E-08947-2021

1/8  Procedimiento Nº: E/08947/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, GURUWALK, S.L. con CIF.: B98958648, titular de la página web https://www.guruwalk.com/es , (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por A.A.A., (en adelante, “la parte reclamante”), por la presunta vulneración de la normativa de protección de datos, y atendiendo a los siguientes: HECHOS PRIMERO: Con fecha 16/05/21, tuvo entrada en esta Agencia, un escrito de reclamación, en el que, entre otras, se indicaba: “En la web https://www.guruwalk.com/es he observado la instalación de cookies en mi dispositivo para recoger, enviar y tratar mis datos sin cumplir con los requisitos necesarios en lo que respecta al cumplimiento de la normativa en materia de protección de datos. Debido a que en el Sitio Web se pueden obtener y tratar mis datos personales para la prestación de los servicios a través del mismo, debería existir una Política de Privacidad. No he sido informado en ningún caso de lo contenido en los artículos 13 y 14 del RGPD”. SEGUNDO: Con fecha 10/06/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 08/07/21, se recibió en esta Agencia escrito de contestación al requerimiento hecho a la entidad reclamada, en el cual, entre otras, se indicaba que: “En Guruwalk nos encontrábamos inmersos en un proceso de adaptación al RGPD en el momento de recibir la notificación. Por una parte, en cuanto a la política de privacidad, contábamos con una información provisional que pretendíamos mantener hasta el momento de la elaboración de la documentación definitiva. Por otra parte, en cuanto al tratamiento de las cookies, si bien entendíamos que la documentación que se encontraba redactada podía ser válida, habíamos considerado que la acción por parte del usuario consistente en seguir navegando suponía una forma de aceptación válida. En segundo lugar, debemos señalar que nuestro modelo de negocio (una plataforma de publicación y reserva de tours turísticos) se basa fundamentalmente en los viajes que la gente realiza. Las restricciones a la movilidad, de sobra conocidas, que la situación de pandemia ha traído consigo han supuesto un duro varapalo a nuestros ingresos, reduciendo nuestra facturación estrepitosamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 En marzo de 2020, la empresa entró en números negativos. Todo el equipo se marchó y tuvimos que comenzar a recomponer la plantilla. Esta difícil situación económica nos ha obligado a ajustar nuestros gastos, teniendo que dejar en suspenso este y otros proyectos que teníamos abiertos. Hasta que pudiéramos recuperar la actividad normal, habíamos considerado que podía ser suficiente, con un amplísimo margen de mejora, con la documentación legal que teníamos hasta la fecha. Tras la recepción de esta notificación, todo el equipo hemos aunado esfuerzos para localizar e implementar, junto con un equipo de profesionales, las medidas que en síntesis, las acciones correctivas adoptadas para la adecuación de la política de privacidad de www.guruwalk.com/es a las exigencias relacionadas con el deber de informar en la normativa de protección de datos han sido las siguientes: • Hemos analizado pormenorizadamente todas nuestras actividades de tratamiento de datos personales -especialmente aquellas cuya vía de entrada de datos tiene lugar a través de los formularios de la página web- identificando claramente el ciclo de vida del dato desde su recepción hasta su supresión. • Hemos identificado los requisitos legales que la normativa de protección de datos impone para estas actividades de tratamiento -en particular, los relacionados con el deber de informar- y los hemos particularizado a nuestro caso concreto. • Hemos actualizado toda la información legal de la web. En cuanto a la información relacionada con protección de datos personales, nuestro modelo de referencia básico ha sido el propuesto por la Guía para el Cumplimiento del Deber de informar en el RGPD de la Agencia Catalana de Protección de Datos (Versión 10.12.2018), que concreta las exigencias de información derivadas de los artículos 13 del RGPD (en nuestro caso, dado que en todos los tratamientos los datos son proporcionados directamente por los interesados) y 11 de la L.O. 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. • Con base en ello, hemos adoptado un modelo de información por capas. En la primera capa (a nivel de formulario) se facilita la información relativa al responsable, la finalidad, los derechos y la forma de obtener más información (con enlace a la política de privacidad). Esta capa permite presentar la información básica, facilitando un conocimiento general del tratamiento en cuestión y, además, se facilita de forma sencilla el acceso al resto de información. Por su parte, la segunda capa de información, la política de privacidad (https://guruwalk.com/es/terms/privacy_policy), contempla los detalles de la información que se ha ofrecido en la primera capa y aporta los elementos del artículo 13 del RGPD por cada uno de los tratamientos. En la línea de las actuaciones apuntadas en el apartado anterior, en lo relativo a las • Hemos analizado las características técnicas de cada una de las cookies de las que hacemos uso en www.guruwalk.com/es y las hemos categorizado de cara al cumplimiento de los requisitos según el tipo de cookies. • Hemos actualizado toda la información legal relativa a las mismas, teniendo en cuenta lo dispuesto en el artículo 22.2 LSSI y en especial la Guía sobre el uso de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Actualmente, disponemos, en primer lugar, de un banner que expone todos los elementos de información referidos en la citada guía, conteniendo también un botón de “aceptar y cerrar” un botón de “más información” que remite al panel de configuración de cookies y un enlace a la política de cookies. En segundo lugar, disponemos del mencionado panel, que permite aceptar o rechazar cada uno de los tipos de cookies. Y, en tercer lugar, hemos actualizado nuestra política de cookies (que se puede consultar en https://guruwalk.com/es/ terms/cookie_policy), facilitando información detallada a los usuarios sobre el uso de las cookies. • Hemos implementado técnicamente el mecanismo que permite que en ningún caso se instalen cookies que no sean estrictamente técnicas hasta que el usuario no realice una clara acción afirmativa: o bien clicar en el botón aceptar y cerrar en el banner, o bien aceptar las cookies no exentas desde el panel de configuración de cookies. • Siguiendo el criterio de la citada guía, hemos considerado oportuno que la validez del consentimiento prestado para la aceptación de cookies no tenga una duración superior a 24 meses. De modo que hemos implementado el mecanismo que guarda la selección realizada por el usuario durante este tiempo y vuelve a solicitar el consentimiento una vez pasado el mismo. Con carácter general, y más allá de las decisiones adoptadas en relación a los aspectos concretos a los que se refiere la solicitud, en Guruwalk hemos arrancado un proyecto, junto a un equipo profesional, consistente en la revisión de lo avanzado hasta ahora y de todos nuestros procesos de negocio, la detección de posibles carencias en materia de cumplimiento normativo en los ámbitos de la protección de datos personales y de los servicios digitales y la identificación de acciones que nos permitan estar completamente en línea con los requisitos legales exigibles. Si bien, hemos de reconocer que, hasta la fecha, hemos focalizado todos nuestros esfuerzos en las cuestiones a las que se refiere la solicitud –y que, por otra parte, entendemos, son de especial relevancia, dado que la web es el núcleo de nuestro negocio–. Por otra parte, queremos mostrar nuestra predisposición a colaborar con esta Agencia para cualquier cuestión que pudiera surgir”. CUARTO: Con fecha 20/07/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, al apreciar indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: Con fecha 16/08/20, por parte de esta Agencia se realizaron las siguientes comprobaciones en la página web, https://www.guruwalk.com/es: A).- Sobre el tratamiento de datos personales: A través de la opción de “crear una cuenta” o del enlace “trabaja como guía”, la web despliega un formulario donde es posible introducir datos personales, como el nombre, la dirección o el correo electrónico. Antes de enviar cualquier formulario, se proporciona al usuario la posibilidad de aceptar, de forma voluntaria, las siguientes cuestiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 _ Acepto el tratamiento de mis datos personales con la finalidad abajo descrita. _ Acepto los <<Términos y Condiciones>> _ Acepto recibir comunicaciones sobre novedades y promociones de GuruWalk. En los formularios existe un banner con la siguiente información: “En GuruWalk S.L. trataremos tus datos con la única finalidad de crear y gestionar tu cuenta de usuario, que puedas acceder al área de la web de usuarios registrados y que puedas realizar la reserva de una plaza en el tour deseado. Adicionalmente, puedes aceptar recibir correos electrónicos sobre nuestras novedades y promociones. Puedes retirar el consentimiento en cualquier momento y ejercer tus derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad a través del correo electrónico privacidad@guruwalk.com . Para más información visita nuestra <<política de privacidad>>. B).- Sobre la Política de Privacidad: Si se opta por acceder a la “Política de Privacidad” a través de los enlaces existentes en el formulario o en la parte inferior de la página principal, la web redirige a una nueva página, https://www.guruwalk.com/es/terms/privacy_policy , donde se proporciona información sobre, quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento; los destinatarios de la transferencia de datos; el tiempo que tendrán a su disposición los datos personales obtenidos; la legitimación del tratamiento de los datos e informan sobre los derechos que asisten a los usuarios en materia de protección de datos, dónde y cómo ejercitarlos. C).- Sobre la Política de Cookies:

1. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se comprueba que no utiliza cookies no necesarias.
2. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “Aviso de cookies: Utilizamos cookies propias y de terceros para analizar el uso que los usuarios realizan de nuestra página y para mostrarte contenido y publicidad personalizada en base a un perfil elaborado en función de tus hábitos de navegación. Puedes aceptar todas las en "Configurar/Rechazar". Para más información, visita nuestra Política de Cookies”. <<configurar/rechazar>>--<<Aceptar todas>> 3.- Si se accede al panel de control de cookies, a través del enlace correspondiente, <<configurar/rechazar>>, la web despliega el siguiente panel de control, donde se pueden gestionar los grupos de cookies de forma granular, estando éstos premarcados en la opción de “desactivado”: Configuración de cookies En este panel puedes aceptar o rechazar todas o algunas de las cookies. Si quieres más información sobre las cookies, visita nuestra Política de Cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 - Técnicas.De medición o análisis De publicidad aceptar rechazar aceptar. rechazar aceptar. <<Rechazar todas>>-- <<Aceptar todas>> Si se opta por no activar ningún grupo de cookies y “rechazar todas las cookies” en el panel de control, se comprueba que la web sigue sin utilizar cookies no necesarias. 4.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner inicial sobre cookies o en la parte inferior de la página principal, la web redirige a una nueva página, https://www.guruwalk.com/es/terms/cookie_policy, donde se proporciona información sobre qué son las cookies, qué tipos de cookies existen, identifica las cookies que utiliza la página web, (el identificador, su dominio, su finalidad y el tiempo que permanecerán activas), así como, la posibilidad de gestionar FUNDAMENTOS DE DERECHO I.- Competencia: - Sobre el tratamiento de los datos personales y la “Política de Privacidad”: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. - Sobre la “Política de Cookies”: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 II.- Sobre el tratamiento de los datos personales y la política de privacidad de la página web https://www.guruwalk.com/es : Esta Agencia ha podido comprobar que en la página web en cuestión, consultada el 16/08/21, se pueden obtener datos personales de los usuarios y que en su política de privacidad, además de hacer referencia a la legislación vigente, RGPD y LOPDGDD, se informa de quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento de los datos y plazo de conservación; la categorías de datos que se tratan; con quién comparten los datos personales; la legitimación del tratamiento de los datos; sobre los derechos que asisten a los usuarios en materia de protección de datos y dónde y cómo obtenerlos. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD. III.- Sobre la Política de Cookies de la página web https://www.guruwalk.com/es : Esta agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), no se utilizan cookies propias ni de terceros que no sean necesarias. Existe la posibilidad de rechazar todas las cookies no necesarias o realizar la configuración de las cookies en el panel de control de forma granular, estando los grupos de cookies premarcados en la opción de “deshabilitado”, salvo el grupo de la opción “rechazar todas las cookies” con los grupos de cookies premarcados en “rechazar” se comprueba que no se utilizan cookies no necesarias. En la “Política de Cookies”, (segunda capa), se proporciona información sobre, qué son las cookies, los tipos de cookies que existen y se identifican las cookies que se utilizan en la web, (identificador, proveedor, finalidad y tiempo de activación), si son propias o de terceros y cómo gestionarlas. En este sentido, el artículo 22.2 de la LSSI, donde se establecen los derechos de los destinatarios de servicios de la sociedad de la información, establece que: “
3. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el artículo 22.2 de la LSSI. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución a GURUWALK, S.L., titular de la página web https://www.guruwalk.com/es , y a A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí. Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es