1/11 Expediente Nº: E/02209/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad GOOGLE INC. (GOOGLE SPAIN), y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20/06/2013, el Director de la Agencia Española de Protección de Datos, con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), acordó iniciar procedimiento sancionador a las entidades Google Spain, S.L. y Google Inc., por la presunta infracción de los artículos 4.1, 4.2, 4.5, 5, 6, 15 y 16 de la LOPD por parte de cada una de las entidades imputadas, tipificadas como leve y graves en los artículos 44.2.c), 44.3.c), 44.3.
- b)y 44.3.
- e)de la citada Ley Orgánica. Este procedimiento sancionador fue tramitado de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, dictándose la preceptiva resolución en fecha 18 de diciembre de 2013, en la que se declaró que por parte de GOOGLE INC. se vulneraron los artículos 4.1, 4.2, 4.5, 5, 6, 15 y 16 de la LOPD; y se acordó el archivo del procedimiento sancionador seguido contra la entidad GOOGLE SPAIN, S.L. Se tuvo en cuenta, no obstante, que los hechos constatados, en relación con la deficiente información facilitada por Google a los usuarios de sus productos y servicios, constituyó la base fáctica para fundamentar la imputación de las infracciones por el incumplimiento de lo establecido en los artículos 4.1, 4.2, 5 y 6 de la LOPD, por lo que se consideró que se trataba de un supuesto de concurso medial, en el que unos mismos hechos derivan en cuatro infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de las otras, de modo que las cuatro infracciones descritas quedaron subsumidas en la vulneración del principio del consentimiento consagrado en el citado artículo 6.1 de la LOPD. En consecuencia, la citada Resolución de 18 de diciembre de 2013 acordó imponer a la entidad GOOGLE INC. tres multas por importe de 300.000 euros (trescientos mil euros) cada una, por las infracciones de los artículos 6.1, 4.5 y 15 y 16 de la LOPD, tipificadas como graves en los artículo 44.3.b),
- c)y
- e)de dicha norma, respectivamente. Por otra parte, en la misma resolución de fecha 18 de diciembre de 2013 se acordó requerir a la entidad GOOGLE INC. para que adoptase, sin dilación, las medidas necesarias para poner fin a la vulneración de los artículos 4.1, 4.2, 4.5, 5, 6, 15 y 16 de la LOPD declarada en dicha Resolución y comunicase las medidas y actuaciones adoptadas a esta Agencia Española de Protección de Datos. SEGUNDO: Teniendo en cuenta el requerimiento efectuado a GOOGLE INC. en la resolución C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 dictada en el procedimiento PS/00345/2013, el día 4 de mayo de 2015 se recibió en la Subdirección de Inspección de Datos una Nota Interior del Director de la Agencia Española de Protección de Datos, firmada la misma fecha, en la que se insta el inicio de Actuaciones Previas de Investigaciones tendentes a acreditar el cumplimiento de aquel requerimiento. En el marco de estas actuaciones previas, señaladas con el número E/02209/2015, con fecha 15 de junio de 2015, los Servicios de Inspección de la AEPD han reclamado de los representantes de GOOGLE INC. información detallada sobre las medidas implementadas para dar cumplimiento a la resolución antes citada en los siguientes aspectos: a. Información a los usuarios b. Obtención del consentimiento para tratamiento de datos, en particular para la comunicación de datos entre servicios de Google. c. Periodos de conservación de datos d. Ejercicio de derechos e. Funcionamiento de los productos Analytics, y de las redes publicitarias. En relación con dicha solicitud, GOOGLE INC. ha facilitado información técnica detallada de los tratamiento internos de datos, en particular los relativos a las políticas de conservación de datos, y de entrevistas personales a los responsables de ingeniería de la entidad. Completando las constataciones realizadas durante la fase de Actuaciones Previas, GOOGLE INC., mediante carta dirigida a la Directora de la Agencia Española de Protección de Datos, de fecha 7 de diciembre de 2015, se ha comprometido a realizar diversas acciones en relación a cada uno de los aspectos puestos en cuestión en la citada resolución antes de finales de marzo de 2016. El resultado de las constataciones llevadas a cabo durante la fase previa de investigación consta en el Informe de Actuaciones elaborado por la inspección actuante, de fecha 8 de diciembre de 2015, en el que se detallan los medidas implementadas en relación con los temas mencionados anteriormente, los cuales se reseñan en los Fundamentos de Derecho de esta Resolución. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la LOPD. II El procedimiento sancionador señalado con el número PS/00345/2013, seguido contra GOOGLE INC., tuvo por objeto analizar la conformidad con la normativa de protección de datos de los tratamientos llevados a cabo por dicha entidad a la luz de la información que la misma facilita a los usuarios de sus productos o servicios (autenticados o no autenticados) y de las herramientas habilitadas por la misma para que los afectados puedan gestionar sus datos, así como la utilización que realiza de estos datos personales y de aquellos otros recabados de usuarios que acceden a sitios web de entidades terceras que usan servicios de GOOGLE INC. (usuarios en el rol pasivo). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 La información proporcionada se contenía, principalmente, en el documento denominado “Política de Privacidad”, que venía aplicándose por Google desde el 1 de marzo de 2012 y que sustituyó las aproximadamente 70 políticas que anteriormente tenía publicadas, en páginas específicas de “Términos y Condiciones”, “Preguntas más frecuentes” y “Centro de asistencia”, además de otros avisos de privacidad. Con anterioridad a marzo de 2012, Google aplicaba su política de privacidad de forma específica y diferenciada por productos o servicios, señalando para cada uno de ellos la información relativa a la recogida y tratamiento de los datos personales. A partir del 1 de marzo de 2012, modificó esa política y las condiciones de los servicios, elaborando una nueva Política de Privacidad con la que perseguía la unificación de todas las anteriores. Esta nueva Política de Privacidad, según estaba configurada, era aplicable a todos los servicios prestados por Google, con alguna excepción, ya fueran servicios prestados a personas físicas o a empresas titulares de web que utilizasen productos de aquella. Asimismo, la nueva Política de Privacidad era aplicable a todos los tipos de usuarios, ya sean autenticados, no autenticados o usuarios que acceden a sitios web de entidades terceras (usuarios en rol pasivo). En cuanto a la recogida de datos, la Política de Privacidad, en el apartado referido a los “Datos recogidos por Google”, mostraba dos formas de llevarla a cabo. La primera se refiere a la información facilitada directamente por el usuario al dar de alta una cuenta para hacer uso de los productos de Google como “usuario autenticado” (“nombre, dirección de correo electrónico, número de teléfono o los datos de tu tarjeta de crédito… fotografía…”) y la segunda a la obtención de datos por Google a través de la utilización de sus servicios. Entre los datos recabados a través de la utilización de los servicios, se indican expresamente datos sobre el dispositivo (como modelo de equipo, la versión del sistema operativo, los identificadores únicos y los datos sobre la red móvil, incluyendo el número de teléfono), datos de registro (por ejemplo, consultas de búsqueda, páginas visitadas, datos telefónicos, dirección IP, tipo de navegador, idioma del navegador, cookies), datos sobre la ubicación física (señales de GPS enviadas por un dispositivo móvil), cookies e identificadores anónimos. Considerando las dos formas de llevar a cabo la recogida de datos expuestas (información facilitada directamente por el usuario e información obtenida por Google a través de la utilización de sus servicios), Google ofrecía la utilización de sus productos o servicios a usuarios que previamente se hubiesen registrado como usuarios autenticados, en términos de la propia Política de Privacidad, y a usuarios no autenticados. El usuario autenticado es un usuario activo que utiliza los productos de Google iniciando previamente una sesión en una de las posibles cuentas de Google en las que se ha registrado y ello le da acceso a ciertos productos que así lo exigen o a servicios adicionales en otros productos que son accesibles a usuarios no autenticados. El usuario no autenticado es también un usuario activo, si bien utiliza los productos o servicios de Google sin iniciar una sesión como usuario registrado, cuando esto no es necesario según la configuración del producto o servicio (servicios “abiertos”), como en el caso del buscador o en otros productos en los que se ofrece un acceso parcial a los usuarios no autenticados. En otros casos, basta con proporcionar cierta información personal para acceder al producto de que se trate. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Existe, sin embargo, un tercer tipo de usuario, que puede denominarse “pasivo”, que es aquel usuario que no es consciente de que está utilizando un producto ni reclamando un servicio de Google, que a pesar de ello recaba datos personales relativos al mismo, incluso puede hacerlo sin prestarle un servicio. GOOGLE INC. obtiene información de cualquier usuario que utiliza sus servicios. Un usuario adoptará los roles de autenticado, no autenticado y pasivo a lo largo de su relación con los productos de Google, y la utilización de identificadores permite a dicha entidad recoger datos de aquéllos de forma no anónima, aunque los usuarios pretendan tener una relación con Google anónima al no autenticarse. En cuanto a la información facilitada a los usuarios, en la Resolución de 18 de diciembre de 2013 se concluía que Google en ningún caso informaba de manera clara y sistemática sobre los tratamientos de datos de carácter personal, sus finalidades, no delimitaba la naturaleza de la información sometida a tratamiento y su posterior utilización. Cuando hacía referencia a estas cuestiones empleaba una terminología imprecisa que impedía a los afectados conocer el sentido y significado real de sus indicaciones. Por otra parte, según el contenido recogido en sus informaciones y de las constataciones realizadas, se entendió que Google conservaba los datos por tiempo indeterminado y que no había prestado la atención debida al ejercicio de los derechos por parte de los usuarios, según podía apreciarse del diseño elaborado para que a través de sus sistemas éstos pudieran gestionar sus datos, existiendo indicios, incluso de que no se atendían tales derechos y en especial el de cancelación de los datos personales. A pesar de la pretendida unificación de su Política de Privacidad mediante el nuevo documento elaborado, la información que ofrecía se encontraba dispersa en multitud de medios o documentos. La AEPD no cuestionó el uso de la información por capas, recomendable y pertinente en muchos casos. Sin embargo, se apreció que la diseminación de la información a los usuarios en presente caso no les permitía obtenerla de una forma clara, precisa y accesible. Por otra parte, la información sobre aspectos claves como el consentimiento, el ejercicio de derechos o las comunicaciones de datos se encontraban distribuidos a lo largo del texto (8 páginas) y empleaba expresiones como “podremos”, “podrá”, “podrán”, “pueden” (24 veces), “es posible” (4 veces) o “podemos” (2 veces), así como otras expresiones con significados ambiguos, como “mejorar la experiencia la experiencia del usuario”. De todo ello se derivó que la política de privacidad era inaccesible para cualquier usuario, con independencia de su cualificación, que Google recogía datos personales de forma indiscriminada, incluso para posibles finalidades que aún no ha previsto, y ello supuso entender vulnerado el derecho a la protección de datos de carácter personal, entendido como la capacidad del afectado de decidir sobre el tratamiento. En definitiva, las circunstancias puestas de manifiesto en el Fundamento de Derecho Segundo se consideraron en la Resolución de 18 de diciembre de 2013 como constitutivas de infracción por incumplimiento, por parte de GOOGLE INC. de lo establecido en los artículos 4.1, 4.2, 4.5, 5, 6, 15 y 16 de la LOPD. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Teniendo en cuenta las deficiencias apreciadas, que determinaron la declaración de las infracciones reseñadas, y con el propósito de que las mismas fueran subsanadas, en la misma resolución de fecha 18 de diciembre de 2013 se acordó requerir a la entidad GOOGLE INC. para que adoptase, sin dilación, las medidas necesarias para poner fin a la vulneración de los artículos 4.1, 4.2, 4.5, 5, 6, 15 y 16 de la LOPD y comunicase las medidas y actuaciones adoptadas a esta Agencia Española de Protección de Datos. Dicho acuerdo determinó la apertura de las actuaciones previas de investigación número E/02209/2015, acordadas por el Director de la AEPD en fecha 4 de mayo de 2015, para acreditar el cumplimiento del requerimiento efectuado. En el marco de dichas actuaciones, los Servicios de Inspección constataron lo siguiente: 1. En relación con la información a los usuarios:
- a)En la Política de Privacidad se han incluido enlaces a información específica sobre privacidad en un conjunto de servicios, aquellos más frecuentemente utilizados por los usuarios.
- b)Ha incluido información de que Youtube es una empresa que pertenece a Google en las páginas de segundo nivel “Privacidad” o “Acerca de Youtube”.
- c)Ha habilitado el centro “información personal y privacidad” a partir del enlace “Mi cuenta” a los usuarios con cuenta en Google, donde se ofrece información adicional y opción de gestión de la información recogida por Google.
- d)Ha habilitado el mismo centro a usuarios no autenticados en una versión con menor funcionalidad al no tener que administrar los servicios como usuarios autenticados.
- e)Está información adicional está disponible también para dispositivos móviles, ya que está orientado para servicios con acceso a través de la web, sin importar el sistema operativo del dispositivo.
- f)En el caso de usuarios no autenticados, se puede acceder al sitio “Mi Cuenta” a través del buscador, si no surge el mensaje automáticamente en el marco de la campaña de información por parte de Google.
- g)Se ha lanzado una campaña de recordatorios online cuando un usuario pretende hacer uso de los servicios de Google, tanto como usuario autenticado como no autenticado, para que el usuario se vea obligado a acceder a la información de privacidad y que fije los parámetros de configuración de privacidad.
- h)Cuando un usuario consulta la información, el hecho de que la ha consultado se fija mediante una cookie, que si se borra reiniciará el proceso de recordarle que ha de consultar la información de privacidad y fijar la configuración. . Específicamente para usuarios de Android, cuando no interaccionan con Google a través del navegador sino sobre los servicios de Android, se ha preparado una campaña de recordatorio de configuración de las opciones de privacidad. El aviso conduce a una miniweb que dará acceso a la información y a la configuración de opciones de privacidad. Las pruebas se han iniciado en noviembre de 2015. Se plantea desplegar los avisos para las versiones: J,K,L,M de Android. . Google ha realizado una nueva redacción de la Política de Privacidad utilizando, en aquellos aspectos que era posible, sustituyendo expresiones genéricas y poco claras por términos más concretos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 2. Se constataron los siguientes avances en relación al consentimiento y la comunicación de datos entre servicios de Google:
- a)Para usuarios que ya tenían una cuenta, se están lanzando recordatorios en el momento de autenticarse para que consulten sus opciones de privacidad y configuren sus servicios en particular para la comunicación de datos.
- b)Google ha lanzado una campaña proactiva para informar y dirigir a los usuarios hacia los nuevos controles de privacidad, que actualmente está activa en la herramienta Buscador.
- c)Esta campaña llega a bloquear el servicio si el usuario rechaza durante tres ocasiones el ofrecimiento de ir a consultar la información de privacidad. Además, se fuerza a que se consulte todo el texto antes de que el usuario pueda seleccionar el “Acepto” de la política.
- d)Incluye opciones para configurar la política de anuncios, permitiendo inhabilitar el recibir anuncios basados en el perfil del usuario.
- e)Debido a los problemas inherentes a que los servicios se muestran sobre distintos navegadores, sistemas y versiones, y que el recordatorio puede conducir al bloqueo del servicio, la campaña no puede realizarse de forma completa en un único paso. En cualquier caso, la campaña de aviso en el Buscador ya casi alcanza al 100% de los usuarios.
- f)Google proporciona una nueva funcionalidad en relación al servicio global. El usuario tiene ahora la capacidad de desconectar servicios que antes tenía activados de forma obligatoria y a los que se comunicaban datos de su actividad. Los usuarios pueden desconectar los servicios de forma selectiva, incluyendo la posibilidad de eliminar completamente su cuenta.
- g)Se puede limitar la comunicación de datos entre servicios utilizando los modos de navegación privada o los modos incógnitos, que permiten tener sesiones como usuario autenticado y sesiones independientes como no autenticado sin que haya cruce de datos.
- h)Google manifiesta que sólo se realizará cruce de datos de forma muy específica, a través de la dirección IP como por ejemplo si se detecta una actividad sospechosa en una dirección IP, que haga pensar que se están utilizando de forma abusiva unos servicios
- i)Google ha desactivado recientemente la capacidad de limitar el uso de cuentas abiertas por un mismo usuario. De esta forma, un usuario puede tener distintas cuentas y evitar la comunicación de datos entre las mismas
- j)Por defecto, Google ha incluido en el inicio del navegador Chrome, una explicación sobre las capacidades del modo incógnito. . En relación a la publicidad en páginas de terceros (usuarios pasivos), ha introducido dos controles en los anuncios que permiten silenciar el anuncio o el acceso a un formulario para denunciar malas prácticas.
- k)Ha desarrollado versión actualizada y extendida de la herramienta “Controla tus anuncios de Google”, para evitar que se muestren anuncios basados en tus intereses.
- l)Se ha incluido en Android y en IOS la posibilidad de “inhabilitar los anuncios basados en intereses” en el primero y “Limitar el seguimiento” de anuncios en el segundo.
- m)Se han desarrollado políticas internas y dirigidas a los editores para restringir la comunicación de datos entre aplicaciones y para la obtención del consentimiento del usuario para el tratamiento de datos. Están publicadas en Internet como la “Política de consentimiento de usuarios de la Unión Europea” en la página Google Empresa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11
- n)Se han realizado acciones para auditar a los editores que utilizan cookies publicitarias de Google. En España se han auditado 800 sitios y con 60 de ellos se han realizado acciones al detectar no cumplimiento. Entre ellas, un aviso de que si no cumple en 60 días se le cierra el servicio. Este análisis se ha llevado a cabo comenzando por los sitios con mayor tráfico.
- o)Se han iniciado acciones dirigidas a los editores que utilizan la red publicitaria de Google con notificaciones intra-producto y correos electrónicos para que actualicen la política de consentimiento en la Unión Europea.
- p)Se ha creado la página Cookiechoices.org, que ofrece herramientas para que los editores puedan cumplir la política de consentimiento. En dicha página se ofrece código para insertar en las aplicaciones para aplicar la política de privacidad.
- q)Se han implementado medios técnicos para filtrar en los servidores la utilización de dominio de Google): versiones obsoletas, manipuladas, URLs con direcciones que incluyan datos personales, cookies de terceros, etc.
- r)La cookie ID de Doubleclick se está sustituyendo por IDE. Esta última tiene el identificador cifrado. De esta forma se evita que elementos intermedios puedan realizar un seguimiento de la actividad del usuario.
- s)Se está sustituyendo la PREF con la NID planificado para final de año. Esta cookie almacena en el cliente una clave con la que se han cifrado las preferencias del cliente que se almacenan en el servidor. Por lo tanto, para acceder a las preferencias asociadas al identificador de la cookie en el servidor, es necesario que se suministre dicha clave por el cliente. Dicha clave no se almacena en el servidor de Google.
- t)Google informa a los desarrolladores de App’s en Android de que puede suspender la distribución de sus App’s si se incumplen las políticas de recogida de identificadores para usos publicitarios. 3. Se constataron los siguientes avances en relación a la conservación de datos:
- a)Google declara que en su política de conservación de datos está aplicando el principio de limitación de la finalidad como le han marcado desde las autoridades de protección de datos. Para la revisión de los productos actuales y los nuevos desarrollos ha puesto en marcha un Privacy Working Group y llevado a cabo PIA’s y revisiones internas dentro del Product Council para cada servicio.
- b)En este proceso, se han ejecutado más de 10.000 revisiones relativas a la aplicación de los principios de conservación de datos en diferentes productos.
- c)La política de cancelación supone la eliminación antes de 63 días de los sistemas activos y antes de los 180 de los sistemas de respaldo cuando se dispara el evento de eliminación. Este marco temporal es de máximos, y dependerá de la implementación concreta de los servicios. En cuanto al evento de borrado:
- i)En el caso de los datos gestionados por el usuario, este evento es el de la solicitud de eliminación. Esto incluye el borrado de un elemento, de un servicio o de una cuenta de usuario.
- ii)En caso de los datos de sistema, que son todos aquellos generados por la actividad y la interacción del usuario con los servicios de Google (como direcciones IP), y que incluye datos que en el caso de un usuario no autenticado no son gestionables por el usuario (búsquedas, actividad web….), este evento se inicia en el mismo momento en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 el que se produce la colección de los datos. Todos los datos recogidos por un usuario no-autenticado o pasivo se consideran datos de sistema.
- d)La política de anonimización de datos es consistente con la opinión del GT29 y se implementa en función de un análisis de riesgo basado en la posibilidad de reidentificación.
- e)Para la aplicación de la anonimización se implementan controles administrativos y técnicos. 4. Se constataron los siguientes avances en relación al ejercicio de derechos:
- a)Google ha incluido un formulario para solicitud de acceso a datos accesible desde la Política de Privacidad.
- b)Así mismo, en la misma ha incluido un enlace para ponerse en “contacto con nosotros”, que conduce a un FAQ agrupado por productos.
- c)Para el control de los datos personales de los usuarios, Google ha establecido dos grupos de herramientas distinguiendo entre Contenidos, ligados al servicio en que se genera el contenido, y Actividad, relacionado con los metadatos de dicho contenido. Ambas accesibles desde Mi Cuenta y disponibles para usuarios autenticados.
- d)Para controlar los Contenidos se remite a utilidades de los servicios donde se genera o almacena dicho contenido.
- e)Para el acceso a los datos de Actividad hay un sitio único donde se controla la actividad. Los datos de actividad están organizados en grupos (Web, Youtube, Voz y audio, Ubicaciones, Dispositivos). Los grupos en que se han integrado las informaciones de actividad están diseñadas por Google pensando en que tengan sentido para los usuarios.
- f)Google proporciona herramientas para explorar la actividad que se ha recogido hasta el momento.
- g)Para cada actividad Google ofrece la posibilidad de detener la colección de datos. Detener la colección de datos no elimina el contenido ya recogido. Existe un aviso indicando esta funcionalidad, con un enlace a donde se puede eliminar la actividad previamente registrada, que sí se puede eliminar.
- h)Google ha proporcionado opciones para que existan distintas posibilidades de eliminación de información de actividad (desde último día a todo el contenido), de forma que se dan más opciones que el “todo o nada”.
- i)Google ha implementado tres formas de acceder al formulario para ejercer el Derecho al Olvido. IV Además de las mejoras en la información, herramientas u políticas enumeradas en el Fundamento anterior, GOOGLE INC., mediante carta dirigida a la Directora de la Agencia Española de Protección de Datos, de fecha 7 de diciembre de 2015, se ha comprometido a realizar diversas acciones antes de finales de marzo de 2016: I. Notificación, Consentimiento, y Controles para los Usuarios . Google extenderá la cobertura otorgada por la Guía de Privacidad de Producto con el fin de alcanzar a una mayor gama de servicios que los actualmente cubiertos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 . Google lanzará un aviso para informar a sus usuarios en España de que YouTube es una compañía de Google, de manera similar a como ha hecho ya en Holanda. . Google aclarará en la Política de Privacidad que los usuarios pueden también revisar y actualizar los controles de actividad relevantes, incluso cuando no están “logueados”. . Google tomará medidas para explicar en la Guía de Privacidad de Producto, como los usuarios pueden utilizar opciones como el modo incógnito para minimizar el intercambio de datos con Google. . Google mantendrá a la AEPD informada de sus planes de lanzar una versión actualizada del aviso de privacidad para otros servicios, incluyendo Mapas e YouTube. . Google continuará analizando - trabajando para ello junto con la AEPD - posibles vías para mejorar la transparencia (“accountability”) respecto de la forma en que opera sus servicios. . Google informará a la AEPD sobre el uso de la Guía de Privacidad de Producto. . Google proporcionará un plan para actualizar su Centro de Solución de Problemas Relacionados con la Privacidad, con la finalidad de simplificar la navegación de los usuarios hacia los puntos de ayuda relativos a temas de privacidad. . Google realizará seguimiento de los Controles de Actividad, para asegurarse de que satisfacen las necesidades de los usuarios. . Google lanzará una campaña de recordatorios para Android. Google seguirá explorando formas de llegar a los usuarios que estén utilizando versiones de Android más antiguas. II. Cookies, Usuarios Pasivos, y Anuncios . Google proporcionará un breve documento explicativo describiendo el funcionamiento del Intercambio de Anuncios y de las subastas en tiempo real. . Google confirma que las actuales Políticas del Programa para Desarrolladores de Google Play (https://play.google.com/about/developer-content-policy.html) informan a los desarrolladores de que Google puede rechazar aplicaciones (apps) por hacer un uso o recogida indebida de identificadores de usuario. Dicha política establece lo siguiente: . “El identificador de publicidad no debe… asociarse a cualquier identificador de dispositivo persistente (por ejemplo, SSAID, dirección MAC, IMEI etc.) sin el consentimiento explícito del usuario.” . “A partir del 1 de agosto de 2014, todas las actualizaciones y las nuevas aplicaciones que se suban a Play Store deberán utilizar el ID de publicidad (cuando esté disponible en un dispositivo) en lugar de cualquier otro identificador de dispositivo con fines publicitarios.” . “Las infracciones graves o reiteradas del Acuerdo de Distribución para Desarrolladores o de esta Política de Contenidos darán lugar a la cancelación de la cuenta.” . Google analizará cómo se puede hacer que la información sobre los efectos de los controles de usuario sobre identificadores y anuncios sea más visible. . Google mantendrá informada a la AEPD acerca de sus avances con respecto al despliegue de la política para usuarios pasivos, incluyendo sobre el progreso que se haga en hacerla cumplir, así como sobre cualquier cambio relevante en las políticas publicadas en https://support.google.com/adsense/answer/48182?hl=es que afectan a los anunciantes y a los editores. . Google proporcionará un resumen de los datos que almacena en conexión con las cookies que describimos (las cookies “id” e “IDE” en el dominio Doubleclick.net y la cookie NID en el dominio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 google.com). III. Cancelación, Conservación, y Ejercicio de Derechos . Google enviará información adicional que describa nuestro planteamiento general sobre la protección de los usuarios y las garantías que hemos implementado en nuestros sistemas de detección del fraude. . Proporcionar un resumen de los datos de usuarios provenientes de aplicaciones comerciales, que pueden ser conservados durante un plazo superior a 180 días. . Google continuará proporcionando a la AEPD información detallada sobre las políticas de anonimización de datos. V Del contenido de estas actuaciones previas de investigación se desprende que GOOGLE INC. ha adoptado medidas correctoras en la información en materia de protección de datos de carácter personal que dicha entidad facilita a los usuarios de sus productos y servicios, en orden a subsanar los incumplimientos que determinaron los acuerdos adoptados en la resolución de 18 de diciembre de 2013, dictada en el procedimiento PS/00345/2013, que tuvo por objeto el análisis de su Política de Privacidad; a lo que deberán añadirse los compromisos asumidos para la implantación inmediata de otras medidas con el mismo propósito, según el detalle expuesto en aquellos Fundamentos de Derecho. De la descripción de estas medidas se deriva que GOOGLE INC. ha adoptado, en general, las medidas que le fueron requeridas en la resolución dictada en el procedimiento sancionador PS/00345/2013 para evitar la vulneración de los artículos 4.1, 4.2, 4.5, 5, 6, 15 y 16 de la LOPD, lo que conlleva el archivo de las actuaciones previas de referencia. Todo ello, sin perjuicio de que esta Agencia mantenga la vigilancia precisa para asegurar la implantación efectiva de las medidas a las que GOOGLE INC. se ha comprometido y aquellas otras que puedan advertirse como necesarias para ajustar la información sobre la recogida y tratamiento de datos personales a las exigencias establecidas en la LOPD y sus normas de desarrollo, con los efectos que en cada caso se determinen, incluida la apertura de los procedimientos sancionadores que procedan por las presuntas infracciones que pudieran constatarse. En definitiva, la AEPD seguirá valorando en el futuro la actuación de GOOGLE INC. y su adecuación a la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a GOOGLE INC. (GOOGLE SPAIN). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es