E-08765-2021

1/8  Procedimiento Nº: E/08765/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 02/02/21, tuvo entrada en esta Agencia, un escrito de reclamación presentado por D. A.A.A., en el que, entre otras, se indicaba: “En la web ***URL.1 se está incumpliendo la normativa de protección de datos: - El banner de cookies ya que no acaba de cumplir con lo establecido en el 22.2 LSSI. Los formularios a través de los cuales recopilan datos personales ya que ahora mismo no tienen cláusulas que informen sobre los mínimos que exige el artículo 13 RGPD La política de privacidad ya que no cumple con lo establecido en el RGPD”. SEGUNDO: Con fecha 18/03/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 07/04/21, se recibió en esta Agencia escrito de contestación al requerimiento hecho a la parte reclamada, en el cual, entre otras, se informaba de: “1. La web corporativa de Comunidad ***COMUNIDAD.1 ha sufrido ciertos cambios en los últimos meses, muchos de ellos motivados por la necesaria adaptación a los requerimientos del RGPD y de la LSSICE, siendo el de las cookies el que más trabajo ha ocasionado, debido en parte por el acometimiento de un desarrollo a medida. Habida cuenta de las características técnicas y de negocio que presentaba la página web, se intentó programar un “Gestor de Cookies” (por sus siglas en inglés, “Cookie Management Platform” o CMP) mediante desarrollo propio, lo que no fue posible y no pudo llevarse a cabo, por lo que se acudió a una solución comercial, implantada por el mismo proveedor tecnológico que lleva el mantenimiento de la página, pero cuya implantación supuso, también, un reto importante. No siendo muy relevante el uso de esa tecnología en cuanto a datos de carácter personal se refiere, lo cierto es que no se disponía de un CMP que otorgase al usuario la capacidad de revocar el consentimiento de una manera directa y automatizada. En estos momentos, podemos decir que la web cumple – salvo error u omisión – con todos los parámetros técnicos y legales indicados tanto por la máxima norma europea, como las establecidas por la Agencia Española de Protección de Datos a la que nos dirigimos, en su última “Guía sobre cookies” en su versión del pasado mes de julio. Se acompaña, como Documento Nº 1, evidencia de cumplimiento de la política de privacidad publicada en 2017, utilizando para ello la herramienta “Wayback Machine”. Con la entrada en vigor del RGPD, Comunidad ***COMUNIDAD.1 adecuó los textos legales según las exigencias de los artículos 13 y siguientes del Reglamento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 revisando su contenido tras la publicación de la “Guía para el deber de informar”, en diciembre de 2018. - Se acompaña, como Documento Nº 2, evidencia de cumplimiento de la política de privacidad publicada, ya en su versión prevista para 2018, utilizando para ello la herramienta “Wayback Machine”. Meses más tarde, en junio de 2019, como apoyo a las áreas internas de Jurídico y Marketing de Comunidad ***COMUNIDAD.1, se contratan los servicios profesionales de una consultora externa, encargada de emitir un informe a través del cual recomienda la modificación de los términos en los que en estos momentos se encuentra redactada, así como – de igual forma – la política de cookies. - Se acompaña, como Documento Nº 3, copia del informe realizado para la modificación de los textos legales de la web corporativa. El planteamiento es el mismo que el que ahora se encuentra a disposición de los usuarios, a los que se informa de: 1) Cada uno de los tratamientos realizados a través de la web o incluso de aquellos que, realizándose por otras vías (correo electrónico o llamadas), la Política de Privacidad sirve como segunda capa informativa. Se hace incluso una separación entre aquellos tratamientos en los que el usuario aporta información de forma directa (formularios, interacción con agentes, etc.) o de manera indirecta (a través de la navegación). 2) Las finalidades de cada tratamiento, con una explicación de cada una de ellas, 3) Las bases de legitimación que se aplican a cada uno de los tratamientos. 4) Los tiempos de conservación. 5) Las comunicaciones que puedan hacerse de los datos de carácter personal, 6) Los derechos que asisten a los usuarios, incluido el de dirigirse a la Agencia Española de Protección de Datos para que planteen una reclamación. El 14 de septiembre de 2020 se modificó por última vez la política de privacidad, encontrándose prevista una nueva modificación que aún no ha sido publicada. Comunidad ***COMUNIDAD.1 ha adoptado un marco de cumplimiento normativo en materia de privacidad, impulsado por el Departamento Jurídico y coadyuvado por la consultora externa, en el que con carácter periódico se revisan todas las cláusulas, disclaimers, etc. y, en gran medida, cualquier documento con implicaciones en materia de privacidad. En dicho marco de protección de datos, se encuentran previstas reuniones periódicas con las áreas o departamentos implicados en el tratamiento de datos, para analizar cualquier tipo de necesidad y evaluar el nivel de implantación de las medidas adoptadas. 3. Tal y como hemos adelantado en los párrafos precedentes, la política de cookies también ha sufrido importantes cambios. Si bien ya en las versiones precedentes se incorporaba la información mínima exigible, esto es: (

1. i)Definición de cookie; (
2. ii)Tipología de cookies; (iii) Listado de cookies utilizadas en el website y (
3. iv)instrucciones para la configuración del navegador para la eliminación de las cookies, faltaba por implementar el gestor que posibilitaba la elección, por parte del usuario, de aquellas que le interesaba utilizar. - Se acompaña, como Documento Nº 4, evidencia de cumplimiento del aviso de cookies de primera capa, correspondiente a Octubre de 2016, utilizando para ello la herramienta “Wayback Machine”. - Se acompaña, como Documento Nº 5, evidencia de cumplimiento del aviso de cookies de primera capa, correspondiente a Noviembre de 2018, utilizando para ello la herramienta “Wayback Machine”. - Se acompaña, como Documento Nº 6, evidencia de cumplimiento de la política de cookies, o segunda capa informativa, correspondiente a Octubre de 2017, utilizando para ello la herramienta “Wayback Machine”. - Se acompaña, como Documento Nº 7, evidencia de cumplimiento de la política de cookies, o segunda capa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 informativa, correspondiente a Noviembre de 2018, utilizando para ello la herramienta “Wayback Machine”. En estos momentos, a los apartados anteriormente citados, hemos añadido un listado funcional de cookies utilizadas, así como un acceso directo y permanente al gestor, de manera que el usuario pueda acceder a él en cualquier momento y modificar los términos de su consentimiento, permitiendo o denegando el uso de estas tecnologías en cualquier momento de su navegación. Por supuesto, esta Política de Cookies está configurada como segunda capa informativa, constituyendo la primera un banner situado en la parte inferior de la pantalla de inicio o de aterrizaje, en la que se advierte del uso de cookies propias y de terceros, así como de las finalidades que se persiguen. A continuación, se posibilita al usuario que, o bien acepte su uso, o bien pueda acceder al panel de configuración y elegir los parámetros deseados, segregados por finalidades. En nuestro caso, las opciones corresponden a las cookies analíticas y a las publicitarias. Siempre, y en todo momento, la instalación de cookies se encuentra por defecto desactivada. El aviso de primera capa se completa con un acceso o enlace a la propia política de captura de pantalla de las capas informativas actuales, los cuales se encuentran también disponibles en los siguientes enlaces o Política de privacidad: ***URL.2 o Política de cookies: ***URL.3. La decisión adoptada a propósito de esta reclamación. Con independencia de que ya hemos señalado que los cambios se encontraban en fase de implementación, tras la recepción de la notificación de la reclamación, se ha procedido de la siguiente manera: 1. Generación de un ticket, el cual se ha trasladado a la empresa desarrolladora de la web y, por ende, encargada de su mantenimiento, para la implantación con carácter urgente del gestor de cookies. 2. Notificación a este Delegado de Protección de Datos, quien a su vez dirige y suscribe este escrito, para la oportuna justificación de las medidas adoptadas ante el órgano de control. 5. Cualquier otra que considere relevante. Reiteramos la total predisposición de ***COMUNIDAD.1, así como de este Delegado de Protección de Datos a colaborar con la Agencia Española de Protección de Datos, así como a dar curso a cuantas solicitudes y/o reclamaciones se nos trasladen por parte de los usuarios, de una manera directa o indirecta”. CUARTO: A tenor de la información preliminar de la que se disponía y al apreciarse indicios racionales de una posible vulneración de la normativa en materia de protección de datos, con fecha 22/06/21, por parte de la Directora de la Agencia Española de Protección de Datos se dictó acuerdo de admisión de trámite de la reclamación presentada. QUINTO: Con fecha 13/08/20, por parte de esta Agencia se realizaron las siguientes comprobaciones en la página web: ***URL.1: A).- Sobre el tratamiento de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 La web puede recoger datos personales de los usuarios a través de varias opciones: - - A través de la pestaña: <<solicita información>>, situada en la parte superior de la página principal, la web redirige al usuario a un formulario de contacto donde se pueden introducir datos personales como el nombre, el correo electrónico, el número de teléfono y el asunto. A través del formulario para inscribirse en el “Boletín de Noticias”, existente en la parte inferior de la página principal, el usuario puede introducir el nombre y el correo electrónico. A través del enlace <<trabaja con nosotros>>, situado en la parte inferior de la página principal, el usuario puede “subir” su currículum vitae para inscribirse en la bolsa de empleo de la entidad. Existe un banner en los distintos formularios con información sobre quién es el responsable del tratamiento de los datos personales recogidos; la finalidad del tratamiento según el formulario de procedencia; la legitimación del tratamiento y los derechos que asisten al usuario con respecto a la protección de sus datos personales. También existe un enlace a la “Política de Privacidad” de la web en cada uno de los formularios. B).- Sobre la Política de Privacidad: Si se opta por acceder a la “Política de Privacidad”, a través de los enlaces existentes en los formularios o a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.2, donde se proporciona información sobre quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento de los datos según el formulario utilizado; los destinatarios de la transferencia de datos; la legitimación del tratamiento de los datos y sobre los derechos que asisten a los usuarios en materia de protección de datos y donde dirigirse para ejercitarlos. C).- Sobre la Política de Cookies: 1. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha detectado que no se utilizan cookies no necesarias. 2. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “AVISO DE COOKIES Utilizamos cookies propias y de terceros con finalidades analíticas y para mostrarte publicidad relacionada con tus preferencias y basada en tus hábitos de navegación y tu perfil. Puedes configurarlas o rechazarlas haciendo clic en "Configuración de Para más información, lee nuestra <<Política de cookies>> <<ACEPTAR TODAS LAS COOKIES>>--<<CONFIGURAR COOKIES>> 2.1).- Si se opta por aceptar todas las cookies, mediante la opción correspondiente, se comprueba que la web empieza a utilizar cookies tanto propias como de terceros cuyo dominio pertenece a Google.es; youtube.es; linkedin.es. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 2.2.).- Si se opta por configurar las cookies, a través del panel de control <<Configurar en la opción de “deshabilitado”: “Cuando se accede a un sitio web, este puede almacenar datos en el navegador a través de las cookies. Esta información puede estar relacionada con el dispositivo utilizado o tus preferencias de usuario y se utiliza principalmente para optimizar el funcionamiento de la página. Estos datos generalmente no te identifican de forma directa, pero te proporcionan una navegación más personalizada. Si lo deseas, a continuación, puedes excluir algunos tipos de cookies. Haz clic en las diferentes categorías para obtener más información y cambiar la configuración predeterminada. Ten en cuenta que al bloquear algunas cookies tu experiencia de usuario y los servicios que ofrecemos pueden verse afectados”. - <<Confirmar mis preferencias>>--<<Aceptar todas>> 3.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner inicial sobre cookies o en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.3, donde se proporciona información sobre, qué son las la web, (identificador, proveedor, finalidad y tiempo de activación). FUNDAMENTOS DE DERECHO I.- Competencia: a).- Sobre el tratamiento de los datos personales y la “Política de Privacidad”: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 b).- Sobre la “Política de Cookies”: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). II.- Sobre el tratamiento de los datos personales y la política de privacidad de la página web: ***URL.1: Esta Agencia ha podido comprobar que en la página web en cuestión, consultada el 13/08/21, se pueden obtener datos personales de los usuarios y que en su política de privacidad, además de hacer referencia a la legislación vigente, RGPD y LOPDGDD, se informa de quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento de los datos y plazo de conservación; la categorías de datos que se tratan; con quién comparten los datos personales; la legitimación del tratamiento de los datos; sobre los derechos que asisten a los usuarios en materia de protección de datos y dónde y cómo obtenerlos. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
4. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
5. b)los datos de contacto del delegado de protección de datos, en su caso;
6. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
7. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
8. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
9. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
10. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
11. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
12. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
13. d)el derecho a presentar una reclamación ante una autoridad de control;
14. e)si la comunicación de datos personales es un requisito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
15. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD. III.- Sobre la Política de Cookies de la página web: ***URL.1: Esta agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), no se utilizan cookies propias ni de terceros que no sean necesarias. La configuración de las cookies se realiza en el panel de control de forma granular, estando los grupos de cookies premarcados en la opción de “deshabilitado”, salvo el grupo de cookies necesarias. Si se opta por la opción de rechazar todas las cookies a través de la opción “guardar configuración” con los grupos de cookies premarcados en “off” se comprueba que no se utilizan cookies no necesarias. En la “Política de Cookies”, (segunda capa), se proporciona información sobre, qué son las cookies, los tipos de cookies que existen y se identifican las cookies que se utilizan en la web, (identificador, proveedor, finalidad y tiempo de activación), si son propias o de terceros y cómo gestionarlas. En este sentido, el artículo 22.2 de la LSSI, donde se establecen los Derechos de los destinatarios de servicios de la sociedad de la información, establece que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el artículo 22.2 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a titular de la página web reclamada ***URL.1 y a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
16. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí. Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es