1/5 Expediente N.º: EXP202417557 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1 de noviembre de 2024, se presentó reclamación con número de registro de entrada REGAGE24(...) ante la Agencia Española de Protección de Datos en relación con la página de Internet https://glovoapp.com, cuyo titular es GLOVOAPP23, S.A. con NIF A66362906 (en adelante, la parte reclamada o GLOVO). Los motivos en que basa la reclamación son los siguientes: La parte reclamante denuncia la instalación de cookies por parte del responsable del sitio web https://glovoapp.com/, señalando que se han catalogado las cookies analíticas como "estrictamente necesarias". Con ello, afirma, no podría denegar el consentimiento para su instalación. Junto a la notificación se aporta una captura de pantalla de la web denunciada, del apartado de configuración de las cookies, en el que se observa la calificación de la SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 24/12/2024, como consta en el acuse de recibo que obra en el expediente. Con fecha 24/01/2025 se recibe en esta Agencia escrito de respuesta indicando básicamente lo siguiente: La parte reclamada afirma que las cookies de su página web son gestionadas por GLOVO a través del prestador de servicios de gestión de cookies ***EMPRESA.
- Debido a un “error puntual” de la información a facilitar al usuario a través de dicho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 prestador, la información que se mostraba en el configurador de cookies era que Google Analytics se instalaba como cookies "necesaria". Sin embargo, continúa afirmando GLOVO, la realidad es que, a pesar de que se informara al usuario que las cookies de Google Analytics se instalaba como “estrictamente necesarias”, dichas cookies realmente no se instalaban o, mejor dicho, no se configuraban hasta que el usuario las aceptaba expresamente. De este modo, si el usuario rechazaba la instalación de la cookie, “en ningún momento se obtienen datos analíticos sin el consentimiento expreso del usuario reclamante.” Como medida correctiva, aparte de haber cambiado de proveedor del servicio de gestión de cookies, afirma haber modificado la información que se ofrece en su política de cookies, de modo que queda claro que las cookies analíticas no son de las calificadas como necesarias, y, en consecuencia, su instalación está sujetas al consentimiento expreso de los usuarios. TERCERO: Con fecha 1 de febrero de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: Por parte de esta Agencia se procedió, con fecha de 29/04/2025 a diligenciar el funcionamiento de la página web de la parte reclamada (tanto en lo relativo a la posible instalación de cookies como a la información proporcionada al respecto). Las conclusiones obtenidas de esta documentación son las siguientes: Se ha constatado que la parte reclamada ha realizado los cambios en el gestor de cookies, tal como afirmó en la respuesta al traslado de la reclamación. Al entrar en el sitio web de la parte reclamada se muestra la información de primera capa dando las opciones de: aceptar todo, denegar u obtener más información. En la segunda capa se encuentra información detallada sobre los servicios y prestar su consentimiento o no a las categorías no esenciales. Al navegar por la página web sin haber realizado ningún cambio en la administración de privacidad se mantienen instaladas sólo las cookies esenciales. Las cookies analíticas pertenecientes al servicio de Google Analytics se encuentran catalogadas como funcionales por lo que, al no ser esenciales, es posible aceptarlas o denegarlas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Derechos de los destinatarios de servicios El artículo 22.2 de la LSSI establece que "Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario." III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 Manifestaciones de la parte reclamada En contestación al traslado de la reclamación realizado por esta Agencia, la parte reclamada afirma haber corregido todos los posibles defectos que pudiera tener su página de Internet en relación con la instalación de cookies analíticas y la información sobre ellas. Así se ha confirmado por esta Agencia, tal y como se describe en el Antecedente Cuarto de esta resolución IV Análisis de la posible prescripción de la infracción Conforme a los datos que obran en le expediente, se observa lo siguiente: tras la recepción de la reclamación, por parte de esta AEPD con fecha de 17/12/2024 se realizó diligencia de la instalación de las cookies en la página web denunciada https://glovoapp.com/. Por otra parte, en su contestación al traslado de la reclamación, de 24 de enero de 2025, la parte reclamada aporta un documento de “Política de cookies” en el que consta que la última actualización fue en “enero 2025”. Teniendo en cuenta la fecha de la contestación, se estima que el 24/01/2025 habría finalizado la comisión de la posible infracción. En caso de producirse un incumplimiento de la normativa referenciada en esta resolución, esa (24/01/2025) sería la fecha del mismo. Según se ha indicado en los antecedentes de esta resolución, la posterior diligencia de esta Agencia, de 29/04/2025 no permitió constatar ningún incumplimiento. Conforme al artículo 38.4.g) de la LSSI, tendrá la consideración de infracción leve: Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.
- De acuerdo con el artículo 45 de la misma ley, las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses. Con ello, la posible infracción que se hubiera cometido en este procedimiento prescribiría a los 6 meses. Toda vez que la fecha de incumplimiento es la de 24/01/2025, dicho plazo se habría sobrepasado. Procede, en consecuencia, archivar el procedimiento por prescripción de la infracción De acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones, debido a la prescripción de la posible infracción cometida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 SEGUNDO: NOTIFICAR la presente resolución a GLOVOAPP23, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es