E-04051-2014

1/8 Expediente Nº: E/04051/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES En relación con las actuaciones practicadas por esta Agencia a los efectos de comprobar la ejecución del requerimiento de la resolución de referencia R/01466/2014 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00175/2014, seguido contra ENGEL ENERGY, S.L. y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00175/2014, a instancia de Don A.A.A., con Resolución del Director de la Agencia Española de Protección de Datos por infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI). Dicho procedimiento concluyó mediante resolución R/01466/2014, de fecha 24 de julio de 2014 por la que se resolvía: “

1. ARCHIVAR el Procedimiento Sancionador PS/00083/2014 instruido por la Agencia Española de Protección de Datos a la entidad ENGEL ENERGY, S.L. por infracción al artículo 22.2 de la LSSI.
2. APERCIBIR (A/00175/2014) a la entidad ENGEL ENERGY, S.L. con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo
3. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). 3.- REQUERIR a la entidad ENGEL ENERGY, S.L., de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de un mes desde la notificación de la presente resolución. 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a incluir en el sitio web de su titularidad www.engelenergy.com la información sobre los dispositivos de almacenamiento y recuperación de datos no exentos que aparece señalada en el Fundamento de Derecho V como incompleta o no facilitada. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/04051/2014 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/04051/
4. Dicha resolución consta fue notificada a ENGEL ENERGY, S.L. con fecha 4 de agosto de
5. SEGUNDO: En el Fundamento de Derecho V de la mencionada Resolución R/01466/ 2014 se hacía constar: <<V En el presente supuesto, a través de la valoración conjunta del resultado de las actuaciones practicadas y el análisis de la documentación obrante en el expediente, ha quedado acreditado que la información ofrecida en el sitio web en cuestión sobre el uso y finalidades de los dispositivos de almacenamiento y recuperación de datos no exentos a los usuarios que acceden al mismo era incompleta y deficiente por los siguientes motivos:  En primer lugar, la información disponible en el citado sitio web relativa al uso de estos dispositivos está contenida en los documentos de “Política de Privacidad” y “Aviso Legal” a los que se accede a través de los enlaces del mismo nombre situados al pie de las páginas que integran el portal, excepción hecha de la página del Blog. Por lo tanto, dicha información no resulta directamente visible ni accesible para los usuarios, no siendo tampoco reconocible para éstos. Téngase en cuenta que la denominación de tales enlaces no incluye ninguna indicación que permita asociarlos con información sobre este tipo de dispositivos.  En segundo lugar, durante las comprobaciones efectuadas se ha constatado la instalación de cookies propias y de terceros sin que la información contenida en dichos documentos haga referencia al uso de Privacidad” se limita a reseñar que se usan cookies del servicio Google Analytics, aunque sin precisar que son cookies analíticas de tercera parte que se instalan para realizar un seguimiento de la actividad de los usuarios en el sitio web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 En relación con esta cuestión, los citados documentos no informan sobre el uso de cookies de terceros asociadas a los dominios de google.com, youtube.com, twitter.com y s.ytimg.com, no indican las finalidades para las que se emplean ni remiten a la información sobre cookies de las entidades que las gestionan. Sobre este particular, y en función de la tipología en la que se encuadran los dispositivos descargados, el almacenamiento y tratamiento de las cookies descargadas respondería a fines publicitarios (NID) en el primero de los dominios reseñados , de personalización de preferencias (PREF) y de servicio de vídeo (VISITOR__INFO_LIVE, ) en el segundo de los dominios citados y a fines de seguimiento y perfilado de la navegación (guest_id) en el caso del tercer dominio . En este sentido, se considera que expresiones como que “Las "cookies", son pequeños ficheros de datos que se generan en el ordenador del Usuario y que nos permiten obtener la siguiente información para adaptar y mejorar nuestros servicios a los intereses de los Usuarios”, utilizada en el reseñado documento de “Política de Privacidad”, no describen correctamente las finalidades para las que se usan tales dispositivos ni aseguran que los internautas conozcan que la utilización de las diferentes funcionalidades del sitio conlleve el uso de cookies que pudieran no estar exentas del deber de información. En tercer lugar, en el apartado de “Uso de cookies y del fichero de actividad”, contenido en el “Aviso Legal” se realizan una serie de manifestaciones incorrectas a la vista de los hechos constatados, en concreto: -No puede considerarse que la totalidad de las cookies utilizadas en el citado sitio web resulten imprescindibles para el correcto funcionamiento y visualización del sitio. Según el artículo 22.2 de la LSSI únicamente estarán exentos de las obligaciones del deber de información y la obtención del consentimiento los dispositivos de almacenamiento y recuperación de datos en equipos terminales de los usuarios utilizados “al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. (…) De acuerdo con los mencionados criterios el Grupo de Trabajo del Artículo 29 cita una serie de cookies, entre las que se encuentran las cookies de publicidad y de análisis, cuya utilización no está exenta del deber de consentimiento informado previo al almacenamiento de la información o a su accesibilidad en el terminal de los usuarios o abonados. (…) En cuanto a las “Cookies de sesión de reproductor multimedia”, el reseñado Dictamen 4/2012, recoge que:: “Los cookies de sesión de reproductor multimedia se utilizan para almacenar los datos técnicos necesarios para reproducir contenidos de vídeo o audio, como calidad de la imagen, velocidad de conexión a la red y parámetros de almacenamiento temporal. Estos cookies de sesión multimedia se conocen comúnmente como flash cookies porque la tecnología de vídeo por Internet más C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 utilizada actualmente es Adobe Flash. Al no existir ninguna necesidad a largo plazo de esta información, estos cookies expiran al finalizar la sesión. (…) De acuerdo con dicho criterio se entiende que la cookie “VISITOR_INFO_LIVE” no goza de tal exención dado que se trata de una cookie persistente que almacenaría información a largo plazo cuando no resulta preciso para la funcionalidad de reproducción de contenidos de vídeo o audio que haya podido ser solicitada por el usuario. . A la vista de dichas aclaraciones, y de conformidad con la directriz general contenida en el mencionado Dictamen consistente en que “Cuando se aplique el CRITERIO B, es importante considerar lo que es estrictamente necesario desde el punto de vista del usuario, no del prestador de servicios”, cabe concluir que en el presente supuesto la instalación de cookies analíticas, publicitarias y, del servicio de vídeo en los terminales de los usuarios que acceden al citado sitio web, así como el posterior tratamiento de la información recabada por dichos dispositivos, no resulta estrictamente necesaria para el funcionamiento del sitio web ni para la prestación del servicio de vídeo como señala el editor del sitio al informar sobre el uso de cookies en el mismo. A mayor abundamiento se recuerda que con fecha 15 de enero de 2014 se constató que el sitio web funcionaba correctamente después de configurar el navegador Mozilla Firefox para no admitir cookies. - Tampoco todas las cookies descargadas son cookies temporales que desaparecen al terminar la sesión, conforme prueban los listados de los dispositivos almacenados en las diferentes visitas efectuadas al sitio web.  En cuarto lugar, ambos documentos se refieren en forma genérica a la configuración del navegador como medio para impedir la instalación de cookies en los equipos terminales de los usuarios, pero sin facilitar las herramientas concretas proporcionadas por los navegadores más utilizados por los internautas españoles para su desactivación o rechazo ni incluir los enlaces que redirigen a las opciones de configuración habilitadas en los mismos para controlar o impedir la descarga de tales dispositivos. Teniendo en cuenta que el sitio web utiliza las conocidas como “Flash cookies” que no todos los navegadores pueden mostrar o gestionar sin la instalación de un complemento específico, y que se caracterizan, entre otras cosas, por ser persistentes sin un plazo definido de caducidad, es por lo que se hace necesario incluir información sobre herramientas que permitan gestionar dicho tipo de dispositivos en cualquier navegador, como por ejemplo, la herramienta dispuesta por Macromedia (responsable de la tecnología Flash) accesible en la URL C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 www.macromedia.com/support/documentation/en/flashplayer/help/settings_manager
6. html Asimismo, no se menciona el “Complemento de inhabilitación para navegadores de Google Analytics” a través de cuyas instrucciones pueden rechazarse las cookies analíticas de dicho servicio en todos los navegadores, localizable a través del enlace https:// tools.google.com/dlpage/gaoptout.  En quinto lugar, no se mencionan las acciones concretas que pueden suponer la aceptación de la instalación de cookies por el usuario ni se incluye, tampoco, un mecanismo a través del que éste pueda manifestar, de forma expresa, su consentimiento a la instalación y uso de cookies. No hay que olvidar que la normativa estudiada pretende que el usuario sea suficientemente informado, y en forma comprensible, sobre la utilización y finalidades de los dispositivos de almacenamiento y recuperación de datos almacenados en su equipo terminal como condición para entender válidamente otorgado el consentimiento para su instalación y uso. Para ello resulta esencial definir qué son las cookies y para qué se utilizan, los tipos de cookies utilizadas, indicando, en todo caso si son de primera o de tercera parte, con identificación del tercero, y sus respectivas finalidades, así como con alusión a los mecanismos de rechazo de las cookies enunciadas. Por tanto, cabe el suministro de tal información por grupos homogéneos de ambigüedad, aunque nada obsta a que dicha información adicional se ofrezca respecto de cada una de las cookies descargadas.>> TERCERO: Con motivo del requerimiento efectuado en la citada resolución, ENGEL ENERGY, S.L. remitió un escrito a esta Agencia comunicando que se había procedido a la revisión y modificación de su política de cookies en el sitio web www.engelenergy.com a fin de adaptarse a las exigencias que se establecen en el artículo 22.2 de la LSSI cuando se usan dichos dispositivos de almacenamiento y recuperación de datos. CUARTO: Con fechas 17 de abril y 7 de julio de 2015 desde la Subdirección General de Inspección de Datos se accede al sitio web www.engelenergy.com a los efectos de verificar la adecuación de los cambios comunicados por ENGEL ENERGY, S.L. en el sistema de información que se ha incorporado al portal para informar, por capas, a los usuarios que lo visitan sobre el uso e instalación de cookies en sus terminales. - C/ Jorge Juan, 6 28001 – Madrid La primera capa informativa, visible en la parte inferior de la pantalla de la página, advierte del uso de diferentes tipos de cookies, de las finalidades de las mismas y de la acción concreta por la que se acepta su instalación mediante el siguiente aviso o cartel informativo: “Utilizamos cookies propias y de terceros para mejorar nuestros servicios y mostrarle publicidad relacionada con sus preferencias mediante el análisis de sus hábitos de navegación. Si continúa navegando, consideramos que acepta su uso. Puede obtener más www.agpd.es sedeagpd.gob.es 6/8 información, o bien conocer cómo cambiar la configuración en nuestra política de cookies. CERRAR” . Este aviso o barra de advertencia sigue apareciendo mientras el usuario no usa el botón de CERRAR. El aviso contiene en su texto un enlace a la segunda capa informativa o documento de “Política de cookies”, el cual resulta accesible en todas las secciones de la web a través de un enlace existente en el pie de la diferentes páginas del portal. - La segunda capa informativa, constituida por el documento de “Política de Cookies”, incorpora una tabla que separa las cookies propias de las de terceros. Se incluyen como “cookies propias” las “Estrictamente necesarias” utilizadas para el sistema de carrito de compra online. Se muestran como “cookies de terceros” las clasificadas como cookies analíticas, comportamentales y de publicidad comportamental, indicándose dentro de cada bloque los diferentes terceros que las instalan, la información que recogen y las finalidades a las que las destinan. A los efectos de informar sobre los mecanismos para desactivar o rechazar este tipo de dispositivos se han incluido una serie de enlaces que conducen a las instrucciones de configuración de los navegadores Chrome, Explorer, Firefox y Safari, todos ellos en versión española. También se constata que se ha agregado información sobre el “Complemento de inhabilitación para navegadores de Google Analytics”, por resultar necesario para bloquear las cookies analíticas de este servicio en función del navegador utilizado. FUNDAMENTOS DE DERECHO I Es competente para resolver la Agencia Española de Protección de Datos de acuerdo con el artículo 43.1 de la LSSI que establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c), d) e i) y 38.4.d), g) y h) de esta Ley”. II Los hechos que dieron lugar al expediente A/175/2014 traían causa en el incumplimiento a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, y que teniendo en cuenta las modificaciones introducidas por la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. III En consecuencia, del examen y valoración conjunta de las medidas adoptadas por a ENGEL ENERGY, S.L., cuya descripción figura en el Antecedente de Hecho Cuarto de esta resolución, se constata que dicha entidad ha realizado las modificaciones necesarias para subsanar las deficiencias observadas en la resolución de Apercibimiento A/00175/2014 en relación con el cumplimiento de las exigencias de información clara y completa establecidas en el artículo 22.2 de la LSSI. En consecuencia, procede el archivo de las actuaciones efectuadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
7. PROCEDER AL ARCHIVO de las presentes actuaciones de investigación con referencia E/04051/
9. NOTIFICAR la presente Resolución a ENGEL ENERGY, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es