← España

E-03937-2014

1/8 Expediente Nº: E/03937/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por SCRIPTORIUM EDICIONES LIMITADAS, S.L. relativo a la ejecución del requerimiento de la resolución de referencia R/01121/2015 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00160/2014, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00160/2014, a instancia de Don A.A.A., con Resolución del Director de la Agencia Española de Protección de Datos por infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI). Dicho procedimiento concluyó mediante resolución R/01402/2014, de fecha 21 de julio de 2014 por la que se resolvía: “1. ARCHIVAR el Procedimiento Sancionador PS/00690/2013 instruido por la Agencia Española de Protección de Datos a la entidad SCRIPTORIUM EDICIONES LIMITADAS, S.L. por infracción al artículo 22.2 de la LSSI. 2. APERCIBIR (A/00160/2014) a la entidad SCRIPTORIUM EDICIONES LIMITADAS, S.L. con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). 3.- REQUERIR a la entidad SCRIPTORIUM EDICIONES LIMITADAS, S.L., de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de un mes desde la notificación de la presente resolución: 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a incluir en el sitio web de su titularidad www.scriptorium.net la información sobre los dispositivos de almacenamiento y recuperación de datos no exentos que aparece señalada en el Fundamento de Derecho IV como incompleta o no facilitada. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/03937/2014 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/03937/2014. La citada resolución consta fue notificada a SCRIPTORIUM EDICIONES LIMITDAS, S.L., en adelante SCRIPTORIUM con fecha 24 de julio de 2014. SEGUNDO: En el Fundamento de Derecho IV de la mencionada Resolución R/01402/2014 se hacía constar: << IV En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que con fechas 30 de agosto y 5 de septiembre de 2013 el sitio web denunciado no contaba con ningún tipo de información sobre el uso de dispositivos de almacenamiento y recuperación de datos. Asimismo, ha quedado probado que tan pronto como la entidad titular del sitio web recibió el requerimiento de información de esta Agencia optó por introducir un sistema de información por capas, tal y como se constató con fecha 4 de octubre de 2013, en cuyo segundo nivel ha ido incluyendo diversas modificaciones después de recibir la notificación del acuerdo de inicio de procedimiento sancionador con el propósito de adecuar la información ofrecida sobre cookies a la normativa que resulta de aplicación. La utilización de dicho sistema de información por capas en los sitios web en que se utilicen cookies no exentas es perfectamente válido. Conforme lo indicado en la “Guía sobre el uso de cookies” en la primera capa debe mostrarse la información esencial sobre la existencia de cookies, si son propias o de terceros y las finalidades de las cookies empleadas, así como los modos de prestar el consentimiento. En la segunda capa, a la que se accederá mediante enlace o hipervínculo de la primera se ofrecería información adicional sobre las cookies, la cual debería versar sobre qué son y para qué se utilizan las cookies, los tipos de cookies utilizadas y su finalidad, así como la forma de desactivar o eliminar las cookies enunciadas a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o a través de las plataformas comunes que pudieran existir, para esta finalidad. Finalmente, en esta segunda capa debe ofrecerse información sobre la identificación de quién utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros, con la identificación de aquellos con los que haya contratado o cuyos servicios ha decidido utilizar el editor. Por tanto, cabe el suministro de la información adicional en una segunda capa por grupos de cookies homogéneos, y ello no produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de rechazo de las cookies enunciadas. La normativa estudiada pretende que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal, siendo esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 cada una de las cookies no exentas descargadas. Ahora bien, nada obsta a que dicha información adicional se ofrezca, a los efectos de dar cumplimiento a los requisitos de la segunda capa, en un cuadro adjunto que señale el dominio bajo el cual figura la con identificación, en su caso, del tercero en cuestión. Es decir, aunque dicho sistema no sea exigible la Agencia entiende que la descripción contenida en un cuadro puede dar cumplimiento a los requisitos de la segunda capa relativos a los tipos de cookies utilizadas y su finalidad así como sobre quién utiliza las cookies, en la medida en que contenga la información exigible antes especificada. Relacionando dichas exigencias con la información actualmente ofrecida sobre en su página web se efectúan las siguientes consideraciones: En el primer nivel de información, que se muestra a través del aviso que aparece en forma destacada y visible en la parte superior de la página inicial del sitio, se señala que: “En Scriptorium usamos cookies propias y analíticas para mejorar tu experiencia de navegación. Consulta nuestra política de cookies, ya que si continúas navegando, consideramos que aceptas su uso”, A la vista de su contenido se observa que en el mismo no se informa sobre el uso de cookies no exceptuadas de tercera parte, entre las que se encontrarían las servicio Google Analytics descargada en el último de los accesos de fecha 20 de junio de 2014. También serían de tercera parte las cookies analíticas _utma, _utmb, _utmc y_utmz del servicio Google Analytics y las de preferencias o personalización, publicidad y servicio de vídeo que se descargaron en visitas anteriores. A su vez, se considera que la mera expresión “mejorar tu experiencia de navegación” no describe la finalidad de la cookie analítica instalada en el último acceso realizado a la web, como tampoco definiría correctamente las finalidades a las que respondían el resto de tipos de cookies no exentas almacenadas en visitas anteriores. En el segundo nivel de información alojado actualmente en el documento identificado como “Política de Cookies”, se observa que sustancialmente mantiene la misma estructura y contenido que el analizado en el acuerdo de inicio. En dicho documento el editor ha elegido informar sobre las cookies utilizadas incluyendo una tabla con cuatro columnas que responden a los títulos de Dominio/Titular, nombre de la cookie, Expiración y Finalidad en lugar de informar por tipos homogéneos de Partiendo de esta estructura informativa se aprecia, en conjunto, lo siguiente en relación con el contenido ofrecido en esta segunda capa:

  1. a)En dicho documento se definen las cookies como “pequeños ficheros de datos que se generan en el ordenador del internauta que permiten la interactuación del usuario con el sitio web utilizando todas sus funciones además permiten obtener información analítica y estadística de por ejemplo:” La información recogida en dicha definición resulta confusa, toda vez que estos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 ficheros o dispositivos se descargan para almacenar datos que podrán ser recuperados por el responsable de su instalación a fin de tratarlos con distintas finalidades. Por lo tanto, el hecho de que el uso de las cookies pueda repercutir en la mejora de la interactuación del usuario con el sitio web, en tanto que a partir del tratamiento de la información obtenida pueda también facilitarse la navegación del visitante, ni responde a la función esencial de las cookies ni asegura que el internauta conozca que la utilización de las diferentes funcionalidades del sitio, como por ejemplo, la reproducción del vídeo citada por el editor en sus alegaciones, conlleve el uso de
  2. b)No se informa que el uso de las cookies analíticas responde al seguimiento y perfilado de la actividad web de los usuarios, no considerándose correcto describir como finalidades expresiones como “Para el funcionamiento de las analíticas google” o “Estadísticas de Google”, ello al margen de que el posterior análisis de los datos estadísticos resultantes del tratamiento de la información permita mejorar la oferta de productos o servicios ofrecidos.
  3. c)En cuanto a los mecanismos ofrecidos para desactivar o eliminar las para eliminar o desactivar las cookies que lleva a una página en lengua inglesa, cuando existe esa misma página en español a través del enlace http://support.mozilla.org/es/kb/cookies-informacion-que-lossitios-web-guardan-en-?redirectlocale=en-US&redirectslug=Cookies. Además, se considera que no se facilita información sobre los navegadores más utilizados por los internautas españoles a fin de cubrir el mayor espectro de los usuarios que pueden acceder al portal, pudiendo añadirse, por ejemplo, el navegador
  4. d)Respecto del listado pormenorizado de la tabla se observa que respecto de las cookies relacionadas: - No se indica si se trata de cookies de primera o tercera parte. - C/ Jorge Juan, 6 28001 – Madrid En cuanto a otras cookies de tercera parte que no se descargaron en el acceso de 20 de junio de 2014, aunque si se almacenaron en otros accesos anteriores, se observa que no se indicaba que las cookies NID y PREF de google.com se usan por Google con fines publicitarios, respondiendo también fines de personalización de preferencias el uso de la cookie PREF. www.agpd.es sedeagpd.gob.es 5/8 - En ningún momento del período de tiempo que se descargaron se ha incluido el detalle correspondiente al uso de la VISITOR_INFO1_LIVE del dominio youtube.com con fines asociados al servicio de vídeo, ni del almacenamiento de las cookies analíticas de tercera parte _utma, _utmb, _utmc y_utmz del servicio Google Analytics de Google Inc. En esta capa también se incluye información sobre cookies asociadas a dominios de redes sociales (facebook.com y twitter.com). Durante las actuaciones de investigación no se ha descargado ningún dispositivo asociado a dichos dominios por lo que esa información es innecesaria. >> TERCERO: Con motivo del requerimiento efectuado en la citada resolución, SCRIPTORIUM remitió a esta Agencia con fechas 28 de agosto de 2014 y 26 de mayo de 2015 sendos escritos comunicando las modificaciones efectuadas en el portal web de su titularidad para adaptar la información ofrecida sobre cookies a las exigencias del artículo 22.2 de la LSSI. CUARTO: Con fechas 17 de septiembre de 2014, 17 de abril y 28 de mayo de 2015, desde la Subdirección General de Inspección de Datos se accede a la página web https://www.scriptorium.net a los efectos de verificar las modificaciones comunicadas por SCRIPTORIUM en el sistema utilizado para informar a los usuarios que visitan el mencionado portal web sobre el uso de dispositivos de almacenamiento y recuperación de datos, observándose los siguientes cambios en respuesta al requerimiento de medidas efectuado por esta Agencia: - En la primera capa informativa se advierte del uso de cookies mediante el siguiente aviso o cartel informativo: “Utilizamos cookies propias y de terceros para el correcto funcionamiento de la web, realizar, métricas analíticas, interacción con redes sociales, mostrar contenido multimedia y publicidad comportamental. Puede obtener más información sobre esta tecnología visitando nuestra política de continúa navegando acepta su uso. ACEPTAR COOKIES” . - A través del enlace que aparece subrayado en el mencionado aviso se accede a la segunda capa informativa, constituida por el documento de “Política de Cookies”, en el que se comprueba que una “cookie” ha pasado a definirse como “un pequeño archivo de texto que un sitio web almacena en el navegador del usuario, facilitando la navegación por una página web y son esenciales para el funcionamiento de internet”. Asimismo, se constata que la finalidad de las cookies analíticas mostrada se ajusta con mayor fidelidad a la función para la que dichos dispositivos se utilizan al afirmar que: “Cookies de análisis: Son aquéllas que permiten cuantificar el número de usuarios y así realizar la medición y análisis estadístico de la utilización que hacen los usuarios de los servicios prestados. Para ello se analiza la navegación web con el fin de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 mejorar la oferta de productos y servicios” En cuanto a la tabla que detalla la denominación de las diferentes cookies no exentas que se descargan al navegar por el portal y las finalidades concretas a las que se destinan cada uno de estos dispositivos, se comprueba que también pormenoriza si son de primera o de tercera parte. Se han incluido las cookies NID y PREF bajo el dominio de google.com. No aparece relacionada ninguna cookie del dominio youtube.com ya que el servicio de vídeo ha pasado a prestarse a través de una página externa. Respecto de los mecanismos ofrecidos para desactivar o eliminar las cookies, se constata que se ha completado el abanico de navegadores de mayor uso añadiendo las instrucciones de configuración del navegador Safari para dispositivos móviles y se ha agregado información sobre el “Complemento de inhabilitación para navegadores de Google Analytics”. Sin perjuicio de las adecuadas correcciones introducidas en el procedimiento de información sobre cookies como respuesta al requerimiento efectuado por esta Agencia, y habida cuenta que se ha comprobado que el enlace que llevaría a configurar el navegador Safari da error, se considera conveniente que SCRIPTORIUM, en orden a facilitar a los internautas una información completa y fácilmente accesible sobre los mecanismos de bloqueo y rechazo de este tipo de dispositivos, modifique la ruta ofrecida por la siguiente dirección https://www.apple.com/legal/privacy/es/cookies/ que si permite la funcionalidad deseada. FUNDAMENTOS DE DERECHO I Es competente para resolver la Agencia Española de Protección de Datos de acuerdo con el artículo 43.1 de la LSSI que establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
  5. d)e
  6. i)y 38.4.d),
  7. g)y
  8. h)de esta Ley”. II Los hechos que dieron lugar al expediente A/160/2014 traían causa en el incumplimiento a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, y que teniendo en cuenta las modificaciones introducidas por la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. III En consecuencia, del examen y valoración conjunta de las medidas adoptadas por SCRIPTORIUM, cuya descripción figura en el Antecedente de Hecho Cuarto de esta resolución, se constata que dicha entidad ha realizado las modificaciones necesarias para subsanar las deficiencias observadas en la resolución de Apercibimiento A/00160/2014 en relación con el cumplimiento de las exigencias de información clara y completa establecidas en el artículo 22.2 de la LSSI. En consecuencia, procede el archivo de las actuaciones efectuadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones de investigación E/03937/2014. 2. NOTIFICAR la presente Resolución a SCRIPTORIUM EDICIONES LIMITADAS, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.