← España

AI-00389-2022

1/16  Expediente N.º: AI/00389/2022 (EXP202200495) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 01/12/21, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos contra la ASOCIACIÓN NACIONAL DE ESTABLECIMIENTOS FINANCIEROS DE CRÉDITO (ASNEF), CIF.: G28516003, titular de la página web, www.asnef.com (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y contra la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). Los motivos en que basaba la reclamación eran los siguientes: “La página web www.asnef.com no ofrece la posibilidad de denegar el consentimiento para el uso de cookies, y las carga incluso antes de aceptarlas. Tampoco se facilita información alguna en materia de protección de datos: derechos, tratamiento, finalidad, periodo de retención...”. SEGUNDO: Con fecha 24/01/22, por parte de esta Agencia se trasladó la reclamación a la entidad reclamada para que diese respuesta a la misma, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). TERCERO: Con fecha 24/02/22, la entidad reclamada remite a esta Agencia escrito de contestación a la solicitud hecha, en el cual manifiesta lo siguiente: PRIMERO.‐ Tal y como se indica en el requerimiento remitido por esa AEPD, el contenido de la reclamación dirigida a mi representada, como responsable del Sitio Web, denuncia “la utilización de cookies analíticas de terceros cuando no se proporciona una información adecuada a los usuarios ni se les requiere el consentimiento de manera adecuada". Asimismo, se añade que, según el Reclamante “[s]e comprueba que el aviso de cookies prevé la opción de seguir navegando como modo válido para entender otorgado el consentimiento. Además, el enlace que ofrece para consultar la política de cookies no funciona, al igual que tampoco lo hace el de aviso de privacidad localizado en la parte superior de la página (el enlace operativo al texto de privacidad y cookies se encuentra en el pie de página)”. Finalmente, añade el requerimiento que, en opinión del Reclamante “no se facilita a los usuarios información alguna en materia de protección de datos, comprobándose que la política de privacidad no recoge toda la información prevista en el art. 13 RGPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 SEGUNDO.‐ Como consideración previa, y en relación con las causas que han podido motivar la reclamación formulada, es preciso indicar que se produjo una caída del sistema que sustentaba el Sitio Web, solicitando ASNEF al proveedor del desarrollo y hosting del Sitio Web su restauración, tan pronto como tuvo conocimiento de que esta incidencia había tenido lugar. No obstante, como consecuencia de un error humano en el entorno del proveedor, se restauró una versión anterior del Sitio Web, que no contenía las actualizaciones realizadas en materia de cookies y privacidad como consecuencia de la entrada en vigor del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos ‐en adelante “RGPD”). Por este motivo, se produjo la publicación de una versión de las políticas de cookies y privacidad anteriores a la que resultaba de la adaptación de ambas a los requisitos legales actualmente exigibles, produciéndose una incidencia similar en lo que respecta al aviso de cookies existente en el Sitio Web. TERCERO.‐ Por otra parte, es preciso poner de manifiesto que ASNEF viene desarrollando distintas acciones encaminadas a la modificación de las políticas de privacidad y cookies existentes en el sitio web. Dichas labores traen su causa de distintas resoluciones dictadas en fechas más recientes por esa AEPD y por otras autoridades de protección de datos de la Unión Europea. Así, en lo que respecta al uso de cookies analíticas de tercera parte, ASNEF ha tenido conocimiento de la reciente resolución sancionadora impuesta al Parlamento Europeo por el Supervisor Europeo de Protección de Datos (en adelante, “EDPS” por sus siglas en inglés) al considerar vulnerado el RGPD por la transferencia de datos personales a Estados Unidos producida como consecuencia de la utilización en su página web de cookies de Google Analytics, siguiendo a este respecto la doctrina sentada por el Tribunal de Justicia de la Unión Europea en su sentencia de 16 de julio de 2020, dictada en el asunto C‐311/18 (en adelante la “Sentencia Schrems II"). Igualmente, ha tenido conocimiento de la existencia de resoluciones sancionadoras en el mismo sentido adoptadas por diferentes autoridades europeas (tales como la Autoriteit Persoonsgegevens de Holanda, la Datenschutzbehörde austriaca y la CNIL francesa), en alguna de las cuales se pone de manifiesto la existencia de una actuación coordinada de todas las autoridades de protección de datos del Espacio Económico Europeo al respecto. Teniendo en cuenta esta circunstancia, ASNEF se encontraba, en el momento en que fue notificado por esa AEPD el requerimiento al que se da respuesta en este escrito, inmersa en un proceso de revisión de las cookies que pudieran instalarse como consecuencia del acceso al Sitio Web, a fin de garantizar el cumplimiento de la doctrina establecida en la Sentencia Schrems II, siguiendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 a tal efecto los criterios sustentados por el EDPS y las autoridades de protección de datos anteriormente mencionadas. Como consecuencia de este proceso de adaptación mi representada ha considerado necesario prescindir del uso de la herramienta Google Analytics, desarrollando las acciones necesarias con los desarrolladores de las páginas web correspondientes a su dominio para proceder a la cesación en dicho uso. Asimismo, este análisis se hizo extensivo a las restantes cookies analíticas de tercera parte utilizadas en la página web, concluyendo que en aplicación de la doctrina mencionada procedía cesar en su utilización. De este modo en la fecha de remisión de este escrito se han suprimido del Sitio Web todas las cookies provistas por Google Analytics, así como las restantes cookies analíticas de tercera parte que se encontraban vinculadas al mismo (pertenecientes a Video Press) y que pueden sistematizarse del siguiente modo: De este modo, al tiempo de contestar el presente requerimiento, el Sitio Web únicamente procede a la instalación de aquellas estrictamente necesarias para su adecuado funcionamiento, de tal forma que únicamente se procedería a la instalación de cookies propias de carácter técnico que quedarían amparadas por lo previsto en el párrafo tercero del artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, “LSSI”). En todo caso, si en el futuro se adoptase la decisión de incorporar al Sitio Web herramientas analíticas que impliquen la instalación de cookies analíticas de tercera parte se acudiría únicamente a proveedores ubicados en el Espacio Económico Europeo y que otorguen las garantías necesarias para llevar a cabo el tratamiento de forma respetuosa con la doctrina emanada de la Sentencia Schrems II. Se adjunta como Documento Nº 1 una copia de pantalla de las CUARTO.‐ Como consecuencia de lo indicado en el apartado anterior de este escrito, dado que el Sitio Web únicamente hará uso de cookies de carácter técnico, sin recopilar información de los usuarios del mismo, no sería precisa la inclusión de un aviso de cookies en los términos señalados en la reclamación, limitándose ASNEF a incorporar una política de cookies similar a la que mantiene esa AEPD, accesible en el sitio https://www.aepd.es/es/politica ‐de‐ 2021, lo siguiente: “La AEPD no utiliza cookies para recoger información de las personas usuarias. Únicamente se utilizan cookies propias, de sesión, con finalidad técnica (aquellas que permiten a la persona usuaria la navegación a través del sitio web y la utilización de las diferentes opciones que en ella existen).” Del mismo modo, tampoco resulta necesaria la inclusión en el Sitio Web de un banner de cookies que exija la aceptación o rechazo de las mismas, dada la naturaleza de las que serán utilizadas por mi representada, una vez se ha cesado en la utilización de cookies de Google Analytics. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 QUINTO.‐ Por lo que respecta a la referencia que la reclamación efectúa en relación con la política de privacidad de ASNEF, es preciso indicar que mi representada no realiza, ni nunca ha realizado ningún tratamiento de datos personales a través del Sitio Web. En efecto, como puede comprobarse mediante la navegación en el citado Sitio Web, no existe ningún tipo de formulario u otro método alternativo a través de los que pueda producirse un tratamiento de datos personales, limitándose la web a poner a disposición de los usuarios información concreta relacionada con las actividades de mi representada. Del mismo modo, como igualmente se comprueba mediante el acceso al Sitio Web, si bien es cierto que en el mismo existe la posibilidad de acceso por los asociados a su área privada, no es posible el registro en la misma desde el citado Sitio, siendo necesaria el alta del usuario mediante otros procedimientos distintos y al margen del Sitio Web. Así, puede comprobarse que el “Área Asociados” exige al interesado introducir su usuario y contraseña, pero no incluye ningún enlace que permita el registro del interesado. De este modo, aun cuando en un primer momento mi representada se planteó la posibilidad de implementar un formulario de sugerencias, que sí pudiera recabar datos personales con el objetivo de atenderlas debidamente, (razón por la cual en la política de privacidad, que afloró como consecuencia del error al que se refiere al apartado segundo de este escrito, se incluían referencias al tratamiento de datos personales relacionado con el citado formulario), lo cierto es que dicho planteamiento no llegó nunca a materializarse, no realizándose tratamiento de datos alguno a través del Sitio Web. En lógica coherencia con lo anterior, no existiendo tratamiento de datos personales a través del Sitio Web, ASNEF considera que no precisa disponer de política de privacidad en su Sitio Web, habiendo sido publicada la detectada en el Sitio Web como consecuencia del error producido en el entorno del proveedor y mencionado en el apartado segundo de este escrito. SEXTO.‐ A la vista de todo lo anterior, cabe concluir lo siguiente:  La inclusión en el Sitio Web de ASNEF de las políticas de privacidad y señalados en la reclamación se produjo como consecuencia de un error humano ocurrido en el entorno del proveedor de servicios de desarrollo y alojamiento del mencionado Sitio, dando lugar a la recarga de una versión no actualizada de la página web en la que se incorporaban versiones desactualizadas de las citadas políticas.  El citado error ha sido subsanado, no recogiendo el sitio web las citadas versiones de las políticas de privacidad y de ASNEF ha llevado a cabo una labor de reconsideración del uso de herramientas analíticas, que pudieran implicar la transferencia de datos personales fuera del territorio del Espacio Económico Europeo, como consecuencia de la Sentencia Schrems II y las resoluciones dictadas por el EDPS y las autoridades de protección de datos de Holanda, Austria y Francia, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 teniendo en cuenta que las mismas hacen referencia a la existencia de una acción coordinada de todas las Autoridades de la Unión Europea. De este modo, ASNEF ha dejado de hacer uso de las citadas herramientas.  Como consecuencia de lo anterior, en el momento presente ASNEF únicamente hace uso en el Sitio Web de cookies técnicas necesarias para su adecuado funcionamiento, habiendo modificado en consonancia su política de cookies.  ASNEF no lleva a cabo ningún tratamiento de datos personales ni recoge dato personal alguno a través de su Sitio WEB, razón por la cual el mismo no incluye una política de privacidad específica. En virtud de todo lo cual SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCION DE DATOS que tenga por presentado este escrito, por realizadas las afirmaciones que en el mismo se realizan y por cumplimentado el requerimiento de información número de referencia E/00495/2022, dictando en su día resolución acordando la inadmisión a trámite de la reclamación formulada contra ASNEF. CUARTO: Con fecha 01/03/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD. QUINTO: Con fecha 26/04/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta resolución de archivo de las actuaciones, indicando que: “ (…) En lo que a esta Agencia se refiere y tras el análisis realizado dentro de las competencias que tiene atribuidas, en lo que respecta a los dispositivos de almacenamiento y recuperación de datos, se observa que la página web objeto de la reclamación sólo instala cookies estrictamente necesarias que estarían exceptuadas de las obligaciones que establece el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. Asimismo, se observa que el sitio web reclamado no dispone de formulario de recogida de datos, por lo que estaría exento del deber de informar sobre el tratamiento de datos personales según lo previsto en el artículo 13 del RGPD (…)”. SEXTO: Con fecha 26/04/22, la parte reclamante presente ante esta Agencia recurso de reposición a la resolución de archivo, indicando en el mismo, entre otras que: 1.- Siguen usando herramientas analíticas, en concreto usan la cookie ARRAffinity del dominio asnef-webapp.azure y la cookie ARRAffinitySameSite del dominio asnef-webapp.azurewebsites.net, cuando Azure de Microsoft está siendo investigado por el Supervisor Europeo de Protección de Datos y la sentencia del TJUE sobre el caso Schrems II es clara sobre el uso de servicios de almacenamiento en el extranjero (hecho este sobre el que tampoco existe información). 2.Respecto a que no recaban datos personales, desde https://www.asnef.com/mapa-web hay variados enlaces en los que recogen datos personales (documento adjunto “Web ASNEF más imagenes.pdf” página 1):

  1. a)web https://www.asnef.com/asociación/solicitud-alta (página 2 del citado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 adjunto) donde hay cuatro documentos (Modelo de carta y Documentación requerida tanto para asociados como para adheridos) en los que se recogen multitud de datos (nombre, CIF, domicilio, domiciliación bancaria, teléfono, correo electrónico...) con referencias irrisorias a protección de datos (página 6 del documento “requisitos_adheridos.doc” que se adjunta) y además anticuadas a la Ley Orgánica 15/1999 (página 6 del documento “requisitos_asociados.doc” que se adjunta)
  2. b)web https://www.asnef.com/buzón-de-sugerencias (página 3 del citado adjunto) donde piden persona de contacto, empresa y e-mail para hacer sugerencias
  3. c)web https://www.asnef.com/subscripción-al-newsletter (página 4 del citado adjunto) donde piden persona de contacto, empresa y e-mail para suscribirse a su lista de correo
  4. d)web https://www.asnef.com/asistente (página 5 del adjunto) donde funciona un chat. 3.- Una vez aclarada la existencia de la recogida de datos, insisto en que sigue sin haber información alguna sobre política de privacidad y forma de ejercer los derechos en materia de protección de datos. SÉPTIMO: Con fecha 12/05/22, por parte de esta Agencia se dio audiencia al reclamado dando trasladó del recurso de reposición presentado por la parte reclamante, para que diese respuesta al mismo, de conformidad con el artículo 118 de la LPACAP. OCTAVO: Con fecha 27/05/22, la parte reclamada presenta en esta Agencia, escrito de alegaciones al recurso de reposición presentado por el reclamante, en el cual, entre otras, indica: “(…) En lo que respecta a la instalación de cookies en la página web de mi mandante, el reclamante señala que “se siguen utilizando herramientas analíticas, concretamente la cookie ARRAffinity del dominio asnef ‐ webapp.azure y la ARRAffinitySameSite del dominio asnefwebapp.azurewebsites.net". Sin embargo, no se aporta prueba de la utilización de esas cookies y las únicas cookies que mi representada utiliza son las “PNL1‐ARRAffinity” y la “PIE1‐ ARRAffinity”. Las citadas cookies son cookies de sesión que utilizadas con la exclusiva finalidad de que, cuando un usuario descarga los modelos de carta e información requerida, se distribuya el tráfico desde el servidor de mi representada al servidor de live.com, del que es titular Microsoft, a fin de facilitar la apertura de los citados documentos y su descarga. De este modo, se trata únicamente de cookies técnicas cuya finalidad es facilitar la apertura de los documentos descargados, que quedan excluidas del consentimiento exigido por el artículo 22.2 de la LSSI, que en su último párrafo indica que la exigencia de consentimiento “no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 De este modo, y al tratarse en este caso únicamente de cookies técnicas y necesarias para llevar a cabo la visualización y descarga de los documentos en formato office Word, serían plenamente aplicables los argumentos ya manifestados por esa AEPD en su resolución para proceder al archivo de las actuaciones, careciendo manifiestamente de fundamento el recurso formulado por la Reclamante. El Reclamante afirma, por otra parte, que se realizan tratamientos de datos personales mediante el Sitio Web, fundando esta afirmación única y exclusivamente en el mero hecho de que en la web se incluyan una serie de documentos, únicamente disponibles en versión descargable y que se incorporan con el objetivo de dar de alta nuevos miembros adheridos a ASNEF. Dichos formularios, sin embargo, no implican ningún tratamiento de datos a través de la web de mi representada, dado que se trata únicamente de documentos cuya utilización exigirá (
  5. i)la descarga de los mismos por el usuario; (
  6. ii)su impresión y cumplimentación en soporte papel; y (iii) su remisión posterior a mi mandante a través de otros medios distintos de la propia página web. De este modo, no existe un formulario web que se remita al interesado a través de estos medios y que implique que desde la web de ASNEF se recabe ningún dato personal. Y es que cuando una persona o entidad decida solicitar un alta como miembro de ASNEF, la web únicamente pone a su disposición un modelo que podrá cumplimentar y remitir a mi mandante mediante correo ordinario o correo electrónico. Así se indica expresamente en el Sitio Web, haciéndose incluso eco el Reclamante en su escrito de reposición de esta circunstancia, lo que evidencia la manifiesta falta de fundamento de su pretensión: “REQUISITOS INDISPENSABLES PARA EL ALTA EN ASNEF 1. Como miembro Asociado  Carta dirigida al Presidente de ASNEF solicitando el alta en la misma, en la que haga constar el conocimiento de los Estatutos y manifiesten encontrarse dispuestos a su cumplimiento, así como a colaborar a los fines de la Asociación. Modelo de carta.  La Sociedad o Entidad deberá estar inscrita en el registro especial del Banco de España.  Cumplimentar la documentación requerida y adjuntar copia de la escritura de constitución.  Una vez autorizada el alta se deberá satisfacer la cuota de entrada (única), así como una cuota mensual, de los siguientes importes: i. Alta: Cuota única de 900 euros. ii. Mensual: Cuota de 509,55 euros. 2. Como miembro Adherido no Asociado  Carta dirigida al Presidente de la “ASNEF” solicitando el alta en la misma, en la que haga constar el conocimiento de los Estatutos y manifiesten encontrarse dispuestos a su cumplimiento, así como a colaborar a los fines de la Asociación. Modelo de carta.  Cumplimentar la documentación requerida y adjuntar copia de la escritura de constitución.  Una vez autorizada el alta se deberá satisfacer la cuota de entrada (única), así como una cuota C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 mensual, de los siguientes importes: i. Alta: Cuota única 1.500 euros ii. Mensual: Cuota de 229,29 euros. Versión en inglés: Modelo carta; Documentación requerida”. En relación con este punto, mi representada desea llamar la atención de esa AEPD sobre lo manifestado en su escrito de respuesta al requerimiento de la Agencia, de 24 de febrero de 2022, en cuya quinta alegación, se señalaba lo siguiente: “Del mismo modo, como igualmente se comprueba mediante el acceso al Sitio Web, si bien es cierto que en el mismo existe la posibilidad de acceso por los asociados a su área privada, no es posible el registro en la misma desde el citado Sitio, siendo necesaria el alta del usuario mediante otros procedimientos distintos y al margen del Sitio Web. Así, puede comprobarse que el “Área Asociados” exige al interesado introducir su usuario y contraseña, pero no incluye ningún enlace que permita el registro del interesado.” En este sentido, teniendo en cuenta que la AEPD en su Resolución de archivo tuvo por cierto, como no puede ser de otro modo, lo manifestado por mi mandante en sus alegaciones, aclarando que el alta de los asociados se lleva a cabo mediante “procedimientos distintos y al margen del Sitio Web” y, por ello, no es posible afirmar que se realicen tratamientos de datos por mi representada a través del Sitio Web por el mero hecho de que aquélla recoja un modelo que necesariamente deberá descargarse el interesado, lo que, además, puede comprobarse de manera inequívoca por esa AEPD, no es posible sustentar, por la mera referencia a la existencia de ese documento, que mi mandante trate dato alguno a través de su Sitio Web. Por otra parte, el Reclamante hace referencia a los formularios de “buzón de sugerencias” y “suscripción a la newsletter” accesibles únicamente desde el enlace al “mapa web”. Ante todo, cabe destacar que el “mapa web” únicamente es un esquema ejecutivo del Sitio Web que se ha venido utilizando como herramienta útil para los desarrolladores y no un habitáculo del mismo. Dicho “mapa web” es una herramienta útil únicamente para los desarrolladores del Sitio Web establecida con el objetivo de conocer en una visión general las opciones que podrían activarse y su visualización práctica en el Sitio Web, pero que carece de utilidad para los usuarios del mismo. En este sentido, al no tratarse de un enlace relevante para quienes no tienen la condición de desarrolladores mi representada ha eliminado su acceso general al mismo. En todo caso, y respecto del hecho de que el “mapa web” resultase visualizable por cualquier usuario, es preciso reiterar lo ya indicado en nuestras alegaciones de 24 de febrero de 2022 en lo referente al error acaecido en la restauración de una versión anterior de la web de ASNEF. Asimismo, puede comprobarse mediante la navegación del Sitio Web que, no ha sido posible en el pasado ni es posible actualmente acceder a los formularios referenciados mediante la misma de la manera en que se ha hecho visible a los usuarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 Por último, en relación con esta cuestión, mi representada debe reiterar lo indicado en sus alegaciones de 24 de febrero de 2022 en lo que respecta al análisis previo y posterior descarte de la posibilidad de inclusión de formularios web. Así, en dicho escrito indicábamos que: “De este modo, aun cuando en un primer momento mi representada se planteó la posibilidad de implementar un formulario de sugerencias, que sí pudiera recabar datos personales con el objetivo de atenderlas debidamente, (razón por la cual en la política de privacidad que afloró como consecuencia del error al que se refiere al apartado segundo de este escrito se incluían referencias al tratamiento de datos personales relacionado con el citado formulario), lo cierto es que dicho planteamiento no llegó nunca a materializarse, no realizándose tratamiento de datos alguno a través del Sitio Web”. El desarrollo de la web aporta la posibilidad de incluir un buzón de sugerencias y una opción de suscripción a la newsletter, pero dichas posibilidades han estado siempre desactivadas y por ello únicamente aparecen referenciados en el apartado “mapa web” sin llegar esos datos personales nunca al seno de ASNEF. De este modo, la Reclamante, y ahora recurrente, ni siquiera ha podido aportar los documentos que la misma afirma ser accesibles a través de la página web de ASNEF, lo que no hace sino acreditar lo completamente carente de fundamento de su invocación en el escrito de interposición del presente recurso. En lo que respecta a la referencia que el Reclamante realiza en su recurso de reposición en relación con el chat asistente establecido en el Sitio Web, no se aporta prueba alguna de que a través del mismo se recabe dato personal alguno, limitándose a realizar una afirmación genérica y absolutamente carente de fundamento con el simple ánimo de perjudicar a mi representada. Y es que la mera existencia de un asistente web no tiene por qué llevar aparejado un tratamiento de datos personales como el descrito, siendo necesario que efectivamente se lleve a cabo aquél para que pueda afirmarse, como de forma completamente apodíctica realiza el recurrente, que mi mandante lleva a cabo ese tratamiento. Frente a lo invocado por el Reclamante, mi representada no puede sino mantener que no se tratan datos personales de ninguna categoría como consecuencia del hecho de que un usuario decide hacer uso del chat, toda vez que el mismo únicamente registra la pregunta formulada a fin de dar adecuada respuesta a la misma y para mejorar el proceso de aprendizaje del sistema de inteligencia artificial que sustenta al BOT, pero completamente desvinculada de cualquier otro dato personal que pudiera, directa o indirectamente, identificar o siquiera singularizar al usuario que realiza la pregunta. En este sentido, se aporta como DOCUMENTO NÚMERO 1, acreditación de estos extremos efectuada por la entidad con la que mi mandante ha contratado la prestación de los servicios relacionados con el mencionado BOT, del que se desprende que no se recopila ningún dato personal en el momento de realizar la pregunta por el usuario, así como que dicho BOT está embebido en el Sitio Web y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 tampoco realiza ninguna instalación de cookies en el dispositivo de los usuarios. Por todo lo expuesto, como ya se puso de manifiesto por mi mandante ante esa AEPD, y la misma consideró acreditado en su Resolución de Archivo, ASNEF no recaba dato personal alguno como consecuencia de la descarga del formulario de adhesión incluido en su página web, no disponiendo, pese a habérselo planteado en determinado momento, de ningún formulario de quejas o sugerencias, ni de suscripción a su Newsletter. Del mismo modo, a través de su BOT tampoco se recaba por mi mandante dato personal alguno. Por ello no existiendo tratamiento de datos personales a través de su Sitio Web, ASNEF consideró y sigue considerando que no precisa disponer de política de privacidad en el mismo. A la vista de todo lo anterior, y dado que ni uno solo de los argumentos esgrimidos en el recurso de reposición interpuesto por el Reclamante han sido acreditados, habiendo sido los mismos, por el contrario, desmentidos plenamente por mi representada, entiende la misma que el recurso carece manifiestamente de fundamento, lo que debería llevar aparejada, sin más trámite, su inadmisión por parte de esa AEPD NOVENO: Con fecha 30/09/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta resolución al recurso de reposición presentado por la parte reclamante, estimando el mismo en base a lo siguiente: “ (…) en el recurso de reposición se señala la existencia de determinados elementos de la página web objeto de reclamación no examinados previamente y que podrían no ajustarse a la normativa de protección de datos vigente. Por ello, y sin condicionar el resultado de actuaciones posteriores, se considera necesario estimar el recurso interpuesto (…) “. DÉCIMO: Con fecha 09/01/23, por parte de esta Agencia se accede a la página web www.asnef.com , constatándose las siguientes características sobre su “Política de - Sobre las cookies utilizadas en el sitio web: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web y usando navegador Chrome se ha comprobado que utiliza la cookie propia de sesión: “yourAuthCookie”. Si se accede a la “Política de Cookies”, a través de los enlaces existentes, tanto en la parte superior como inferior de la página principal, la web redirige al usuario a una nueva página: https://www.asnef.com/politica-de-cookies/ donde se proporciona, entre otras, la siguiente información: “ (…) La Asociación Nacional de Establecimientos Financieros de Crédito (en adelante, “ASNEF”) utiliza en el sitio web http://asnef.com/ (en adelante, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 “Sitio Web”) las cookies técnicas que se explican a continuación en el apartado “Tipología de Cookies y finalidades de uso”. Tipología de Cookies y finalidades de uso: ASNEF no utiliza cookies para recoger información de los usuarios. Únicamente se utilizan cookies propias, de sesión, con finalidad técnica. Estas cookies permiten al usuario la navegación a través del Sitio Web y la utilización de las diferentes opciones y servicios que en ella existen (…)”. Respecto de las dos cookies que el recurrente alega que se siguen utilizando (“ARRAffinity” del dominio asnef‐webapp.azure y la cookie “ARRAffinitySameSite” del dominio asnefwebapp.azurewebsites.net) no han sido detectadas cuando se accede a la página web en cuestión. Según alega la parte reclamada: “las únicas cookies que la web utiliza son las “PNL1‐ ARRAffinity” y la “PIE1‐ ARRAffinity” y según declara, son cookies de sesión que se utilizan cuando un usuario descarga los modelos de carta a fin de facilitar la apertura de los citados documentos. Por tanto, se trata de cookies técnicas cuya finalidad es facilitar la apertura de los documentos descargados. DÉCIMO PRIMERO: Con fecha 09/01/23, por parte de esta Agencia se accede a la página web www.asnef.com, constatándose las siguientes características sobre la presunta obtención de datos personales y su “Política de Privacidad”: 1º.- Sobre la presunta obtención de datos personales a través de la web: a).- Existe, en la parte superior de la página principal, un enlace para un acceso restringido al área privada, <<Acceso Asociados>>, a través del cual se despliega un formulario para introducir el “usuario” y la “contraseña”, pero no incluye la posibilidad de darse de alta como asociado, siendo necesaria realizarlo a través del siguiente procedimiento. b).- En el enlace https://www.asnef.com/asociación/solicitud-alta , inicio  Asociación  solicitud de alta, se puede descargar un modelo de carta, que se puede utilizar por parte de las sociedades mercantiles (tal y como se marca en sus estatutos), para solicitar a adhesión a ASNEF. En dicha página se puede leer la siguiente información: “REQUISITOS INDISPENSABLES PARA EL ALTA EN ASNEF: 1. Como miembro Asociado Carta dirigida al Presidente de ASNEF solicitando el alta en la misma, en la que haga constar el conocimiento de los Estatutos y manifiesten encontrarse dispuestos a su cumplimiento, así como a colaborar a los fines de la Asociación. <<Modelo de carta>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 La Sociedad o Entidad deberá estar inscrita en el registro especial del Banco de España. Cumplimentar la documentación requerida y adjuntar copia de la escritura de constitución. Una vez autorizada el alta se deberá satisfacer la cuota de entrada (única), así como una cuota mensual, de los siguientes importes: Alta: Cuota única de 900 euros. Mensual: Cuota de 542,67 euros. 2. Como miembro Adherido no Asociado Carta dirigida al Presidente de la “ASNEF” solicitando el alta en la misma, en la que haga constar el conocimiento de los Estatutos y del Reglamento Adheridos, manifiesten encontrarse dispuestos a su cumplimiento, así como a colaborar a los fines de la Asociación. <<Modelo de carta>>. Cumplimentar la documentación requerida y adjuntar copia de la escritura de constitución. Una vez autorizada el alta se deberá satisfacer la cuota de entrada (única), así como una cuota mensual, de los siguientes importes: Alta: Cuota única 1.500 euros Mensual: Cuota de 244,19 euros Si se descarga cualquiera de los modelos, se puede leer lo siguiente: Muy Sr. nuestro: Por la presente y en representación de ____________________ solicito la admisión del mismo como miembro adherido en la Asociación Nacional de Establecimientos Financieros de Crédito, ASNEF. Quiero señalarle que ________________________ conoce los Estatutos Sociales de ASNEF, el Reglamento de Adheridos los cuales se encuentran publicados en la página WEB de ASNEF en los siguientes enlaces: Estatutos: https://www.asnef.com/asociación/estatutos/ Reglamento: https://www.asnef.com/asociación/reglamento-adheridos/ Asimismo, le manifestamos nuestra voluntad de cumplirlos, así como colaborar a los fines de la Asociación (…)”. Si se accede a los estatutos de la entidad, a través de la dirección marcada en el modelo de carta https://www.asnef.com/asociación/estatutos/ , se puede leer, en su articulado, entre otras, lo siguiente: Artículo 1º. La Asociación Nacional de Establecimientos Financieros de Crédito, ASNEF (en adelante “la Asociación”) agrupa a las entidades, españolas o extranjeras, entre cuyas actividades conste ejercer, en territorio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 nacional, una o varias de las actividades típicas de los Establecimientos Financieros de Crédito, tal como se define en la legislación vigente, y que consten debidamente inscritas en el registro oficial de Banco de España de entidades habilitadas para operar en territorio nacional. (…) Artículo 2º. : La Asociación es una organización empresarial (…)” Artículo 5º.: 1. Podrán pertenecer a la Asociación en los términos establecidos en el artículo 1º, como asociados:
  7. a)Las sociedades debidamente inscritas en el Registro Oficial de Establecimientos Financieros de Crédito y
  8. b)Las entidades financieras habilitadas para operar en España (…)”. 2. Adicionalmente, se podrá reconocer la condición de adherido no asociado, a aquellas otras entidades españolas o extranjeras, que soliciten alguno de los servicios ofrecidos por la Asociación y den cumplimiento al procedimiento interno que a tal objeto se establezca para el reconocimiento de tal condición. Dichos modelos no implican ningún tratamiento de datos a través de la web, dado que se trata de documentos (modelos) que si se desea utilizarlos como modelo, se descargan, se imprimen, cumplimentan en soporte papel y se remiten a través de otros medios distintos a la entidad sita en la Calle Velázquez de Madrid. Modelos utilizados solamente por las entidades mercantiles que desean ser admitidas como miembros asociados o adheridos a la asociación ASNEF, según se especifica en el artículo 5 de sus estatutos. c).- Según el reclamante, “desde https://www.asnef.com/mapa-web hay variados enlaces en los que recogen datos personales: https://www.asnef.com/suscripción-alnewletter; https://www.asnef.com/asistente; https://www.asnef.com/buzón-desugerencias, No obstante, si se intenta acceder a la página “mapa web” a través del enlace existente en la parte superior de la página principal <<mapa web>> la web redirige a una nueva página https://www.asnef.com/mapa-web/ donde aparece el siguiente mensaje: “El recurso que está buscando ha sido eliminado, se le cambió el nombre o no está disponible temporalmente”. d).- En relación con el chat asistente establecido en el Sitio Web, existe, en parte inferior de la página web un asistente chat que puede ser ejecutado cliqueando en el signo “?” que aparece. Si se desea utilizar dicho asistente, aparece el siguiente mensaje: “Hola, soy el agente de ASNEF. Utilizo inteligencia artificial para responderte a cualquier pregunta sobre el fichero ASNEF o sobre ASNEF como asociado. ¿En qué puedo ayudarte___” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 El chat únicamente registra la pregunta formulada a fin de dar respuesta a la misma a través del sistema de inteligencia artificial que sustenta. FUNDAMENTOS DE DERECHO I.Competencia: - Sobre el tratamiento de los datos personales y la “Política de Privacidad” de la página web: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. - Sobre la “Política de Cookies” en la página web: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), II.Sobre el presunto tratamiento de los datos personales y la “Política de Privacidad” de la página web: www.asnef.com Se ha constatado que, en la parte superior de la página principal, existe un enlace para un acceso restringido al área privada, a través del cual se despliega un formulario para introducir el “usuario” y la “contraseña”, pero no incluye la posibilidad de darse de alta como nuevo asociado, siendo necesaria realizarlo a través de la descarga un modelo de carta que no implica ningún tratamiento de datos personales a través de la web dado que se trata de documentos que se descargan, se imprimen, cumplimentan en soporte papel y se remiten a través de otros medios distintos de la entidad, sita en la Calle Velázquez, 64-66 2ª planta de Madrid. Modelos que solamente pueden ser utilizados por las entidades mercantiles que desean ser admitidas como miembros asociados o adheridos a la asociación ASNEF, según se especifica en el artículo 5 de sus estatutos. Por otra parte, si se intenta acceder a la página https://www.asnef.com/mapa-web, a través de la cual, el reclamante alega que hay variados enlaces en los que recogen datos personales, aparece el siguiente mensaje: “El recurso que está buscando ha sido eliminado, se le cambió el nombre o no está disponible temporalmente”. Y en relación con el chat asistente establecido en el Sitio Web, si se desea utilizar dicho asistente, se constata que, el chat únicamente registra la pregunta formulada a fin de dar respuesta a la misma a través del sistema de inteligencia artificial que sustenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 En este sentido, el artículo 6 del RGPD establece las condiciones para que el tratamiento de los datos personales sea lícito y el artículo 13 del RGPD, establece la información que se debería proporcionar al interesado en el momento de recoger sus datos personales. Información que debería aparecer en la “Política de Privacidad” de la página web. No obstante, se ha comprobado que, en dicha página web, no existe ninguna herramienta o formulario a través de la cual se puedan obtener datos personales de los usuarios. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la página web reclamada, no se contradice con lo estipulado en la normativa vigente en materia de protección de datos. II.Sobre la Política de Cookies de la página web: Se ha podido comprobar que al entrar en la página principal de la web www.asnef.com solamente se utiliza la cookie propia de sesión “yourAuthCookie”, que según afirma la propia entidad su finalidad es técnica. Según también la propia entidad, las cookies que la web utiliza para la gestión de la descarga de los documentos son las “PNL1‐ARRAffinity” y la “PIE1‐ ARRAffinity”. Con arreglo a las evidencias que se disponen en este momento a través de los medios utilizados, se constata que las cookies que utiliza la página web www.asnef.com , al ser cookies técnicas, quedan excluidas del consentimiento exigido por el artículo 22.2 de la LSSI, y, por tanto, se considera que la “Política de Cookies”, de la página web no se contradice con lo estipulado en dicho artículo. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la ASOCIACIÓN NACIONAL DE ESTABLECIMIENTOS FINANCIEROS DE CRÉDITO (ASNEF), CIF.: G28516003 y al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.