1/23 Expediente N.º: EXP202203588 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante parte reclamante), con fecha 16/02/2022, interpuso reclamación ante la Agencia Española de Protección de datos, dirigida contra la entidad JUSTICIAPP, S.L. (en adelante JUSTICIAPP o parte reclamada), con NIF B16822066, por no haber “contestado satisfactoriamente a la petición de acceso” ejercitada ante dicha entidad en fecha 09/02/2022. En dicha reclamación, la parte recurrente puso de manifiesto los siguientes hechos: “En fecha 9/2/2022, como usuario registrado en la web Justiciapp, presenté ante el responsable del tratamiento solicitud de acceso de los datos personales: 1º sobre los terceros a los que se ha facilitado acceso a mis datos personales con la finalidad de realizar comunicaciones comerciales así como que especifique qué datos personales han sido objeto de cesión a estos terceros; 2º sobre datos personales son objeto de transferencia internacional y una copia de las garantías adecuadas que dichos proveedores de servicios han adoptado; y 3º sobre si, a pesar de haber rechazado el uso de cookies no prestando mi consentimiento, el hecho de registrarme o de navegar en la web de Justiciapp instala las citadas cookies de Google Analytics, y en caso afirmativo, que indique qué datos personales son tratados, si el uso de Google Analytics supone su transferencia internacional fuera del Espacio Económico Europeo y que se aporte una copia de las garantías adecuadas adoptadas en dicha transferencia. En fecha 15/2/2022 ha denegado los accesos solicitados, a mi modo de ver injustificadamente, toda vez que la web en efecto procesa datos personales, previene su transferencia internacional a terceros países, y usa cookies susceptibles de realizar dichas transferencias internacionales”. Con su reclamación aporta la documentación siguiente: 1. Correo electrónico de fecha 09/02/2022, dirigido por la parte reclamante a la dirección “***EMAIL.1”, con el asunto “Ejercicio de derecho de acceso” y el texto siguiente: “Como usuario de la web JusticiApp vengo a ejercitar mi derecho de acceso relativo al su procesamiento de mis datos personales en varios aspectos detallados en su política de privacidad y de cookies. En el punto 4 de su política de privacidad se indica “Comunicaciones comerciales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 Cuando aceptas recibir comunicaciones comerciales nos autorizas a tratar tu correo electrónico, número de teléfono, nombre y apellido para este propósito. Puedes optar por no recibir estas comunicaciones en cualquier momento. El fundamento legal para el tratamiento de tus datos personales con este fin es el artículo 6.1.f del RGPD. Si no desearas recibir más correos electrónicos, puedes cancelar la suscripción en cualquier momento utilizando la función de cancelación de suscripción habilitada en cada mensaje de correo electrónico, o puedes ponerte en contacto con nosotros a través de la dirección ***EMAIL.1. La base legal que legitima el tratamiento es el consentimiento en el momento en el que has marcado la casilla habilitada en el formulario, o cuando te has inscrito para recibir la newsletter de JUSTICIAPP, S.L. Asimismo, en base a nuestro interés legítimo, desde JUSTICIAPP, S.L., podremos enviarte información sobre productos y servicios similares. Eliminaremos la dirección de correo electrónico una vez que se haya optado por no recibir el boletín, a menos que también se utilice y pueda ser conservada para otros fines de los enumerados en esta Política de Privacidad”. Por la presente vengo a ejercitar mi derecho de acceso sobre los terceros a los que se ha facilitado acceso a mis datos personales con la finalidad de realizar comunicaciones comerciales así como que especifique qué datos personales han sido objeto de cesión a estos terceros. En el punto 4 de su política de privacidad se indica “Algunos de nuestros proveedores tienen su sede fuera del Espacio Económico Europeo, por lo que podemos transferir sus datos personales a terceros países. Siempre nos aseguramos de que estas transferencias cumplan con los requisitos del RGPD, exigiendo a los proveedores de servicios que adopten las medidas adecuadas para proteger la confidencialidad, integridad y seguridad de los datos personales. Además, estamos obligados a facilitar datos personales a las autoridades que nos lo soliciten, cuando ello sea necesario para el cumplimiento de una obligación legal o mandato judicial. En cualquier caso, todas estas comunicaciones de datos se ajustarán a lo dispuesto en el RGPD”. Por la presente vengo a ejercitar mi derecho de acceso de modo que se especifique qué datos personales son objeto de transferencia y una copia de las garantías adecuadas que dichos proveedores de servicios han adoptado. En su política de cookies se manifiesta que se hace uso de Google Analytics. En el apartado 5 se indica “Para optar por no ser rastreados por Google Analytics en el Sitio Web, visite el siguiente enlace: https://tools.google.com/dlpage/gaoptout?hl=es. Salvo que haya ajustado la configuración de su navegador, nuestro sistema creará presente que todos los navegadores de Internet permiten el cambio de dicha configuración”. Por la presente vengo a ejercitar mi derecho de acceso sobre si, a pesar de haber rechazado el uso de cookies no prestando mi consentimiento, el hecho de registrarme o de navegar en la web de JusticiApp instala las citadas cookies de Google Analytics, y en caso afirmativo, que indique qué datos personales son tratados, si el uso de Google Analytics supone su transferencia internacional fuera del Espacio Económico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 Europeo y que se aporte una copia de las garantías adecuadas adoptadas en dicha transferencia”. Con esta solicitud de acceso a los datos personales, la parte reclamante aportó copia de la política de privacidad y política de cookies de JUSTICIAPP y copia de su DNI. 2. Respuesta de JUSTICIAPP, de fecha 15/02/2022, por la que se acusa recibo de La solicitud de la parte reclamante y se informa lo siguiente: “Queremos informarle de que no existe, ni ha existido, ningún dato personal suyo (ni su nombre ni ningún otro) que haya sido tratado, usado o cedido por parte de JusticiApp, S.L. Puede usted mismo comprobarlo en el buscador de la App. Lamentamos el malentendido, y nos ponemos a su entera disposición para cualquier duda que pudiera tener”. 3. “Política de cookies” disponible en la web “***URL.2”. 4. “Política de Privacidad” disponible en la web “***URL.2”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. En el escrito de traslado, de fecha 08/04/2022, se indica: “Hechos que motivan la reclamación: Se considera que se ha recibido una contestación incompleta ante la solicitud de acceso interesada ante el responsable del tratamiento”. TERCERO: Con fecha 04/05/2022, se recibe en esta Agencia escrito de respuesta de la entidad JUSTICIAPP, en el que manifiesta lo siguiente: 1. Después de señalar que es titular de la aplicación para dispositivos móviles “JusticiApp”, a la que se refiere como la “Plataforma”, indica que al recibir la comunicación de traslado de la AEPD procedió a satisfacer los intereses de la parte reclamante, en lo relativo a la solicitud de derecho de acceso, remitiéndole un escrito mediante correo electrónico de 04/05/2022, haciendo efectiva dicha solicitud. En base a ello, entiende que se han desvirtuado las causas que dieron lugar a la reclamación. 2. La solicitud no se atendió en tiempo y forma por un error puntual y aislado, al no encontrar la información de la parte reclamante en sus sistemas de información debido a que se filtró únicamente la base de datos de jueces y magistrados, y no la relativa a abogados, procuradores y graduados sociales. Como consecuencia, se informó a la parte reclamante que sus datos no constaban en la base de datos de JUSTICIAPP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 3. Conocidos los hechos, ha llevado a cabo un plan de acción para afrontar la situación, habiendo mejorado sus parámetros internos en relación con la búsqueda de los datos personales tratados. Con su respuesta, aporta los documentos siguientes: 1. Correo electrónico, de fecha 04/05/2022, remitido a la parte reclamante desde la dirección “***EMAIL.2”, con el asunto “ejercicio de derecho de acceso” y el texto siguiente: “Nos dirigimos a Ud. en nombre de la mercantil JUSTICIAPP, S.L. en relación con la solicitud de ejercicio de derecho de acceso. En primer lugar, queremos trasladarle nuestras más sinceras disculpas puesto que, debido a un error humano, puntual y aislado, cuando se recibió su solicitud de ejercicio de derecho de acceso, se efectuó una búsqueda por su nombre y apellidos en la base de datos de JUSTICIAPP, estando metido el filtro “jueces y magistrados”, es por ello que, el resultado de la búsqueda fue que no figuraban sus datos personales en los sistemas de información de JUSTICIAPP y se le respondió en ese sentido. Sin perjuicio de lo anterior, una vez trasladadas nuestras disculpas por los inconvenientes que le haya podido causar una demora en la respuesta a su solicitud… le comunicamos que JUSTICIAPP se encuentra tratando datos de carácter personal, de los cuales usted es titular, tal y como veremos a continuación. No obstante, lo anterior y con carácter previo a ofrecerle un detalle de la información tratada, procedemos a dar respuesta a las cuestiones formuladas por usted a través de su solicitud. Esto es: (
- i)… hasta la fecha, ninguno de los datos de carácter personal de los cuales usted es titular ha sido comunicado a terceros. En conclusión, no ha existido ninguna cesión de datos para la finalidad indicada (realizar comunicaciones comerciales). (
- ii)Respecto a los datos que han sido objeto de transferencia internacional y una copia de las garantáis adecuadas que dichos proveedores de servicios han adoptado, le informamos que sus datos están siendo tratados por Google como proveedor de servicios relacionados con las aplicaciones de ofimática. En este sentido, dicho proveedor ofrece garantías adecuadas respecto a las obligaciones contempladas en la normativa europea de protección de datos, las cuales pueden encontrar en la siguiente URL ***URL.1. JUSTICIAPP ha aceptado en el momento de la contratación de los servicios de Google, sus Condiciones Generales en las que se regula la prestación de servicios con acceso a datos y la transferencia internacional de datos, dando escrupuloso cumplimiento respecto a las disposiciones previstas en la normativa europea y española de protección de datos. (iii) En relación con la cuestión planteada respecto de la instalación de cookies de Google Analytics por el mero hecho de navegar en la web o registrarse, sin que haya dado su consentimiento debemos aclarar que las cookies analíticas solamente son instaladas en su navegador si usted lo acepta expresamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 …pese a haberle ofrecido una respuesta a las cuestiones planteadas, queremos detallarle toda la información que le afecta consecuencia del uso de la Plataforma JusticiApp. Puede consultar la Política de Privacidad de la misma, aquí: (
- i)Sus datos han sido obtenidos a través del registro como usuario en la Plataforma. (
- ii)Las categorías de datos que actualmente tratamos sobre usted son datos identificativos, datos de contacto y datos de empleo, así como los que se hayan podido extraer a través de los contenidos que haya generado como usuario. En concreto: Nombre y apellidos: A.A.A.. Correo electrónico: ***EMAIL.3. · Profesión: "XXXXXX”. · DNI (facilitada una copia por usted en el email donde ejerce su derecho de acceso). IP y comportamiento en la plataforma de acuerdo con lo establecido en nuestra Política de Cookies. (iii) Sus datos son tratados para las siguientes finalidades: · Gestión de la relación contractual generada mediante el registro llevado a cabo por Ud. en la Plataforma JusticiApp, con base en el cumplimiento de la relación contractual. · Dar respuesta a las cuestiones planteadas por el usuario a través de los canales de contacto habilitados, con base en el consentimiento. · Llevar a cabo la elaboración de informes, estadísticas y/o análisis, con base en un interés legítimo. · Prevención y control de la utilización de la Plataforma JusticiApp con fines ilegales o no autorizados, con o sin finalidad económica, con base en el interés legítimo de la Compañía. · Optimización de los servicios y detección de errores y problemas de la Plataforma JusticiApp, con base en un interés legítimo de la Compañía. · Dar cumplimiento a obligaciones legales con base en dicha causa legitimadora. (
- iv)Sus datos personales serán conservados por parte de JUSTICIAPP conforme a los siguientes plazos… (
- v)Todos los datos personales facilitados por el usuario a través de la Plataforma JusticiApp, podrán ser comunicados a: · Administraciones Públicas, en los casos previstos en la ley, en base al cumplimiento de una obligación legal. · Juzgados y Tribunales, en los casos previstos en la ley, en base al cumplimiento de una obligación legal. No obstante, sus datos no han sido comunicados a terceros. Además, JUSTICIAPP contará con la colaboración de terceros proveedores de servicios que pueden tener acceso a sus datos personales, los cuales tratarán en nombre y por cuenta de JUSTICIAPP datos del usuario, con motivo de la prestación de servicios… Concretamente, JUSTICIAPP contará con la prestación de servicios por parte de terceros proveedores que desempeñan su actividad, a título enunciativo y no limitativo, en los sectores de actividad: asesoramiento jurídico y servicios tecnológicos e informáticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 Asimismo, le informamos que puede ejercitar en cualquier momento su derecho de rectificación, supresión, limitación, portabilidad y oposición de sus datos personales conforme a la normativa vigente, así como revocar los consentimientos inicialmente otorgados… Para cualquier aclaración o sugerencia, puede contactar con JUSTICIAPP en la dirección de correo electrónico ***EMAIL.1. Finalmente, le recordamos que puede presentar una reclamación ante la Agencia Española de Protección de Datos. La presente comunicación se entiende a efectos de contestación de su solicitud”. 2. Documento que detalla el “Procedimiento de ejercicio y atención de derechos en materia de protección de datos”, emitido en fecha 05/01/2022. CUARTO: Con fecha 11/05/2022, de conformidad con el artículo 65 de la LOPDGDD, se acordó admitir a trámite la reclamación presentada por la parte recurrente. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: A) Con fecha 15/03/2022 se genera un informe respecto de la web “***URL.2” utilizando la herramienta (...), en el que consta: 1. Un aviso de cookies de primera capa con el texto “Utilizamos cookies para asegurar que damos la mejor experiencia al usuario en nuestro sitio web”. Incorpora un botón con el texto “Estoy de acuerdo”, otro botón “No estoy de acuerdo” y otro más con el texto “Términos y condiciones”. 2. Sin realizar ninguna acción sobre la página web, no se instalan cookies asociadas a Google Analytics, solo cookies persistentes, y no consta tráfico dirigido a googleanalytics.com. B) Con fecha 19/09/2022 y 20/09/2022 se comprueba respecto de la web “***URL.2”: 1. En fecha 19/09/2022 consta un aviso de cookies de primera capa con el siguiente texto: “Utilizamos cookies y tecnologías similares propias y de terceros, de sesión o persistentes, para hacer funcionar de manera segura nuestra plataforma. Igualmente, utilizamos cookies para medir y obtener datos de la navegación que realizas. Puedes configurar y aceptar el uso de cookies a continuación. Asimismo, puedes modificar tus opciones de consentimiento en cualquier momento visitando nuestra Política de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 Incorpora un botón con el texto “Aceptar todas las cookies” y otro “Configurar”. 2. En fecha 19/09/2022, sin realizar ninguna acción sobre la página web, no se instalan cookies asociadas a Google Analytics. 3. Consta un aviso de cookies de segunda capa donde se distingue entre cookies técnicas (habilitadas por defecto) y cookies analíticas (deshabilitadas por defecto). 4. Solo aceptando las cookies analíticas se instalan cookies de Google Analytics en el navegador y se envía una petición http al subdominio (…). 5. Que en fecha 20/09/2022 en la política de cookies de la web consta: “[…] Estas Cookies permiten realizar un seguimiento y análisis del comportamiento de los usuarios, incluida la cuantificación de los impactos de los anuncios. La información recogida mediante este tipo de Cookies se utiliza en la medición de la actividad de la Plataforma con el fin de introducir mejoras en función del análisis de los datos de uso que hacen los usuarios del servicio. […] Finalidad Google Analytics es una herramienta de analítica web que utiliza la información de las media de la visita, la media de páginas vistas por cada usuario, informes geográficos, sociodemográficos (en función del idioma, ubicación, proveedor de internet, dispositivo móvil… Caducidad 2 años Control y borrado de Cookies. Con la herramienta de configuración de Cookies, tiene la posibilidad de rechazar o aceptar Cookies que requieran de su consentimiento. También puede bloquear y eliminar Cookies cambiando la configuración de su navegador. […]”. 6. Que en fecha 20/09/2022 en la Política de Privacidad consta: Que se tratan “datos de navegación en la plataforma: IP, comportamiento en la plataforma” para la elaboración de informes, estadísticas y análisis internos para mejorar los servicios de la plataforma; prevención y control de la utilización de la Plataforma con fines ilegales o no autorizados, con o sin finalidad económica; y optimización de los servicios y detección de errores y problemas de la Plataforma. C) En respuesta al requerimiento de información efectuado por la inspección de Datos, con fecha 21/11/2022, la parte reclamada informó lo siguiente: En relación con la parte reclamante manifiesta: 1. Que los datos personales de que disponen del reclamante son nombre y apellidos, profesión, correo electrónico y un identificador, que consta de 28 dígitos alfanuméricos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 con mayúsculas y minúsculas (aporta captura de pantalla de sus sistemas). 2. Que los datos del reclamante no han sido comunicados a terceros con finalidad de comunicaciones comerciales en ningún momento, ni se tiene prevista su comunicación con esa finalidad. En relación con los tratamientos relacionados con Google Analytics y su sitio web manifiesta: 3. La versión de Google Analytics usada es XXXXX (en adelante, la herramienta), con configuraciones básicas y registro de eventos. Utilizan únicamente el servicio de analíticas. 4. Usan Google Analytics para la medición y analítica de su plataforma, para poder optimizar y mejorar los servicios ofrecidos. 5. Que Google les dio la opción y eligieron el almacenamiento de la información en servidores de Google en Europa Occidental. (…). 6. Actualmente sigue incrustado el código de la herramienta Google Analytics en su página web. 7. Que JUSTICIAPP no comunica datos de los usuarios registrados en su sitio web a terceros con fines comerciales. Tampoco comunica ningún dato personal a terceros con independencia de la finalidad perseguida, salvo obligación legal. 8. Que la funcionalidad habilitada a través del código de la herramienta Google Analytics no permite visualizar datos personales, resultando imposible a la parte reclamada identificar a un interesado que se encuentre detrás de los análisis estadísticos que Google les proporciona. 9. Que la información que visualizan como consecuencia de la implementación del código de Google Analytics en su plataforma, no se ve alterada como consecuencia del inicio de sesión en Google ni tampoco dependiendo de si el usuario se ha registrado en su plataforma o no. 10. Que el código de la herramienta Google Analytics se integra directamente cuando el usuario da su consentimiento a través de la plataforma aceptando la instalación de 11. Que no almacena datos de carácter personal derivados de la implementación de la herramienta. 12. Que no obstante lo anterior, la información obtenida a través de Google Analytics, tal y como se encuentra debidamente recogido en la Política de Cookies, se almacena durante un máximo de dos
(2)años, siempre y cuando el usuario haya consentido expresamente su instalación. 13. Que la base legal para el uso de la herramienta es el consentimiento del usuario a la hora de aceptar las cookies. 14. Que Google se configura en sus Condiciones de Servicio como encargado del tratamiento, independientemente de si sus clientes pueden o no tener acceso a datos. 15. Que JUSTICIAPP actúa como responsable del tratamiento pese a no visualizar datos de carácter personal. 16. Que las condiciones del servicio las aceptaron con fecha 07/07/2019. 17. Que la entidad con la que suscriben la prestación de servicios es GOOGLE IRELAND LIMITED, sociedad que se encuentra dentro del Espacio Económico Europeo. Por tanto, JUSTICIAPP no realiza directamente ningún tipo de transferencia internacional de datos. 18. Que, según se refleja en las Condiciones del Servicio, Google podría, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 determinados servicios o atendiendo a las configuraciones de las entidades contratantes, realizar transferencias internacionales de datos a otras empresas sitas fuera del Espacio Económico Europeo, regulándose las mismas en el marco del artículo 46 RGPD a través de las cláusulas contractuales tipo (en adelante CCT) acordes al modelo determinado por la Decisión 2021/914. 19. Que las CCT suscritas ofrecen las garantías adecuadas. 20. JUSTICIAPP informa en su Política de Privacidad de las posibles transferencias internacionales de datos que pueden tener lugar. 21. Aporta Registro de Actividades del Tratamiento relativo al tratamiento “Analítica: permiten realizar un seguimiento y análisis del comportamiento de los usuarios, incluida la cuantificación de los impactos de los anuncios.” Consta, entre otra información: a. “Categorías de Datos”: “Datos de navegación anonimizados: comportamiento en la plataforma, información de navegación y comportamiento.” b. JUSTICIAPP es el responsable del tratamiento. c. GOOGLE IRELAND LIMITED es encargado del tratamiento. d. En el apartado “Transferencia internacional- Destinatario” consta que GOOGLE IRELAND LIMITED puede transferir datos a sus subcontratistas. Respecto de los tratamientos relacionados con el uso de aplicaciones ofimáticas, en relación con el sitio web manifiesta: 22. Que se utiliza la versión de la herramienta XXXXXX. Que la configuración utilizada es XXXXXXX. Que se utiliza el servicio de autenticación. 23. Que se da la posibilidad de que cada usuario inicie sesión y se registre a través de su cuenta de Google. Que el motivo es ofrecer mayores garantías técnicas en relación con el almacenamiento y administración de las contraseñas. Que puede autenticar a los usuarios sin tener que almacenar y administrar sus contraseñas. Aporta una captura de pantalla de “Inicio de sesión” donde consta la posibilidad de “Iniciar sesión”, o pulsar un enlace “Registrarse” o bien pulsar un botón “Entrar con Google”. Aporta una captura de pantalla de “Registro” donde constan los campos “Nombre y apellidos”, “email”, “contraseña”, “profesión” y un botón “Registrarse”. 24. Manifiesta que: “[…]son los propios usuarios quienes, en ejercicio de su autonomía de la voluntad y libertad: (
- i)facilitan voluntariamente los datos a Google, el titular de la Herramienta, autorizando las operaciones de registro y autenticación en plataformas de terceros, como JUSTICIAPP; (
- ii)deciden dar su consentimiento para usar la Herramienta como mecanismo de registro e identificación, al seleccionar el registro en la Plataforma a través del login de Google; (iii) no utilizan el mecanismo alternativo que le propone la Plataforma, introduciendo sus datos personales de manera manual, optando por el registro utilizando la Herramienta.” 25. Que no comunican los datos personales de los usuarios registrados en su plataforma a terceros independientemente del fin perseguido, salvo obligación legal. 26. Que no comunican datos personales a Google, sino que es Google quien, si el usuario lo es también de Google y ha dado su consentimiento, comunica los datos estrictamente necesarios y facilitados por el usuario, a JUSTICIAPP. Que Google les comunica los datos de nombre, correo electrónico, fotografía del perfil de Google en caso de existir, preferencia de idioma. (adicionalmente la plataforma solicita al usuario la profesión). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 27. Que los datos tratados de los usuarios que no utilicen el login de Google son nombre y apellidos, correo electrónico, contraseña, profesión. 28. Que no comunican datos personales a terceros como consecuencia de la implementación de la herramienta. 29. Que tratan los datos en el Espacio Económico Europeo. 30. Que la relación entre Google y JUSTICIAPP es de responsable a responsable (responsables independientes), actuando Google como cedente de datos y JUSTICIAPP como cesionario. 31. Que los contratos que rigen la relación entre Google y JUSTICIAPP son los que se encuentran en la url https://cloud.google.com/terms/google-entity. 32. Que siguen utilizando la herramienta puesto que se han aportado las garantías necesarias para el desarrollo seguro de esta herramienta y el cumplimiento de la normativa de protección de datos. 33. Que JUSTICIAPP no realiza transferencias internacionales de datos en el marco de la herramienta. (…). E) Los Servicios de Inspección de la AEPD solicitaron información a Google LLC en relación con los datos personales recogidos a través de Google Analytics con motivo de las visitas de usuarios de internet a sitios web de terceros que tengan implementada dicha herramienta. Con fecha 15/11/2023, Google LLC aportó la siguiente información respecto de los titulares de los sitios web y el uso de Google Analytics: (…). F) Con fecha 27/05/2024, se comprueba respecto de la página web “***URL.2”: 1. Que consta un aviso de cookies de primera capa Cuya configuración es idéntica a la comprobada en fecha 19/09/2022. 2. Que tras visitar la página web sin interaccionar con la web ni aceptar sus cookies, no constan cookies instaladas ni tráfico dirigido al dominio google-analytics.com. 3. Tras rechazar todas las cookies por medio del aviso de cookies de segunda capa, no constan cookies instaladas ni tráfico dirigido al dominio google-analytics.com. 4. Que consta un aviso de cookies de segunda capa que distingue entre cookies técnicas (las cuales no pueden habilitarse ni deshabilitarse) y cookies analíticas (deshabilitadas por defecto). 5. Tras rechazar todas las cookies por medio del aviso de cookies de segunda capa, y navegando posteriormente por la página web, no constan cookies instaladas ni tráfico dirigido al dominio google-analytics.com. 6. Tras visitar la página web aceptando todas sus cookies, se instalan cookies de Google Analytics y se generan peticiones enviadas al dominio (…). Desaparece el panel de cookies no constando, al menos de forma visible, la manera de revocar el consentimiento. G) Con fecha 13/06/2024 se comprueba nuevamente la política de cookies de JUSTICIAPP. Como fecha de última actualización se indica abril 2022 y ofrece la misma información que consta reseñada en el punto 5 del apartado B) anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 H) En respuesta al requerimiento de información efectuado por la Inspección de Datos, con fecha 21/06/2024, la parte reclamada informó lo siguiente: 1. Aporta un procedimiento de atención de derechos. En dicho procedimiento consta como fecha de la primera versión del documento enero de 2022 y revisado en octubre 2023. 2. Aporta una captura de pantalla que permite al usuario, mediante un clic en pantalla, consentir al envío de comunicaciones comerciales sobre productos y servicios relacionados con JUSTICIAPP, así como para consentir al envío de comunicaciones comerciales sobre productos y servicios no relacionados con JUSTICIAPP. 3. JUSTICIAPP no ha realizado hasta la fecha comunicaciones comerciales ni en relación con productos y servicios similares a los ofrecidos por la Plataforma, ni tampoco sobre productos no relacionados con la Plataforma. 4. La forma de revocar dichos consentimientos es enviando un escrito a JUSTICIAPP a través de correo electrónico “***EMAIL.1” o bien por correo postal, tal y como se indica en la política de privacidad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Cuestiones previas El presente procedimiento tiene por objeto el examen de la reclamación formulada ante esta AEPD por la parte reclamante, relacionada con el derecho de acceso ejercitado ante la entidad JUSTICIAPP, el cual, a juicio de la parte reclamante, no fue debidamente atendido. Por tanto, este acto no supone ningún pronunciamiento sobre ninguna de las cuestiones que se ponen de manifiesto con ocasión del análisis y evaluación del citado ejercicio de derecho. . Entidad responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 La entidad JUSTICIAPP es titular de la plataforma “Justiciapp”, accesible a través de dispositivos móviles y en la web “***URL.2” para usuarios registrados. El ejercicio del derecho de acceso está referido a los tratamientos de datos personales que resulta del uso de la plataforma “Justiciapp”, incluidos aquellos tratamientos que conlleva el uso de cookies relacionadas con el servicio de Google Analytics y la transferencia internacional de datos personales. Resulta conveniente, en primer término, determinar la condición bajo la que interviene la entidad reclamada. De acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de tratamientos de datos personales, toda vez que la entidad JUSTICIAPP realiza la recogida y tratamiento de datos a través de la plataforma y web citadas, relativos a los usuarios registrados. JUSTICIAPP realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD, que define la figura de “responsable del tratamiento” como sigue: . “Responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El responsable del tratamiento lo es desde el momento que decide los fines y los medios del tratamiento. Así se expresa indubitadamente en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD: “Un responsable del tratamiento es quien determina los propósitos y los medios del tratamiento, es decir, el porqué y el cómo del tratamiento. El responsable del tratamiento debe decidir sobre ambos propósitos y medios. Sin embargo, algunos aspectos más prácticos de la implementación ("medios no esenciales") se pueden dejar en manos del encargado del tratamiento. No es necesario que el responsable tenga realmente acceso a los datos que se están tratando para calificarse como responsable” (traducción no oficial). Determinar quién decide los medios y los fines del tratamiento de datos es crucial para establecer quién es responsable del cumplimiento de las normas de protección de datos personales, y en particular quién debe facilitar información a las personas interesadas o atender los derechos del interesado, etc. En el presente caso, consta que JUSTICIAPP es la titular de la plataforma “Justiciapp” y de la web del mismo nombre y es quien determina los fines y los medidos respecto de los tratamientos de datos que conlleva el acceso y uso de dichos medios por los usuarios. Por tanto, es la entidad responsable de dichos tratamientos. Esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 circunstancia no ha sido discutida por JUSTICIAPP y consta así expresada en su Política de Privacidad. . Datos personales y transferencias internacionales de datos. En su escrito de ejercicio del derecho, la parte reclamante solicita expresamente que se le indiquen los datos personales tratados en caso de que el registro o navegación en la web instale las cookies de Google Analytics y si esto implica la transferencia internacional de datos personales. Por tanto, teniendo en cuenta el objeto del derecho ejercitado por la parte reclamante, es necesario analizar si la utilización de cookies por la web conllevaba, en el momento en que se ejercita el derecho, la recogida de datos personales de los usuarios. Sobre esta cuestión, la AEPD decidió la realización de actuaciones previas de investigación, cuyo resultado, que consta reseñado en los antecedentes de este acto, ha permitido acreditar que la utilización de cookies por la web “Justiciapp” conlleva la recogida de datos personales de los usuarios y su transferencia internacional. Interesa destacar la información ofrecida a los usuarios en la propia web en el momento en que fue ejercitado el derecho de acceso por la parte reclamante. Así, en la Política de Cookies se informaba que "JUSTICIAPP, S.L., al obtener información automáticamente del sitio web a través de las Cookies, puede recabar datos personales de los Usuarios, relativos a su dispositivo informático, el uso de los servicios, y sus hábitos de comportamiento. Esta información puede incluir, entre otros, datos sobre el idioma, las páginas o funcionalidades del sitio web más utilizadas, palabras clave, fecha, hora, tiempo que los Usuarios permanecen en cierto tipo de páginas, dirección IP, identificador publicitario, e información similar relativa al uso del sitio web. JUSTICIAPP, S.L., puede recabar dicha información gracias al uso de cookies. Además, se advertía sobre la utilización de Google Analytics. Pues bien, las actuaciones desarrolladas permiten concluir que las cookies de Google Analytics recopilan datos personales de los usuarios, los cuales son objeto de transferencia internacional. Entre esos datos figuran identificadores únicos de usuarios (_ga y _gid), la dirección IP, así como otros datos asociados al navegador y a la propia navegación o información del sistema, entre otros. El artículo 4.1 del RGPD define los datos personales como «toda información relativa a una persona física identificada o identificable («el interesado»); una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador, como un nombre, un número de identificación, datos de ubicación, un identificador en línea o uno o varios factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física.». C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 Cabe señalar que los identificadores en línea, como las direcciones IP o la información almacenada en las cookies, pueden utilizarse comúnmente para identificar a un usuario, especialmente cuando se combinan con otros tipos de información similares. Esto se ilustra en el considerando 30 del RGPD, según el cual la asignación de identificadores en línea como direcciones IP, identificadores de cookies a personas físicas o sus dispositivos pueden “dejar rastros que, en particular cuando se combinan con identificadores únicos y otra información recibida por los servidores, pueden utilizarse para crear perfiles de las personas físicas e identificarlos”. El TJUE ya ha declarado que las direcciones IP son datos personales (véase el asunto C-597-19, punto 102 y C-582/14, punto 49). La dirección IP no pierde su naturaleza de dato personal simplemente porque los medios de identificación residan en terceras entidades. Además, el caso en cuestión es muy diferente, ya que la dirección IP puede combinarse con otros elementos. En lo que respecta a los identificadores únicos, están destinados a diferenciar individuos y hacen que éstos sean identificables. Estos identificadores también pueden combinarse con otra información, como la dirección del sitio web visitado, los metadatos relativos al navegador y el sistema operativo, la hora y los datos relativos a la visita al sitio web y la dirección IP. Esta combinación de información diferencia aún más a los individuos. Es decir, la combinación de varios elementos puede permitir identificar individualmente a los visitantes de la página web “Justiciapp”, en la que se implementa Google Analytics, sin perjuicio de que estos visitantes puedan ser identificados mediante identificadores únicos, sin necesidad de dicha combinación de datos. Si se decidiera lo contrario, el alcance del derecho a la protección de datos, garantizado por el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, se vería socavado, ya que permitiría a las empresas seleccionar específicamente a las personas junto con la información personal (por ejemplo, cuando visitan un sitio web específico) al mismo tiempo que les negaría cualquier derecho de protección contra tal singularización. Una opinión tan restrictiva que socavaría el nivel de protección de las personas tampoco está en consonancia con la jurisprudencia del Tribunal de Justicia de la Unión Europea (en adelante, TJUE), que dictaminó repetidamente que el ámbito de aplicación del RGPD debe entenderse de manera muy amplia (véase, por ejemplo, la sentencia C-439/19, apartado 61). Por todo ello, debe considerarse que los datos en cuestión son datos personales en el sentido del artículo 4.1 del RGPD. Todos esos datos personales recopilados a través de una web que integra la función Google Analytics se transfieren a los servidores de Google en Estados Unidos. Incluso, en los términos que acepta el titular de una web que incorpora esta función se contempla que Google pueda almacenar y tratar datos personales en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones. Y consta que Google posee instalaciones en EEUU. Volviendo al documento enviado por Google LLC con fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8, Google manifiesta que todos los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 recopilados a través de Google Analytics están alojados en los Estados Unidos. Por lo tanto, los datos recopilados en el sitio web “Justiciapp” a través de Google Analytics se transfieren a los Estados Unidos. Se producen transferencias a Google de al menos los siguientes datos: contenido de la cookie _ga, y gid, datos del navegador, dirección IP y la página web visitada. Se anonimiza la dirección IP, mediante truncamiento del último octeto, aunque sigue transmitiéndose y recibiéndose por Google de forma completa, aunque sea por un corto período de tiempo. III Derecho de acceso Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de derechos” del RGPD establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
- a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
- b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados”. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD). Asimismo, el responsable del tratamiento viene obligado a responder las solicitudes formuladas sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud, salvo que pueda demostrar que no está en condiciones de identificar al interesado; así como a expresar los motivos en caso de que no atendiera la solicitud. De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el interesado debe ser respondida en todo caso, recayendo sobre el responsable la prueba del cumplimiento de este deber. Esta obligación de actuar no resulta exigible cuando el responsable del tratamiento pueda demostrar que no está en condiciones de identificar al interesado (en los casos a que se refiere el artículo 11.2 del RGPD). En supuestos distintos al previsto en este artículo, en los que el responsable del tratamiento tenga dudas razonables en relación con la identidad del solicitante, podrá requerir información adicional necesaria para confirmar esa identidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 A este respecto, el Considerando 64 del RGPD se expresa en los términos siguientes: “
(64)El responsable del tratamiento debe utilizar todas las medidas razonables para verificar la identidad de los interesados que soliciten acceso, en particular en el contexto de los servicios en línea y los identificadores en línea. El responsable no debe conservar datos personales con el único propósito de poder responder a posibles solicitudes”. Con carácter general, al recibir una solicitud de ejercicio de derechos, la entidad responsable debe evaluarla de forma individual para determinar su contenido específico, teniendo en cuenta para ello que la obligación de facilitar el ejercicio de los derechos de los interesados prevista en el artículo 12.2 del RGPD conlleva que el responsable otorgue el efecto más amplio posible al derecho ejercitado. Se evitará realizar una interpretación restrictiva sobre alcance de la solicitud formulada, así como valorar los motivos por los que el interesado presenta dicha solicitud, los cuales en ningún caso pueden condicionar la respuesta que se facilite. Esa evaluación debe fijar en primer término los datos personales a que se refiere la solicitud. Como regla, deberá entenderse que la solicitud se refiere a todos los datos, salvo que el interesado especifique claramente otra cosa y esta limitación, recogida en la solicitud, no plantee dudas sobre la verdadera voluntad del interesado que obliguen al responsable a interpretarla. En la determinación del objeto al que se refiere la solicitud puede considerarse el contexto en el que se produce, las circunstancias específicas del caso y cualquier información que el interesado incluya en la misma. La evaluación que realice la entidad responsable debe reflejar siempre la situación en el momento en que recibió la solicitud, garantizando así que la respuesta se ajuste a la información disponible en dicho momento. En lo que se refiere al derecho de acceso, el RGPD dispone en su artículo 15 lo siguiente: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.” 2.Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3.El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4.El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. La persona titular de los datos de carácter personal puede ejercitar ante el responsable del tratamiento una serie de derechos, entre los que se encuentra el de acceso a los datos personales sometidos a tratamiento, que permite al ciudadano obtener la confirmación de si sus datos personales están siendo tratados y, en caso afirmativo, el acceso a esos datos y la información sobre el tratamiento, incluyendo la información enumerada en el artículo 15 antes citado. En relación con el presente caso, interesa destacar que entre la información facilitada deberá incluirse información sobre los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales; y las garantías relativas a las transferencias internacionales de datos. Respecto de la información a facilitar sobre las transferencias internacionales de datos personales que se realicen, el Comité Europeo de Protección de Datos (CEPD), en sus Directrices 01/2022, sobre los derechos de los interesados, derecho de acceso, en su versión adoptada el 28/03/2023, señala lo siguiente: “122. La información sobre las transferencias de datos previstas a un tercer país o a una organización internacional, incluida la existencia de una decisión de adecuación de la Comisión o de salvaguardias adecuadas, debe facilitarse en virtud del artículo 13, apartado 1, letra f), y del artículo 14, apartado 1, letra f), del RGPD. En el contexto de una solicitud de acceso con arreglo al artículo 15, el artículo 15, apartado 2, solo exige información sobre las garantías adecuadas con arreglo al artículo 46 del RGPD en los casos en que se produzca realmente una transferencia a un tercer país o a una organización internacional”. En este caso, consta que la parte reclamante se dirigió formalmente a la entidad JUSTICIAPP solicitando el acceso a sus datos personales, sin que esta entidad diera respuesta adecuada al ejercicio del derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 Es un hecho no controvertido que la parte reclamante ejercitó ante JUSTICIAPP el derecho de acceso a sus datos personales mediante correo electrónico de fecha 09/02/2022, remitido a la dirección “***EMAIL.1”, como tampoco lo es el objeto del derecho, es decir, los tratamientos de datos personales a los que la parte reclamante se refiere en dicho correo electrónico. La parte reclamante indica expresamente que ejercita el derecho de acceso como usuario de la web “Justiciapp” en relación con los tres aspectos siguientes: 1. “Por la presente vengo a ejercitar mi derecho de acceso sobre los terceros a los que se ha facilitado acceso a mis datos personales con la finalidad de realizar comunicaciones comerciales así como que especifique qué datos personales han sido objeto de cesión a estos terceros”. 2. “Por la presente vengo a ejercitar mi derecho de acceso de modo que se especifique qué datos personales son objeto de transferencia y una copia de las garantías adecuadas que dichos proveedores de servicios han adoptado”. Esta petición, según la parte reclamante, se formula con motivo de la información contenida en la Política de Privacidad de JUSTICIAPP, en la que dicha entidad advierte que algunos de sus proveedores tienen sede fuera del EEE y que por ello pueden transferir datos personales a terceros países. . “Por la presente vengo a ejercitar mi derecho de acceso sobre si, a pesar de haber rechazado el uso de cookies no prestando mi consentimiento, el hecho de registrarme o de navegar en la web de JusticiApp instala las citadas cookies de Google Analytics, y en caso afirmativo, que indique qué datos personales son tratados, si el uso de Google Analytics supone su transferencia internacional fuera del Espacio Económico Europeo y que se aporte una copia de las garantías adecuadas adoptadas en dicha transferencia”. La parte reclamante relaciona este aspecto con la información ofrecida a los usuarios de la web en la política de cookies para hacer constar el uso de Google Analytics. Para un análisis correcto del derecho ejercitado y de la actuación llevada a cabo por JUSTICIAPP para su atención, es preciso tener en cuenta que no consta en las actuaciones que la parte reclamante hubiese aceptado recibir comunicaciones comerciales. En cuanto a la aceptación o rechazo de cookies, la parte reclamante manifestó en su escrito de ejercicio del derecho que no prestó su consentimiento al uso de cookies de Google Analytics. Del mismo modo, consta acreditado en las actuaciones que la entidad JUSTICIAPP respondió al derecho de acceso ejercitado por la parte reclamante en fecha 15/02/2022. Sin embargo, dicha respuesta se limitó a informar que “no existe, ni ha existido, ningún dato personal suyo (ni su nombre ni ningún otro) que haya sido tratado, usado o cedido por parte de JusticiApp, S.L.”. Esta respuesta no supone una atención adecuada del derecho de acceso de la parte reclamante. La propia entidad JUSTICIAPP, con ocasión del trámite de traslado de la reclamación, reseñado en los Hechos Segundo y Tercero de la presente resolución, admite que con esa respuesta el derecho de acceso no fue atendido en tiempo y forma y que los datos de la parte reclamante constan en sus sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 Así, con fecha 04/05/2022, JUSTICIAPP remitió a la parte reclamante un nuevo correo electrónico de respuesta al derecho de acceso, facilitando toda la información establecida en el artículo 15 del RGPD, según el detalle que consta reseñado en el Hecho Tercero. En concreto, se informó sobre los datos personales que son sometidos a tratamiento, las finalidades, plazos de conservación, posibles cesiones de datos y categorías de los destinatarios, ejercicio de los derechos y posibilidad de presentar una reclamación ante la AEPD. Además, sobre los tres aspectos concretos a los que se refería el derecho de acceso ejercitado por la parte reclamante, aquella entidad informó lo siguiente: “(
- i)… hasta la fecha, ninguno de los datos de carácter personal de los cuales usted es titular ha sido comunicado a terceros. En conclusión, no ha existido ninguna cesión de datos para la finalidad indicada (realizar comunicaciones comerciales). (
- ii)Respecto a los datos que han sido objeto de transferencia internacional y una copia de las garantáis adecuadas que dichos proveedores de servicios han adoptado, le informamos que sus datos están siendo tratados por Google como proveedor de servicios relacionados con las aplicaciones de ofimática. En este sentido, dicho proveedor ofrece garantías adecuadas respecto a las obligaciones contempladas en la normativa europea de protección de datos, las cuales pueden encontrar en la siguiente URL ***URL.1. JUSTICIAPP ha aceptado en el momento de la contratación de los servicios de Google, sus Condiciones Generales en las que se regula la prestación de servicios con acceso a datos y la transferencia internacional de datos, dando escrupuloso cumplimiento respecto a las disposiciones previstas en la normativa europea y española de protección de datos. (iii) En relación con la cuestión planteada respecto de la instalación de cookies de Google Analytics por el mero hecho de navegar en la web o registrarse, sin que haya dado su consentimiento debemos aclarar que las cookies analíticas solamente son instaladas en su navegador si usted lo acepta expresamente”. En relación con el contenido de esta respuesta se tiene en cuenta, por una parte, como señala la propia parte reclamante en su escrito de ejercicio del derecho de acceso, que la Política de Privacidad de la web, en ese momento de ejercicio del derecho, refería el uso de los datos personales relativos a correo electrónico, teléfono, nombre y apellidos para la realización de comunicaciones comerciales sólo si el interesado optase por aceptar esta comunicaciones marcando la casilla habilitada en el formulario o al inscribirse para recibir la newsletter, y se advertía que el interesado podría cancelar la “suscripción” en cualquier momento. Y ya se ha dicho que no consta que la parte reclamante prestase este consentimiento, ni ésta ha realizado manifestación alguna al respecto. Por otra parte, se informa sobre las transferencias internacionales de datos personales que se llevan cabo, vinculadas a las aplicaciones de ofimática, y se incluye un enlace a la información relativa a las garantías adecuadas que el proveedor de servicio ha adoptado. En cuanto a las cookies, los servicios de inspección de esta AEPD comprobaron en distintos momentos (
- i)que los avisos de primera capa insertados en la web informaban sobre el uso de cookies e incorporaban un botón con el texto “Estoy de acuerdo” y otro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 botón “No estoy de acuerdo”; (
- ii)que, sin realizar ninguna acción sobre la página web, no se instalan cookies asociadas a Google Analytics, solo cookies persistentes, ni consta tráfico dirigido a google-analytics.com; y (iii) que solo aceptando las cookies analíticas se instalan cookies de Google Analytics en el navegador y se envía una petición http al dominio “google-analytics.com”. Dado que la parte reclamante manifestó que rechazó el uso de cookies de terceros con fines estadísticos, nada lleva a concluir que pudieran haberse instalado cookies distintas a las estrictamente necesarias o técnicas por el solo hecho de registrarse en la web, por acceder a la misma o por navegar por ella. Es decir, no es posible concluir que efectivamente la parte reclamada recabó datos personales de la parte reclamante mediante la herramienta Google Analytics. Por tanto, con esta segunda respuesta remitida por JUSTICIAPP a la parte reclamante se entiende atendido el derecho de acceso a los datos personales ejercitado por ésta. Si bien esa respuesta debe calificarse como extemporánea, al haberse rebasado el plazo establecido para emitirla, esta AEPD, considerando las circunstancias concurrentes, entiende oportuno proceder al archivo de las actuaciones sin necesidad de depurar responsabilidades administrativas en el marco de un procedimiento sancionador. En este sentido, conviene advertir sobre el carácter excepcional del procedimiento sancionador, del que deriva que, siempre que sea posible, deberá optarse por la prevalencia de mecanismos alternativos en el caso de que tengan amparo en la normativa vigente, tal y como ocurre en el presente supuesto, en el que se ha dado solución a las cuestiones planteadas por la parte reclamante en su reclamación. En síntesis, deben traerse a colación los principios aplicables al procedimiento sancionador. La AEPD ejerce la potestad sancionadora de oficio. Por tanto, es competencia exclusiva de la AEPD valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso. IV Transferencias internacionales derivadas del uso de Google Analytics. Marco jurídico actual. No obstante lo anterior, y considerando que JUSTICIAPP ha manifestado que continúa utilizando la herramienta Google Analytics, que conlleva la recogida de datos personales de los usuarios de la web “***URL.2” y su transferencia internacional, se estima conveniente señalar que la entidad JUSTICIAPP, en tanto que responsable de dicha recogida de datos personales y de su transferencia internacional a entidades situada en un país tercero, debe ajustar su actuación a las previsiones establecidas en el RGPD y la LOPDGDD, prestando atención a la información que deberá ofrecer a los usuarios de su web, especialmente sobre los distintos tratamientos de datos, sus bases de legitimación y sus finalidades. Asimismo, deberá tener presente que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 recogida de datos personales que conlleva el uso de la herramienta deberá llevarse a efecto previa aceptación de los usuarios y que por dicho uso se realizan transferencias internacionales de datos. En relación con las transferencias internacionales de datos personales, deberá informarse claramente si se realizan o no y, en caso afirmativo, deberán facilitarse a los usuarios de la web todos los detalles establecidos en el apartado
- f)del artículo 13.1 del RGPD (“
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado”). Esta información obligatoria está relacionada con el sistema de protección dispuesto para las transferencias internacionales en los artículos 44 y siguientes del RGPD. Dicho artículo 44 establece un principio general, según el cual los datos únicamente podrán ser exportados si, por un lado, el tratamiento objeto de la transferencia es lícito y cumple con lo dispuesto en el RGPD y, por otro, si cumple con las condiciones que se establecen en el Capítulo V del mismo texto legal (artículos 44 a 50). El artículo 45 del RGPD establece, como regla principal, que se podrá realizar una transferencia de datos personales si el país, territorio u organización internacional destinataria garantiza un nivel de protección adecuado reconocido por una decisión de adecuación dictada por la Comisión Europea. En ausencia de dicha decisión de adecuación, el artículo 46 del RGPD autoriza a celebrar transferencias si el responsable o el encargado hubiera ofrecido garantías adecuadas, materializadas a través de los instrumentos a que se refiere el mismo artículo. Entre las garantías que pueden ofrecer los responsables del tratamiento de acuerdo con lo dispuesto en el este artículo 46 del RGPD figuran la suscripción de las cláusulas contractuales tipo aprobadas por la Comisión Europea. Sin embargo, debe tenerse en cuenta que el TJUE ha declarado que existen situaciones en las que estas cláusulas no constituyen un medio suficiente para garantizar la protección efectiva de los datos personales transferidos a un tercer país y pueden exigir la adopción de medidas complementarias. El siguiente escenario que contempla el RGPD, en ausencia de decisión de adecuación y de garantías adecuadas, es permitir la realización de las transferencias si se cumple alguna de las condiciones que enuncia el artículo 49.1. del RGPD. Si no concurriera ninguna de las circunstancias previstas en los artículos que preceden, la realización de transferencias internacionales de datos personales no tendría cobertura, y en tal caso resultaría improcedente la utilización del servicio Google Analytics. Actualmente, el marco jurídico para estas transferencias internacionales de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 personales viene determinado por la Decisión de Ejecución (UE) 2023/1795 relativa a la adecuación del nivel de protección de los datos personales en el Marco de Privacidad de Datos UE-EE. UU. con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, aprobada por la Comisión con fecha 10/07/2023, por lo que las transferencias internacionales que se realicen con posterioridad a la misma pueden quedar amparadas por la citada Decisión. En la web ***URL.3 puede comprobarse que Google LLC ha certificado su adhesión a los principios del Marco de Privacidad de Datos hasta el 13/09/2025, debido a la necesidad de renovar anualmente dicha certificación. Por lo tanto, en la actualidad, las transferencias internacionales de datos a Google LLC en los EE. UU. están amparadas por el Marco de Privacidad de Datos UE-EE. UU. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad JUSTICIAPP, S.L., con NIF B16822066, y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1363-210423 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es