AI-00358-2022

1/5  Expediente N.º: AI/00358/2022 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 21/04/22, D. A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra la entidad LEASEPLAN SERVICIOS S.A.U. con CIF.: A78007473, titular de la página web https://www.leaseplan.com (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y contra la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). Los motivos en que basaba la reclamación eran los siguientes: “Si se accede a la plataforma aceptando solamente las cookies necesarias (no las cookies analíticas) y se accede como cliente, te reenvía a un subdominio https://myfleet.leaseplan.es en la que te añade sin permiso cookies analíticas de Google, y la cookie de “Hotjar”, que es una plataforma que registra todo lo hace el usuario, y muestra una grabación en la que se puede ver si hacen click en algún enlace, por donde mueve el ratón, dispositivo desde el que se accede, etc., es como si grabara la pantalla del usuario. En la pantalla se muestra el nombre completo del cliente, por lo que esas grabaciones son nominales, se sabe exactamente quién es el cliente y que es lo que hace en esa página”. SEGUNDO: Con fecha 27/06/22 y 20/06/22, por parte de esta Agencia se trasladó la reclamación a la entidad reclamada para que diese respuesta a la misma, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). TERCERO: Con fecha 21/07/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos CUARTO: Con fecha 27/07/22, se recibe en este Agencia escrito de contestación a la solicitud realizada a la entidad reclamada, en el cual, se indica lo siguiente: “Que, una vez recibida dicha solicitud, se han revisado en las páginas webs y sistemas de la compañía si la reclamación era fundada, o no, en relación a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 desacuerdo en cuanto a lo que se afirma con respecto a las cookies Hotjar, que analizan y graban la pantalla del cliente, pues no hemos tenido constancia de ellas en nuestro chequeo. Que, el departamento de privacidad realiza auditorías y seguimiento a todas las solicitudes relativas a datos personales de los interesados, así como, vela por el estricto cumplimiento de la normativa de protección de datos”. QUINTO: Con fecha 05/10/22, por parte de esta Agencia se accede a la página web https://www.leaseplan.com, constatándose las siguientes características sobre su “Política de Cookies”: 1.- Sobre las cookies utilizadas previo al consentimiento del usuario.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se ha comprobado, que utiliza cookies propias estrictamente necesarias. 2.- Sobre la información suministrada en el banner de advertencia de la página principal.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: “Nos preocupamos de tu privacidad: LeasePlan utiliza algunas cookies necesarias para que nuestro sitio web funcione. Al aceptar todas las cookies, consientes el uso de cookies adicionales y métodos similares por parte de LeasePlan y nuestros colaboradores, para analizar el tráfico y el comportamiento online, ofrecer funciones de redes sociales, personalizar el contenido y los anuncios dentro y fuera del sitio web”. Puedes gestionar las cookies o revocar el consentimiento en cualquier momento. Esto no afecta a la licitud del uso de estas cookies antes de revocar el consentimiento. Para más información consulta nuestra <<política de <<Solamente cookies necesarias>> <<Gestionar las cookies>> <<Aceptar todas las cookies>> Si se cliquea en la opción <<Solamente cookies necesarias>> se comprueba como la web sigue utilizando las mismas cookies propias señaladas anteriormente. 3.- Sobre el panel de control de cookies.- Si se cliquea en la opción <<Gestionar las utilización de cookies por grupos, estando premarcados en la opción “desactivados”: Las cookies estrictamente necesarias Las cookies de rendimiento Las cookies de funcionalidad Las cookies dirigidas siempre activas OFF  ON OFF  ON OFF  ON <<Guardar configuración>> <<Permitir todas las cookies>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 b.1.) Si se cliquea en la opción <<Guardar configuración>> en este panel de control se comprueba como la web sigue utilizando las mismas cookies propias señaladas anteriormente. 4.- Sobre la información suministrada en la “Política de Cookies”.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies de la primera capa o a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página https://www.leaseplan.com/es-es/politica-decookies/ donde se informa al usuario de qué son las cookies, qué tipos de cookies utiliza el sitio web; se identifican las cookies que utiliza el sitio web, su funcionalidad y el tiempo de actividad. 5.- Si se accede al subdominio https://myfleet.leaseplan.es una vez limpiado el equipo terminal de historial de navegación y de cookies, habiendo aceptado solamente las comprobado que se utilizan cookies propias estrictamente necesarias, no existiendo ninguna constancia de la utilización de las cookies Hotjar, denunciado por el reclamante. FUNDAMENTOS DE DERECHO I.- Competencia: - Sobre la “Política de Cookies” en la página web: Es competente para resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), II.- Sobre la Política de Cookies de la página web: Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se utilizan cookies propias estrictamente necesarias. El banner de información sobre cookies en la página principal informa de la utilización de cookies propias necesarias, de las implicaciones que existen si se aceptan las obtener más información a través del enlace a la política de cookies existente en el propio banner. Si se accede al panel de control, se comprueba que las cookies se encuentran divididas por grupos según su funcionalidad, estando todos los grupos de cookies premarcados en la opción de “no aceptados”. Si se opta por confirmar las preferencias sin haber aceptado ningún grupo de cookies, pretendiendo con ello, rechazar todas las cookies, se comprueba como la web sigue utilizando las mismas cookies necesarias detectadas al principio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Si se accede a la “Política de Cookies”, se informa al usuario de qué son las cookies, qué tipos de cookies utiliza el sitio web; se identifican las cookies que utiliza el sitio web, su funcionalidad y el tiempo de actividad, además de cómo administrar las En este sentido, el artículo 22.2 de la LSSI, donde se establecen los derechos de los destinatarios de servicios de la sociedad de la información, establece que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento a través de los medios utilizados, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el artículo 22.2 de la LSSI. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad LEASEPLAN SERVICIOS S.A.U. con CIF.: A78007473, titular de la página web https://www.leaseplan.com y al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es