AI-00196-2023

1/24  Expediente N.º: EXP202202636 (AI/00196/2023) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante parte reclamante), con fecha 28/01/2022, interpuso reclamación ante la Agencia Española de Protección de datos, dirigida contra la entidad Ministerio de Justicia, actualmente MINISTERIO DE PRESIDENCIA, JUSTICIA Y RELACIONES CON LAS CORTES (en adelante MPJRC o Ministerio o parte reclamada), con NIF S2811001C, por la denegación “total o parcialmente sin justificación” del derecho de oposición ejercitado ante dicha entidad en fecha 24/01/2022. En dicha reclamación, la parte reclamante puso de manifiesto los siguientes hechos: “En fecha 24/1/2022 ejercité mi derecho de oposición frente al tratamiento de mis datos personales por el portal del Ministerio de Justicia. En fecha 28/1/2022 el DPD del citado ministerio ha dado contestación en la que de modo injustificado viene a referirse a una redacción desafortunada del aviso legal y asegurando que no se procesan mis datos personales. La contestación del DPD resulta pues denegatoria del derecho de oposición y sólo hace a una vaga referencia a una eventual acción correctora en la redacción del aviso legal, que vendría únicamente referida al principio de transparencia, sin que conteste a mi reclamación en lo relativo al uso de cookies sin el consentimiento del interesado y al uso de cookies de Google Analytics en cuanto deriva de las misma una transferencia internacional de datos personales a un tercer país sin garantías adecuadas”. Con su reclamación aporta la documentación siguiente: 1. Correo electrónico de fecha 24/01/2022, dirigido por la parte reclamante a la dirección “protecciondedatos@mjusticia.es”, con el asunto “Ejercicio de derecho de oposición” y el texto siguiente: “La página web del Ministerio de Justicia incorpora el uso de cookies, entras que se encuentra las relativas al uso de Google Analytics. En su información relativa al uso de cookies, se incorpora la siguiente afirmación: https://www.mjusticia.gob.es/es/aviso-legal#cookies “Aceptación de la Política de cookies C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/24 Navegando por el portal del Ministerio se asume que usted acepta el uso de cookies. No obstante, muestra información sobre su Política de cookies en la parte superior de cualquier página del portal con cada inicio de sesión con el objeto de que usted sea consciente”. Me opongo al citado tratamiento toda vez que se basa en una interpretación errónea de la prestación del consentimiento del interesado, en los términos expresados por el Comité Europeo de Protección de Datos. Además, el uso de Google Analytics implica la transferencia internacional de datos personales a un tercer país sin que conste de ningún modo que se hayan adoptados medidas de protección adecuadas, motivo que supone nuevamente un tratamiento ilícito de mis datos personales respecto del cual también formulo oposición”. 2. Respuesta del Delegado de Protección de Datos de la parte reclamada (en lo sucesivo DPD), de fecha 28/01/2022, por la que se acusa recibo del escrito de la parte reclamante y se informa lo siguiente: “Según información recibida de los responsables informáticos del Ministerio tras el estudio y comprobación de los hechos por usted puestos de manifiesto, no existen datos personales al respecto ni de usted ni de ningún tercero, sino datos debidamente anonimizados, no vinculados a persona determinada ni determinable; se trata por tanto de una redacción desafortunada de la url por usted mencionada, cuyo contenido será en breve modificado para evitar malentendidos futuros”. 3. “Aviso legal” disponible en la web “mjusticia.gob.es”. En el apartado “Política de “Política de Cookies Este portal utiliza cookies, archivos que se pueden descargar en su equipo a través de las páginas web. Son herramientas que tienen un papel esencial para la prestación de numerosos servicios de la sociedad de la información. Entre otros, permiten a una página web almacenar y recuperar información sobre los hábitos de navegación de un usuario o de su equipo y, dependiendo de la información obtenida, se pueden utilizar para reconocer al usuario y mejorar el servicio ofrecido. […] A continuación, se identifican las cookies que están siendo utilizadas en este portal como su tipología y función: La página web del Ministerio utiliza Google Analytics, un servicio de analítica web desarrollada por Google, que permite la medición y análisis de la navegación en las páginas web. En su navegador podrá observar cookies de este servicio. Según la tipología anterior se trata de cookies propias, de sesión y de análisis. Si lo desea, puede encontrar más información sobre los tipos de cookies que utiliza Google. A través de la analítica web se obtiene información relativa al número de usuarios que acceden a la web, el número de páginas vistas, la frecuencia y repetición de las visitas, su duración, el navegador utilizado, el operador que presta el servicio, el idioma, el terminal que utiliza, o la ciudad a la que está asignada su dirección IP. Información que posibilita un mejor y más apropiado servicio por parte de este portal más información sobre el tipo de cookies que utiliza Google. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 Para garantizar el anonimato, Google convertirá su información en anónima truncando la dirección IP antes de almacenarla, de forma que Google Analytics no se usa para localizar o recabar información personal identificable de los visitantes del sitio. Google solo podrá enviar la información recabada por Google Analytics a terceros cuanto esté legalmente obligado a ello. Con arreglo a las condiciones de prestación del servicio de Google Analytics, Google no asociará su dirección IP a ningún otro dato conservado por Google. Si usted quiere puede denegar el permiso para el tratamiento estadístico de los datos o la información con Google Analytics. Esta acción establece que no se envíe la información relativa a la visita del sitio a Google Analytics. Deberá ejecutar esta acción cada vez que cambie de navegador o su configuración. Recuerde que si borra las el indicador de denegación se guarda en una cookie. Otra de las cookies que se descargan es una cookie de tipo técnico denominada JSESSIONID. Esta cookie permite almacenar un identificador único por sesión a través del que es posible vincular datos necesarios para posibilitar la navegación en curso. Por último, se descarga una cookie denominada analytics, propia, de tipo técnico y de sesión. Gestiona el consentimiento del usuario para el uso de las cookies en la página web, con el objeto de recordar aquellos usuarios que las han aceptado y aquellos que no, de modo que a los primeros no se les muestre información en la parte superior de la página al respecto. Aceptación de la Política de cookies Navegando por el portal del Ministerio se asume que usted acepta el uso de cookies. No obstante, muestra información sobre su Política de cookies en la parte superior de cualquier página del portal con cada inicio de sesión con el objeto de que usted sea consciente […]”. 4. Aviso de cookies de primera capa con fecha de referencia 28/01/2022: “Información sobre cookies Este sitio web utiliza cookies propias, para facilitar la navegación y tus preferencias seleccionadas, y de terceros, para realizar estadísticas de acceso. Para obtener más información y configurar sus preferencias, consulte la Política de cookies. Aceptar Rechazar”. SEGUNDO: Con fecha 01/03/2022, por la Subdirección General de Inspección de Datos se accede al “Aviso legal” disponible en la web “mjusticia.gob.es”, el cual muestra algunas diferencias en cuanto a su contenido respecto del “Aviso legal” aportado por la parte reclamante. En esta nueva versión se ha suprimido el término “propias” al referirse a la naturaleza de las cookies de Google Analytics y se sustituye la información “Si usted quiere puede denegar el permiso para el tratamiento estadístico de los datos o la información con Google Analytics” por “Esta información solo se recogerá en caso de aceptación expresa”. Asimismo, el texto del subapartado “Aceptación de la Política de cookies” se ha modificado en el mismo sentido para señalar que “Este portal no recopila ni envía datos a Google Analytics salvo aceptación expresa de la política de cookies de la página”. Se mantiene la indicación referida a dichas cookies según la cual, en caso de no aceptación “Deberá ejecutar esta acción cada vez que cambie de navegador o su configuración. Recuerde que si borra las cookies deberá volver a ejecutar esta acción para volver a denegar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 permiso, ya que el indicador de denegación se guarda en una cookie”. En la misma fecha del 01/03/2022 se ha comprobado que exclusivamente por la visita a la web “mjusticia.gob.es” no se instala la cookie _ga. Tampoco constan llamadas http al dominio “google-analytics.com”, aunque sí constan llamadas a los dominios “googleapis.com”, “google.com”, “gstatic.com”. Asimismo, se comprobó que en el aviso de cookies de primera capa de la web “mjusticia.gob.es” consta: “Información sobre cookies Este sitio web utiliza cookies propias para el correcto funcionamiento del portal. Aparte, solo bajo aceptación expresa, utiliza cookies de terceros para estadísticas de acceso, que puede aceptar o rechazar mediante los siguientes enlaces. Para obtener más información y configurar sus preferencias, consulte la Política de cookies. Aceptar Rechazar”. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. En el escrito de traslado, que fue notificado a MPJRC en fecha 15/03/2022, se detallan los hechos que motivan la reclamación como sigue: “Reclamación dirigida contra el Ministerio de Justicia por la utilización de cookies analíticas de Google. El reclamante dirigió el 24/1/22 un correo electrónico al DPD, poniendo de manifiesto el uso de los citados dispositivos y el hecho de que se entendía otorgado el consentimiento por parte de los usuarios por el hecho de seguir navegando. Además, señala que el uso de Google Analytics implica una transferencia internacional de datos, no existiendo constancia de que se hubieran adoptado las correspondientes medidas de garantía. Con su mensaje pretendía ejercitar su derecho de oposición a este tratamiento de sus datos. Aporta copia del citado mensaje y del aviso legal, que incluido el aviso de cookies”. CUARTO: Con fecha 06/04/2022, se recibe en esta Agencia escrito de respuesta de la entidad MPJRC, en el que manifiesta lo siguiente: Con motivo de la solicitud de ejercicio del derecho de oposición al tratamiento de datos formulada por la parte reclamante en fecha 24/01/2022, relacionada con el uso de analítica web y con el almacenamiento de datos en servidores fuera de la Unión Europea, se comprobó que el “Aviso Legal” de dicho portal indicaba erróneamente que la navegación por el sitio constituía una aceptación implícita de la instalación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 Ello no se corresponde con el funcionamiento real de la gestión de cookies, ya que, por defecto, no se rastrea ninguna acción del usuario sin que acepte la política de tratamiento de datos personales, sino solo información anonimizada de la navegación. Respecto de la posible transferencia internacional de datos, destaca que el “Aviso legal” informaba correctamente que los datos de IP que podrían servir para identificar al usuario se almacenan truncados en los servidores de Google Analytics de forma que no se pueda usar esa información para identificar, localizar o perfilar a través de la información de navegación recabada. Se comprueba la configuración de las cookies de Google Analytics para confirmar que (…) en la solución técnica en uso y así garantizar que la IP del usuario se almacena truncada en los servicios de Google Analytics de manera que, de conformidad con el artículo 13 del RGPD, en ningún caso el portal del Ministerio almacena o trata datos personales de los usuarios que navegan por el mismo. Asimismo, se confirma que el funcionamiento a nivel técnico de la instalación de del usuario sea recabado por terceros, salvo que este acepte expresamente la política de cookies haciendo clic en el enlace “Aceptar” del mensaje de aceptación que se presenta en la parte superior del portal del Ministerio, la cual, en todo caso, correspondería a información no personal. No obstante, la anonimización de la dirección IP del equipo impide la vinculación del usuario con los datos de navegación y tráfico. En relación con lo anterior, cabe señalar que los datos recabados y vinculados a una dirección IP truncada que puedan ser tratados por terceros en caso de aceptación, se almacenan, en su caso, en territorio de la Unión Europea por lo que no constituye transferencia internacional de datos. Advierte que, confirmados dichos extremos, con fecha 18/02/2022 se modificó el texto del “Aviso legal” para que reflejara correctamente la política de cookies de la web. En relación con la solicitud de la parte reclamante, se informa que fue contestada en fecha 28/01/2022. Considera que el derecho de oposición fue “atendido en tiempo y forma toda vez que los datos personales del reclamante no han sido objeto de tratamiento, de decisiones individuales automatizadas ni se han elaborados perfiles personales desde las cookies instaladas en el portal del Ministerio de Justicia según se informa en los epígrafes “Aceptación de la Política de cookies” y “Información sobre internacional de datos”. Aporta un enlace al nuevo texto del “Aviso legal” insertado en la web de la parte reclamada, que coincide con el reseñado en el antecedente Segundo. QUINTO: Con fecha 28/04/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante por el transcurso del plazo de tres meses sin que se hubiese notificado a la misma la decisión sobre la admisión o inadmisión de la reclamación. Esta admisión a trámite fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 notificada a la parte reclamante. SEXTO: Mediante escrito de fecha 06/05/2022, se informó nuevamente a la parte reclamante sobre la admisión a trámite, dando cuenta del contenido del escrito de respuesta al traslado presentado por la parte reclamada, que consta reseñado en el Antecedente Cuarto. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. Con fecha 19/09/2022 se realizaron las siguientes comprobaciones: . El aviso de cookies de primera capa que muestra la web “mjusticia.gob.es” coincide con el reseñado en el Antecedente Segundo. . Se instala una cookie persistente sin realizar ninguna acción sobre la página web, de nombre “cookiesession1”. No constan cookies que se relacionen con la herramienta Google Analytics. . Tras rechazar el uso de cookies, sigue presente el aviso de cookies de primera capa con las opciones “Aceptar” y “Rechazar”. . Solo tras aceptar el uso de cookies, se instalan en el navegador cookies asociadas a la herramienta Google Analytics y se generan peticiones http al dominio “googleanalytics.com”, enviándose datos como el parámetro cid que coincide con el valor de la cookie _ga, el parámetro _gid, que coincide con el valor de la cookie _gid, el parámetro sr, el campo user-agent, el campo accept-language, y la información sobre la página web visitada. Consta asimismo el parámetro aip=1. Se accede al “Aviso legal” disponible en la web. En el texto relativo a la “Política de cookies” se indica que el sitio web “utiliza cookies propias para el correcto funcionamiento del portal. Aparte, solo bajo aceptación expresa, utiliza cookies de terceros para estadísticas de acceso, que puede aceptar o rechazar mediante los siguientes enlaces. Para obtener más información y configurar sus preferencias, consulte la Política de cookies”; y para el caso de que el usuario acepte el tratamiento de datos de las cookies, se ofrece la información prevista en el artículo 13 del RGPD (responsable, contacto DPD, finalidad, base legal del tratamiento, plazo de conservación, ejercicio de derechos, reclamación ante la AEPD y destinatarios -“en caso de aceptar la instalación de cookies de terceros, Google recabará los datos de navegación vinculados a la IP truncada y, en todo, caso el tratamiento se llevará a cabo en territorio de la Unión Europea y Espacio Económico Europeo”). La información incluida en el apartado “Cookies utilizadas en la web” es similar a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 reproducida en el Antecedente Segundo, salvo en los párrafos siguientes: “Para garantizar el anonimato, Google Analytics no recaba la dirección IP completa, sino truncada, de forma que impide que Google Analytics la trate para localizar o recabar información personal identificable de los visitantes del sitio. Google Analytics solo podrá tratar la información sobre la IP truncada cuando se acepte de forma expresa el uso de las cookies conforme señala la política de privacidad. Esta información solo se recogerá en caso de aceptación expresa. En caso de no aceptarse, no se enviará la información relativa a la visita del sitio a Google Analytics. Deberá ejecutar esta acción cada vez que cambie de navegador o su configuración. Aceptación de la Política de cookies Este Portal no recopila ni envía datos a Google Analytics salvo aceptación expresa de la política de cookies de la página, en cuyo caso los datos de navegación se vincularán a la dirección IP truncada almacenada en el equipo”. 2. Con fecha 21/09/2022 se realizaron las siguientes comprobaciones: En relación con la web “mjusticia.gob.es”: . En el servicio web.archive.org, referido a la fecha 29/01/2022, consta un aviso de documentación aportada por la parte reclamante: “Información sobre cookies Este sitio web utiliza cookies propias, para facilitar la navegación y tus preferencias seleccionadas, y de terceros, para realizar estadísticas de acceso. Para obtener más información y configurar tus preferencias, consulta el apartado. Aceptar Rechazar”. . Con fecha 21/09/2022, en la versión inglesa de la web, consta un aviso de cookies de primera capa con el texto: “Información importante sobre las cookies Este sitio web utiliza cookies propias y de terceros para proporcionar un mejor servicio. Las cookies no se utilizan para recopilar información personal. Continuar navegando significa que aceptas el uso de las cookies. Para obtener más información, consulte nuestra política de cookies. Aceptar Rechazar” (traducción no oficial). . A través del servicio web.archive.org, se accedió al “Aviso legal” de la página web referido a fecha de 18/01/2022. Se comprueba que su contenido coincide con el reseñado en el Antecedente Primero. Respecto de la anonimización de la dirección IP en Universal Analytics: “(…). […] (…).” 3. Como consecuencia del requerimiento de información efectuado por los Servicios de Inspección, con fecha 18/11/2022 la entidad MPJRC comunicó a esta Agencia la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 siguiente información: 1. Que se incrustó el código de la herramienta de Google Analytics en el sitio web para recabar datos cuantitativos estadísticos de navegación con el objetivo de monitorizar y mejorar el funcionamiento del servicio. Que la herramienta que usan es ***HERRAMIENTA.1. 2. Que no tuvo la opción de transferir o no datos personales a EEUU. 3. Que actualmente se ha retirado el código de la herramienta en el sitio web. 4. Que solo han comunicado datos a Google. 5. Que los datos de usuarios de la web tratados por el responsable de la misma y por otros destinatarios han sido: número de páginas vistas, frecuencia y repetición de las visitas, su duración, el navegador utilizado, el operador que presta el servicio, el idioma, el terminal utilizado y la ciudad a la que está asignada la dirección IP. 6. Que está desactivada la opción que permite recabar datos de los usuarios que se hayan logado en su cuenta de Google. 7. Que Google Analytics anonimiza la dirección IP del usuario en cuanto es factible desde el punto de vista técnico. Esa conversión se realiza en memoria poco después de que la información se envíe a la herramienta. En este caso, la dirección IP completa nunca se guarda en el disco. 8. Que el código de la herramienta solo se integra previo consentimiento del usuario. 9. Que la conservación de los datos está configurada en 50 meses, sin que en ningún caso se almacene o conserve ninguna IP que no esté anonimizada, según la información de Google Analytics (se aporta captura de pantalla de esta configuración). 10. Que con la información actualmente disponible considera que el tratamiento se lleva a cabo únicamente en territorio de la Unión Europea. No obstante, la entidad MPJRC informa que, ante las dudas suscitadas en el presente expediente, se ha suspendido cautelarmente este tratamiento. 11. Que basan el tratamiento que supone la incorporación de Google Analytics a su sitio web en el consentimiento del art. 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, así como en el art. 6.1.

1. a)RGPD. Añade que, con la información disponible, considera que el tratamiento de datos se lleva a cabo únicamente en territorio de la Unión Europea y, por tanto, no existe transferencia internacional de datos. No obstante, ante las dudas surgidas se ha suspendido cautelarmente el tratamiento. 12. Que en relación con Google Analytics, Google es encargado del tratamiento y MPJRC es responsable del tratamiento. Que la fecha de aceptación de los términos de uso y del tratamiento es el 26/03/2018. A este respecto, adjunta la última versión de las Condiciones del Servicio de Google Analytics (actualización de 31/03/2021); y de los Términos del Tratamiento de Datos de Google Ads (versión 4.0 de 21/09/2022). Consultada la entidad MPJRC por los contratos suscritos con los destinatarios, se remite a estos documentos. Por otra parte, advierte que no está previsto ni regulado el tratamiento de datos para fines propios del encargado. 13. Que van a solicitar a Google: (
2. i)que les confirmen el detalle de los datos personales y no personales recabados, diferenciando los que se anonimizan y los que permanecen en claro; (
3. ii)que informe si los datos no anonimizados permiten identificar a los visitantes; (iii) si los datos se tratan fuera del territorio de la Unión Europea y, en ese caso, que informe sobre las medidas de seguridad técnicas y organizativas adoptadas para asegurar un nivel de protección adecuado. 14. Que ha decidió no seguir utilizando las cookies de Google Analytics, hasta que las cuestiones suscitadas sean resueltas y se verifique la adecuación del tratamiento a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 normativa de protección de datos personales. Con ese motivo, ha actualizado la Política de Cookies del sitio web para indicar que no utiliza cookies de terceros, solo banner para recogida de consentimiento. La entidad MPJRC aportó copia de las Condiciones del Servicio de Google Analytics actualizado a fecha de 31/03/2021, en las que consta: “Condiciones del servicio de Google Analytics Estos Términos del Servicio de Google Analytics (el presente "Contrato") se establecen entre Google Ireland Limited ("Google") y la entidad que celebra este Contrato ("Usted"). El presente Contrato regula el uso que Usted haga del servicio estándar de Google Analytics (el "Servicio"). […] […] 7. Privacidad […] En la medida de que el uso del Servicio por parte del Usuario este dentro del ámbito de aplicación de la licencia concedida, el Usuario y Google aceptan las Condiciones de Tratamiento de Datos en Anuncios de Google en https://privacy.google.com/businesses/processorterms (las "Condiciones de Tratamiento"). […]”. Asimismo, aportó copia de los Términos del Tratamiento de Datos de Google Ads en su versión de 21/09/2022. 4. Con fecha 29/11/2022 se realizaron las siguientes comprobaciones en relación con la web “mjusticia.gob.es”: . No constan llamadas al dominio google-analytics.com ni instalación de cookies asociadas a Google Analytics. . No consta aviso de cookies de primera capa . En el Aviso Legal consta: “[…] A continuación se identifican las cookies que están siendo utilizadas en esta web, así como su tipología y función: Se emplea una cookie de tipo técnico denominada JSESSIONID, propia. Esta cookie permite almacenar un identificador único por sesión a través del que es posible vincular datos necesarios para posibilitar la navegación en curso. Estas cookies técnicas propias se descargan por defecto y no están sujetas a la obligación de informar y consentimiento. […]”. . En “https://www.google.com/about/datacenters/locations/” constan ubicaciones de centros de datos de Google en Estados Unidos, entre otros países. . Que la C/ Jorge Juan, 6 28001 – Madrid url “https://privacy.google.com/businesses/processorterms” redirige a www.aepd.es sedeagpd.gob.es 10/24 “https://business.safety.google/adsprocessorterms/” donde se encuentra el contrato “Google Ads Data Processing Terms”. 5. Con fecha 30/11/2022 se incorpora a las presentes actuaciones documentación del expediente E/10531/2021, en la que consta la manifestación realizada por Google LLC en el documento de fecha 09/04/2021 remitido por dicha entidad a la autoridad austríaca de protección de datos, la cual lo comparte con el resto de las autoridades a través del Grupo de trabajo para las 101 reclamaciones de ***ORGANIZACIÓN.1 en el contexto de la sentencia del TJUE Schrems II (“101 Taskforce”, en adelante, grupo de trabajo TF101). Consta la siguiente información y manifestaciones (de su traducción no oficial del inglés): "1. (…): a. (…): i. (…). (…). ii. (…). iii. (…). (...) 6. (…). 7. (…). 8. (…). (...) 10. (…): a. (…). i. (…). ii. (…). b. (…). c. (…). d. (…). 11. (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 a. (…). b. (…). c. (…)”. 6. Con fecha 28/05/2024 se comprueba, en relación con la web www.mjusticia.gob.es, lo siguiente: . No consta ningún aviso de cookies. . Consta cookies instaladas sin consentimiento, aunque son todas de sesión excepto una que es persistente y cuyo nombre es “cookiesession1”. . No consta tráfico enviado al domino google-analytics.com. No constan cookies enviadas. . Que en la política de cookies de la página web, a fecha de 24/05/2024, consta un listado de las cookies, que son todas cookies de sesión excepto la cookie de terceros persistente con nombre “_GRECAPTCHA”, siendo Google su titular y siendo su finalidad, según la misma política de cookies, la siguiente: “Utilizada por el servicio GOOGLE RECAPTCHA en los formularios para evitar SPAM”. 7. Con fecha 31/05/2024 se envía requerimiento de información a la parte reclamada. La notificación se realiza electrónicamente a través de notific@. Según este sistema de notificación, se ha producido el rechazo automático al haber transcurrido diez días naturales desde su puesta a disposición. Con fecha 13/16/2024 se remitió un nuevo requerimiento de información por vía postal, que consta en estado “En curso”. De acuerdo con las comprobaciones realizadas, los Servicios de Inspección de esta AEPD concluyeron lo siguiente: 1. Respecto de la situación existente en el momento en el que la parte reclamante ejercitó el derecho de oposición al tratamiento, que tuvo lugar en fecha 24/01/2022: . El aviso de cookies de primera capa no hace referencia explícita a la aceptación o al rechazo de cookies (aunque sí consta un botón de aceptación y otro de rechazo), pero tampoco hace referencia a la aceptación de las mismas por el mero hecho de seguir navegando. . En fecha 18/01/2022, el aviso legal hacía referencia a la aceptación de cookies por el solo hecho de seguir navegando. . Respecto a la efectiva instalación de cookies y al envío de datos a GOOGLE, en fechas anteriores al 01/03/2022, no se ha podido constatar el comportamiento de la web. 2. Medidas adoptadas por la entidad MPJRC a partir del ejercicio del derecho de oposición por la parte reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 . En marzo y septiembre de 2022, el aviso de cookies de primera capa hacía referencia a la necesidad de aceptación expresa de cookies, para las cookies de terceros y también constaba una opción de aceptación y otra de rechazo. . En las mismas fechas de marzo y septiembre de 2022, el Aviso Legal hacía referencia a la aceptación expresa de cookies; mientras que en noviembre 2022 se informaba sobre el uso de 1 cookie de tipo técnica y no sujeta a la obligación de consentimiento. . Respecto a la efectiva instalación de cookies y al envío de datos a GOOGLE, a fecha 01/03/2022, sin interaccionar con la web, solo se instalaba 1 cookie de las de tipo persistente sin consentimiento de nombre “cookiesession1”, cuya finalidad está relacionada con la seguridad. A fecha de 19/09/2022 solo se instala, sin consentimiento, la misma cookie anterior, de tipo persistente. Solo si se aceptan las cookies se instalan cookies de Google Analytics y se genera tráfico dirigido al dominio google-analytics.com con el parámetro “cid” que coincide con el valor de la cookie “_ga”, el parámetro ”_gid”, que coincide con el valor de la cookie “_gid”, el parámetro “sr”, el campo “user-agent”, el campo “acceptlanguage”, y la información sobre la url y título de la página web visitada así como la dirección IP origen de la comunicación la cual siempre se envía en cualquier comunicación electrónica de tipo IP. A fecha 29/11/2022, con motivo de la visita al sitio web, solo se instala 1 cookie de las de tipo persistente (cookiesession1). No se instalan cookies de Google Analytics ni se genera tráfico al dominio google-analytics.com. 3. Respecto de la situación actual: . A partir de noviembre 2022 y hasta la fecha actual, no consta aviso de cookies de primera capa. . Aviso legal: actualmente en la política de cookies consta que solo usan una cookie (que no sea de sesión), aunque no se ha detectado dicha cookie durante las pruebas realizadas. . Respecto a la efectiva instalación de cookies y al envío de datos a GOOGLE, a fecha 28/05/2024, tras realizar una visita a la página web, solo se instala 1 cookie de las de tipo persistente, la cual está asociada a Google. No se detectan cookies ni tráfico asociado a Google Analytics. 4. Respecto a las transferencias internacionales: . El aviso legal no hace referencia explícita a las transferencias internacionales. . GOOGLE LLC manifestó en relación con Google Analytics, en fecha 09/04/2021, en el contexto del expediente E/10531/2021, que “(…).” . En el contrato TÉRMINOS DEL TRATAMIENTO DE DATOS DE GOOGLE ADS consta que Google podrá tratar Datos Personales del Cliente en cualquier país en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 que Google o cualquiera de sus Subencargados del Tratamiento tenga instalaciones. Y consta que Google posee instalaciones en EE. UU. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
4. f)y
5. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Cuestiones previas El presente procedimiento tiene por objeto el examen de la reclamación formulada ante esta AEPD por la parte reclamante, relacionada con el derecho de oposición ejercitado ante la entidad MPJRC, el cual, a juicio de la parte reclamante, no fue debidamente atendido. Por tanto, este acto no supone ningún pronunciamiento sobre ninguna de las cuestiones que se ponen de manifiesto con ocasión del análisis y evaluación del citado ejercicio de derecho. Entidad responsable El ejercicio del derecho de oposición está referido a los tratamientos de datos personales que resulta del uso de cookies relacionadas con el servicio de Google Analytics por la web “mjusticia.gob.es” y la transferencia internacional de datos personales que conlleva, resultando conveniente, en primer término, determinar la condición bajo la que interviene la entidad reclamada. De acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de tratamiento de datos personales relativos a usuarios de la web “mjusticia.gob.es”, toda vez que la entidad MPJRC realiza la recogida y tratamiento a través del servicio Google Analytics de, entre otros, los siguientes datos personales de personas físicas: identificadores únicos de usuarios (_ga y _gid), la dirección IP, así como otros datos asociados al navegador y a la propia navegación. MPJRC realiza esta actividad en su condición de responsable del tratamiento, dado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD, que define la figura de “responsable del tratamiento” como sigue: . “Responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El responsable del tratamiento lo es desde el momento que decide los fines y los medios del tratamiento. Así se expresa indubitadamente en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD: “Un responsable del tratamiento es quien determina los propósitos y los medios del tratamiento, es decir, el porqué y el cómo del tratamiento. El responsable del tratamiento debe decidir sobre ambos propósitos y medios. Sin embargo, algunos aspectos más prácticos de la implementación ("medios no esenciales") se pueden dejar en manos del encargado del tratamiento. No es necesario que el responsable tenga realmente acceso a los datos que se están tratando para calificarse como responsable” (traducción no oficial). Determinar quién decide los medios y los fines del tratamiento de datos es crucial para establecer quién es responsable del cumplimiento de las normas de protección de datos personales, y en particular quién debe facilitar información a las personas interesadas o atender los derechos del interesado, etc. En el presente caso, consta que MPJRC es la titular de la web “mjusticia.gob.es” y es quien determina los fines y los medidos respecto de los tratamientos de datos que conlleva el acceso a dicha web por los usuarios de la misma. Por tanto, es la entidad responsable de los tratamientos de datos personales que tienen causa en el uso de dicha web. Esta circunstancia no ha sido discutida por MPJRC. . Datos personales y transferencias internacionales de datos. Por otra parte, teniendo en cuenta el objeto de la solicitud de derecho de oposición formulada por el interesado, es necesario analizar si la utilización de cookies por aquella web conllevaba, en el momento en que se ejercita el derecho, la recogida de datos personales de los usuarios de la misma. Por tanto, concluida la utilización de Google Analytics, debe examinarse si ese uso da lugar al tratamiento de datos personales, incluida su transferencia internacional. Para decidir sobre esta cuestión, la AEPD acordó la realización de actuaciones previas de investigación, cuyo resultado consta reseñado en los antecedentes de este acto. Pues bien, las actuaciones desarrolladas permiten concluir que las cookies de Google Analytics recopilan datos personales de los usuarios, los cuales son objeto de transferencia internacional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 Entre esos datos figuran identificadores únicos de usuarios (_ga y _gid), la dirección IP, así como otros datos asociados al navegador y a la propia navegación o información del sistema, entre otros. El artículo 4.1 del RGPD define los datos personales como «toda información relativa a una persona física identificada o identificable («el interesado»); una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador, como un nombre, un número de identificación, datos de ubicación, un identificador en línea o uno o varios factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física.». Cabe señalar que los identificadores en línea, como las direcciones IP o la información almacenada en las cookies, pueden utilizarse comúnmente para identificar a un usuario, especialmente cuando se combinan con otros tipos de información similares. Esto se ilustra en el considerando 30 del RGPD, según el cual la asignación de identificadores en línea como direcciones IP, identificadores de cookies a personas físicas o sus dispositivos pueden “dejar rastros que, en particular cuando se combinan con identificadores únicos y otra información recibida por los servidores, pueden utilizarse para crear perfiles de las personas físicas e identificarlos”. El TJUE ya ha declarado que las direcciones IP son datos personales (véase el asunto C-597-19, punto 102 y C-582/14, punto 49). La dirección IP no pierde su naturaleza de datos personales simplemente porque los medios de identificación residen en terceras entidades. Además, el caso en cuestión es muy diferente, ya que la dirección IP puede combinarse con otros elementos. En lo que respecta a los identificadores únicos, están destinados a diferenciar individuos y hacen que éstos sean identificables. Estos identificadores también pueden combinarse con otra información, como la dirección del sitio web visitado, los metadatos relativos al navegador y el sistema operativo, la hora y los datos relativos a la visita al sitio web y la dirección IP. Esta combinación de información diferencia aún más a los individuos. Es decir, la combinación de varios elementos puede permitir identificar individualmente a los visitantes de la página web “mjusticia.gob.es”, en la que se implementa Google Analytics, sin perjuicio de que estos visitantes puedan ser identificados mediante identificadores únicos, sin necesidad de dicha combinación de datos. Si se decidiera lo contrario, el alcance del derecho a la protección de datos, garantizado por el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, se vería socavado, ya que permitiría a las empresas seleccionar específicamente a las personas junto con la información personal (por ejemplo, cuando visitan un sitio web específico) al mismo tiempo que les negaría cualquier derecho de protección contra tal singularización. Una opinión tan restrictiva que socavaría el nivel de protección de las personas tampoco está en consonancia con la jurisprudencia del Tribunal de Justicia de la Unión Europea (en adelante, TJUE), que dictaminó repetidamente que el ámbito de aplicación del RGPD debe entenderse de manera muy amplia (véase, por ejemplo, la sentencia C-439/19, apartado 61). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 Aparte de esto, en el caso de que algún visitante de la web “mjusticia.gob.es” hubiese iniciado sesión en una cuenta de Google en el momento de su visita, la implementación de Google Analytics en el sitio web permite a Google recibir la información de que un usuario específico conectado a una cuenta de Google ha visitado ese sitio web. Por lo tanto, se recopilan datos personales relacionados con esta cuenta. Por todo ello, debe considerarse que los datos en cuestión son datos personales en el sentido del artículo 4.1 del RGPD. Todos esos datos personales recopilados a través de una web que integra la función Google Analytics se transfieren a los servidores de Google en Estados Unidos. Incluso, en los términos que acepta el titular de una web que incorpora esta función se contempla que Google pueda almacenar y tratar datos personales en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones. Y consta que Google posee instalaciones en EEUU. Volviendo al documento enviado por Google LLC con fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8, Google manifiesta que todos los datos recopilados a través de Google Analytics están alojados en los Estados Unidos. Por lo tanto, los datos recopilados en el sitio web “mjusticia.gob.es” a través de Google Analytics se transfieren a los Estados Unidos. Se producen transferencias a Google de al menos los siguientes datos: contenido de la cookie _ga, y gid, datos del navegador, dirección IP y la página web visitada. Se anonimiza la dirección IP, mediante truncamiento del último octeto, aunque sigue transmitiéndose y recibiéndose por Google de forma completa, aunque sea por un corto período de tiempo. III Derecho de oposición Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de derechos” del RGPD establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” 4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
6. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
7. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD). Asimismo, el responsable del tratamiento viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado; así como a expresar los motivos en caso de que no atendiera la solicitud. De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el interesado debe ser respondida en todo caso, recayendo sobre el responsable la prueba del cumplimiento de este deber. Esta obligación de actuar no resulta exigible cuando el responsable del tratamiento pueda demostrar que no está en condiciones de identificar al interesado (en los casos a que se refiere el artículo 11.2 del RGPD). En supuestos distintos al previsto en este artículo, en los que el responsable del tratamiento tenga dudas razonables en relación con la identidad del solicitante, podrá requerir información adicional necesaria para confirmar esa identidad. A este respecto, el Considerando 64 del RGPD se expresa en los términos siguientes: “