PA-00053-2023

1/35 Expediente N.º: EXP202203580 (PA/00053/2023) RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 18 de febrero de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. con NIF A28141935 (en adelante, MAPFRE). Los motivos en que basa la reclamación son los siguientes: Reclamación contra MAPFRE en relación con la utilización de cookies en su sitio web. El reclamante sostiene que se cargan cookies "antes de poder gestionarlas, sin realizar acción alguna" y que, en relación con la utilización de Google Analitycs, se estarían produciendo transferencias internacionales a EE.UU. Junto a la reclamación se aporta: -Imágenes de la web de MAPFRE de “Aviso de Cookies” de la web ***URL.1. - Impresión del navegador Chrome – Configuración- Seguridad y Privacidad. Con fecha 18 de marzo de 2022, se incorporaron al expediente las siguientes evidencias recogidas por esta Agencia: - Impresión de una serie de pantallas de la Política de Privacidad y Tratamiento de datos de la web ***URL.2, en la que se recogen las siguientes cookies de Google Analytics: _ga, _gid. - Realizando una prueba de cookies instaladas tras aceptar, se comprobó la instalación de las mencionadas cookies de Google Analytics. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/35 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4 de mayo de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 6 de junio de 2022 se recibe en esta Agencia escrito de respuesta indicando que: “1. Decisión adoptada a propósito de la reclamación Consecuencia de las revisiones internas realizadas se ha decidido reforzar el proceso de verificación y revisión previo a la subida a producción de las políticas de privacidad y de cookies. Así como continuar en el proceso de implantación del modelo de gobierno de cookies, incidiendo en el escaneo periódico para forzar la correcta clasificación de las cookies de tal forma que estén reflejadas en las categorías correctas, tanto en el configurador como en la política de cookies. 2. Causas que han motivado la incidencia que ha originado la reclamación. El traslado de reclamación señala como fecha de entrada en la Agencia el día 18 de febrero de 2022, consta de tres tipologías de hechos diferentes: 1. El reclamante manifiesta que en el sitio web ***URL.3 se estarían instalando A este respecto indicar que en la fecha de febrero de 2022 la política de cookies en Mapfre.es, se puede comprobar en el adjunto como Evidencia 1, refleja una distribución de cookies incorrecta dentro de las categorías. Esto es consecuencia de las características de la herramienta utilizada para clasificar y gestionar cookies, y de los procesos de revisión de estas mediante escaneos periódicos. Por ello, es posible que estás puedan figurar mal asignadas a una categoría en el configurador de cookies, o no se hubieran eliminado aquellas que estuvieran obsoletas, y derivado de su sincronización con la política de cookies mediante un script estas figuren así asignadas. Señalar que no por ello, se procede a la instalación. En este sentido MAFPRE ESPAÑA está inmersa en un proyecto de “gobierno de de las mismas según acredita el siguiente historial de cambios: A la fecha de estas alegaciones MAPFRE ha podido comprobar tras el análisis de las selección elegida. Las cookies se retienen hasta que el usuario realiza la acción de guardar configuración. Las cookies que se instalan en el caso de rechazar todas, como se evidencia a continuación, son las estrictamente necesarias. Al respecto de la gestión de cookies realizada por MAPFRE indicar que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/35 Primero, con relación a cómo facilitamos la información a los usuarios sobre la utilización de cookies y los fines del tratamiento de los datos, MAPFRE sigue lo dispuesto en la guía “Guía sobre el uso de las cookies Julio 2020” (la Guía). La gestión de las cookies y la necesidad de adecuar la misma tanto a la LSSI como a las normativas de protección de datos es algo que siempre ha estado presente en MAPFRE. Por este motivo, a lo largo de todo este tiempo se han acometido diversas actuaciones encaminadas a garantizar el cumplimiento de las distintas regulaciones, así como de los criterios que han ido surgiendo con el paso del tiempo. En aras de la transparencia y la usabilidad del entorno web, MAPFRE cumple con el deber de información a lo largo de dos niveles de detalle. Un primer nivel en el banner de cookies y el configurador de preferencias y un segundo nivel mediante política de privacidad y la política de cookies. Primer nivel de información a través del banner de cookies y el configurador de preferencias de usuario. Primero, en el pop up (banner de cookies) que le aparece a un usuario la primera vez que accede a la web incluyendo la definición y descripción de la función genérica de las cookies de www.mapfre.es: “MAPFRE ESPAÑA S.A. utiliza cookies propias y de terceros para realizar análisis estadísticos, la autenticación de la sesión de usuario, mostrarte contenido útil y mejorar y personalizar determinados servicios mediante el análisis de tus hábitos de navegación. Puedes configurar estas cookies, pudiendo en tal caso limitarse la navegación y servicios del sitio web. Si aceptas las cookies estás consintiendo la utilización de las cookies en este sitio web. Puedes aceptar todas las cookies pulsando el botón "Aceptar", o configurar o rechazar su uso clicando en Configuración de cookies. Si deseas más información, puedes consultar nuestra Política de Privacidad y Política de Cookies” Segundo, al pinchar en el enlace activo del banner de cookies “Configuración de de cookies. - Cookies estrictamente necesarias: Estas cookies se utilizan para que el sitio web funcione y para que puedas navegar a zonas seguras. No podemos desactivarlas, pero si aun así quieres cambiarlas puedes modificarlas a través de la configuración de tu navegador. Al configurarlas es muy probable que la página web no funcione, ya que son cookies necesarias. - Cookies analíticas: Se utilizan para recabar estadísticas de actividad del usuario. Entre otros, se analizan el número de usuarios que visitan el sitio web, el número de páginas visitadas, así como la actividad de los usuarios en el sitio web y su frecuencia de utilización. La información recopilada siempre es anónima de tal forma que no se podrá establecer un vínculo entre ésta y la persona física a quién se refiere. - Cookies funcionales: Estas cookies permiten mejorar la funcionalidad, como vídeos y chats en línea. Es posible que las establezcamos nosotros o proveedores externos cuyos servicios están integrados en nuestras páginas. Si no permites estas cookies, es posible que algunas o todas estas prestaciones no funcionen correctamente. Un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/35 ejemplo serían las cookies de reproductores multimedia, que se utilizan para almacenar datos técnicos con vistas a reproducir contenidos de video o de audio. Además, gracias a ellas el contenido se ajusta a tu uso. Permiten recordar información para personalizar tu experiencia. - Cookies de marketing: Estas cookies posibilitan la personalización y adecuación de las comunicaciones publicitarias que se muestran, de acuerdo con tus preferencias. Además, permiten personalizar algunas de las opciones generales de la página web, gracias a los datos de navegación. También se usa para integrar las redes sociales en nuestro site y que el usuario tenga la posibilidad de compartir en redes sociales los contenidos de interés. Tercero, en el configurador se incluyen enlaces, que despliegan información más específica, para que el usuario pueda consultar en cada categoría de cookies cuáles son de primera parte y cuales son de terceros. Se identifican las cookies de terceros por su nombre o por la marca con la que se identifican de cara al público. Segundo nivel de información: A través de la política de cookies, que mediante un script del configurador sincroniza la clasificación de las cookies del configurador con las categorías denunciadas y a través de la política de privacidad incluida dentro del pop up del configurador. Así mismo esto se encuentra todo el tiempo disponible en el pie de la web. En la política de cookies es informado de cómo evitar la utilización de cookies de terceros una vez aceptadas por el usuario, se facilita información sobre las herramientas proporcionadas por el navegador, y los terceros y si posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En la política de privacidad se informa que aquellos tratamientos relacionados con los fines de gestión de cookies y su base de licitud. Segundo, en relación a cómo facilitamos al usuario los mecanismos para, rechazar o retirar el consentimiento para su uso. El usuario, previamente a que las cookies se instalen en su navegador, dispone de toda la información necesaria por capas para tomar la decisión de cuáles selecciona o rechaza. Entonces, siendo consciente de las consecuencias sobre aceptar o denegar la instalación de cookies enunciadas puede decidir qué acción realizar. Asimismo, en cualquier momento puede retirar el consentimiento prestado mediante el acceso al enlace del configurador de cookies ubicado en el pie de la web. La acción que debe realizar el usuario es una clara acción afirmativa para que el consentimiento se considere válidamente otorgado. Estos requisitos para obtener el consentimiento se materializan técnicamente de la siguiente forma: En un primer nivel el usuario puede aceptar todas las cookies pulsando el botón "Aceptar", o configurar o rechazar su uso clicando en Configuración de cookies. En segundo nivel, dentro de la configuración de las cookies puede:  Aceptar o rechazar todas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/35  Aceptar por categorías de cookies desplazando el cursor y guardando preferencias Hasta que el usuario no realiza ninguna de las anteriores acciones se mantienen desactivadas todas aquellas que no sean estrictamente necesarias y se instalaran en su navegador aquellas que haya seleccionado a medida que realice la navegación web por el dominio y subdominios en función del servicio solicitado. 2. El reclamante manifiesta que, en la página de privacidad, se estaría limitando la forma de contacto para el ejercicio de derechos a una dirección postal, sin proporcionar una dirección de correo electrónico. Derivado de la actualización de políticas de privacidad estuvo disponible durante meses la política de privacidad incluida en esta Evidencia 2 El último cambio que se realizó en el texto fue en 26/03/2021. La evidencia de la evolución de cambios: La última versión disponible ***URL.2 se incluye el correo electrónico, que subsana el error bajo el siguiente literal: Los anteriores derechos pueden ejercerse directamente por el titular de los datos o mediante representante legal o voluntario, a través de comunicación escrita y dirigida a Oficina Corporativa de Privacidad y Protección de Datos en la Carretera de Pozuelo, 52, 28222 Majadahonda, Madrid o escribiendo a ***URL.1. Se adjunta como documento . Evidencia 3 El error estuvo disponible durante un breve tiempo hasta haber realizado la revisión de esta en marzo. Añadir que no sólo se encuentra a disposición del interesado como medio de contacto electrónico el correo de la ***URL.2 sino también: - Buzón del DPD incluido al inicio de la política. - Así como otros canales como los disponibles en el Área de clientes. 3. El reclamante manifiesta que se estarían transfiriendo datos personales a Estados Unidos mediante los servicios de Google Analytics y Google Adds. En este apartado consideramos importante señalar de nuevo que dentro del proyecto gobierno de gestión de cookies al realizar escaneos periódicos es posible que se clasifiquen cookies no estrictamente necesarias en una categoría que no le corresponde, pero esto no implica que se estén instalando. Por lo que aquellas una vez que el usuario tras la lectura de la política de privacidad y la política de En consecuencia, sólo aquellas cookies que han sido consentidas se envían a Google Analytics tras un proceso de anonimizacion, en donde la función de anonimización de IPs aplica el enmascaramiento de IP para que Google Analytics use solo una parte de una dirección IP recopilada, en lugar de la dirección completa. El método de anonimización se realiza sobre la variable "aip" la cual, si tiene el valor "1" en la llamada, significa que la anonimización está activa. Aquí está documentado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/35 https://developers.google.com/analytics/devguides/collection/protocol/v1/parameters? hl=es#aip Por otro lado, sobre las acciones de migración a Google Analytics 4 identificadas en el año 2021, a nivel corporativo se trazó un plan para que en 2022 se pueda cerrar la migración que están llevando a cabo todas las entidades del Grupo MAPFRE. En la evidencia 4 se adjunta muestra el plan de acción que se presenta en mayo de 2021 con las acciones a realizar para mejorar la analítica y la migración a Google analytics 4. Uno de los aceleradores del plan de implantación y mejora proviene del cambio de plataforma tecnológica para la creación y generación de los sites comerciales, como es el caso de mapfre.es. Todos los portales generados para todas entidades salen con una versión de Google Analytics 4 estándar, dando la oportunidad a las diferentes entidades de personalizar y mejorar dicha versión en base a sus necesidades. Este es el caso de mapfre.es, cuya fecha de migración se establece para el 7 de abril 2022, siendo uno de últimos portales en migrar debido a su extensión. Para aquellas cookies que se encuentran dentro de la migración a la versión 4 de Google analytics, no es necesario anonimizar las IP, ya que estas no se registran ni se almacenan. En esta versión las direcciones IP se usan en el momento de la recogida para determinar la información de ubicación (país, ciudad, latitud y longitud de la ciudad) y, luego, se descartan antes de que los datos se registren en los centros de datos o servidores. Al respecto de Google ads al utilizar las etiquetas facilitadas desde Google analytics, al ir estas anonimizadas, se encuentran bajo la misma protección. Las cookies _gac y _gcl almacenan información de las campañas para proporcionar a Google Ads una forma más fiable de medir las interacciones de los clientes con su empresa. Analytics registra información de las campañas en las cookies _gac y _gcl cuando un usuario abre una página de su sitio web a través de una URL que usa el etiquetado automático de Google Ads. 2. Las medidas adoptadas para adecuar su “Política de Privacidad”. Se ha reforzado dentro del proceso de revisión de subida de la política de privacidad la validación de los controles incluidos dentro de la guía de cumplimiento del deber de la información de la AEPD y el informe Informe Sobre Políticas De Privacidad En Internet Adaptación Al RGPD En MAPFRE existe un firme compromiso con la protección de datos personales. Para hacer frente a los requerimientos establecidos por el Reglamento Europeo de Protección de Datos. En Julio de 2016 se constituyó un Grupo de Trabajo Corporativo destinado a adecuar a MAPFRE, de manera temprana y con un enfoque transversal y proactivo, a las nuevas exigencias. Este Grupo de Trabajo Corporativo, entre otras líneas, se definió los distintos proyectos y líneas de actividad que se deben desarrollar para adecuarse al nuevo Reglamento, contemplando entre otros: - Catálogo de Textos de Privacidad: Identificación, revisión y en su caso codificación, de los textos que deben ser modificados o elaborados con motivo de la adecuación al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/35 Reglamento Europeo de Protección de Datos actualizado (cláusulas, políticas de privacidad, mensajes…) garantizando que sean homogéneos, y que sirvan de modelos en el grupo MAPFRE - Deber de Información: Analizar los requerimientos en cuanto a la Información a facilitar a los interesados, así como los mecanismos que se van a utilizar para garantizar el deber de información. Revisar los textos y cláusulas informativas a los interesados relativas al tratamiento, para que se ajusten a la información requerida y siguiendo los criterios del reglamento: información concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. - Gestión del consentimiento: Garantizar que se realiza una gestión de consentimiento de los tratamientos en función de los nuevos requerimientos. En este sentido, desde el Grupo de Trabajo se elaboraron y aprobaron las primeras versiones de los siguientes documentos vinculados: - Julio de 2017 - Febrero de 2018, tanto la política de privacidad como la política de cookies. Con la entrada en vigor en mayo de 2018, este Grupo de Trabajo siguió activo, convirtiéndose en el Comité de Privacidad y Protección de Datos Corporativo. Dicho Comité se reúne con una periodicidad semestral, para hacer seguimiento de los distintos pronunciamientos / novedades legislativas, y sin perjuicio de que se convocan sesiones extraordinarias para tratar algún aspecto relevante concreto. MAPFRE dispone de un observatorio normativo y de análisis de los múltiples pronunciamientos por parte de los reguladores, de los países en que está presente, con el objetivo de garantizar que, desde el diseño, todos los procesos cumplen en todo momento con las normativas de privacidad y protección de datos que son de aplicación. En este sentido, vinculado a la Gestión de Cookies, se establecieron Grupos de Trabajo específico, para analizar y definir los criterios y las líneas de acción a acometer: - Noviembre de 2019. A partir de la publicación de la Guía de Cookies de la AEPD se estuvo trabajando en el análisis, a partir del cual se establecieron las líneas de adaptación. Se muestra evidencia de la presentación mantenida en enero donde se informaba del análisis realizado y se identificaban las acciones necesarias para adecuarse a lo establecido en la guía. - Julio de 2020. A partir de la publicación de la Guía sobre el uso de las Cookies de la AEPD se estuvo trabajando en el análisis, a partir del cual se establecieron las líneas para adecuarse antes del 31 de octubre de 2020, período transitorio de tres meses para implementar los cambios necesarios de conformidad con los criterios introducidos respecto del consentimiento de los usuarios para el uso de cookies. Para realizar un control del cumplimiento de los textos implantados a parte de las revisiones periódicas, indicar la realización de distintas auditorías de cumplimiento del RGPD donde se revisa específicamente el tema de las políticas de privacidad y 3. Las medidas adoptadas para adecuar la utilización de cookies. Mapfre, por la particularidad tecnológica de sus recursos web, ha decidido la creación de un Modelo de Gobierno de Cookies que se compone de tres líneas de trabajo:  Modelo de gobierno de cookies, integrando varias áreas de la compañía (Privacidad, negocio digital, desarrollo web) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/35 Se basa en una dinámica de trabajo estructurada que permita minimizar al máximo los posibles errores o problemas derivados del uso de OneTrust. Se establecen las buenas prácticas que ayudan a detectar cuando es necesario hacer cambios en la configuración de OneTrust 1. Ante cualquier nuevo site o desarrollo en los portales web: migraciones, implementación de nuevas herramientas analíticas, cambios en un aplicativo… 2. Revisiones periódicas para prevenir errores de implementación. 3. Detección de incidencias: errores en cargas de la web Tras exportar el resultado del escaneo se revisarán las cookies encontradas y las categorizaciones asignadas por OneTrust. En ocasiones estas categorías deben cambiarse o asignarse de forma manual ya que la herramienta no es capaz de entender quién o qué crea las cookies. En estos casos se crea un documento de propuesta de categorización y descripciones que debe ser aprobado por legal. Priorizar por dominios y subdominios, creación de dominios Evidencia 5 Externalización del servicio de gestión de cookies. Se ha tomado la decisión de buscar el apoyo en la implantación del modelo de gobierno de gestión de cookies mediante un servicio externo supervisado con el objetivo de disponer de una monitorización proactiva y continua. Evidencia 6 Migración a G4: Proyecto de implantación. Derivado del plan de acción corporativo de alcance global se ha iniciado en MAPFRE ESPAÑA la migración a Google Analytics 4, tal y como estaba planeado en 2021. Además de las mejoras en las funcionalidades de analítica web, la base de Google Analytics 4 es la la privacidad. Al recoger datos, Google Analytics 4 no registra ni almacena direcciones IP. Se retiran las direcciones IP que recoge de los usuarios de la UE antes de registrarlos en dominios y servidores de la UE. Dentro de las líneas a ejecutar la migración se encuentran:  Adaptación a nueva taxonomía GA4 de todos los activos Mapfre ES  En coordinación con IT, incluir datalayer en todos los activos posibles  Ajustes GA (DataStreams, Subproperties...)  Adaptación de informes a GA4 según prioridad” TERCERO: Con fecha 19 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 28 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 44 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 29 de mayo de 2024 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/35 SEXTO: Con fecha 30 de mayo de 2024, MAPFRE presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones. SÉPTIMO: Con fecha 31 de mayo de 2024, el órgano instructor del procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notificó a MAPFRE en fecha 31 de mayo de 2024, como consta en el acuse de recibo que obra en el expediente. OCTAVO: En fecha 19 de junio de 2024 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: - MAPFRE afirma haber corregido lo declarado por la parte reclamante en la reclamación respecto a que en la web ***URL.3“se cargan cookies antes de poder gestionarlas, sin realizar acción alguna” - En el contrato vigente en el período de la reclamación, Google Ireland Limited es la entidad que brinda los servicios de Google Analytics. - Las cookies que habían sido consentidas se enviaban a Google aplicando un proceso de anonimización sobre la dirección IP del usuario. - Desde septiembre de 2023 Google LLC se encuentra adherida Marco de Privacidad de Datos UE-EE. UU. - A fecha de 6 de junio de 2022, MAPFRE se encontraba inmerso en el proceso de migración a Google Analytics 4. - Según MAPFRE, se ha creado un Comité Corporativo de Privacidad y Protección de Datos. Este es un comité específico, de carácter operativo, para la dirección y control en el ámbito de la privacidad y protección de datos, apoyando al DPO en el desarrollo de sus funciones. - Que, en virtud de lo dispuesto en el artículo 67.2 de la LOPDyGDD en conexión con el artículo 122.4 del Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, en vigor en todo aquello que no contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la LOPDGDD, las actuaciones previas llevadas a cabo por esa Agencia en el marco del presente procedimiento de apercibimiento han de entenderse caducadas. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 18 de marzo de 2022, con motivo del análisis de la reclamación presentada por la parte reclamante contra MAPFRE, se constata por esta Agencia que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/35 la Política de Privacidad y Tratamiento de datos de la web ***URL.2, recoge las siguientes cookies de Google Analytics: _ga, _gid (página 19 del expediente). En esa misma fecha, se realiza la siguiente actuación: Aceptación de las cookies de la web ***URL.1 a través del navegador Chrome. En la imagen incorporada al expediente se comprueba que se han instalado las cookies _ga, _gid (página 44 del expediente). SEGUNDO: Con fecha 6 de junio de 2022, en la respuesta al traslado de la reclamación, MAPFRE reconoce que ha introducido el código de la herramienta Google Analytics en su sitio web: “…por lo que aquellas cookies de Google analytics y Google ads únicamente se instalan bajo consentimiento una vez que el usuario tras la lectura de la política de privacidad y la política de cookies toma la decisión de aceptarlas”. TERCERO: Con fecha 2 de septiembre de 2020, el plenario del Comité Europeo de Protección de Datos decidió crear un grupo de trabajo (en adelante, grupo de trabajo TF101) para asegurar una aproximación coherente entre las autoridades de datos europeas, respecto a la gestión de las 101 reclamaciones de NOYB relativas al uso de Google Analytics y las posibles transferencias de datos a los EE. UU., en el contexto de la sentencia del TJUE Schrems II. CUARTO: En el documento de fecha 9 de abril de 2021. remitido por GOOGLE LLC a la autoridad austríaca de protección de datos, la cual lo comparte con el resto de las autoridades a través del grupo de trabajo TF101 reclamaciones de NOYB en el contexto de la sentencia del TJUE Schrems II, consta la siguiente información y manifestaciones (de su traducción no oficial del inglés): (…). QUINTO: En el modelo de Contrato de adhesión a los servicios de GOOGLE (página 145 y siguientes del expediente), con el título “Términos del Tratamiento de Datos de Google Ads” (https://privacy.google.com/businesses/processorterms/), en su versión de 21 de septiembre de 2022, constaba que (traducción no oficial): “Términos del Tratamiento de Datos de Google Ads Google y la contraparte que acepta las presentes Condiciones (el “Cliente”), han celebrado un contrato para la prestación de los Servicios del encargado del tratamiento (con sus enmiendas puntuales, el “Contrato”) Las presentes Condiciones del tratamiento de datos de los anuncios de Google, (las “Condiciones del tratamiento de datos”) se suscriben por Google y el Cliente y complementan al Contrato. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/35 Si usted acepta estos Términos del Tratamiento de Datos en nombre del Cliente, usted garantiza que

1. a)tiene plena autoridad legal para que estos Términos del Tratamiento de Datos sean vinculantes para el Cliente,
2. b)ha leído y comprende estos Términos del Tratamiento de Datos y
3. c)los acepta en nombre del Cliente. Si no tiene la autoridad legal para que estos Términos del Tratamiento de Datos sean vinculantes para el Cliente, no los acepte. Introducción Estos Términos del Tratamiento de Datos reflejan el acuerdo entre las pa.es con respecto a los términos que rigen el tratamiento de determinados datos en relación con la Legislación Europea de Protección de Datos y cierta Legislación No Europea de Protección de Datos. Definiciones e interpretación […] “Entidad de Google” hace referencia a Google LLC (anteriormente conocida como Google Inc.), Google Ireland Limited o cualquier otra entidad que, directa o indirectamente, controle a Google LLC, esté controlada por Google LLC o esté sujeta al mismo control que Google LLC. “Google”: hace referencia a la Entidad de Google que sea parte del Contrato. “Legislación Europea de Protección de Datos” hace referencia, según corresponda,
4. a)al RGPD y/o
5. b)a la FDPA de Suiza. […] “SCCs” hace referencia a las Cláusulas Contractuales Tipo del Cliente y/o las Cláusulas Contractuales Tipo (Encargado del Tratamiento de la UE al Encargado del Tratamiento, Exportador de Google), según corresponda. […] “SCCs (Encargado del Tratamiento al Encargado del Tratamiento, Exportador de Google)” hace referencia a los términos incluidos en ***URL.4. […] “ Subencargados del Tratamiento” hace referencia a terceros autorizados en virtud de estos Términos del Tratamiento de Datos para tener acceso lógico a los Datos Personales del Cliente y tratarlos con la finalidad de prestar parte de los Servicios del Encargado del Tratamiento y cualquier asistencia técnica relacionada. […] 5. Tratamiento de datos 5.1 Roles y cumplimiento normativo; autorización. 5.1.1 Responsabilidades del Encargado del Tratamiento de Datos y del Responsable del Tratamiento de Datos. Las partes reconocen y aceptan lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/35 (
6. a)El apéndice 1 describe la cuestión y los detalles del tratamiento de Datos Personales del Cliente. (
7. b)Google es un encargado del tratamiento de datos personales del Cliente; (
8. c)El Cliente es un responsable del tratamiento de datos o un encargado del tratamiento, según corresponda, de los Datos Personales del Cliente; y (
9. d)Cada parte cumplirá las obligaciones que le correspondan en virtud de la Legislación Aplicable de Protección de Datos con respecto al tratamiento de Datos Personales del Cliente. […] 5.2. Instrucciones del Cliente. Al suscribir los presentes Términos del Tratamiento de Datos, el Cliente indica a Google que trate los Datos Personales del Cliente únicamente de conformidad con la ley aplicable:
10. a)para prestar los Servicios del Encargado del Tratamiento y cualquier asistencia técnica relacionada,
11. b)tal y como se especifica más detalladamente a través del uso por parte del Cliente de los Servicios del Encargado del Tratamiento (incluidas la configuración y otras funciones de los Servicios del Encargado del Tratamiento) y cualquier asistencia técnica relacionada,
12. c)según se documenta por medio del Contrato (incluidos estos Términos del Tratamiento de Datos) y
13. d)tal y como se documenta más detalladamente en otras instrucciones proporcionadas por escrito por el Cliente y reconocidas por Google como instrucciones constitutivas para los propósitos de estos Términos del Tratamiento de Datos (en conjunto, las “Instrucciones”). 5.3 Cumplimiento de las Instrucciones por parte de Google. Google cumplirá las Instrucciones a menos que lo prohíban las Leyes Aplicables o dichas Leyes Aplicables exijan otro tratamiento. […] 10. Transferencias de datos 10.1 Almacenamiento de datos e instalaciones de tratamiento. De conformidad con esta sección 10 (Transferencias de datos), Google podrá tratar Datos Personales del Cliente en cualquier país en el que Google o cualquiera de sus Subencargados del Tratamiento tenga instalaciones. 10.2 Transferencias Europeas Restringidas. Las partes reconocen que la Legislación Europea de Protección de Datos no exige SCCs ni una Solución Alternativa de Transferencia para tratar Datos Personales del Cliente en un País Adecuado ni para transferirlos a este. Si los Datos Personales del Cliente son transferidos a cualquier otro país y a esas transferencias se les aplica la Legislación Europea de Protección de Datos (“Transferencias Europeas Restringidas”), en ese caso: Si Google adopta una Solución Alternativa de Transferencia para cualquier Transferencia Europea Restringida, Google informará al Cliente de la solución relevante y se asegurará de que dichas Transferencias Europeas Restringidas se realicen de acuerdo con dicha Solución y/o Si Google no ha adoptado o ha informado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/35 al Cliente de que ya no va a adoptar ninguna Solución Alternativa de Transferencia para ninguna Transferencia Europea Restringida, en ese caso: Si la dirección de Google se encuentra en un País Adecuado: Se aplicarán las SCCs del Encargado del Tratamiento al Encargado del Tratamiento, Exportador de Google) con respecto a todas las Transferencias Europeas Restringidas de Google a los Subencargados del Tratamiento y. (B) Además, si la dirección del Cliente no se encuentra en un País Adecuado, se aplicarán las SCCs (Encargado del Tratamiento al Responsable del Tratamiento de Datos) con respecto a las Transferencias Europeas Restringidas entre Google y el Cliente, independientemente de si el Cliente es un responsable y/o un encargado del tratamiento o (
14. ii)Si la dirección de Google no se encuentra en un País Adecuado, Se aplicarán las SCCs del Responsable del Tratamiento de Datos al Encargado del Tratamiento y/o las SCCs (Encargado del Tratamiento al Encargado del Tratamiento), en función de si el Cliente es un responsable del tratamiento de datos y/o un encargado del tratamiento, con respecto a las Transferencias Europeas Restringidas entre el Cliente y Google. 10.3 Medidas complementarias e información. Google proporcionará al Cliente la información pertinente sobre las Transferencias Europeas Restringidas, incluida la información sobre medidas complementarias para proteger los Datos Personales del Cliente, tal y como se describe en la sección 7.5.1 (Revisiones de la Documentación de Seguridad), en el apéndice 2 (Medidas de Seguridad) y en otros materiales relacionados con la naturaleza de los Servicios del Encargado del Tratamiento y con el tratamiento de los Datos Personales del Cliente (por ejemplo, artículos del centro de ayuda). 10.4 Resolución. Si el Cliente concluye, según el uso que hace o pretende hacer de los Servicios del Encargado del Tratamiento, que la Solución Alternativa de Transferencia y/o las SCCs, según corresponda, no proporcionan la protección adecuada para los Datos Personales del Cliente, el Cliente podrá resolver inmediatamente el Contrato por conveniencia mediante una notificación por escrito a Google. 10.5 Información de centros de datos. La información sobre las ubicaciones de los centros de datos de Google está disponible en ***URL.5. 11. Subencargados del tratamiento de datos. 11.1 Consentimiento de contratación de un Subencargado del Tratamiento. El Cliente autoriza específicamente la contratación como Subencargados del Tratamiento de las entidades que figuren, a partir de la Fecha de Entrada en Vigor de los Términos, en la URL especificada en la sección 11.2 (Información sobre los Subencargados del Tratamiento). Asimismo, y sin perjuicio de lo estipulado en la sección 11.4 (Oportunidad de oponerse a cambios del Subencargado del Tratamiento), el Cliente autoriza de forma general la contratación de cualquier otro tercero como Subencargado del Tratamiento (“Nuevos Subencargados del Tratamiento”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/35 […]” (el subrayado es nuestro). SEXTO: En la descripción de Google Analytics, localizable en las urls ***URL.5 constaba, entre más información, que las cookies _ga y _gid se usaban para distinguir a los usuarios y que el parámetro “sr” se refería a la resolución de pantalla (página 136 y siguientes del expediente). SÉPTIMO: Según consta en la respuesta a la pregunta 4 (
15. ii)del documento de 09 de abril de 2021 de GOOGLE LLC obrante en el expediente, el propietario del sitio web que tenga implementado en dicha web el código de Google Analytics, puede elegir entre múltiples períodos de retención que oscilan entre 2 meses y 50 meses desde el momento en que se recopilaron los datos. OCTAVO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en el expediente, a 18 de enero de 2021, en la url ***URL.6 constaba (traducción no oficial, original en inglés): “[…] Solicitudes de agencias gubernamentales de EE. UU. en casos que involucran seguridad nacional En investigaciones relacionadas con la seguridad nacional, el gobierno de los EE. UU. puede utilizar una Carta de Seguridad Nacional (NSL) o una de las autorizaciones otorgadas en virtud de la Ley de Vigilancia de Inteligencia Extranjera (FISA) para obligar a Google a proporcionar información del usuario. Una NSL no requiere autorización judicial y solo puede usarse para obligarnos a proporcionar información limitada del suscriptor. Las órdenes y autorizaciones de FISA se pueden usar para obligar a la vigilancia electrónica y la divulgación de datos almacenados, incluido el contenido de servicios como Gmail, Drive y Photos.” […]” (traducción no oficial, original en inglés) NOVENO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en el expediente, a 26 de enero de 2022, en la url ***URL.7 constaba (traducción no oficial, original en inglés): “[…] Conceptos básicos sobre la información personal identificable en los contratos y las políticas de Google. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/35 En muchos contratos, términos del servicio y políticas de los productos de publicidad y medición de Google se hace referencia a la "información personal identificable" (IPI). Se trata de una categorización de datos diferente a lo que el Reglamento General de Protección de Datos (RGPD) considera "datos personales". Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD sí lo haga o que esos datos se consideren información personal de conformidad con la Ley de Privacidad del Consumidor de California (CCPA), y pueden estar sujetos a esas leyes. […] Google considera "información personal identificable" la información que se pueda usar por sí sola para identificar o ubicar con precisión a una persona, o para ponerse en contacto con ella de forma directa. Entre otros datos, incluye lo siguiente: • Direcciones de correo electrónico • Direcciones de correo postal • Números de teléfono • Ubicaciones precisas (por ejemplo, coordenadas GPS, salvo en los casos que se mencionan más abajo) • Nombres completos (nombre y apellidos) o nombres de usuario. […] Entre otros, Google no considera información personal identificable los siguientes datos: • ID de cookie seudónimos • ID de publicidad seudónimos • Direcciones IP • Otros identificadores de usuario final seudónimos Por ejemplo, si se envía una dirección IP con una solicitud de anuncio (algo que sucede con casi todas las solicitudes de anuncios como consecuencia de los protocolos de Internet), ese envío no incumplirá ninguna prohibición relacionada con el envío de información personal identificable a Google. Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD, la CCPA u otras leyes de privacidad los consideren datos personales o información personal. […]” DÉCIMO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en el expediente, en la url ***URL.8 Google publica desde año 2009 el número de solicitudes de información sobre usuarios en los EE. UU. relativas a FISA (Foreign Intelligence Surveillance Act) y al NSL (National Security Letters). FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/35 autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. II Cuestiones previas El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que MAPFRE realiza la recogida y tratamiento a través del servicio Google Analytics de, entre otros, los siguientes datos personales de personas físicas: identificadores únicos de usuarios (_ga y _gid), la dirección IP, así como otros datos asociados al navegador y a la propia navegación, entre otros tratamientos. MAPFRE realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/35 Por su parte, el artículo 44 del RGPD establece el principio general de las transferencias de datos personales a terceros países. III Contestación a las alegaciones A continuación, se procede a dar respuesta a las alegaciones presentadas por la entidad reclamada, según el orden en que aquellas son formuladas en su escrito: “1. Con relación a la posible instalación de cookies analíticas.” MAPFRE afirma haber corregido lo declarado por la parte reclamante en la reclamación respecto a que en la web ***URL.3“se cargan cookies antes de poder gestionarlas, sin realizar acción alguna”, reforzando el proceso de implantación del modelo de gobierno de cookies, incidiendo en el escaneo periódico para forzar la correcta clasificación de las cookies de tal forma que estén reflejadas en las categorías correctas, tanto en el configurador como en la política de cookies. En respuesta a esta alegación, cabe señalar que la cuestión planteada por MAPFRE no desvirtúa su responsabilidad respecto a los hechos que motivaron la incoación del presente procedimiento. La gestión de la instalación de las cookies es independiente de que no exista causa que legitime la transferencia internacional de datos. Si MAPFRE pretendía legitimar la transferencia internacional de datos con la obtención del consentimiento de la parte reclamante, debió obtener dicho consentimiento de forma específica al consentimiento obtenido para la instalación de las cookies. Además, debía informar sobre los riesgos que las transferencias de datos a EE. UU. suponían para los datos personales de la parte reclamante. Por todo lo expuesto, se desestima la presente alegación. “2. Con relación a las posibles transferencias internacionales de datos.” “Primero .- Situación de MAPFRE ESPAÑA con anterioridad al Marco de Privacidad de datos UE – EE.UU” “1.- Contrato con Google Irlanda Limited” En el contrato vigente en el período de la reclamación, Google Ireland Limited es la entidad que brinda los servicios de Google Analytics. En respuesta a esta alegación, cabe señalar que la responsabilidad de MAPFRE en la comisión de la infracción que motiva este procedimiento es imputable en la medida que la transferencia internacional de datos vulnera los derechos de la parte reclamante y de los usuarios que visiten la web de MAPFRE, al no garantizar un nivel equivalente de protección a lo establecido en el RGPD, debiendo garantizarse la eficacia de las obligaciones establecidas por esta norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/35 Aclara a este respecto el Considerando 81 del RGPD que el encargado del tratamiento debe ofrecer suficientes garantías en lo referente a conocimientos especializados, fiabilidad y recursos, con vistas a la aplicación de medidas técnicas y organizativas que cumplan los requisitos del Reglamento, incluida la seguridad del tratamiento. Con fecha de 27 de septiembre de 2021 GOOGLE modificó sustancialmente las “Condiciones para el tratamiento de datos de Google Ads.”, como puede comprobarse en la web ***URL.9. En el apartado 10.3 de estas “Condiciones” el Cliente que contrata el servicio asume las denominadas “Transferencias Restringidas”: “10.3 Transferencias Restringidas. Si el tratamiento de Datos Personales del Cliente implica cualquier tipo de transferencia que no sea una Transferencia Permitida y a esas transferencias se les aplica la Legislación Europea de Protección de Datos ("Transferencias Restringidas”), entonces: (
16. a)Si Google anuncia que ha adoptado una Solución Alternativa de Transferencia para cualquier Transferencia Restringida, entonces se asegurará de que dichas Transferencias Restringidas se realicen de acuerdo con dicha Solución Alternativa de Transferencia. (
17. b)Si Google no ha adoptado ninguna Solución Alternativa de Transferencia para ninguna Transferencia Restringida, entonces (
18. i)Si la dirección de Google se encuentra en un País Adecuado: (…) (
19. ii)Si la dirección de Google no se encuentra en un País Adecuado: (A) Se aplicarán las SCCs (Responsable del Tratamiento de Datos de la UE al Encargado del Tratamiento) y/o las SCCs (Encargado del Tratamiento de la UE al Encargado del Tratamiento), en función de si el Cliente es un responsable del tratamiento de datos y/o un encargado del tratamiento, con respecto a las Transferencias Restringidas entre el Cliente y Google que estén sujetas al RGPD de la UE y/o a la FDPA de Suiza. (…)” Las SCCs aplicables al presente caso son las “SCCs (Google Ads y Medición: Cláusulas Contractuales Tipo (Módulo 3: Procesador a Procesador)”, que pueden consultarse en la siguiente web: ***URL.10, se atribuye la condición de exportador a GOOGLE IRELAND, tal y como MAPFRE refiere en sus alegaciones Sin embargo, MAPFRE, al introducir el código de la herramienta Google Analytics en su sitio web ***URL.3 en base a una decisión corporativa, era conocedora de que los datos personales son transferidos a Google LLC, con sede en los Estados Unidos, bien directamente por MAPFRE o bien por Google Ireland. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/35 Si bien es cierto que MAPFRE no decide donde se conservan los datos personales por Google LLC, desde el momento en que contrata los servicios de su herramienta de Google Analytics, se entiende que está de acuerdo con el punto 10 de los “Términos del Tratamiento de Datos de Google Ads”, por lo que el responsable del tratamiento ha acordado que Google pueda almacenar y tratar datos personales del cliente (es decir, datos personales de la parte reclamante y de cualquier usuario que visite la web en cuestión) en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones, incluido los EE. UU., según declara la propia Google LLC en el documento de fecha de 9 de abril de 2021. Así, la actuación de Google LLC. se ciñe a lo estipulado y, por cuenta de MAPFRE, llevando a cabo el tratamiento de los datos personales necesarios para la correcta prestación del servicio. En consecuencia, con independencia de que las actuales SCCs (Google Ads y Medición: Cláusulas Contractuales Tipo (Módulo 3: Procesador a Procesador) contemplan como exportador de datos a Google Irlanda, MAPFRE, como responsable del tratamiento, asume, junto con las demás condiciones de la contratación de los servicios de Google LLC, los acuerdos relativos al tratamiento de datos y las SCCs que permiten que los datos sean transferidos a Google LLC, con sede en los Estados Unidos. Por lo tanto, MAPFRE es responsable de la transferencia internacional de datos que se produce como consecuencia del servicio prestado por Google LLC. Este criterio es compartido por el Comité Europeo de Protección de Datos (CEPD), el cual, en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos (según le atribuye el artículo 70 del RGPD), adoptó la siguientes directrices: “Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR” (traducción no oficial: “Directrices 05/2021 sobre la interacción entre la aplicación del artículo 3 y las disposiciones sobre transferencias internacionales con arreglo al capítulo V del RGPD”, en cuyo apartado 19 se dice lo siguiente (texto oficial en inglés con subrayado añadido): “También es importante señalar que el artículo 44 del RGPD prevé claramente que una transferencia no sólo puede ser llevada a cabo por el responsable del tratamiento, sino también por el encargado del tratamiento. Por lo tanto, habrá una situación de transferencia cuando un encargado del tratamiento (ya sea en virtud del artículo 3, apartado 1, o en virtud del artículo 3, apartado 2, para un tratamiento determinado, como se ha explicado anteriormente) envía datos a otro encargado del tratamiento o incluso a un responsable del tratamiento en un tercer país siguiendo instrucciones de su responsable del tratamiento. En estos casos, el encargado del tratamiento actúa como exportador de datos por cuenta del responsable del tratamiento y tiene que debe garantizar que se cumplen las disposiciones del capítulo V para la transferencia en cuestión según las instrucciones del responsable del tratamiento, incluida la utilización de una herramienta de transferencia adecuada. Teniendo en cuenta que la transferencia es una actividad de tratamiento realizada por cuenta del responsable del tratamiento, éste también es responsable y podría ser responsable en virtud del capítulo V, y también tiene que asegurarse de que el encargado del tratamiento ofrezca garantías suficientes en virtud del artículo 28.” En conclusión, cabe atribuir a MAPFRE la condición de responsable del tratamiento en el sentido del artículo 4.7 del RGPD, ya que es quien gestiona el sitio web C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/35 «www.mapfre.es», determinando los medios y fines de la recopilación y el tratamiento de los datos obtenidos a raíz de la integración de Google Analytics en su sitio web, de manera que le corresponde garantizar que el tratamiento sea conforme con los requisitos del RGPD, y debe garantizar la protección de los derechos del interesado en las transferencias internacionales de datos, de acuerdo a lo dispuesto en el artículo 44 y siguientes del RGPD. Por todo lo expuesto, se desestima la presente alegación. “2.- Anonimización de la IP en su envío a Google Universal Analytics” Las cookies que habían sido consentidas se enviaban a Google aplicando un proceso de anonimización sobre la dirección IP del usuario. En respuesta a esta alegación, cabe señalar que MAPFRE no ha acreditado de modo alguno que las IPs sean anonimizadas dentro del territorio de la Unión Europea. No existe ninguna prueba técnica ni se acredita de ninguna forma la afirmación de que la anonimización de la IP se realice en el territorio de la Unión Europea, tal y como refiere la propia MAPFRE: “…se debiera realizar de manera inmediata tras su recolección por Google Irlanda” (el subrayado es nuestro) Por lo tanto, toda dirección IP puede transmitirse a los Estados Unidos y acortarse solo en un segundo paso después de su exportación. Allí, desde un punto de vista técnico, existe la posibilidad de acceder a la dirección IP completa antes de su anonimización. Además, debe tenerse en cuenta que la medida es opcional y no aplicable a todas las transferencias. Además de la IP, como se desarrolla en el Fundamento de Derecho IV de esta resolución, en su punto 2, “Sobre la calificación de los datos objeto de tratamiento como datos personales”, MAPFRE realiza transferencias internacionales de otros datos personales mediante Google Analytics. Por todo lo expuesto, se desestima la presente alegación. “Segundo. - Situación de MAPFRE ESPAÑA a fecha de contestación del apercibimiento.” “1.- Adhesión de Google al EU-US Data Privacy Framework desde septiembre de 2023.” Desde septiembre de 2023 Google LLC se encuentra adherida Marco de Privacidad de Datos UE-EE. UU. En respuesta a la alegación acerca del nuevo marco jurídico de EE. UU. y la adhesión de Google LLC al “Marco de Privacidad de Datos UE-EE. UU”, a efectos de determinar responsabilidad en la comisión de la infracción, no es aplicable el marco jurídico actual, sino el régimen jurídico vigente en la fecha de los hechos objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/35 reclamación, en particular por lo establecido por el TJUE en la sentencia en el asunto C-311,/18 (Schrems II), que declaró inválida la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, sobre la adecuación de la protección conferida por el Escudo de la Privacidad UE-EE. UU. Por todo lo expuesto, se desestima la presente alegación. “2.- Migración a Google Analytics 4 (GA4)” MAPFRE se encontraba inmerso en el proceso de migración a Google Analytics 4, en el que las IP dejan de ser registradas y almacenadas. En respuesta a esta alegación, cabe señalar que la recogida de la IP por sí misma constituye un tratamiento de datos personales de los interesados, independientemente de su anonimización posterior. A modo de ejemplo, en Google Analytics 4, según la “Privacidad y Datos en la UE” de Google (***URL.11), “…los datos de direcciones IP se usan únicamente para obtener los datos de geolocalización y se descartan de inmediato”, por lo que sí se utiliza información que pueda proporcionar la IP antes de la anonimización. Además, se mantienen los “Términos del Tratamiento de Datos de Google Ads”, según el cual el responsable del tratamiento acuerda con Google que esta pueda almacenar y tratar datos personales del cliente en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones. Cuando se recopila esta información, se transmite a los servidores de Google Analytics. Y, según el documento de Google LLC de fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8, Google manifiesta que todos los datos recopilados a través de Google Analytics están alojados en los Estados Unidos Por todo lo expuesto, se desestima la presente alegación. “Tercero.- MAPFRE ESPAÑA dispone de un Gobierno de cookies y cumplimiento normativo.” Según MAPFRE, se ha creado un Comité Corporativo de Privacidad y Protección de Datos. Este es un comité específico, de carácter operativo, para la dirección y control en el ámbito de la privacidad y protección de datos, apoyando al DPO en el desarrollo de sus funciones. Además, en virtud de lo dispuesto en el artículo 67.2 de la LOPDGDD en conexión con el artículo 122.4 del Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, en vigor en todo aquello que no contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la LOPDGDD, las actuaciones previas llevadas a cabo por esa Agencia en el marco del presente procedimiento de apercibimiento han de entenderse caducadas. - MAPFRE ha creado un Comité Corporativo de Privacidad y Protección de Datos. Sin embargo, este Comité, que existe desde 2016, no ha tenido en cuenta respecto al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/35 tratamiento en cuestión, la doctrina establecida por el TJUE en el asunto C-311/18 (Schrems II), que declaró inválida la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, sobre la adecuación de la protección conferida por el Escudo de la Privacidad UE EE. UU. Según la respuesta de GOOGLE LLC de 9 de abril de 2021 al tener el carácter de proveedor de servicios de comunicaciones electrónicas en el sentido del apartado (
20. b)del punto 4 del artículo 1881 del título 50 del Código de los Estados Unidos, está sujeto a vigilancia por parte de los servicios de inteligencia de EE. UU. de acuerdo con el apartado (
21. a)del artículo 1881 del título 50 del Código de los Estados Unidos («FISA 702»), por lo que las transferencias internacionales de datos con destino a los servidores de Google Analytics infringió el marco normativo vigente según la sentencia del TJUE en el asunto C-311/18 . Respecto a las cláusulas contractuales tipo en las que Google basa la transferencia internacional de datos a los EE. UU., el TJUE consideró que de la naturaleza contractual de estas cláusulas se derivaba que no podían ser vinculantes para las autoridades de terceros países. En particular, el TJUE declaró que: “...Por lo tanto, si bien existen situaciones en las que, en función de la legislación y las prácticas vigentes en el tercer país de que se trate, el destinatario de dicha transferencia está en condiciones de garantizar la protección necesaria de los datos únicamente sobre la base de cláusulas contractuales tipo de protección de datos, existen otras en las que el contenido de dichas cláusulas tipo podría no constituir un medio suficiente para garantizar, en la práctica, la protección efectiva de los datos personales transferidos al tercer país de que se trate. Este es el caso, en particular, cuando la legislación de ese tercer país permite a sus autoridades públicas interferir con los derechos de los interesados a los que se refieren dichos datos" (C-311/18, punto 126, subrayado). - Caducidad de las actuaciones previas de investigación. Respecto a la caducidad de las actuaciones de investigación, en respuesta a esta alegación, cabe señalar que, en este caso, tras la admisión a trámite de la reclamación, no se han llevado a cabo actuaciones previas de investigación, por lo que no procede aplicar el plazo de doce meses de duración de dichas actuaciones, que el artículo 67.2 de la LOPDGDD establecía como límite temporal, según la redacción vigente de dicho artículo en el momento en el que la reclamación fue admitida a trámite. El plazo establecido el artículo 67.2 de la LOPDGDD es el plazo máximo en el que debe dictarse el acuerdo de inicio, sólo en el supuesto de que se hayan acordado la apertura de actuaciones previas de investigación, no pudiendo aplicarse diche límite temporal, como pretende MAPFRE, aun en el caso de que aquellas no hayan sido acordadas. Tras la admisión a trámite de la reclamación, no estimándose necesario realizar actuaciones previas de investigación, el único límite temporal que debemos aplicar es el plazo de prescripción de tres años previsto en el artículo 72.1.
22. l)de la LOPDGDD para el supuesto de infracciones muy graves, tal y como se fundamentó en el acuerdo de inicio. Teniendo en cuenta la ausencia de decisión de adecuación con EE. UU. (tras la STJUE C-311/18) entre el 16 de julio de 2020 y el 10 de julio de 2023, los hechos referidos en la reclamación se mantuvieron hasta, al menos, esta última fecha, que sería la de comienzo del plazo de prescripción, por lo que, a la fecha de inicio del presente procedimiento, la infracción no había prescrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/35 Por todo lo expuesto, se desestima la presente alegación. IV Transferencias de datos personales a terceros países El artículo 44 “Transferencias de datos personales a terceros países u organizaciones internacionales” del RGPD establece: “Solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del presente Reglamento, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional. Todas las disposiciones del presente capítulo se aplicarán a fin de asegurar que el nivel de protección de las personas físicas garantizado por el presente Reglamento no se vea menoscabado”. El capítulo V del Reglamento prevé diversos instrumentos para garantizar un nivel de protección sustancialmente equivalente al garantizado en la Unión Europea, de conformidad con el artículo 44 del Reglamento: - decisiones de adecuación (artículo 45); - garantías adecuadas (artículo 46); A falta de un nivel de protección equivalente, establece excepciones para situaciones específicas (artículo 49). 1. Sobre el tratamiento de datos y la responsabilidad del tratamiento. En el documento de fecha 9 de abril de 2021 enviado por Google LLC a la autoridad austríaca de protección de datos, el cual ésta compartió con el resto de las autoridades en el marco del grupo de trabajo TF101, se indica que Google Analytics funciona incluyendo un bloque de código Javascript en las páginas de un sitio web. Cuando un usuario visita una página web, este código Javascript hace referencia a un código Javascript que se ha descargado previamente al dispositivo del usuario, el cual ejecuta entonces la operación de ‘tracking’ para Google Analytics. La operación de ‘tracking’ envía datos acerca de la página solicitada a través de varios medios y envía esta información al servidor de Analytics por medio de una serie de parámetros anexados a una petición de una imagen GIF de un solo pixel enviados al dominio google-analytics.com. Los datos entonces se procesan más extensamente y terminan en los reportes del propietario de la web, en este caso la de MAPFRE. Los datos que Google Analytics recolecta en beneficio del propietario de la web viene de las siguientes fuentes: i. La petición HTTP del usuario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/35 Una petición HTTP contiene detalles como el navegador y el ordenador que hace la petición, como el hostname, el tipo navegador, ‘referer’, e idioma. ii. Información del navegador y del sistema. iii. Los administradores de sitios web que integran el servicio de Google Analytics pueden enviar instrucciones a Google para el procesamiento de los datos recopilados a través de Google Analytics. El administrador del sitio web puede aplicar diferentes configuraciones, por ejemplo, con respecto al período de retención de datos. La función Google Analytics también permite a los administradores de sitios web monitorear y mantener la estabilidad de su sitio web, por ejemplo, manteniéndolos informados de ciertos eventos como un pico en la audiencia o el hecho de que no hay tráfico en absoluto. Google Analytics también permite a los administradores de sitios web medir y optimizar la efectividad de las campañas publicitarias realizadas utilizando otras herramientas de Google. Por lo tanto, Google Analytics recopila la consulta http del usuario que contiene información sobre el navegador y el sistema operativo del usuario, el “referer” y el idioma. Además, Google Analytics almacena y lee cookies en el navegador del usuario para evaluar la sesión del usuario y otra información sobre la consulta. Por lo que se refiere a estas transferencias de datos, el contrato relativo a la función Google Analytics (“Condiciones del Servicio de Google Analytics”) incorpora un apéndice titulado “Términos del Tratamiento de Datos de Google Ads” (en versiones anteriores con el nombre de “Condiciones del Tratamiento de Datos de Google Ads”). Este apéndice contiene cláusulas contractuales tipo que rigen la transferencia de datos personales a los Estados Unidos de América bajo el servicio Google Analytics. Además, Google ha implementado medidas legales, organizativas y técnicas adicionales para regular las transferencias de datos bajo el servicio Google Analytics. De conformidad con el punto 10 de los “Términos del Tratamiento de Datos de Google Ads”, el responsable del tratamiento ha acordado que Google pueda almacenar y tratar datos personales del cliente (en el presente caso, datos personales de la parte reclamante) en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones. Cuando se recopila esta información, se transmite a los servidores de Google Analytics. Volviendo al documento enviado por Google LLC con fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8, Google manifiesta que todos los datos recopilados a través de Google Analytics están alojados en los Estados Unidos. Por lo tanto, los datos recopilados en el sitio web «www.mapfre.es» a través de Google Analytics se transfieren a los Estados Unidos. Dicha transmisión de datos requiere una base jurídica de conformidad con el artículo 44 y siguientes del RGPD. Todos estos elementos muestran que, al decidir implementar la función de Google Analytics en su sitio web, MAPFRE, que gestiona el sitio web «www.mapfre.es», determinó los medios y fines de la recopilación y el tratamiento de los datos obtenidos a raíz de la integración de Google Analytics en su sitio web y debe considerarse el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/35 responsable del tratamiento en el sentido del artículo 4.7 del RGPD. 2. Sobre la calificación de los datos objeto de tratamiento como datos personales Puede afirmarse que los datos recopilados con arreglo a la función Google Analytics y transferidos a los Estados Unidos de América constituyen datos personales. El artículo 4.1 del RGPD define los datos personales como «toda información relativa a una persona física identificada o identificable («el interesado»); una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador, como un nombre, un número de identificación, datos de ubicación, un identificador en línea o uno o varios factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física.». Cabe señalar que los identificadores en línea, como las direcciones IP o la información almacenada en las cookies, pueden utilizarse comúnmente para identificar a un usuario, especialmente cuando se combinan con otros tipos de información similares. Esto se ilustra en el considerando 30 del RGPD, según el cual la asignación de identificadores en línea como direcciones IP, identificadores de cookies a personas físicas o sus dispositivos pueden «dejar rastros que, en particular cuando se combinan con identificadores únicos y otra información recibida por los servidores, pueden utilizarse para crear perfiles de las personas físicas e identificarlos». En el caso particular en el que el responsable del tratamiento alegara no tener la capacidad de identificar al usuario mediante el uso (solo o combinado con otros puntos de datos) de dichos identificadores, se esperaría que revelara los medios específicos desplegados para garantizar el anonimato de los identificadores recopilados. Sin tales detalles, no pueden considerarse anónimos. Por lo tanto, es necesario examinar en qué medida la implementación de Google Analytics en un sitio web permite al administrador del sitio web y a Google hacer que un interesado (un visitante del sitio web en cuestión) pueda ser identificado. Cuando un usuario visita el sitio web www.mapfre.es, los siguientes datos (a través del código JavaScript) son transmitidos desde el navegador de la parte reclamante a los servidores de Google LLC (respuesta a la pregunta 2 del documento de Google de 9 de abril de 2021):       URL de la página web visitada (parámetro
23. dl)y título de la página web visitada (parámetro
24. dt)Dirección IP sr (resolución de pantalla), entre otros parámetros. Datos sobre el navegador y sistema operativo: Identificador único que identifica al operador del sitio web Cabe señalar que el TJUE ya ha declarado que las direcciones IP son datos personales (véase el asunto C-597-19, punto 102 y C-582/14, punto 49). La dirección IP no pierde su naturaleza de datos personales simplemente porque los medios de identificación residen en terceras entidades. Además, el caso en cuestión es muy C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/35 diferente, ya que la dirección IP puede combinarse con otros elementos, como se describirá a continuación. En lo que respecta a los identificadores únicos, cuando un usuario visita el sitio web www.mapfre.es, en su política de cookies se reconoce el uso de Google Analyctics, lo que conlleva el envío de los valores de las cookies «_ga» y «_gid» a Google LLC, tal y como se recoge en la referencia de las cookies de Google Analytics. Según la descripción de Google Analytics localizable en las urls: ***URL.12 y ***URL.13. , las cookies _ga y _gid se usan para distinguir a los usuarios y que el parámetro “sr” se refiere a la resolución de pantalla. Los identificadores de visitantes son identificadores únicos destinados para diferenciar a individuos (donde esa diferenciación no era posible antes), y hacen que los individuos sean identificables. Estos identificadores también pueden combinarse con otra información, como la dirección del sitio web visitado, los metadatos relativos al navegador y el sistema operativo, la hora y los datos relativos a la visita al sitio web y la dirección IP. Esta combinación de información diferencia aún más a los individuos. Por esta razón, cuando se combinan varios elementos, pueden permitir identificar individualmente a los visitantes de la página web de «***URL.3», en la que se implementa Google Analytics. No es necesario conocer el nombre o la dirección (física) del visitante, ya que, de acuerdo con el considerando 26 del RGPD, tal calificación de las personas es suficiente para que el visitante sea identificable. Si se decidiera lo contrario, el alcance del derecho a la protección de datos, garantizado por el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, se vería socavado, ya que permitiría a las empresas seleccionar específicamente a las personas junto con la información personal (por ejemplo, cuando visitan un sitio web específico) al mismo tiempo que les negaría cualquier derecho de protección contra tal singularización. Una opinión tan restrictiva que socavaría el nivel de protección de las personas tampoco está en consonancia con la jurisprudencia del Tribunal de Justicia de la Unión Europea (en adelante, TJUE), que dictaminó repetidamente que el ámbito de aplicación del RGPD debe entenderse de manera muy amplia (véase, por ejemplo, la sentencia C-439/19, apartado 61). Google LLC afirma que no tiene «ninguna intención» de utilizar identificadores en línea para identificar a la parte reclamante (u otras personas), según refiere en el último párrafo de la respuesta a la pregunta 13 del documento de 9 de abril de 2021 y que de hecho «no hacen esto», hay que señalar que el artículo 4, apartado 1, del RGPD no requiere que una entidad tenga una intención específica de identificar a una persona. De acuerdo con la redacción clara del artículo 4, apartado 1, del RGPD, el término «datos personales» se completa cuando una entidad puede (tiene la posibilidad) de hacerlo. Incluso una interpretación más restrictiva del artículo 4, apartado 1, del RGPD, que en cualquier caso sería contrario a la jurisprudencia del TJUE, la definición de «datos personales» se entendería aplicable a los datos expuestos. En el caso de que algún visitante de la web ***URL.3hubiese iniciado sesión en una cuenta de Google en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/35 momento de su visita, tal y como puede verse en la declaración de Google LLC del 9 de abril de 2021, la implementación de Google Analytics en un sitio web permite a Google recibir la información que un usuario específico de la cuenta de Google ha visitado ese sitio web. En el contexto del uso de Google Analytics, y dependiendo de algunos ajustes en la configuración de la cuenta de usuario de Google (ver respuesta a la pregunta 9 del documento de Google de 9 de abril de 2021), permite a Google recibir información de que un usuario conectado a una cuenta de Google ha visitado un sitio web en particular. Por lo tanto, se recopilan datos personales relacionados con esta cuenta. Por todo ello, debe considerarse que los datos en cuestión son datos personales en el sentido del artículo 4.1 del RGPD. 3.- Sobre el incumplimiento de la obligación de regular las transferencias de datos personales fuera de la Unión Europea En el presente caso, debe verificarse si produjo la exportación de datos personales a los Estados Unidos de América como señala la parte reclamante, en los términos que establece el artículo 44 del RGPD, y, en caso de que se hubiera producido, si la exportación se realizó con un nivel de protección adecuado conforme a una decisión de adecuación del artículo 45 del RGPD, o, en su defecto, si se adoptó alguna de las garantías del artículo 46 del RGPD.  Decisiones de adecuación En su sentencia del asunto C-311/18 ("Schrems II"), de 16 de julio de 2020, el TJUE invalidó la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección ofrecida por el "EU-US Privacy Shield" (“Escudo de la privacidad”), sin mantener sus efectos en la fecha de los hechos objeto de reclamación. En ausencia de decisión de adecuación aplicable al presente caso, la transferencia de datos en cuestión no puede estar basada en lo dispuesto en el artículo 45.3 del RGPD.  Salvaguardias apropiadas: Cláusulas tipo de protección de datos El artículo 46, “Transferencias mediante garantías adecuadas”, del RGPD, establece en su apartado 1 que “A falta de decisión con arreglo al artículo 45, apartado 3, el responsable o el encargado del tratamiento solo podrá transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.» El artículo 46, apartado 2, del RGPD dispone que “Las garantías adecuadas con arreglo al apartado 1 podrán ser aportadas, sin que se requiera ninguna autorización expresa de una autoridad de control, por: (…)
25. c)cláusulas tipo de protección de datos adoptadas por la Comisión de conformidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/35 con el procedimiento de examen a que se refiere el artículo 93, apartado 2. (…)”. Las cláusulas contractuales tipo de Google para la transferencia de datos personales a los Estados Unidos, actualizadas el 27 de septiembre de 2021, con el nombre "Google Ads & Measurement: Standard Contractual Clauses (Module 3: Processor-toProcessor)”, que podría traducirse como: “Términos de tratamiento de datos de Google Ads: Modelo de Cláusulas Contractuales, Cláusulas Contractuales Tipo Encargado a Encargado” (en adelante, SCC). Estas cláusulas se ajustan a las publicadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/915 de la Comisión de 4 de junio de 2021 relativa a las cláusulas contractuales tipo entre responsables y encargados del tratamiento. En este contexto, cabe destacar que las cláusulas contractuales tipo son un instrumento de transferencia en el sentido del capítulo V del Reglamento y no fueron impugnadas como tales por el TJUE en su sentencia de 16 de julio de 2020 (C311/18). Sin embargo, el TJUE consideró que de la naturaleza contractual de estas cláusulas se derivaba que no podían ser vinculantes para las autoridades de terceros países. En particular, el TJUE declaró que: “...Por lo tanto, si bien existen situaciones en las que, en función de la legislación y las prácticas vigentes en el tercer país de que se trate, el destinatario de dicha transferencia está en condiciones de garantizar la protección necesaria de los datos únicamente sobre la base de cláusulas contractuales tipo de protección de datos, existen otras en las que el contenido de dichas cláusulas tipo podría no constituir un medio suficiente para garantizar, en la práctica, la protección efectiva de los datos personales transferidos al tercer país de que se trate. Este es el caso, en particular, cuando la legislación de ese tercer país permite a sus autoridades públicas interferir con los derechos de los interesados a los que se refieren dichos datos" (C-311/18, punto 126, subrayado añadido). No es necesario realizar un análisis adicional de la situación jurídica de los Estados Unidos, ya que el TJUE ya lo ha proporcionado en su sentencia antes mencionada. En efecto, el TJUE consideró que los programas de vigilancia reglamentaria como el artículo 702 de la FISA y el E.O. 12333 en conjunción con la PPD-28, no satisfacen las exigencias mínimas establecidas por el Derecho de la Unión con respecto al principio de proporcionalidad, de modo que los programas de vigilancia basados en estas disposiciones no pueden considerarse limitados a lo estrictamente necesario (C311/18, punto 184). Además, el TJUE consideró que el marco jurídico en cuestión no confería a los interesados derechos susceptibles de recurso ante los tribunales contra las autoridades estadounidenses, de lo que se deduce que estas personas no tienen derecho a una tutela judicial efectiva (C-311/18, punto 192). El análisis del TJUE es pertinente en el presente asunto, ya que Google LLC (como importador de los datos a los EE. UU.) debe calificarse como proveedor de servicios de comunicaciones electrónicas en el sentido del apartado (
26. b)del punto 4 del artículo 1881 del título 50 del Código de los Estados Unidos y, por lo tanto, está sujeto a vigilancia por parte de los servicios de inteligencia de EE. UU. de acuerdo con el apartado (
27. a)del artículo 1881 del título 50 del Código de los Estados Unidos («FISA 702»). Por lo tanto, Google LLC tiene la obligación de proporcionar datos personales al gobierno de los Estados Unidos cuando se le solicite de conformidad con el apartado (
28. a)del artículo 1881 del título 50 del Código de los Estados Unidos (FISA 702). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/35 Como se puede ver en el Informe de transparencia de Google, Google LLC está sujeto regularmente a tales solicitudes de acceso por parte de los servicios de inteligencia de Estados Unidos. El informe puede consultarse en: ***URL.14. El TJUE declaró, por un lado, que la decisión de adecuación UE-EE. UU. era inválida debido a las posibilidades de acceso de los servicios de inteligencia estadounidenses y, por otro, llegó a la conclusión de que la utilización de las cláusulas contractuales tipo no puede por sí sola garantizar un nivel de protección, tal como exige el artículo 44 del RGPD, ya que las garantías que ofrecen quedan sin cumplir cuando se realizan dichas solicitudes de acceso. De hecho, el TJUE concluyó lo siguiente: “De ello se deduce que las cláusulas tipo de protección de datos adoptadas por la Comisión sobre la base del artículo 46, apartado 2, letra c), del RGPD solo tienen por objeto ofrecer garantías contractuales que se aplican de manera uniforme en todos los terceros países a los responsables y encargados del tratamiento establecidos en la Unión Europea y, en consecuencia, con independencia del nivel de protección garantizado en cada tercer país. En la medida en que estas cláusulas tipo de protección de datos no pueden, habida cuenta de su propia naturaleza, ofrecer garantías más allá de una obligación contractual de garantizar el cumplimiento del nivel de protección exigido por el Derecho de la Unión, pueden exigir, en función de la posición imperante en un tercer país determinado, la adopción de medidas complementarias por parte del responsable del tratamiento para garantizar el cumplimiento de dicho nivel de protección" (C-311/18, punto 133).  Observaciones generales sobre las medidas complementarias En sus Recomendaciones 01/2020, de 18 de junio de 2021, (que se pueden consultar en la web ***URL.15, aunque las transcripciones incluidas en este documento se refieren a su traducción al español) el Comité Europeo de Protección de Datos (CEPD) ha aclarado que, cuando la evaluación de la legislación o las prácticas vigentes del tercer país puede afectar a la eficacia de las salvaguardias adecuadas de los instrumentos de transferencia en los que se basa el exportador, en el contexto de su transferencia específica, como sucede en este caso tras la evaluación del TJUE, el exportador debe suspender la transferencia o aplicar medidas complementarias adecuadas. El CEPD observa a este respecto que “Cualquier medida complementaria solo podrá considerarse eficaz en el sentido de la sentencia del TJUE «Schrems II» en la medida en que aborde las deficiencias específicas detectadas en su evaluación de la situación jurídica en el tercer país. Si, en última instancia, no puede garantizar un nivel de protección esencialmente equivalente, no deberá transferir los datos personales.” (véanse las Recomendaciones 01/2020, punto 75). Las medidas para complementar las cláusulas tipo de protección de datos pueden clasificarse en tres categorías: contractual, técnico u organizativo (véanse las Recomendaciones 01/2020, punto 74). Con respecto a las medidas contractuales, el CEPD señaló que: “En algunas situaciones, estas medidas pueden complementar y reforzar las garantías que el instrumento de transferencia y el Derecho pertinente del tercer país pueden C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/35 proporcionar, cuando, teniendo en cuenta las circunstancias de la transferencia, estas no cumplan todas las condiciones necesarias para garantizar un nivel de protección esencialmente equivalente al garantizado en la Unión. Habida cuenta de la naturaleza de las medidas contractuales, que por lo general no pueden vincular a las autoridades de ese tercer país cuando no formen parte del contrato, estas deberán combinarse con otras medidas técnicas y organizativas para proporcionar el nivel de protección de datos requerido (...)”. (véanse las Recomendaciones 01/2020, punto 99, subrayado añadido). Por lo que se refiere a las medidas organizativas, el CEPD destacó que: “… Seleccionar y aplicar una o varias de estas medidas no garantizará necesaria y sistemáticamente que su transferencia cumple la norma de equivalencia esencial que exige el Derecho de la Unión. En función de las circunstancias específicas de la transferencia y de la evaluación realizada sobre el Derecho del tercer país, se necesitarán medidas organizativas para complementar las medidas contractuales o técnicas, a fin de garantizar un nivel de protección de los datos personales esencialmente equivalente al garantizado en la Unión" (véanse las Recomendaciones 01/2020, punto 128, subrayado añadido). Por lo que se refiere a las medidas técnicas, el CEPD señaló que «…Estas medidas serán especialmente necesarias cuando la legislación de dicho país imponga a los importadores de datos obligaciones que sean contrarias a las garantías del artículo 46 del RGPD y puedan, en particular, afectar a la garantía contractual de un nivel de protección esencialmente equivalente contra el acceso de las autoridades públicas de ese tercer país a dichos datos» (véanse las Recomendaciones 01/2020, punto 77). Añadió que "Las medidas enumeradas a continuación tienen por objeto garantizar que el acceso de las autoridades públicas de terceros países a los datos transferidos no afecte a la eficacia de las garantías apropiadas contenidas en los instrumentos de transferencia del artículo 46 del RGPD. Estas medidas se aplican incluso si el acceso de las autoridades públicas se ajusta al Derecho del país del importador, cuando dicho acceso vaya más allá de lo necesario y proporcionado en una sociedad democrática. Estas medidas tienen por objeto evitar la posible vulneración del acceso impidiendo a las autoridades identificar a los interesados, inferir información sobre ellos, individualizarlos en otro contexto o asociar los datos transferidos con otros conjuntos de datos que puedan poseer y que puedan contener, entre otros datos, identificadores en línea proporcionados por los dispositivos, aplicaciones, herramientas y protocolos utilizados por los interesados en otros contextos." (véanse las Recomendaciones 01/2020, punto 79, subrayado añadido).  Medidas complementarias implementadas por Google LLC Google LLC, como receptor de datos de los usuarios de sus servicios de Google Analytics, adoptó medidas contractuales, organizativas y técnicas para complementar las SCC. En el documento de fecha 9 de abril de 2021 enviado por Google LLC a la autoridad austríaca de protección de datos, la cual ésta compartió con el resto de las autoridades en el marco del Grupo de trabajo TF101, Google LLC describió las medidas adoptadas en detalle. Teniendo en cuenta las consideraciones del TJUE y del CEPD, ahora debe verificarse si las medidas complementarias adoptadas por Google LLC eran eficaces, lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/35 significa que abordan la cuestión específica de las posibilidades de acceso de los servicios de inteligencia estadounidenses. Por lo que se refiere a las “medidas jurídicas y organizativas” adoptadas, cabe señalar que ni la notificación de los usuarios, incluso en caso de que dicha notificación sea admisible, ni la publicación de un informe de transparencia o una «política pública sobre el tratamiento de las solicitudes gubernamentales» de hecho impiden o reducen las posibilidades de acceso de los servicios de inteligencia estadounidenses. Además, no está claro cómo la «revisión cuidadosa de cada solicitud» de Google LLC sobre su admisibilidad es efectiva como medida complementaria, teniendo en cuenta que, según el TJUE, las solicitudes (legales) admisibles de los servicios de inteligencia estadounidenses no están en consonancia con los requisitos de la normativa europea de Protección de Datos. Con respecto a las “medidas técnicas” adoptadas, cabe señalar que no se ha aclarado, cómo las medidas descritas, tales como la protección de las comunicaciones entre los servicios de Google, la protección de datos en tránsito entre centros de datos, la protección de las comunicaciones entre usuarios y sitios web, o la «seguridad en el sitio», de hecho, impiden o reducen las posibilidades de acceso de los servicios de inteligencia estadounidenses sobre la base del marco jurídico de los Estados Unidos. Por lo que se refiere a las tecnologías de cifrado, como en el caso de los «datos en reposo» en los centros de datos, como lo menciona específicamente Google LLC como medida técnica, hay que señalar que Google LLC, como importador de datos, tiene la obligación de conceder acceso o entregar datos personales importados en su poder, incluidas las claves criptográficas necesarias para que los datos sean inteligibles (véanse las Recomendaciones 01/2020, punto 81). En otras palabras: mientras Google LLC tenga la posibilidad de acceder a los datos de las personas físicas en un texto claro, dicha medida técnica no puede considerarse efectiva en el presente caso. En cuanto Google LLC señala que «en la medida en que los datos de Google Analytics para la medición transferidos por los propietarios de sitios web sean datos personales, habría que considerarlos como seudónimos», debe tenerse en cuenta que los identificadores únicos universales (UUID) no entran en la definición del artículo 4.5 del RGPD. Si bien la seudonimización puede ser una técnica de mejora de la privacidad, los identificadores únicos tienen, como ya se describió anteriormente, la intención específica de seleccionar a los usuarios, no de actuar como salvaguarda. Aparte de esto, también se ha descrito anteriormente por qué la combinación de identificadores únicos con otros elementos (como los datos del navegador o del dispositivo y la dirección IP) y la posibilidad de vincular dicha información a una cuenta de Google en cualquier caso hacen que una persona pueda identificarse. En la medida en que Google LLC se refiere a una «medida técnica opcional» por medio de una función de anonimización IP, debe tenerse en cuenta, en primer lugar, que dicha medida es, como su nombre indica, opcional y no aplicable a todas las transferencias. Además, de la respuesta de Google no se desprende si esta anonimización tiene lugar antes de la transferencia o si la dirección IP completa se transmite a los Estados Unidos y solo se acorta después de esta transferencia a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/35 Estados Unidos. Por lo tanto, desde un punto de vista técnico, existe un acceso potencial a toda la dirección IP completa antes de acortarla. Por lo tanto, las medidas complementarias adoptadas, tal como las presentó Google, no son eficaces en la medida en que ninguna de ellas aborda las cuestiones específicas en el presente caso, lo que significa que ninguna de ellas impide las posibilidades de acceso de los servicios de inteligencia estadounidenses ni hace que estos accesos sean ineficaces.  Las excepciones previstas en el capítulo V del Reglamento El artículo 49, “Excepciones para situaciones específicas”, del RGPD establece: "1. En ausencia de una decisión de adecuación de conformidad con el artículo 45, apartado 3, o de garantías adecuadas de conformidad con el artículo 46, incluidas las normas corporativas vinculantes, una transferencia o un conjunto de transferencias de datos personales a un tercer país u organización internacional únicamente se realizará si se cumple alguna de las condiciones siguientes:
29. a)el interesado haya dado explícitamente su consentimiento a la transferencia propuesta, tras haber sido informado de los posibles riesgos para él de dichas transferencias debido a la ausencia de una decisión de adecuación y de garantías adecuadas;
30. b)la transferencia sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud del interesado; (…)” El Comité Europeo de Protección de Datos (CEPD), en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos, según le atribuye el artículo 70 del RGPD, dictó las Directrices 2/2018 sobre las excepciones contempladas en el artículo 49 del Reglamento 2016/679. En cuanto a la interpretación del supuesto
31. a)del artículo 49 del RGPD (apartado 2.1 de las Directrices 2/2018), el CEPD señala que el consentimiento debe ser específico e informado acerca de los posibles riesgos, estableciendo lo siguiente: “esta disposición obliga a los interesados a ser también informados de los riesgos específicos derivados del hecho de que sus datos se transferirán a un país que no ofrece un nivel adecuado de protección y de que no se prevén garantías adecuadas para la protección de los datos.” En el presente caso, el consentimiento de los usuarios para el almacenamiento de consentido explícitamente la transferencia internacional de datos, tal y como exige el artículo 49.1.
32. a)del RGPD; este consentimiento tiene que obtenerse de forma específica y, para que fuese válido, MAPFRE debió informar previamente a los interesados de los riesgos que suponían las transferencias de datos a EE. UU., ante la ausencia de una decisión de adecuación y de garantías adecuadas en el sentido del artículo 49, apartado 1 del Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/35 Respecto a la posible existencia de una relación contractual, no se aprecia la concurrencia de este supuesto, teniendo en cuenta que el Considerando 111 del RGPD exige que la transferencia internacional de datos basadas en el consentimiento explícito debe de ser “ocasional y necesaria en relación con un contrato”, mientras que en este caso las transferencias se producen de forma continua y sistemática y no se justifica su necesidad.  Marco jurídico actual Con fecha 10 de julio de 2023 se aprobó por la Comisión la Decisión de Ejecución (UE) 2023/1795 relativa a la adecuación del nivel de protección de los datos personales en el Marco de Privacidad de Datos UE-EE. UU. con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, por lo que las transferencias internacionales que se realicen con posterioridad a la misma pueden quedar amparadas por la citada Decisión. En la web https://www.dataprivacyframework.gov/s/ puede comprobarse que Google LLC ha certificado su adhesión a los principios del Marco de Privacidad de Datos hasta el 13 de septiembre de 2024, debido a la necesidad de renovar anualmente dicha certificación. Por lo tanto, en la actualidad, las transferencias internacionales de datos a Google LLC en los EE. UU. están amparadas por el Marco de Privacidad de Datos UE. EE. UU. Sin embargo, debe concluirse que, en la fecha en la que ocurrieron los hechos objeto de la reclamación, MAPFRE no puede invocar ninguna de las herramientas previstas en el Capítulo V del RGPD para justificar las transferencias internacionales de datos personales de los visitantes a su sitio web, en particular identificadores únicos, direcciones IP, datos del navegador y metadatos, a Google LLC en los Estados Unidos, siendo de plena aplicación la doctrina establecida por el Tribunal de Justicia de la Unión Europea en la sentencia del caso Schrems II, por la que se invalidó la decisión sobre el "EU-US Privacy Shield". En consecuencia, de conformidad con las evidencias de las que se dispone en esta resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a MAPFRE, por vulneración del artículo 44, “Principio general de las transferencias”, del RGPD, que señala que solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del RGPD, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional. V Tipificación y calificación de la infracción del artículo 44 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/35 La vulneración del artículo 44 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
33. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
34. l)La transferencia internacional de datos personales a un destinatario que se encuentre en un tercer país o a una organización internacional, cuando no concurran las garantías, requisitos o excepciones establecidos en los artículos 44 a 49 del Reglamento (UE) 2016/679. (…)” VI Apercibimiento El artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/35 Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” De conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento, el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, por la infracción cometida al vulnerar lo establecido en el artículo 44 del RGPD, procede dirigir un apercibimiento a MAPFRE. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., con NIF A28141935, por una infracción del Artículo 44 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
35. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es