ya que este documento contiene información necesaria a los efectos de la prestación de un consentimiento informado o rechazo de las cookies En lo que respecta al segundo nivel informativo, si bien se ha comprobado que al pie de las distintas páginas del sitio web se ha incluido, bajo la denominación “Política de Cookies, un hiperenlace permanente, destacado y separado del referido a la política de privacidad, de tal modo que resulta visible, accesible y descriptivo, por reconocible, a los efectos informativos que nos ocupan, por contra, se ha detectado que la única información que se proporciona sobre las cookies no exentas de tercera parte que se instalan es la siguiente: “COOKIES DE TERCEROS: Las administradas por prestadores de servicios publicitarios y/o de análisis ajenos a Magus.” Esta información no identifica a los terceros que gestionan los dos grupos de el servicio Google Analytics de Google Inc. las de tipo analítico. Además, se considera que debería informarse que las cookies analíticas del servicio Google Analytics permiten realizar un análisis de los hábitos de navegación de los visitantes que acceden al sitio web mediante el estudio de la información estadística obtenida de la actividad web de los usuarios. Se observa que no C/ Jorge Juan, 6 28001 – Madrid se menciona el uso y finalidades de www.agpd.es sedeagpd.gob.es 14/16 preferencias o de “personalización de la interfaz de usuario”, como sería la cookie PREF, ni las vinculadas a las del grupo de reproducción de contenidos multimedia, a las que pertenecerían las cookies GEUP y VISITOR_INFO1_LIVE. También se da la circunstancia que estas cookies no se vinculan al dominio youtube.com que instala los dos tipos de DARD antes citados ni al dominio google.es que descarga cookies de preferencias. Asimismo, no se indica la finalidad a la que responde el uso de los dispositivos de almacenamiento local basados en HTML 5 asociados a los sitios www.google.es y www.youtube.com que se ha comprobado también se instalan. Por lo expuesto MICROPOLIX incumple lo dispuesto en el artículo 22.2 de la LSSI, pues no puede entenderse que la información ofrecida en el sitio web de su titularidad en la actualidad sea clara y completa, particularmente en lo que se refiere a las finalidades de los diferentes grupos de cookies utilizada, por lo que no se cumplen los requisitos exigidos en el mandato del citado precepto.. VI A los efectos de acordar la resolución procedente debe tenerse en cuenta lo previsto para la moderación de las sanciones en los artículos 39 bis y 40 de dicha norma, añadido a raíz de la modificación operada en la LSSI, el cual dispone lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
8. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
9. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
10. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
11. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
12. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
13. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16
14. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
15. a)La existencia de intencionalidad.
16. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
17. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
18. d)La naturaleza y cuantía de los perjuicios causados.
19. e)Los beneficios obtenidos por la infracción.
20. f)Volumen de facturación a que afecte la infracción cometida.
21. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00075/2015) a MAGUS CREATIVA EUROPE, S.L. con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). 2.REQUERIR a MAGUS CREATIVA EUROPE, S.L. .de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad de modo que no instale dispositivos de almacenamiento y recuperación de datos sin la información necesaria para dar cumplimiento al citado precepto, tal como se señala en el Fundamento de Derecho V de la presente Resolución. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Se comunica que se abre el expediente de investigación E/05221/2015 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. De conformidad con lo dispuesto en el artículo 37.1.
22. n)de la LOPD que establece como funciones de la Agencia de Protección de Datos “Cuantas otras le sean atribuidas por normas legales o reglamentarias.”, se advierte que la falta de atención del citado requerimiento podría suponer la comisión por parte de la entidad MAGUS CREATIVA EUROPE, S.L. de la infracción prevista en el artículo 44.3
23. i)de la LOPD, que considera infracción grave: “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a MAGUS CREATIVA EUROPE, S.L. 4.- NOTIFICAR el presente Acuerdo a Don A.A.A. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es