← España

A-00285-2015

1/17 Procedimiento Nº: A/00285/2015 RESOLUCIÓN: R/00763/2016 En el procedimiento A/00285/2015, instruido por la Agencia Española de Protección de Datos a la entidad INGGENIO CORPORATE GROUP, S.L., vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 17 de febrero de 2015 tiene entrada en esta Agencia un escrito de Don A.A.A., (en lo sucesivo, el denunciante) en el que manifiesta lo siguiente: 1. La página web kirandia.com/kombucha.es (ambas muestran la misma página) no informa sobre ningún tratamiento de datos, no disponiendo de política de privacidad, no informando tampoco sobre el uso que hacen de las cookies. 2. La única información que consta en el apartado “Quienes somos” del sitio web es un código CCC que no permite conocer si el titular de la web tiene ficheros registrados. 3. No se informa en ninguno de los formularios (como el de contacto o del de pedidos) sobre el tratamiento de los datos recogidos. 4. Únicamente es posible identificar al responsable por la información del dominio y el remite de sus paquetes. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican actuaciones previas de investigación a raíz de las cuales se tiene conocimiento de los siguientes extremos: 1. Al tratar de acceder al sitio web alojado en el dominio kirandia.com, el navegador redirige al navegante al sitio web www.kombucha.es. 2. El dominio kirandia.com está registrado a nombre de “Whois Privacy Service Protects this domain”. El dominio kombucha.es estaba registrado a 2 de marzo de 2015 a nombre de Don B.B.B., en adelante VGS. El 7 de mayo de 2015 se vuelve a comprobar la titularidad del dominio kombucha.es y se constata que en ese momento figura a nombre de INGGENIO CORPORATE GROUP SL, en adelante ICG. 3. Se ha accedido al sitio web www.kombucha.es en las siguientes ocasiones: el 2 de marzo, el 14 de abril, el 7 y el 26 de mayo de 2015. En los tres accesos se pudo comprobar que el sitio web recoge datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 personal a través de los formularios de contacto y de creación de una cuenta de usuario. En todos los casos se descargaron dispositivos de almacenamiento y recuperación de datos, en adelante DARD o cookies. A continuación se detallan los hechos constatados durante los distintos accesos en relación con los hechos denunciados Accesos del 2 de marzo y 14 de abril de 2015  No figura ningún tipo de política de privacidad información en relación con el tratamiento de los datos recabados.  No se identifica al responsable del sitio web o del tratamiento de los datos.  No se localiza información en relación con el uso de DARD. Acceso del 26 de mayo de 2015  El sitio web dispone de una página de política de privacidad (www.kombucha.es/content/18-politica-de-privacidad) que es accesible desde un enlace al pie de la página principal, un enlace en el formulario de contacto y un enlace en la página de creación de una cuenta de usuario.  El sitio web dispone de un aviso legal accesible desde un enlace al pie de la página principal y de un enlace en la política de privacidad. En dicha página de aviso legal se identifica a ICG como responsable de los sitios web www.kombucha.es y www.kirandia.com. En la página se proporcionan los datos identificativos y direcciones de correo postal y electrónico de ICG.  En la citada política de privacidad se informa de la finalidad de los datos recogidos en el formulario de contacto (“…para la prestación del Servicio de Atención al Cliente, con el objetivo de gestionar las consultas realizadas o acciones comerciales solicitadas.”) y en el formulario de registro web (“… para gestionar los pedidos realizados, y así, proceder al envío de los mismos. Para ello, se utilizará el nombre completo y dirección completa, facilitados por los clientes para dar de alta sus envíos en el servicio de CORREOS. También se hará uso de su Teléfono o Email, para proporcionarles información sobre el estado de sus pedidos, o cualquier incidencia derivada de las acciones comerciales solicitadas.”) En la misma página se informa sobre los derechos de acceso, rectificación, cancelación y oposición que le asisten al titular de los datos y sobre los medios de que dispone para ejercerlos.  El sitio web muestra en su página principal una banda informativa ubicada en parte inferior de la ventana que informa sobre el “USO DE COOKIES: Este espacio utiliza cookies con el fin de mejorar tu experiencia de usuario. Si continúas navegando, consideramos que aceptas su uso. Puedes obtener más información, o bien conocer cómo cambiar la configuración, en nuestra Política de cookies.” El texto subrayado es un enlace a la página de política de cookies. (www.kombucha.es/content/17-politica-de-cookies). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 4. La página de política de cookies proporciona información sobre:

  1. a)Qué es una cookie.
  2. b)Descripción de los tipos de cookies existentes según sus diferentes clasificaciones (responsable, periodo de actividad y finalidad)
  3. c)Lista de las cookies utilizadas en el sitio en la que, para cada DARD se especifica: dominio, nombre, tipo, caducidad, finalidad, propia o de terceros, responsable, excluida o no del deber de obtener el consentimiento informado y descripción.
  4. d)Lista e entidades prestadoras de servicios que utilizan DARD a través del sitio web.
  5. e)Enlaces a las páginas sobre configuración de navegadores que permiten rechazar el uso de cookies o borrar las existentes. Los navegadores incluidos en la lista son: Google Chrome, Mozilla Firefox, Todos los enlaces excepto el de Safari (http://support.apple.com/kb/ph5042? viewlocale=es_es) funcionan correctamente y todos están en lengua española. 5. El 14 de abril de 2015 se realizaron pruebas de acceso al sitio web utilizando un navegador Mozilla Firefox y un navegador Google Chrome. Durante las pruebas se descargaron los siguientes DARD: Dominio Nombre Primera - Tercera parte Caducidad kombucha.es videodesk Tercera kombucha.es _videodesk Tercera Persistente Sesión kombucha.es __unam Tercera Persistente kombucha.es __ga Tercera Persistente kombucha.es __gat Tercera Persistente kombucha.es ffdbd13d96d… Primera Persistente scorecardreserach.com UID Tercera Persistente scorecardreserach.com UIDR Tercera Persistente cdn-videodesk.com __cfduid Tercera Persistente module-videodesk.com __cfduid Tercera Persistente sharethis.com _stdstillery Tercera Persistente sharethis.com _stid Tercera Persistente sharethis.com _uset Tercera Persistente nexac.com na_tc Tercera Persistente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 agkn.com u Tercera Persistente agkn.com uuid Tercera Persistente media6degrees.com acs Tercera Persistente media6degrees.com child Tercera Persistente media6degrees.com ipinfo Tercera Persistente Durante las pruebas también se descargó un dispositivo de almacenamiento basado en HTML 5 vinculado al dominio kombucha.es. 6. El 26 de mayo de 2015 se repite la prueba de acceso al sitio web utilizando un navegador Mozilla Firefox. Durante la prueba se descargaron los siguientes DARD: Nombre Primera - Tercera parte kombucha.es __control_ley_cookies Primera kombucha.es __unam Tercera Persistente Persistente kombucha.es __ga Tercera Persistente kombucha.es __gat Tercera Persistente kombucha.es ffdbd13d96d… Primera Persistente scorecardreserach.com UID Tercera Persistente scorecardreserach.com UIDR Tercera Persistente sharethis.com _stid Tercera Persistente sharethis.com _uset Tercera Persistente nexac.com na_tc Tercera Persistente Dominio Caducidad 7. El listado de DARD actual, que se cita en el punto 4.c, incluye los DARD descargados en la última prueba de acceso con las siguientes excepciones:
  6. a)No se informa sobre el DARD vinculado al dominio nexac.com.
  7. b)El DARD denominado __unam que en la prueba aparece vinculado al dominio kombucha.es, en el listado aparece vinculado al dominio sharethis.com.
  8. c)En el listado aparecen varios DARD vinculados al servicio de analítica web Google Analytics (__utma, _utmb,….) pero no se incluyen los DARD denominados __ga y __gat y que también son utilizados por el servicio en cuestión y que fueron descargados en ambas pruebas. 8. Las finalidades de los DARD descargados durante las pruebas son los que siguen: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17
  9. a)Dominio kombucha.es: El dominio contiene DARD propias como __control_ley_cookies cuya finalidad es almacenar la aceptación del uso de DARD y ffdbd13d96d… que por su nombre, contenido y caducidad (aunque aparece como persistente caduca tras 1 segundo) parece que tiene como finalidad la gestión de la sesión de usuario. Por otro lado contiene también tres DARD utilizados por el servicio de analítica web Google Analytics (_ga y _gat) y por el servicio de Sharethis que se describe a continuación
  10. b)Dominio sharethis.com: ShareThis Inc. es una empresa cuyo principal producto es una barra de botones que permite compartir contenidos de Internet en las principales redes sociales pero los DARD descargados también son utilizados con la finalidad de monitorizar las actividades del usuario que visita el sitio web que contiene la barra.
  11. c)Dominio nexac.com: Es un DARD con finalidad publicitaria, según informa DATALOGIX, la entidad responsable de la misma. (https://www.datalogix.com/privacy)
  12. d)Dominio scorecardreserach.com: El dominio es utilizado por COMSCORE Inc., una de las principales empresas de analítica web, para vincular DARD que tienen como finalidad la monitorización de las actividades del usuario que visita el sitio web.
  13. e)Dominio media6degrees.com: EL dominio es utilizado por la empresa Dstillery Inc. para prestar servicios de marketing y publicidad.
  14. f)Dominio agkn.com: El dominio es utilizado por el servicio de analítica web de nominado Aggregate Knowledege (http://www.aggregateknowledge.com/privacy/ak-privacy-policy/#cookies), prestado por Neustar Inc.
  15. g)DARD de nombres y dominios relacionados con videodesk: VIDEODESK Inc es una empresa cuyo principal producto es un servicio de videochat integrado en las páginas web de sus clientes. 9. En respuesta a la solicitud de información dirigida a VGS en relación con los sitios web www.kombucha.es y www.kiranda.com, éste, mediante escrito de 24 de abril de 2015, manifiesta que:
  16. a)“…desde hace unos meses estamos en pleno proceso de cambio, dado que estamos pasando a materializar un proyecto personal, y particular, en un proyecto empresarial.”.
  17. b)Acaban de construir la sociedad ICG de la que es administrador. Aportan copia de la tarjeta con el NIF provisional de la sociedad con fecha de NIF 8 de abril de 2015.
  18. c)Están haciendo grandes esfuerzos para adecuar el portal a la normativa vigente.
  19. d)Los datos personales recopilados a través del portal no son almacenados en ningún fichero de tratamiento de datos (y nunca lo han sido), sino que son tratados de forma confidencial pero temporal, siendo eliminados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 inmediatamente tras su uso. TERCERO: Con fecha 20 de octubre de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00285/2015. Dicho acuerdo fue notificado con fechas 23 y 27 de octubre de 2015 al denunciante y a ICG. En el Antecedente Tercero del referido trámite de Audiencia previa se indicaba que de los hechos que figuran descritos en los Antecedentes Primero y Segundo se desprendía que la información sobre dispositivos de almacenamiento y recuperacion de datos (DARD/ cookies ) proporcionada en el sitio web www.kombucha era incompleta y deficiente en tanto que: I.En los accesos efectuados con fechas 2 de marzo y 14 de abril de 2015 no constaba información relativa al uso de cookies de primera parte y de tercera parte de carácter persistente, de las que se ha verificado su descarga e instalación. II.A raíz de los accesos efectuados con fechas 7 y 26 de mayo de 2015 se constató que la información por capas ofrecida resultaba incompleta en ambos niveles. En la primera capa no se identificaban, sucintamente, los distintos tipos de finalidades para las que se usan las mismas. En la segunda capa se observaban las deficiencias que figuran señaladas en el apartado 7 del anterior Antecedente de Hecho de esta resolución respecto del contenido del listado particularizado de cookies incluido en el documento de Política de verificado en los accesos de fechas 7 y 26 de mayo de 2015. Asimismo, se mencionaba que el enlace ofrecido que remitía a las instrucciones para configurar o deshabilitar las cookies en el navegador Safari resultaba ser una página en inglés. CUARTO: Con fecha 13 de noviembre de 2015 se recibe en esta Agencia escrito de ICG solicitando el archivo del procedimiento o, en su defecto, acuerdo de apercibimiento con requerimiento de las medidas necesarias para regularizar la situación, peticiones que, en síntesis, se sustentan en las siguientes alegaciones: - En relación con los accesos del 2 de marzo y 14 abril de 2015 se arguye que las pruebas efectuadas por la AEPD coincidieron con el proceso de instalación de servicios de terceros que dio lugar a la generación de DARD permanentes, introduciéndose en la página web la redacción definitiva de la política de privacidad el 26 de abril de 2015. - En relación con los accesos del 7 y 26 de mayo de 2015 se destaca que la web está basada en un gestor de contenidos CMS, con lo que cualquier cambio o actualización en los mismos puede ocasionar modificaciones en los DARD, causa por la que en la política de privacidad se indica que las cookies no incluidas en el listado se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 referirán a cookies con propósitos idénticos a los registrados en la lista, como ocurría en las descargadas el 26 de mayo. - Se defiende que lo relevante es que el usuario tenga claras las cookies utilizadas y sus finalidades, pretensión perseguida por medio de los tres niveles informativos que se han definido en el documento de “Política de Cookies” actual, cuyo documento se adjunta a dichas alegaciones. - Se afirma que en el presente supuesto se producen los requisitos establecidos en el artículo 39.2 de la LSSI, habiéndose regularizado la situación de manera efectiva, rápida y diligente a los efectos de adaptar y actualizar la página web a las exigencias dela LOPD y la LSSI, como prueba que se corrigiera la política de privacidad en apenas 12 días . - Subsidiariamente, en caso de incoar un procedimiento sancionador , solicitan que se tengan en cuenta las circunstancias del artículo 40 de la LSSI que se producen en este supuesto a los efectos de la graduación de la cuantía, y que señala son: inexistencia de intencionalidad, breve plazo de tiempo durante el que se ha venido cometiendo la infracción, inexistencia de perjuicios causados y ausencia de beneficios obtenidos por la infracción, la cual tampoco ha afectado al volumen de facturación de la empresa. QUINTO: Con fechas 6 y 7 de abril de abril de 2016 se visita el sitio web www.kombucha.es con un navegador Google Chrome a fin de comprobar los dispositivos de almacenamiento y recuperación de datos no exentos del deber de información que se descargan al navegar por el citado portal, cuyo resultado se incorpora al procedimiento. Asimismo, con esas mismas fechas se accede al citado sitio web para verificar la información ofrecida a los usuarios que acceden al mismo sobre el uso e instalación de dichos dispositivos, cuyo resultado se incorpora al procedimiento. HECHOS PROBADOS PRIMERO: La entidad INGGENIO CORPORATE GROUP, S.L., (en adelante ICG), es responsable de las páginas web http://www.kirandia.com/http://www.kombucha.es, en adelante el portal o el sitio web www.kombucha.es. SEGUNDO: En los accesos efectuados al sitio web www.kombucha.es con fechas 14 de abril y 26 de mayo de 2015 y 7 de abril de 2016 se ha comprobado el uso por parte de INGGENIO CORPORATE GROUP, S.L. de dispositivos de almacenamiento y recuperación de datos no exentos del deber de informar al usuario. TERCERO: En las pruebas de acceso realizadas al mencionado portal con fechas 2 de marzo y 14 de abril de 2015 se constató que en el portal estudiado no se informaba sobre el uso de DARD de tercera parte no exentas del deber de información. CUARTO: En el acceso llevado a cabo el día 26 de mayo de 2015 con un navegador Mozilla Firefox, se comprobó la descarga de los siguientes DARD de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 tercera parte no exentos del deber de informar: Dominio Nombre Primera - Tercera parte Caducidad kombucha.es __unam Tercera kombucha.es __ga Tercera Persistente Persistente kombucha.es __gat Tercera Persistente scorecardreserach.com UID Tercera Persistente scorecardreserach.com UIDR Tercera Persistente sharethis.com _stid Tercera Persistente sharethis.com _uset Tercera Persistente nexac.com na_tc Tercera Persistente QUINTO: En las visitas efectuadas con fechas 7 y 26 de mayo de 2015 se comprueba que en el citado portal se informa sobre el uso de DARD mediante un sistema de información por capas, que al acceder por primera vez al reseñado portal mostraba una banda informativa en la parte inferior de la ventana con el siguiente texto, en la que no aparecen indicados los diferentes tipos de DARD no exentos utilizados ni sus respectivas finalidades: “USO DE COOKIES: Este espacio utiliza cookies con el fin de mejorar tu experiencia de usuario. Si continúas navegando, consideramos que aceptas su uso. Puedes obtener más información, o bien conocer cómo cambiar la configuración, en nuestra Política de El texto subrayado del citado aviso era un hiperenlace que dirigía al segundo nivel de información que, bajo la denominación “Política de Cookies”, proporcionaba: la definición de cookies, una descripción de los tipos de cookies existentes según sus diferentes clasificaciones (entidad que las gestiona, periodo de actividad y finalidad), tabla detallando las cookies utilizadas en el portal y en la que, para cada DARD, se especifica: dominio, nombre, tipo, caducidad, finalidad, propia o de terceros, responsable, excluida o no del deber de obtener el consentimiento informado y descripción; lista de entidades prestadoras de servicios que utilizan DARD a través del portal; enlaces a las páginas sobre configuración de navegadores que informaban sobre los mecanismos para desactivar o eliminar las cookies. La tabla detallada de cookies utilizadas no incluía los DARD los DARD “_ga” y “_gat” del servicio de Google Analytics, el DARD “na_tc” del dominio nexac.com, y el DARD “unam” asociado al dominio kombucha.es. Los enlaces a los navegadores Google Chrome, Mozilla Firefox, Internet Explorer, Opera, Safari para IOS y Chrome para Android conducían a páginas en lengua española, mientras que el enlace del navegador Safari llevaba a una página en inglés. SEXTO: En la prueba de acceso realizada el 6 de abril de 2016 al sitio web www.kombucha.es utilizando un navegador Google Chrome se comprueba que INGGENIO CORPORATE GROUP, S.L. ha introducido las siguientes modificaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 en el sistema de información por capas ofrecido a los usuarios que visitan el portal: El aviso constitutivo de la primera capa ha pasado a redactarse con el siguiente texto: “USO DE COOKIES: Utilizamos “cookies” propias y de terceros, para mejorar nuestros servicios, personalizar anuncios y analizar el tráfico web. Si continúas navegando, se entiende que aceptas su uso. Puedes ampliar información, o saber cómo cambiar la configuración, en Política de cookies.” En el documento de “Política de Cookies”, constitutivo de la segunda capa informativa, se comprueba que en el listado pormenorizado de cookies utilizadas se enumeran, entre otros, los DARD “_ga” y “_gat” del servicio de Google Analytics, el DARD “na_tc” del dominio nexac.com, y el DARD “unam” asociado al dominio kombucha.es. También se observa que el enlace ofrecido para posibilitar configurar las opciones del navegador Safari para bloquear o eliminar los DARD dirige a una versión en lengua española. SÉPTIMO: En la prueba de acceso efectuada al portal el 7 de abril de 2016 con un navegador Google Chrome se verifica que continúan instalándose los DARD no exentos del deber de informar de tercera parte denominados “_ga” y “_gat” del Servicio de Google Analytics, prestado por Google Inc.. También se descarga el DARD denominado “NID” asociado al dominio google.es, del que se ofrece información en la tabla contenida en el documento “Política de Cookies”. OCTAVO: Con fechas 6 y 7 de abril de 2016, se comprueba que el documento de “Política de Cookies” resulta accesible desde el pie de las diferentes páginas que conforman el portal visitado mediante un hiperenlace permanente, destacado y separado del resto de documentos. NOVENO: Con fecha 7 de abril de 2016 se constata que en la página web https://www.google.es/intl/es/policies/technologies/types relacionada con los “Tipos de - En la categoría correspondiente a cookies de Publicidad se informa: “(…)Google utiliza cookies, como NID y SID, para personalizar los anuncios que se muestran en sus propiedades (p.ej., en el buscador de Google). Por ejemplo, utilizamos estas cookies para recordar tus búsquedas más recientes, tus interacciones anteriores con los resultados de búsqueda o con la publicidad de un anunciante y tus visitas al sitio web de un anunciante. De ese modo, podemos mostrarte anuncios personalizaos en Google.” - En la categoría correspondiente a Google Analytics se refiere que: “Google Analytics es la herramienta de análisis que ayuda a los propietarios de sitios web y de aplicaciones a entender cómo interactúan los visitantes con sus propiedades. Esta herramienta puede utilizar un conjunto de cookies para recopilar información y ofrecer estadísticas de uso de los sitios web sin identificar personalmente a los visitantes de Google. La principal cookie que utiliza Google Analytics es “_ga”. Además de para ofrecer estadísticas de uso de los sitios web, Google Analytics también se puede utilizar junto con algunas de las cookies publicitarias descritas anteriormente para mostrar anuncios más relevantes en las propiedades de Google (p.ej., en el buscador de Google ) y en toda la Web.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 FUNDAMENTOS DE DERECHO I El artículo 43.1 de la LSSI establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
  20. d)e
  21. i)y 38.4.d),
  22. g)y
  23. h)de esta Ley”; otorgando por tanto a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 22 de la Ley 34/2002, de 11 de julio, o, en su caso, apercibir al sujeto responsable en la forma prevista en el nuevo artículo 39 bis 2 de dicha norma. II Los hechos objeto de imputación del presente expediente constituyen infracción a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. La conculcación de dicho precepto está tipificada como infracción leve en el artículo 38.4.
  24. g)de la LSSI, que establece como tal “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.”, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
  25. c)de la LSSI. Conviene señalar que el citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo los DARD o en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. La protección que otorga el citado precepto tiene su justificación en la medida en que, en muchos casos, los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. III El artículo 22.2 de la LSSI utiliza conceptos legales que cuentan con una definición establecida en la propia norma que los delimita. Por un lado, tanto la rúbrica del artículo como el tenor literal del mismo hablan del destinatario, que según el apartado
  26. d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. Por otro lado, el Anexo de la LSSI define en su apartado
  27. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
  28. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) Con arreglo a las definiciones legales anteriores, la mercantil INGGENIO CORPORATE GROUP, S.L. ostenta la condición de Prestador de Servicios de la Sociedad de la Información en atención a que es la responsable de las webs http://www.kirandia.com/http://www.kombucha.es, estando, por tanto, sujeta al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 régimen sancionador previsto en la LSSI en caso de incumplimiento obligaciones previstas en el artículo 22.2 de la LSS para dicha figura. de las De acuerdo con la redacción del citado artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. IV Conviene señalar que el modo de ofrecer la información relativa al artículo 22.2 de la LSSI no obedece a supuestos tasados, por lo que cualquier fórmula que satisfaga la finalidad del citado precepto es perfectamente válida, siendo uno de los métodos más comunes el sistema de información por capas empleado por ICG en el portal de su titularidad. En este sentido, en la “Guía sobre el uso de cookies” se indica, respecto de este sistema, que en la primera capa debe mostrarse la información esencial sobre la existencia de cookies, si son propias o de terceros y las finalidades de las cookies empleadas, así como los modos de prestar el consentimiento En cuanto a la información ofrecida en la segunda capa, esta Agencia ha venido indicando, que dicha información adicional debería versar sobre qué son y para qué se utilizan las cookies, los tipos de cookies utilizadas y su finalidad, así como la forma de desactivar o eliminar la cookies enunciadas a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o a través de las plataformas comunes que pudieran existir, para esta finalidad o en su caso, la forma de revocación del consentimiento ya prestado. Finalmente, en esta segunda capa debe ofrecerse información sobre la identificación de quien utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros. Con la identificación de aquellos con los que haya contratado o cuyos servicios ha decidido integrar el editor. Por tanto, cabe el suministro de la información adicional en una segunda capa por grupos de cookies, siempre que exista identidad entre ellas y ello no produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 rechazo de las cookies enunciadas y la forma de revocación del consentimiento ya prestado. La normativa estudiada pretende que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal, siendo esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Ahora bien, nada obsta a que dicha información adicional se ofrezca, a los efectos de dar cumplimiento a los requisitos de la segunda capa, en un cuadro adjunto que señale el dominio bajo el cual figura la cookie, su finalidad concreta, y si es propia o de tercera parte, con identificación, en su caso, del tercero en cuestión. Es decir, aunque dicho sistema no sea exigible la Agencia entiende que la descripción contenida en un cuadro puede dar cumplimiento a los requisitos de la segunda capa relativos a los tipos de cookies utilizadas y su finalidad así como sobre quién utiliza las cookies, en la medida en que contenga la información exigible antes especificada. V Relacionando dichas exigencias, todas ellas acordes con lo dispuesto en el artículo 22.2 de la LSSI, con la información ofrecida por INGGENIO CORPORATE GROUP, S.L. en su página web sobre el uso y las finalidades de las cookies utilizadas deben efectuarse las siguientes consideraciones: En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que al inicio de las actuaciones previas de inspección el sitio web analizado no ofrecía información alguna respecto de la instalación de dispositivos de almacenamiento y recuperación de datos que cumpliera con el mandato del art. 22.2 de la LSSI, ello a pesar de que se descargaban DARD de tercera parte no exentos del deber de informar, tal y como se constató con fecha 14 de abril de 2015 y se refleja en el apartado 5 del Antecedente de Hecho Segundo de esta resolución. Cuando se dieron por finalizadas dichas actuaciones ya se había verificado a través de los accesos realizados con fechas 7 y 26 de mayo de 2015 que la mencionada entidad había pasado a informar sobre el uso de DARD a través de un sistema de información por capas, si bien como fruto del resultado de la información recabada durante dichas vistas se comprobaron las deficiencias mencionadas en el apartado 7 del Antecedente de Hecho Segundo de esta resolución. Esas irregularidades, que afectaban a ambas capas, ponían de manifestó la falta de suministro por parte del titular del sitio web de una “información clara y completa” relacionada con los DARD utilizados y los “fines del tratamiento de los datos” recabados a través de dichos dispositivos, ello no obstante su relevancia a los efectos de que los afectados puedan consentir o rechazar el uso de los DARD antes de su instalación en sus equipos terminales. Así, los Hechos Probados Cuarto y Quinto de esta resolución revelaban que la primera capa no incluía información relativa a la tipología y finalidades de las cookies de tercera parte no exentas utilizadas en la citada página web. A su vez, la segunda capa no detallaba en la tabla incluida en la misma todos los DARD realmente utilizados y ofrecía un enlace al navegador Safari a los efectos de rechazo o bloqueo de las cookies que conducía a una página en inglés . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 En relación con esta cuestión, conviene aclarar que la afirmación relativa a que los DARD detallados en la segunda capa era incompleta debe ponerse en relación con la fórmula elegida por el proveedor de servicios, ya que en la tabla incluida listando todos los DARD propios o de terceros usados no aparecían detallados tres de los dispositivos descargados en los accesos de fechas 14 de abril y 26 de mayo de 2015 y un cuarto DARD se asociaba a un dominio diferente. En todo caso, la opción de informar detalladamente sobre todos los DARD utilizados recae bajo la responsabilidad de la entidad titular del sitio, ya que no hay obstáculo alguno en informar por grupos homogéneos de cookies en la forma indicada en el anterior Fundamento de Derecho. Ya con posterioridad a la notificación del acuerdo del trámite de audiencia previo al apercibimiento la entidad INGGENIO CORPORATE GROUP, S.L. alegó, con fecha 13 de noviembre de 2015, haber subsanado las irregularidades informativas que le fueron comunicadas, aportando a tal efecto impresión del documento de “Política de Privacidad” que resultaba accesible en el portal reflejando las modificaciones introducidas en el mismo. A la vista de lo que se procedió por esta Agencia a verificar la realidad de dichas manifestaciones mediante los accesos descritos en los Hechos Probados Sexto y Séptimo de este acto, fruto de los cuales se constata que la banda informativa de la primera capa informativa ha sido rectificada para advertir del uso de cookies de tercera parte analíticas y publicitarias y que en la lista de cookies utilizadas disponible en la segunda capa informativa se han incluido los DARD “_ga” y “_gat” del servicio de Google Analytics, el DARD “na_tc” del dominio nexac.com, y el DARD “unam” del dominio kombucha.es. Paralelamente, se constata que el enlace facilitado al navegador Safari responde a una versión en lengua española. De este modo, de los elementos fácticos obrantes en el expediente se evidencia que durante la tramitación del expediente de apercibimiento ha quedado acreditado que tan pronto como dicha entidad recibió el acuerdo de trámite de audiencia previa al apercibimiento procedió a adoptar, en forma rápida y diligente, las medidas necesarias para subsanar la situación irregular que le había sido comunicada, introduciendo para ello las modificaciones necesarias en el sistema de información por capas utilizado en el portal web de su titularidad a fin de informar clara y completamente a los internautas que visitaban el portal sobre el uso y finalidades de los DARD utilizados a los efectos de la obtención del consentimiento informado de los mismos. En conclusión, si bien el portal denunciado en el momento de inicio de las actuaciones previas de inspección carecía de cualquier tipo de información respecto de la descarga e instalación de DARD en los terminales de los usuarios que visitaban el sitio en cuestión, de lo actuado ha quedado acreditado que con posterioridad ha corregido las deficiencias inicialmente constatadas al haber adaptado el sistema de información por capas a los requisitos del artículo 22.2 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 VI A los efectos de acordar la resolución procedente debe tenerse en cuenta lo previsto para la moderación de las sanciones en los artículos 39 bis y 40 de dicha norma, añadido a raíz de la modificación operada en la LSSI, el cual dispone lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  34. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  35. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  36. a)La existencia de intencionalidad.
  37. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  38. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17
  39. d)La naturaleza y cuantía de los perjuicios causados.
  40. e)Los beneficios obtenidos por la infracción.
  41. f)Volumen de facturación a que afecte la infracción cometida.
  42. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes En el presente supuesto se consideró la procedencia de tramitar un procedimiento de apercibimiento en lugar de iniciar un procedimiento sancionador en atención a las siguientes circunstancias: Por una parte se cumplían los presupuestos recogidos en las letras
  43. a)y
  44. b)del citado apartado 2 del artículo 39 bis. Por otra parte, se producía el supuesto previsto en el artículo 39 bis 1.
  45. a)de la misma norma, en razón de que se constató una cualificada disminución de la culpabilidad de INGGENIO CORPORATE GROUP, S.L. al apreciarse la concurrencia significativa de las circunstancias derivadas de varios de los criterios contemplados en el artículo 40 de dicha norma, en particular, la falta de pruebas relativas a la existencia de perjuicios causados al denunciante y falta de constancia de beneficios obtenidos por la comisión de la infracción. VII No obstante lo anterior, debe analizarse en el presente caso la circunstancia de que el apercibimiento que correspondería adoptar de acuerdo con lo dispuesto en el artículos 39 bis, apartado 2, de la LSSI, no tendría aparejado requerimiento o medida alguna a adoptar por la entidad titular del portal, pues como se ha puesto de manifiesto en el Fundamento de Derecho V la mencionada mercantil ya ha realizado las modificaciones necesarias en su página web para subsanar las deficiencias informativas que le fueron puestas de manifiesto en el Trámite de Audiencia Previo en relación con el uso de DARD no exentos del deber de informar. Para ello, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que aunque referida al apercibimiento regulado en el artículo 45.6 de la LOPD también resulta extrapolable al apercibimiento regulado en el artículo 39 bis 2 de la LSSI, advierte a propósito de la naturaleza jurídica de dicha figura que “no constituye una sanción”, tratándose de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. Así, la Sentencia entiende que el artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de la misma, la Sentencia de la Audiencia Nacional citada concluye que cuando las medidas correctoras objeto del apercibimiento ya hubieran sido adoptadas por el infractor, lo procedente en Derecho es acordar el archivo de las actuaciones. A la vista de dicho pronunciamiento, C/ Jorge Juan, 6 28001 – Madrid reforzado posteriormente en Sentencia www.agpd.es sedeagpd.gob.es 17/17 de fecha 10/06/2014 (Rec. 166/2013), referente a los supuestos en los que la denunciada ha adoptado las medidas correctoras oportunas para subsanar la situación creada, resulta procedente acordar el archivo de las actuaciones practicadas. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: ARCHIVAR EL PROCEDIMIENTO (A/00285/2015) a la entidad INGGENIO CORPORATE GROUP S.L., con arreglo a lo dispuesto en el artículo 39 bis, aparado 2, de la LSSI, con relación a la denuncia por infracción el artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4
  46. d)de la citada norma. SEGUNDO: NOTIFICAR la presente Resolución a CORPORATE GROUP S.L. y a Don A.A.A. . la entidad INGGENIO Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.