E-07665-2021

1/9  Procedimiento Nº: E/07665/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, NOXVO S.L.U con CIF.: B84627991, titular de la página web, www.formulatv.com (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por A.A.A., (en adelante, “la parte reclamante”), por presunta vulneración de la normativa de protección de datos, y atendiendo a los siguientes: HECHOS PRIMERO: Con fecha 09/11/20, tuvo entrada en esta Agencia, un escrito de reclamación, en el que, entre otras, se indicaba: “La web www.formulatv.com está incumpliendo el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información relativo al consentimiento en la instalación de las SEGUNDO: Con fecha 16/12/20, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 16/01/21, se recibió en esta Agencia escrito de contestación al requerimiento hecho a la parte reclamada, en el cual, entre otras, se informa de: “Nuestro portal https://www.formulatv.com utiliza una plataforma de gestión de consentimientos (CMP) desarrollada por Quantcast, ampliamente utilizada en internet y aprobada por la IAB (Interactive Advertising Bureau), y que se ha actualizado en numerosas ocasiones. Desde el 15 de agosto de 2020, esta plataforma se actualizó a la versión 2.0 del marco TCF de Transparencia y Consentimiento de la IAB en cumplimiento con las propias recomendaciones de la AEPD. Nada más recibir su comunicación. realizamos una comprobación técnica . Se comprobó que el CMP carga correctamente en el sitio y no se carga ningún banner publicitario hasta la aprobación/denegación por parte del usuario. Las cookies que se cargan antes de aceptar son: PHPSESSID, _cfduíd, CONSENT, refresh_cmp, _ga, _gat, _gíd. Las primeras esenciales para el funcionamiento del sitio y el hosting, así como para la gestión del propio CMP y consentimiento del usuario. Las tres últimas corresponden a la plataforma de analítica Google Analytics. Se subsana inmediatamente ese error para que estas tres últimas cookies no carguen hasta la aprobación expresa del usuario en el CMP. No obstante, y para auditar de manera externa el correcto cumplimiento de todos los puntos legales, solicitamos al sitio la consultoría Cookie Advice de Autocontrol, que de ahora en adelante será la que asesore a nuestra empresa en el correcto cumplimiento de las políticas de cookies y privacidad. Desde la aprobación del Reglamento General de Protección de Datos del 27 de abril de 2016 se actualizaron los avisos legales del sitio para incluirla información requerida sobre el tratamiento de los datos personales. Además, se publica en nuestra página C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 corporativa (http:l/www.noxvo.com/cookies/) una guía sobre privacidad y cookies con enlaces para que los usuarios obtengan información clara sobre cómo gestionar los perfiles de privacidad en sus navegadores. Estos cambios se realizan en mayo de 2018 antes de finalizar el plazo de obligado cumplimiento de la RGPD. Tras recibir esta reclamación de la AEPD y en aras de especificar de manera aún más clara la política de privacidad, ésta se traslada a finales de 2020 fuera del aviso legal, a una nueva página propia de Política de Privacidad: https://www.formulatv.com/info/gdprl Esta página se enlaza de manera clara desde el aviso legal del sitio web, desde el faldón inferior de todas las páginas, así como, desde el gestor de consentimiento (CMP). Se deshabilita cualquier tipo de carga de publicidad, analítica o cookies innecesarias en esta página en concreto para que los usuarios que lo deseen puedan consultar la política de privacidad antes de tomar cualquier decisión al respecto. La política de privacidad incluye toda la información requerida por la RGPD sobre la titularidad del tratamiento de datos, la finalidad y legitimación, conservación y tratamiento de los datos, así como derechos del usuario. Se permite también acceder desde ella en cualquier momento al gestor de cookies, así como, a la información relativa a la gestión de cookies en cada navegación. Una vez realizados estos cambios, se contrata revisión por parte de un abogado especializado en protección de datos. Como hemos señalado, el sitio tiene Implantada una plataforma de gestión de cookies y consentimiento de Quantcast adaptada al marco de la TGF v2 desde el 15 de agosto de

1. Desde entonces, nuestra empresa ha ido trabajando con nuestros partners publicitarios, que se encargan de la comercialización de nuestro sitio, para verificar que la implantación del CMP se ha realizado correctamente, así como para firmar una adenda de protección de datos adecuada a la legislación vigente. Desde el 15 de agosto en adelante se han ido corrigiendo diversos errores detectados. En ese sentido, el actual CMP ofrece una primera capa con información general sobre las cookies y el consentimiento. En una segunda capa aparece información detallada de los propósitos, así como, acceso a la lista de partners que trabajan con nosotros, con información detallada sobre la duración de las cookies que podrían instalar y el tiempo que el partner conserva los datos. Al acceder a esta segunda capa los propósitos de localización geográfica o anuncios personalizados entre otros aparecen desactivados por defecto, y es posible rechazarlos con un único clic en “acepto lo seleccionado". En ese sentido, y tras la recepción de la reclamación, se realizaron las comprobaciones oportunas para verificar que las cookies no cargan hasta la aceptación del mensaje, se subsanó el error correspondiente a Google Analytics mencionado en el punto
2. Además, se añadió un enlace directo a las políticas de privacidad dentro del propio CMP, con el fin de éstas puedan ser legibles por el usuario antes de aceptar cualquier política. En cuanto a los controles de implantación, tras verificaciones internas, se procede a contratar la auditoria Cookie Advice de Autocontrol para verificar la correcta implementación de todo el sistema y políticas de gestión de cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9
3. Decisión adoptada a propósito de la reclamación. En resumen, en relación con la reclamación presentada, nuestra empresa manifiesta que: — En el momento de su presentación ya disponía de un CMP que gestionaba la instalación de cookies. º No se instalaba ninguna cookie publicitaria sin la autorización previa del usuario. * Se subsana un error que si permitía la instalación de cookies de Google Analytics. — Ya se contaba con una política de privacidad e información clara al usuario sobre la gestión de cookies en el aviso legal y web corporativa. - Se refuerza la política de privacidad, mejora su redacción y separa a una página sola, además de enlazarse desde el CMP. ' Se contrata la auditoría Cookie Advice de Autocontrol para verificar de manera más exhaustiva tanto los textos legales como la gestión (auditoría en proceso a la hora de enviar este informe). Nos gustaría señalar que nuestra empresa es una PYME que recibió la notificación de la AEPD el 16 de diciembre de 2020 y, aunque hemos trabajado desde entonces para responder a este escrito con tiempo, hemos tenido entre medias las fiestas navideñas, la pandemia y el temporal de nieve. En ese sentido, la auditoria de Autocontrol contratada a 22 de diciembre aún no ha finalizado completamente a fecha de presentación de este escrito, por lo que seguimos colaborando con ellos y es posible que todavía se realicen más cambios o ajustes a medida que ellos nos hagan llegar sus resultados. Adjuntamos certificado de Autocontrol de estar en proceso de auditoría Cookie Advice. Nuestra empresa tiene la intención de seguir trabajando y, una vez recibamos las recomendaciones de Autocontrol, corregir y mejorar todo lo que se nos señale. De realizar cambios relevantes, se informará también de ello a la AEPD en respuesta a esta reclamación. CUARTO: Con fecha 04/06/20, por parte de esta Agencia se realizaron las siguientes comprobaciones sobre la “Política de Cookies” en la página web www.formulatv.com :
4. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se comprueba que se utiliza la siguiente cookie: PHPSESSID Titular .formulatv.com Misión Periodo de Actividad Sesión.
5. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “Nosotros y nuestros socios almacenamos o accedemos a información en un dispositivo, tales como cookies, y procesamos datos personales, tales como identificadores únicos e información estándar enviada por un dispositivo, para anuncios y contenido personalizados, medición de anuncios y del contenido e información sobre el público, así como para desarrollar y mejorar productos. Con su permiso, nosotros y nuestros socios podemos utilizar datos de localización geográfica precisa e identificación mediante las características de dispositivos. Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios para que llevemos a cabo el procesamiento previamente descrito. De forma alternativa, puede acceder a información más detallada y cambiar sus preferencias antes de otorgar o negar su consentimiento. Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir de su consentimiento, pero usted tiene el derecho de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 rechazar tal procesamiento. Sus preferencias se aplicarán solo a este sitio web. Puede cambiar sus preferencias en cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de privacidad. <<MÁS OPCIONES>> <<ACEPTAR Y CERRAR>>. - Si se opta por aceptar todas las cookies mediante la opción <<aceptar y cerrar>>, se comprueba que la web utiliza nuevas cookies, tanto propias como de terceros (.google.com; .doubleclick.net; etc.). - Si se opta por ir al panel de control, a través del enlace, <<MÁS OPCIONES>>, se despliega una nueva página donde se pueden gestionar las cookies de formas granular, estando las opciones premarcadas en, “desactivado”: o Nosotros y nuestros socios almacenamos o accedemos a información en dispositivos, tales como cookies, y procesamos datos personales, tales como identificadores únicos e información estándar enviada por un dispositivo, para los propósitos descritos a continuación. Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios para que llevemos a cabo el procesamiento con dichos propósitos. De forma alternativa, puede hacer clic para denegar su consentimiento o acceder a información más detallada y cambiar sus preferencias antes de otorgar su consentimiento. Sus preferencias se aplicarán solo a este sitio web. Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir de su consentimiento, pero usted tiene el derecho de rechazar tal procesamiento. Puede cambiar sus preferencias en cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de privacidad.  C/ Jorge Juan, 6 28001 – Madrid <<BLOQUEAR TODO>> <<AUTORIZAR TODO>> o Datos de localización geográfica precisa e identificación mediante las características de dispositivos DESACTIVADO o Anuncios y contenido personalizados, medición de anuncios y del contenido, información sobre el público y desarrollo de productos. DESACTIVADO o Almacenar y acceder a información de su dispositivo. DESACTIVADO   <<SOCIOS>>  <<GUARDAR Y SALIR>> <<INTERES LEGÍTIMO>> www.aepd.es sedeagpd.gob.es 5/9 3.- Si se accede a la “Política de Cookies”, a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página, https://www.formulatv.com/info/cookies/ donde se proporciona información sobre quién es el responsable del sitio web, qué son las cookies, los tipos de cookies que existen y se identifican las cookies que se utilizan en la web, (Grupo de cookies e identificador, proveedor y tiempo de activación). Además, se proporciona información sobre, la base jurídica del tratamiento; las categorías de datos obtenidos; sobre los perfiles creados si se aceptan cookies de publicidad comportamental; los destinatarios de los datos; sobre las transferencias a terceros países y sobre el ejercicio de derechos que asisten al usuario de la web. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/201210, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-in) para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En la comprobación realizada en la página web reclamada se pudo constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la misma y sin aceptar las cookies, se utilizaba una sola cookie propia de carácter técnico, (PHPSESSID). b).- Sobre el banner de información de cookies existente en la página principal: El banner sobre cookies de la primera capa deberá incluir información referente a la identificación del editor responsable del sitio web, en el caso de que sus datos identificativos no figuren en otras secciones de la página o que su identidad no pueda desprenderse de forma evidente del propio sitio. Deberá incluir también una Identificación genérica de las finalidades de las cookies que se utilizarán y si éstas son propias o también de terceros, sin que sea necesario identificarlos en esta primera capa. Además, deberá incluir información genérica sobre el tipo de datos que se van a recopilar y utilizar en caso de que se elaboren perfiles de los usuarios y deberá incluir información y el modo en que el usuario puede aceptar, configurar y rechazar la utilización de se entenderá que el usuario acepta el uso de las cookies. A parte de la información genérica sobre cookies, en este banner deberá existir un enlace claramente visible dirigido a una segunda capa informativa sobre el uso de las es, que el usuario no tenga que navegar dentro de la segunda capa para localizarlo. En el caso que nos ocupa, en el banner de información sobre cookies existente en la primera capa de la web denunciada, identifica las finalidades para las que se utilizarán las cookies y si éstas son propias o también de terceros, así como la posibilidad de revocar en cualquier momento el consentimiento prestado a la utilización de cookies no necesarias. c).- Sobre el consentimiento a la utilización de cookies no necesarias: Para la utilización de las cookies no necesarias, será preciso obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso al panel de control, si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Si la opción es dirigirse al panel de control de cookies (segunda capa) para la gestión de las cookies de forma granular, deberá existir dos botones más, uno para <<aceptar>> todas las cookies o en su caso, guardar la selección de cookies elegida y otro para <<rechazar>> todas las cookies. Si el usuario guarda su elección sin haber seleccionado ningún grupo de cookies, se entenderá que ha rechazo todas las cookies. En relación con esta posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar las cookies. Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción es considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular. La retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite el acceso permanente al sistema de gestión o configuración de las cookies. Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En el presente caso, existe un mecanismo que posibilita la gestión de las cookies de forma granular o incluso el rechazo de todas las cookies en el panel de control de grupos de cookies, se constata que no se utilizan cookies no necesarias. d).- Sobre la información suministrada en la segunda capa (política de cookies): En la segunda capa se debe proporcionar información más detallada sobre las características de las cookies, incluyendo información sobre, la definición y función genérica de las cookies (qué son las cookies); sobre el tipo de cookies que se utilizan y su finalidad (qué tipos de cookies se utilizan en la página web); la identificación de quién utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros con identificación de estos últimos; el periodo de conservación de las cookies en el equipo terminal; y si es el caso, información sobre las transferencias de datos a terceros países y la elaboración de perfiles que implique la toma de decisiones automatizadas. En el caso que nos ocupa, en la “Política de Cookies” de la página web en cuestión, se proporciona información sobre quién es el responsable del sitio web, qué son las la web, (Grupo de cookies e identificador, proveedor y tiempo de activación). Además, se proporciona información sobre, la base jurídica del tratamiento; las categorías de datos obtenidos; sobre los perfiles creados si se aceptan cookies de publicidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 comportamental; los destinatarios de los datos; sobre las transferencias a terceros países y sobre el ejercicio de derechos que asisten al usuario de la web. III En este sentido, el artículo 22.2 de la LSSI, establecen los derechos de los destinatarios de servicios de la sociedad de la información, indicando: “
6. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el citado artículo 22.2 de la LSSI. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a titular de la página web reclamada, NOXVO S.L.U y a A.A.A., De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es