E-06423-2021

1/8  Procedimiento Nº: E/06423/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 25/01/21, tuvo entrada en esta Agencia escrito presentado por D. A.A.A., (en adelante, “la parte reclamante”), en el que indicaba, entre otras, lo siguiente: “La empresa realiza transferencia internacional de datos a través de su departamento de exportaciones (China, Japón, México, etc.) y no cumple con la legislación en materia de protección de datos ni con la RGPD en prácticamente nada al no tener implementada políticas de protección de datos en la empresa. Asimismo, no cumple con la nueva norma relativa a las Cookies en su web ***URL.1.” SEGUNDO: Con fecha 10/03/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 07/04/20, tuvo entrada en esta Agencia, escrito de contestación de la parte reclamada en la que, entre otras, indicaba: “Siguiendo los criterios establecidos por el Comité Europeo de Protección de Datos (CEPD), que establecía como fecha tope para la implantación de los nuevos cambios el 31 de octubre de 2020, Montesano Extremadura S.A. (en adelante MEX) responsable del portal web ***URL.1 procedió a actualizar su aviso de cookies y textos legales antes de la fecha límite conforme a las nuevas directrices, siguiendo además las recomendaciones recogidas en la Guía sobre el uso de las cookies editada por la propia AEPD en julio de

1. El 30 de octubre de 2020 se finalizaron los cambios necesarios y la actualización del aviso de cookies y textos legales del portal web citado. Tras la recepción de la solicitud de información por la reclamación Ref.: E/02657/2021 se ha motivado una revisión detallada y pormenorizada de la situación actual de la materia, así como los cambios realizados en la página web desde el cambio del aviso de La política de privacidad fue actualizada el 30 de octubre para adaptarla a los cambios ya citados. A raíz de la revisión pormenorizada de la web en marzo de 2021 motivada por la reclamación, se han realizado ajustes y modificaciones adicionales para mejorar la información a los usuarios. En lo que respecta al cumplimiento del artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (en adelante “RGPD") nos centramos en facilitar a los usuarios la información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos conforme a lo contemplado por el RGPD contempla este principio de transparencia en su artículo
2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Así pues, se ha mejorado la categorización de cookies y se ha incluido en el aviso de bien esta información ya estaba disponible en el aviso de cookies (segunda capa), se ha decidido añadir un breve resumen en la primera capa. junto al botón de consentimiento de cada apartado, para facilitar la comprensión y la transparencia. Por otro lado, se ha ampliado la información que se muestra en la política de cookies para detallar qué servicios instalan cookies de terceros, qué uso tienen y enlaces a las políticas de privacidad de cada servicio relacionado. Por último, se ha verificado que no se instalan cookies no exentas hasta obtener el consentimiento de los usuarios de la web conforme a lo establecido en el Artículo 6 de la RGPD sobre la licitud del tratamiento de los datos. Como ya se ha mencionado, el 30 de octubre de 2020 se finalizaron los cambios necesarios y la actualización del aviso de cookies y textos legales de la web para adaptarlos a los cambios de criterio establecidos por CEPD. En esas fechas. entre otras acciones, se llevaron a cabo las siguientes: Se desechó el uso del aviso de cookies que se venía utilizando hasta entonces, ya que era demasiado sencillo y no permitía el cumplimiento de todas las novedades establecidas en la actualización de la Guía sobre el uso de las cookies. Se integró en la página web una nueva herramienta que además de mostrar el aviso de instalación de cookies (primera capa) permite a los usuarios no solo aceptar o bloquear la instalación de todas las cookies no exceptuadas en bloque, sino también poder consentir la instalación de determinados tipos de Se actualizaron los textos legales y la información relativa a privacidad y a cookies, en primera y segunda capa. para facilitar la lectura de los documentos y adecuarlos a las nuevas directrices. Tras los cambios pertinentes se hizo un análisis del cumplimiento de la normativa y el bloqueo efectivo de las cookies, usando tanto revisión manual como herramientas externas, con resultado positivo. Para cumplir lo dispuesto en el artículo 22.2 de la Ley 34/2002, de 11 de julio. de servicios de la sociedad de la información y de comercio electrónico (LSSI) sobre la utilización de cookies y los fines relativos al tratamiento de datos nos centramos en las obligaciones de transparencia y en la obligación de obtención del consentimiento. Para cumplir lo dispuesto en el artículo 22.2 de la Ley 34/
3. de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI) sobre la utilización de cookies y los fines relativos al tratamiento de datos nos centramos en las obligaciones de transparencia y en la obligación de obtención del consentimiento. En cuanto a la transparencia. el artículo 22 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Así pues, se ha mejorado la información facilitada en el aviso de cookies (primera capa) con un breve texto describiendo el significado de los tipos de cookies usados; ampliamos la información brindada a los usuarios para conseguir que el consentimiento se pueda prestar de forma libre. informada y explícita. También se ha mejorado la maquetación de contenidos de algunos apartados de la política .,; de cookies para facilitar la lectura y comprensión de la misma En dicha política de cookies—s»? se ha añadido un listado de servicios que instalan cookies de terceros indicando el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 nombre—;*- de cada cookie, su finalidad y enlaces a la política de privacidad de cada Servicio asociado También se han añadido algunos contenidos, como instrucciones para configurar las En cuanto a la obtención del consentimiento, el aviso de cookies en primera capa ahora detalla mejor las categorías de cookies, separando las de análisis de las de publicidad, frente a la categorización anterior más genérica “marketing". Por otro lado. cabe destacar que, tras la obtención del consentimiento, el usuario tiene a su disposición un enlace en la parte inferior de la web para mostrar de nuevo el panel de configuración de cookies. Ahora, además, también puede configurar la instalación de cookies también desde la propia política de cookies, ya que se ha incorporado un panel en dicha sección. Por último, se ha bloqueado mostrar el aviso de cookies (primera capa) en la página que describe la política de cookies (segunda capa) con el objetivo de facilitar la lectura de la misma en dispositivos móviles y porque en esa misma página es posible gestionar el consentimiento mediante un panel de configuración. Con estas medidas se permite a los usuarios dar el consentimiento o retirar el consentimiento dado de forma sencilla y rápida. Asimismo, facilitamos la posibilidad de retirar el consentimiento dado y de modificarlo (ya fuera aceptándolo o revocándolo). Revisión inmediata de la web, ejecutando los ajustes y mejoras expuestos a la mayor brevedad posible tras la recepción de esta notificación. Incidiendo específicamente en: Implementación de mejoras en los textos legales para ampliar y facilitar aún más la consulta de los textos legales y la información relativa a privacidad y a cookies, tanto en primera como en segunda capa. Como medida preventiva para evitar cualquier distanciamiento de las directrices recogidas por la AEPD en su guía, que pueda ser provocada por la actualización automática o manual de cualquier componente web. hemos adoptado la siguiente resolución, aumentar la frecuencia de nuestras auditorías internas periódicas para verificar que la web de MEX sigue cumpliendo y continúa en conformidad con lo establecido por la LSSI y la RGPD, y recogido por la AEPD en sus directrices. Crear un grupo de trabajo ad hoc para asegurar que la web se adapta en tiempo y forma a cualquier cambio legislativos y de criterios que pueda sobrevenir. Para. de esta forma, seguir mejorando la información provista a los consumidores. Promover la creación de un manual interno de buenas prácticas para difundir entre nuestros empleados con responsabilidad en el mantenimiento de la web de MEX y su adecuación a los criterios establecidos por CEPD. . Facilitar la formación de cualquier da nuestros empleados cuyas labores redunden en el mantenimiento web y en su adecuación a la normativa vigente en lo que respecta a protección de datos mediante cursos”. CUARTO: A tenor de la información preliminar de la que se dispone y al apreciarse indicios racionales de una posible vulneración de la normativa en materia de protección de datos, con fecha 19/04/21, la Directoria de Agencia Española de Protección de Datos, y en aplicación del artículo 65 de la LOPDGDD, acordó admitir a trámite la denuncia presentada por la reclamante. QUINTO: Por parte de esta Agencia, al amparo de los poderes de investigación otorgados por el RGPD, se pudo comprobar, con fecha 01/06/21, que la página web en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 cuestión, tiene las siguientes características aspectos de su “Política de Privacidad” y su “Política de Cookies”: a).- Respecto de la posibilidad de obtener datos personales de los usuarios de la página web: Se pueden recoger datos personales si el usuario solicita recibir las newletter de la empresa, teniendo que introducir el nombre, apellidos, dirección, teléfono y correo electrónico. Antes de enviar este formulario se debe aceptar la política de privacidad y dar el consentimiento para ello: _ Estoy interesado en recibir comunicaciones comerciales y publicitarias, al objeto de estar informado de los productos, campañas y eventos organizados por Montesano Extremadura, S.A. <<política de privacidad>>”. También se pueden recoger datos personales de los usuarios cuando se hace un pedido a través de la pestaña, <<tienda>> enviando un WhatsApp al número de teléfono que se indica o enviado un correo eléctrico a, ***EMAIL.
4. b).- Respecto de la información existente en la “Política de Privacidad”: A través del enlace existente en la parte inferior de la página principal, <<Política de Privacidad>>, la web redirige a una nueva página, donde se proporciona información sobre, quién es el responsable del tratamiento de datos; los datos recabados; la finalidad y licitud del tratamiento; las operaciones que se realizan con los datos personales y el tiempo de su conservación; sobre el Delegado de Protección de datos y sobre el ejercicio de los derechos de los usuarios en materia de protección de datos. c).- Sobre la Política de Cookies: 1.- Al entrar en la página inicial de la web, (primera capa), se comprueba que no se utilizan cookies propias ni de terceros que no sean necesarias. 2.- El banner sobre cookies que aparece en la página principal proporciona la siguiente información: “Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad personalizada en base a un perfil elaborado a partir de tus hábitos de navegación. Puedes aceptar todas las cookies pulsando el botón "Aceptar" o configurarlas o rechazar su uso, pulsando el botón "Configurar". Para más información <<Política de <<CONFIGURACIÓN>> <<ACEPTAR TODAS>> 3.- Si se accede al panel de configuración de las cookies, a través del enlace <<configuración>>, la web despliega un panel, con la siguiente información: > Cookies necesarias. > Cookies publicitarias. > Cookies de análisis. C/ Jorge Juan, 6 28001 – Madrid ON OffON OffON www.aepd.es sedeagpd.gob.es 5/8 << ACEPTAR>> --- <<GUARDAR PREFERENCIAS>> La configuración de las cookies se encuentra distribuida de forma granular, los grupos de cookies se encuentran premarcados en la opción de “OFF”, salvo el grupo de la opción, “guardar configuración” dejando los grupos de cookies premarcados en la opción “OFF” se comprueba que se sigue sin utilizar cookies no necesarias. 3.- Si se accede a la “Política de Cookies”, a través del enlace existente en la parte inferior de la página principal, <<política de cookies>> o en el banner sobre cookies de la página principal, la web redirige a una nueva página, ***URL.2, donde se proporciona información sobre, qué son las cookies y los tipos de cookies que existen. Se identifican las cookies que utiliza la página (identificador, proveedor, finalidad y tiempo de activación). También existe la posibilidad de gestionar las cookies de forma granular tal y como aparece en el panel de control, existiendo también la posibilidad de rechazar todas las cookies de una sola vez. FUNDAMENTOS DE DERECHO I.- Competencia: - Sobre el tratamiento de los datos personales y la “Política de Privacidad”: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. - Sobre la “Política de Cookies”: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 - Sobre el tratamiento de los datos personales y la política de privacidad de la página web ***URL.1 Esta Agencia ha podido comprobar que en la página web en cuestión, consultada el 01/06/21, se pueden obtener datos personales de los usuarios y que en su política de privacidad, además de hacer referencia a la legislación vigente, RGPD y LOPDGDD, se informa de quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento de los datos y plazo de conservación; la categorías de datos que se tratan; con quién comparten los datos personales; las decisiones automatizadas; la legitimación del tratamiento de los datos; sobre los derechos de los usuarios y sobre las medidas de seguridad. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD. - III Sobre la Política de Cookies de la página web ***URL.1: Esta agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), no se utilizan cookies propias ni de terceros que no sean necesarias. La configuración de las cookies se realiza en el panel de control de forma granular, estando los grupos de cookies premarcados en la opción “off”, salvo el grupo de cookies necesarias. Si se opta por la opción de rechazar todas las cookies a través de la opción “guardar configuración” con los grupos de cookies premarcados en “off” se comprueba que se utilizan cookies no necesarias. En la página de la “Política de Cookies”, existe la posibilidad de gestionar las cookies de forma granular, de la misma manera que en el panel de control, o rechazar todas las cookies de una sola vez. En este sentido, el artículo 22.2 de la LSSI, donde se establecen los Derechos de los destinatarios de servicios de la sociedad de la información, establece que: “
5. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el artículo 22.2 de la LSSI. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución a titular de la página web reclamada MONTESANO EXTREMADURA S.A. y a D. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es