1/13 Procedimiento Nº: A/00359/2016 RESOLUCIÓN: R/00621/2017 En el procedimiento A/00359/2016, instruido por la Agencia Española de Protección de Datos a la entidad RACCOON GAMES, S.L., vista la denuncia presentada por Don Don A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 15 de febrero de 2016 tiene entrada en esta Agencia una denuncia presentada por A.A.A., (en lo sucesivo, el denunciante), en la que denuncia a la mercantil RACCOON GAMES, S.L. por las siguientes irregularidades observadas en el sitio web www.raccoongames.com, del que dicha sociedad es responsable: No hay información sobre la utilización de Dispositivos de Almacenamiento o Recuperación de Datos (en adelante DARD o cookies) en su página principal. La información sobre la utilización de DARD en su página de condiciones de uso es incompleta. Que según el denunciante tuvieron lugar a fecha de: 4 de febrero de 2016 El denunciante anexa impresión de la página de condiciones de uso del sitio web denunciado, en cuya condición 8 se informa, en forma incompleta, sobre la utilización de DARD. SEGUNDO: Del examen de la documentación aportada por el denunciante y de las actuaciones practicadas de investigación practicadas se desprende lo siguiente: 2.1 Con fecha 24 de febrero de 2016 se constata que al acceder a la página web denunciada no se ofrece información sobre el uso de DARD ni aparece ningún enlace visible que dirija a dicha información, a pesar de que se verifica la utilización de los DARD permanentes no exentos de tercera parte de analítica web “_ga” y “_gat” del Servicio de Google Analytics y el DARD “CAKEPHP” del dominio raccooongames.es. Asimismo, se verifica que a través de enlace que conduce a las “Condiciones de Uso” del portal se localiza un apartado relativo a “Cookies”, cuyo contenido es el mismo que figuraba en el documento aportado por el denunciante, siendo su literal: “Te informamos igualmente que para mejorar tu experiencia de navegación, gestionar el contenido de tu cesta, ofrecerte nuestros consejos personalizados, e informarte online de nuestras ofertas para clientes o socios, nuestra página web utiliza dispositivos de implantación de cookies y almacenamiento de IP. La cookie es un fichero que depositamos en tu equipo, y cuyo único objetivo es simplificar tu navegación en www.raccoongames.es (esta cookie no puede contener virus ni ser ejecutada, porque no es un fichero activo). La cookie sólo puede ser leída por RaccoonGames.es y por ti, y puedes borrarla si lo deseas, accediendo a la opciones de tu navegador. Consulta el menú de ayuda para más información.”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 2.2 Durante el acceso efectuado con fecha 19 de mayo de 2016 a la página web denunciada se constata que: El sitio web www.raccoongames.es, en el que se comercializan comics, ropa, figuras y juegos, pertenece a RACCOON GAMES S.L., en adelante la denunciada o RACCOON. Se descargaron DARD de tercera parte con finalidades de personalización, publicitarias y de analítica web. En concreto, se constató la utilización de los siguientes DARD no exentos del deber de información: Nombre Responsable Caducidad Finalidad google.com Tercera parte Permanente Personalización y publicitaria pinterest.com Tercera parte Permanente _ga raccoongames.es Tercera parte Permanente _gat raccoongames.es Tercera parte Permanente raccoongames.es Primera parte Permanente NID Dominio Analítica web Servicio Google Analytics Analítica web Servicio Google Analytics No se ha localizado información sobre las finalidades de los DARD denominados “_pinterest_cm” y “CAKEPHP” ni en el sitio denunciado ni en el del dominio al que están vinculados dichos DARD. El sitio web informa sobre el uso de DARD mediante un sistema de capas. En la primera capa se señala: “Utilizamos cookies propias y de terceros para mejorar nuestros servicios. Si continúas navegando, consideramos que aceptas su uso.” , junto al cual hay un botón con el texto “Continuar”. En el citado aviso no hay un enlace a una segunda capa, pero al acceder a la página de “Condiciones de uso” del sitio web, accesible desde un enlace en el pie de la página principal, se localiza un apartado específico de “Cookies” con el mismo texto que se localizó en la visita realizada el 24 de febrero de 2016. TERCERO: Con fecha 26 de octubre de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa al presente procedimiento de apercibimiento A/00359/2016 a RACCOON GAMES, S.L. Dicho acuerdo fue notificado a dicha empresa con fecha 2 de noviembre de 2016. CUARTO: Con fecha 16 de noviembre de 2016 se registra de entrada escrito de la denunciada comunicando su voluntad proactiva de regularizar la situación y poniendo de manifiesto en relación con los hechos que le fueron notificados que: 4.1 La entidad solicitó los servicios del denunciante para realizar una serie de servicios relacionados con la página web de la empresa durante el periodo navideño de 2015, para en función del resultado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 valorar la posibilidad de contratar sus servicios en forma continuada. Debido al incumplimiento de los plazos acordados se decidió prescindir de los servicios del denunciante, lo que generó un conflicto en cuanto a la facturación de los servicios finalmente desempeñados, si bien éstos se abonaron al denunciante en marzo de 2016 con arreglo a la factura emitida por éste, cuya copia se adjunta. 4.2 A raíz de la actuación de la AEPD, se han contratado los servicios de un despacho de abogados con formación en materia de cookies para regularizar en forma diligente la falta de información clara y completa sobre los DARD de la página web detectada a raíz de lo actuado por la AEPD 4.3 Se trata de un hecho aislado y fortuito, que, teniendo en cuenta las medidas que se van a poner en marcha, difícilmente podrá volver a repetirse. 4.4 Han llevado a cabo o van a llevar a efecto, entre otras, las siguientes actuaciones en evitación de que se reproduzcan situaciones similares: - Se procederá a suspender el servicio y auditar las cookies que pudieran instalarse en los dispositivos de los usuarios con el fin de adoptar cualquier exigencia requerida por la LOPD y la LSSI, realizándose revisiones cada semestre durante dos años para verificar que los usuarios son informados clara, comprensible y suficientemente sobre el uso y finalidades de los DARD utilizados a fin de obtener el consentimiento informado de los mismos. - Se va a implementar un sistema de información de doble capa. La primera capa informará de las finalidades de las posibles cookies. En la segunda capa se identificarán las y la finalidad de cada una. - Además del Aviso Legal y la Política de Privacidad se instalará un enlace específico a la Política de Cookies para que el usuario pueda acceder en cualquier momento y fácilmente a la segunda capa. - Se informará sobre la finalidad del DARD “CAKEPHP”, que no es otra que recordar los datos de navegación del usuario para los productos visitados en la web así como para su sesión. - Se eliminará el DARD “_pinterest_cm” de tercera parte por no utilizar su funcionalidad. QUINTO: Con fechas 27 y 28 de febrero de 2017, utilizando un navegador Google contenido del sistema de información por capas introducido por la denunciada y su adecuación respecto de los tipos de DARD no exentos del deber de información que se comprueba se instalan en los terminales de los usuarios que visitan dicho portal, incorporándose al procedimiento impresión del aviso informativo de primera capa que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 aparece en la distintas páginas del portal al visitarlo, contenido del documento “Política de Cookies” localizable desde los enlaces del mismo nombre incluidos tanto en el aviso de la primera capa como medio para acceder a la segunda capa de información constituida por este documento, como al pie de las diferentes páginas del portal. El contenido de la información facilitada en ambos niveles se refleja en el Hecho Probado Quinto, el cual se da por reproducido a los efectos de evitar su reiteración. Asimismo, se incorpora al procedimiento impresión del documento denominado “Condiciones de Uso”, que resulta accesible desde un enlace situado a pie de las diferentes páginas que conforman el mencionado sitio web. Con fecha 28 de febrero de 2017 se incorpora al procedimiento impresión de los documentos “Tipos de cookies que utiliza Google” y “Publicidad-Privacidad y Condiciones-Google” `procedentes de las direcciones web https://www.google.es/intl/es/policies/technologies/types/ y https://www.google.es/intl/es/policies/technologies/ads/ HECHOS PROBADOS PRIMERO: Con fecha 15 de febrero de 2016 se registra de entrada en la AEPD escrito del denunciante poniendo de manifiesto que en el sitio web www.raccoongames.com, del que es propietario RACCOON GAMES, S.L. se usan DARD sin informar clara y completamente al respecto a los usuarios en cuyos terminales se instalan dichos dispositivos. SEGUNDO: La mercantil RACCOON GAMES, S.L. es la entidad responsable del sitio web www.raccoongames.com, tienda online especializada en la venta de cómics, manga, videojuegos, figuras de colección , merchandising y artículos de regalo. TERCERO: En el acceso realizado con fecha 24 de febrero de 2016 al sitio web www.raccoongames.com se constata: Que no se proporciona a los usuarios información relativa al uso de DARD, aunque se utilizan los dispositivos permanentes “ _ga” y “_gat” de tercera parte de analítica web del servicio Google Analytics proporcionado por Google Inc. y el DARD de primera parte “CAKEPHP” del dominio raccoongames.es. Que la única información referente al uso de DARD que aparece en el citado portal se localiza en el apartado relativo a “Cookies” de la página “Condiciones de Uso” del portal. El literal de la información proporcionada es el siguiente: “Te informamos igualmente que para mejorar tu experiencia de navegación, gestionar el contenido de tu cesta, ofrecerte nuestros consejos personalizados, e informarte online de nuestras ofertas para clientes o socios, nuestra página web utiliza dispositivos de implantación de cookies y almacenamiento de IP. La cookie es un fichero que depositamos en tu equipo, y cuyo único objetivo es simplificar tu navegación en www.raccoongames.es (esta cookie no puede contener virus ni ser ejecutada, porque no es un fichero activo). La cookie sólo puede ser leída por RaccoonGames.es y por ti, y puedes borrarla si lo deseas, accediendo a la opciones de tu navegador. Consulta el menú de ayuda para más información.”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 CUARTO: En el acceso realizado con fecha 19 de mayo de 2016 al sitio web www.raccoongames.com se constata: Que continúan descargándose los DARD “ _ga” y “_gat” de analítica web del servicio Google Analytics, el DARD de primera parte “CAKEPHP” del dominio raccoongames.es, además de instalarse los DARD permanentes de tercera parte denominados “_pinterest_cm” del dominio pinterest.com y “NID” del dominio google.com, este último utilizado por Google Inc. como cookie de preferencias y para mostrar anuncios personalizados en Google. Que para informar a los usuarios sobre el uso de DARD el responsable de la página web utiliza un sistema de capas. En la primera capa se advierte: “Utilizamos consideramos que aceptas su uso.”. Junto al aviso hay un botón con el texto “Continuar”. Desde el primer nivel no se puede acceder al contenido de la segunda capa, constituida por la información del apartado sobre “Cookies” que figura en la página de “Condiciones de Uso” del sitio web antes citada, y cuyo texto seguía siendo el mismo que en el acceso anterior. QUINTO: En los accesos realizados con fechas 27 y 28 de febrero de 2017 al sitio web www.raccoongames.com se comprueba: Que se descargan los mismos DARD permanentes de tercera parte que se han especificado en el Hecho Probado anterior, a excepción del DARD denominado “_pinterest_cm” del dominio pinterest.com. Igualmente, se constata que el DARD “NID” también se descarga desde el dominio google.es Que al visitar a las diferentes páginas del sitio web aparece un aviso o primera capa informativa con el siguiente texto: ““Utilizamos cookies propias y de terceros para mejorar nuestros y mejorar tu experiencia de navegación en nuestra web, gestionar el contenido de tu cesta, ofrecerte nuestros consejos personalizados, e informarte online de nuestras ofertas. Si continúas navegando, consideramos que aceptas su uso. Puedes acceder a la Política de Cookies aquí Política de Cookies.”. Junto al aviso hay un botón con el texto “Continuar”, que si se pulsa hace desaparecer el aviso de la primera capa. El subrayado del texto “Política de Cookies” es de la AEPD para indicar que este texto es un enlace que al pulsarlo dirige a la segunda capa informativa constituida por el documento del mismo nombre. El documento “Política de Cookies” del sitio web www.raccoongames.com incluye diversos apartados que contienen: información general sobre los DARD/cookies (definición, tipos, finalidad y funcionamiento); una tabla en la que se especifican las cookies utilizadas en el referido sitio web, detallando el nombre de cada cookie, si es de primera o tercera parte, su descripción, caducidad, finalidad y dominio desde el que se descarga; enlaces que muestran las herramientas de configuración para desactivar o eliminar los DARD/cookies en los navegadores Google Chrome, Mozilla Firefox, Apple Safari, Internet Explorer. SEXTO: El contenido de la segunda capa de información resulta accesible en forma permanente a través del enlace denominado “Política de Cookies” situado al pie de las diferentes páginas que conforman el portal. SÉPTIMO: C/ Jorge Juan, 6 28001 – Madrid Con fecha 28 de febrero de 2017 se constata que en la página web www.agpd.es sedeagpd.gob.es 6/13 https://www.google.es/intl/es/policies/technologies/types relacionada con los “Tipos de - En la categoría correspondiente a Preferencias se informa que: “La mayoría de los usuarios de Google tienen habilitada en sus navegadores una cookie de preferencias denominada “NID”. Un navegador envía esta cookie a través de solicitudes a los sitios web de Google. La cookie NID contiene un ID único que Google utiliza para recordar tus preferencias y otra información, como tu idioma preferido (por ejemplo, el español), el número de resultados de búsqueda que quieres que se muestren por página (por ejemplo, 10 o 20) y si quieres que el filtro SafeSearch de Google esté activado o desactivado. - En la categoría correspondiente a Publicidad se indica que: “Utilizamos cookies para hacer que la publicidad sea más atractiva para los usuarios y más valiosa para los editores y anunciantes. Las cookies suelen utilizarse para seleccionar anuncios basados en contenido que es relevante para un usuario, mejorar los informes de rendimiento de la campaña y evitar mostrar anuncios que el usuario ya haya visto. Google utiliza cookies, como NID y SID, para personalizar los anuncios que se muestran en sus propiedades (p. ej., en el buscador de Google). Por ejemplo, utilizamos estas cookies para recordar tus búsquedas más recientes, tus interacciones anteriores con los resultados de búsqueda o con la publicidad de un anunciante y tus visitas al sitio web de un anunciante. De ese modo, podemos mostrarte anuncios personalizados en Google. (…) - En la categoría correspondiente a Google Analytics se refiere que: “Google Analytics es la herramienta de análisis que ayuda a los propietarios de sitios web y de aplicaciones a entender cómo interactúan los visitantes con sus propiedades. Esta herramienta puede utilizar un conjunto de cookies para recopilar información y ofrecer estadísticas de uso de los sitios web sin identificar personalmente a los visitantes de Google. La principal cookie que utiliza Google Analytics es “_ga”. Además de para ofrecer estadísticas de uso de los sitios web, Google Analytics también se puede utilizar junto con algunas de las cookies publicitarias descritas anteriormente para mostrar anuncios más relevantes en las propiedades de Google (p.ej., en el buscador de Google ) y en toda la Web. Más información sobre las cookies de Google Analytics e información sobre la privacidad” (El subrayado es un enlace) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 Comercio Electrónico (en lo sucesivo, LSSI). II Los hechos objeto de imputación del presente expediente constituyen infracción a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Conviene señalar que el citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo los DARD o en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. La conculcación de dicho precepto está tipificada como infracción leve en el artículo 38.4.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.