PA-00060-2023

1/30  Expediente N.º: EXP202315693 (PA/00060/2023) RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 18 de febrero de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AXA SEGUROS GENERALES S.A. DE SEGUROS Y REASEGUROS con NIF A60917978 (en adelante, AXA SEGUROS). Los motivos en que basa la reclamación son los siguientes: Reclamación contra DIRECT SEGUROS en relación con la utilización de cookies en su sitio web. La parte reclamante sostiene que se cargan cookies "antes de poder gestionarlas, sin realizar acción alguna" y que, en relación con la utilización de Google Analitycs, se estarían produciendo transferencias internacionales a EE. UU. Junto a la reclamación se aporta: -Impresión de la web https://www.directseguros.es/ -Impresión del navegador Chrome – Configuración- Seguridad y Privacidad. Con fecha 18 de marzo de 2022, se incorporaron al expediente las siguientes evidencias recogidas por esta Agencia: - Política de cookies de www.directseguros.es, en la que se recogen como cookies estadísticas las siguientes cookies de Google Analytics: _ga, _gid. Realizando una prueba de cookies instaladas tras aceptar, se comprobó la instalación de las mencionadas cookies de Google Analytics. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/30 Públicas (en adelante, LPACAP), fue recogido en fecha 05/05/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 02/06/2022 se recibe en esta Agencia escrito de respuesta indicando que: “1. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. PRIMERA. – Que AXA cuenta, en su sitio web directseguros.es, con un gestor de directo y permanente a la Política de Cookies en un apartado dispuesto al efecto en la parte inferior de la web. Que, tras realizar pruebas expresas para responder a esta solicitud, no se comprueba que existan incidencias del funcionamiento del gestor de SEGUNDA. - Que no se aportan evidencias en la reclamación que acrediten la incidencia que se describe y que tras revisar el sitio web se comprueba que el funcionamiento cumple con las obligaciones legales en vigor en materia de cookies. Por otra parte, AXA cuenta con pruebas suficientes que acreditan que se cumple con todos los requisitos para la instalación de cookies de la normativa vigente, como constan en el presente escrito. (Se aporta como Documento 1 Capturas de la Pantalla del Banner de aceptación de cookies de Direct Seguros). 2. Informe, si procede, sobre las medidas adoptadas para adecuar su “Política de Privacidad” al artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD), fechas de implantación y controles efectuados para comprobar su eficacia. TERCERA. - Que AXA, en la parte inferior de su sitio web, dispone de la Política de Privacidad, accesible en cualquier momento, para los usuarios de la web. Que en la Política de Privacidad de Direct Seguros, se incluyen todos los tratamientos de datos que se realizan según la tipología de interesado ante el que se encuentre y de conformidad con los apartados del artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD). La Política de Privacidad del sitio web de direct seguros, puede consultarse en la siguiente dirección: https://www.directseguros.es/privacidad.html 3. Informe, si procede, sobre las medidas adoptadas para adecuar la utilización de de la sociedad de la información y de comercio electrónico (LSSI), en particular en lo relativo a la información facilitada a los usuarios sobre la utilización de cookies y los fines del tratamiento de los datos, así como la forma de recabar, rechazar o retirar el consentimiento para su uso. Se pide además indicación de fechas de implantación y controles efectuados para comprobar su eficacia. CUARTA. – Que AXA tiene implementado en la web de Direct Seguros, el gestor de permitiendo a los usuarios visitantes seleccionar y aceptar las cookies no técnicas (estadísticas, de marketing y de preferencias) antes de su instalación, recabando el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/30 consentimiento del usuario de la web para cada una de las tipologías de cookies que necesitan consentimiento, y dando la posibilidad de modificar o revocar el consentimiento prestado previamente en cualquier momento, desde el apartado claramente identificado en la Política de Cookies de AXA. QUINTA. - Que, en dicho gestor de cookies, así como en la Política de Cookies en cumplimiento de la normativa vigente se proporciona información para cada una de las se instala dicha cookie, el tipo y su duración. Asimismo, se indica que al pulsar "Guardar selección" se guardarán las cookies que el usuario haya seleccionado previamente. Si no selecciona ninguna opción, pulsar ese botón equivale a rechazar todas las cookies. En definitiva, este gestor de cookies, cumple con las obligaciones establecidas por la normativa en vigor aplicable, de forma que no se instalan cookies no técnicas, sin que el propio usuario haya prestado el consentimiento de manera previa. (Se aporta como Documento 2 Captura de pantalla del Banner de cookies y cookies técnicas instaladas.) SEXTA. – Que, en el apartado 3º de la Política de Cookies se describe la forma de revocar el consentimiento o eliminar las cookies. Asimismo, en el apartado 5º de dicha Política de Cookies, AXA proporciona acceso directo para cambiar o retirar el consentimiento que previamente ha prestado el usuario. La Política de Cookies del sitio web de direct seguros, puede consultarse en la siguiente dirección: https://www.directseguros.es/cookies.html (Se aporta como Documento 3 Captura de Pantalla del apartado de la Política de SÉPTIMA. - Que se ha comprobado por AXA que las cookies instaladas previamente a recabar el consentimiento, se tratan de cookies técnicas necesarias para el funcionamiento del sitio web y del gestor de cookies. No consta que se instalen gestor de cookies. OCTAVA. - Que AXA, como sistema de control interno, cuenta con un Comité interno de gobierno de cookies formado por las distintas áreas implicadas en la gestión e instalación y análisis de cookies por AXA y por el equipo del Delegado de Protección de Datos de la Compañía. Que este Comité se reúne periódicamente para revisar el inventario actual de cookies, la necesidad de incluir o eliminar alguna de las existentes, así como analizar aquellas de la herramienta. Por lo anterior el inventario de cookies usadas en la web se actualiza regularmente según las necesidades de negocio y lo acordado en el Comité Interno en cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/30 momento. Esto implica que dicho inventario puede variar desde la fecha en que AXA remita la presente contestación a este Organismo. 4. La decisión adoptada a propósito de esta reclamación. NOVENA. - Que, a raíz de la presente reclamación, AXA ha procedido a revisar y realizar pruebas de control, dentro del proceso de control interno de AXA en materia de cookies, el cual ha permitido confirmar que no existe incidencia en el gestor de consentimiento en la web https://www.directseguros.es/, obteniendo como resultado la certeza del correcto funcionamiento de la herramienta de gestor de cookies.” TERCERO: Con fecha 19 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 28 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 44 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 29 de mayo de 2024 como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 30 de mayo de 2024, AXA SEGUROS presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones. SÉPTIMO: Con fecha 7 de junio de 2024, el órgano instructor del procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notificó a AXA SEGUROS en fecha 7 de junio de 2024, como consta en el acuse de recibo que obra en el expediente. OCTAVO: En fecha 19 de junio de 2024 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: - AXA SEGUROS ha seguido las indicaciones realizadas por el CEPD en las Recomendaciones 01/2020, tomando como referencia para ello la versión en formato borrador que se publicó antes de su aprobación definitiva el día 18 de junio de 2021, con el fin de asegurar que las posibles transferencias internacionales de datos cumplieran con las garantías exigidas por la autoridad europea en el menor plazo posible, llegando incluso a adoptarlas antes de que las mismas fueran aprobadas de forma definitiva en junio de 2021. Además, enumera una serie de medidas complementarias tales como la gestión de las IPs, la funcionalidad User ID y datos de carácter personal recogidos a través de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/30 implementación (quote_id), a fin de tratar de garantizar un nivel de protección equivalente al establecido en el RGPD para aquellos datos transferidos a los EE. UU. - Desde la fecha objeto de la presente reclamación, hasta el presente requerimiento, no consta que se haya dado ninguna petición de revelación de información por parte de entidades públicas estadounidenses, que suponga una transferencia internacional de datos hacia este país A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 18 de marzo de 2022, con motivo del análisis de la reclamación presentada por la parte reclamante contra AXA SEGUROS, se constata por esta Agencia que la Política de cookies de www.directseguros.es, en la que se recogen como cookies estadísticas las siguientes cookies de Google Analytics: _ga, _gid. (página 22 del expediente). El propósito de estas cookies según la Política de cookies de AXA SEGUROS es el siguiente: “- _ga: Registra una identificación única que se utiliza para generar datos estadísticos acerca de cómo utiliza el visitante el sitio web. - _gid: Registra una identificación única que se utiliza para generar datos estadísticos acerca de cómo utiliza el visitante el sitio web.” (el subrayado es nuestro) En esa misma fecha, se realiza la siguiente actuación: aceptación de las cookies de la web www.directseguros.es a través del navegador Chrome. En la imagen incorporada al expediente se comprueba que se han instalado las cookies _ga, _gid (página 29 del expediente). SEGUNDO: Con fecha 19 de junio de 2024, en las alegaciones al acuerdo de inicio del presente procedimiento, AXA SEGUROS reconoce que ha introducido el código de la herramienta Google Analytics en su sitio web: “…A continuación, se identifican las medidas complementarias que fueron implantadas por parte de AXA, en relación con los servicios de Google Analytics respecto de la web www.directseguros.es, sobre los que obra el presente expediente sancionador”. TERCERO: Con fecha 2 de septiembre de 2020, el plenario del Comité Europeo de Protección de Datos decidió crear un grupo de trabajo (en adelante, grupo de trabajo TF101) para asegurar una aproximación coherente entre las autoridades de datos europeas, respecto a la gestión de las 101 reclamaciones de NOYB relativas al uso de Google Analytics y las posibles transferencias de datos a los EE. UU., en el contexto de la sentencia del TJUE Schrems II. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/30 CUARTO: En el documento de fecha 9 de abril de 2021. remitido por GOOGLE LLC a la autoridad austríaca de protección de datos, la cual lo comparte con el resto de las autoridades a través del grupo de trabajo TF101 reclamaciones de NOYB en el contexto de la sentencia del TJUE Schrems II, consta la siguiente información y manifestaciones (de su traducción no oficial del inglés): 1. (…): a. (…): i. (…). (...). ii. (…). iii. (…). 2. (…): (…) (…) (…). 3. (…). 4. (…): a. (…). b. (…). 5. (…). 6. (…). 7. (…). 8. (…). 9. (…): a. (…) b. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/30 c. d. (…). (…). 10. (…): a. (…). i. (…). ii. (…). b. (…). c. (…). d. (…). 11. (…): a. (…). b. (…). c. (…) QUINTO: En el modelo de Contrato de adhesión a los servicios de GOOGLE (página 145 y siguientes del expediente), con el título “Términos del Tratamiento de Datos de Google Ads” (https://privacy.google.com/businesses/processorterms/), en su versión de 21 de septiembre de 2022, constaba que (traducción no oficial): “Términos del Tratamiento de Datos de Google Ads Google y la contraparte que acepta las presentes Condiciones (el “Cliente”), han celebrado un contrato para la prestación de los Servicios del encargado del tratamiento (con sus enmiendas puntuales, el “Contrato”) Las presentes Condiciones del tratamiento de datos de los anuncios de Google, (las “Condiciones del tratamiento de datos”) se suscriben por Google y el Cliente y complementan al Contrato. […] Si usted acepta estos Términos del Tratamiento de Datos en nombre del Cliente, usted garantiza que

1. a)tiene plena autoridad legal para que estos Términos del Tratamiento de Datos sean vinculantes para el Cliente,
2. b)ha leído y comprende estos Términos del Tratamiento de Datos y
3. c)los acepta en nombre del Cliente. Si no tiene la autoridad legal para que estos Términos del Tratamiento de Datos sean vinculantes para el Cliente, no los acepte. Introducción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/30 Estos Términos del Tratamiento de Datos reflejan el acuerdo entre las partes con respecto a los términos que rigen el tratamiento de determinados datos en relación con la Legislación Europea de Protección de Datos y cierta Legislación No Europea de Protección de Datos. Definiciones e interpretación […] “Entidad de Google” hace referencia a Google LLC (anteriormente conocida como Google Inc.), Google Ireland Limited o cualquier otra entidad que, directa o indirectamente, controle a Google LLC, esté controlada por Google LLC o esté sujeta al mismo control que Google LLC. “Google”: hace referencia a la Entidad de Google que sea parte del Contrato. “Legislación Europea de Protección de Datos” hace referencia, según corresponda,
4. a)al RGPD y/o
5. b)a la FDPA de Suiza. […] “SCCs” hace referencia a las Cláusulas Contractuales Tipo del Cliente y/o las Cláusulas Contractuales Tipo (Encargado del Tratamiento de la UE al Encargado del Tratamiento, Exportador de Google), según corresponda. […] “SCCs (Encargado del Tratamiento al Encargado del Tratamiento, Exportador de Google)” hace referencia a los términos incluidos en business.safety.google/adsprocesso.erms/sccs/p2p-intra-group. […] “ Subencargados del Tratamiento” hace referencia a terceros autorizados en virtud de estos Términos del Tratamiento de Datos para tener acceso lógico a los Datos Personales del Cliente y tratarlos con la finalidad de prestar parte de los Servicios del Encargado del Tratamiento y cualquier asistencia técnica relacionada. […] 5. Tratamiento de datos 5.1 Roles y cumplimiento normativo; autorización. 5.1.1 Responsabilidades del Encargado del Tratamiento de Datos y del Responsable del Tratamiento de Datos. Las partes reconocen y aceptan lo siguiente: (
6. a)El apéndice 1 describe la cuestión y los detalles del tratamiento de Datos Personales del Cliente. (
7. b)Google es un encargado del tratamiento de datos personales del Cliente; (
8. c)El Cliente es un responsable del tratamiento de datos o un encargado del tratamiento, según corresponda, de los Datos Personales del Cliente; y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/30 (
9. d)Cada parte cumplirá las obligaciones que le correspondan en virtud de la Legislación Aplicable de Protección de Datos con respecto al tratamiento de Datos Personales del Cliente. […] 5.2. Instrucciones del Cliente. Al suscribir los presentes Términos del Tratamiento de Datos, el Cliente indica a Google que trate los Datos Personales del Cliente únicamente de conformidad con la ley aplicable:
10. a)para prestar los Servicios del Encargado del Tratamiento y cualquier asistencia técnica relacionada,
11. b)tal y como se especifica más detalladamente a través del uso por parte del Cliente de los Servicios del Encargado del Tratamiento (incluidas la configuración y otras funciones de los Servicios del Encargado del Tratamiento) y cualquier asistencia técnica relacionada,
12. c)según se documenta por medio del Contrato (incluidos estos Términos del Tratamiento de Datos) y
13. d)tal y como se documenta más detalladamente en otras instrucciones proporcionadas por escrito por el Cliente y reconocidas por Google como instrucciones constitutivas para los propósitos de estos Términos del Tratamiento de Datos (en conjunto, las “Instrucciones”). 5.3 Cumplimiento de las Instrucciones por parte de Google. Google cumplirá las Instrucciones a menos que lo prohíban las Leyes Aplicables o dichas Leyes Aplicables exijan otro tratamiento. […] 10. Transferencias de datos 10.1 Almacenamiento de datos e instalaciones de tratamiento. De conformidad con esta sección 10 (Transferencias de datos), Google podrá tratar Datos Personales del Cliente en cualquier país en el que Google o cualquiera de sus Subencargados del Tratamiento tenga instalaciones. 10.2 Transferencias Europeas Restringidas. Las partes reconocen que la Legislación Europea de Protección de Datos no exige SCCs ni una Solución Alternativa de Transferencia para tratar Datos Personales del Cliente en un País Adecuado ni para transferirlos a este. Si los Datos Personales del Cliente son transferidos a cualquier otro país y a esas transferencias se les aplica la Legislación Europea de Protección de Datos (“...”), en ese caso: Si Google adopta una Solución Alternativa de Transferencia para cualquier Transferencia Europea Restringida, Google informará al Cliente de la solución relevante y se asegurará de que dichas Transferencias Europeas Restringidas se realicen de acuerdo con dicha Solución y/o Si Google no ha adoptado o ha informado al Cliente de que ya no va a adoptar ninguna Solución Alternativa de Transferencia para ninguna Transferencia Europea Restringida, en ese caso: Si la dirección de Google se encuentra en un País Adecuado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/30 Se aplicarán las SCCs del Encargado del Tratamiento al Encargado del Tratamiento, Exportador de Google) con respecto a todas las Transferencias Europeas Restringidas de Google a los Subencargados del Tratamiento y. (B) Además, si la dirección del Cliente no se encuentra en un País Adecuado, se aplicarán las SCCs (Encargado del Tratamiento al Responsable del Tratamiento de Datos) con respecto a las Transferencias Europeas Restringidas entre Google y el Cliente, independientemente de si el Cliente es un responsable y/o un encargado del tratamiento o (
14. ii)Si la dirección de Google no se encuentra en un País Adecuado, Se aplicarán las SCCs del Responsable del Tratamiento de Datos al Encargado del Tratamiento y/o las SCCs (Encargado del Tratamiento al Encargado del Tratamiento), en función de si el Cliente es un responsable del tratamiento de datos y/o un encargado del tratamiento, con respecto a las Transferencias Europeas Restringidas entre el Cliente y Google. 10.3 Medidas complementarias e información. Google proporcionará al Cliente la información pertinente sobre las Transferencias Europeas Restringidas, incluida la información sobre medidas complementarias para proteger los Datos Personales del Cliente, tal y como se describe en la sección 7.5.1 (Revisiones de la Documentación de Seguridad), en el apéndice 2 (Medidas de Seguridad) y en otros materiales relacionados con la naturaleza de los Servicios del Encargado del Tratamiento y con el tratamiento de los Datos Personales del Cliente (por ejemplo, artículos del centro de ayuda). 10.4 Resolución. Si el Cliente concluye, según el uso que hace o pretende hacer de los Servicios del Encargado del Tratamiento, que la Solución Alternativa de Transferencia y/o las SCCs, según corresponda, no proporcionan la protección adecuada para los Datos Personales del Cliente, el Cliente podrá resolver inmediatamente el Contrato por conveniencia mediante una notificación por escrito a Google. 10.5 Información de centros de datos. La información sobre las ubicaciones de los centros de datos de Google está disponible en www.google.com/about/datacenters/locations/. 11. Subencargados del tratamiento de datos. 11.1 Consentimiento de contratación de un Subencargado del Tratamiento. El Cliente autoriza específicamente la contratación como Subencargados del Tratamiento de las entidades que figuren, a partir de la Fecha de Entrada en Vigor de los Términos, en la URL especificada en la sección 11.2 (Información sobre los Subencargados del Tratamiento). Asimismo, y sin perjuicio de lo estipulado en la sección 11.4 (Oportunidad de oponerse a cambios del Subencargado del Tratamiento), el Cliente autoriza de forma general la contratación de cualquier otro tercero como Subencargado del Tratamiento (“Nuevos Subencargados del Tratamiento”). […]” (el subrayado es nuestro). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/30 SEXTO: En la descripción de Google Analytics, localizable en las urls https://developers.google.com/analytics/devguides/collection/analyticsjs/field-reference y https://developers.google.com/analytics/devguides/collection/gajs/cookie-usage constaba, entre más información, que las cookies _ga y _gid se usaban para distinguir a los usuarios y que el parámetro “sr” se refería a la resolución de pantalla (página 136 y siguientes del expediente). SÉPTIMO: Según consta en la respuesta a la pregunta 4 (
15. ii)del documento de 09 de abril de 2021 de GOOGLE LLC obrante en el expediente, el propietario del sitio web que tenga implementado en dicha web el código de Google Analytics, puede elegir entre múltiples períodos de retención que oscilan entre 2 meses y 50 meses desde el momento en que se recopilaron los datos. OCTAVO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en el expediente, a 18 de enero de 2021, en la url https://policies.google.com/terms/information-requests?hl=en-US constaba (traducción no oficial, original en inglés): “[…] Solicitudes de agencias gubernamentales de EE. UU. en casos que involucran seguridad nacional En investigaciones relacionadas con la seguridad nacional, el gobierno de los EE. UU. puede utilizar una Carta de Seguridad Nacional (NSL) o una de las autorizaciones otorgadas en virtud de la Ley de Vigilancia de Inteligencia Extranjera (FISA) para obligar a Google a proporcionar información del usuario. Una NSL no requiere autorización judicial y solo puede usarse para obligarnos a proporcionar información limitada del suscriptor. Las órdenes y autorizaciones de FISA se pueden usar para obligar a la vigilancia electrónica y la divulgación de datos almacenados, incluido el contenido de servicios como Gmail, Drive y Photos.” […]” (traducción no oficial, original en inglés) NOVENO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en el expediente, a 26 de enero de 2022, en la url https://support.google.com/analytics/answer/7686480 constaba (traducción no oficial, original en inglés): “[…] Conceptos básicos sobre la información personal identificable en los contratos y las políticas de Google. En muchos contratos, términos del servicio y políticas de los productos de publicidad y medición de Google se hace referencia a la "información personal identificable" (IPI). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/30 Se trata de una categorización de datos diferente a lo que el Reglamento General de Protección de Datos (RGPD) considera "datos personales". Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD sí lo haga o que esos datos se consideren información personal de conformidad con la Ley de Privacidad del Consumidor de California (CCPA), y pueden estar sujetos a esas leyes. […] Google considera "información personal identificable" la información que se pueda usar por sí sola para identificar o ubicar con precisión a una persona, o para ponerse en contacto con ella de forma directa. Entre otros datos, incluye lo siguiente: • Direcciones de correo electrónico • Direcciones de correo postal • Números de teléfono • Ubicaciones precisas (por ejemplo, coordenadas GPS, salvo en los casos que se mencionan más abajo) • Nombres completos (nombre y apellidos) o nombres de usuario. […] Entre otros, Google no considera información personal identificable los siguientes datos: • ID de cookie seudónimos • ID de publicidad seudónimos • Direcciones IP • Otros identificadores de usuario final seudónimos Por ejemplo, si se envía una dirección IP con una solicitud de anuncio (algo que sucede con casi todas las solicitudes de anuncios como consecuencia de los protocolos de Internet), ese envío no incumplirá ninguna prohibición relacionada con el envío de información personal identificable a Google. Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD, la CCPA u otras leyes de privacidad los consideren datos personales o información personal. […]” DÉCIMO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en el expediente, en la url https://transparencyreport.google.com/user-data/us-nationalsecurity?hl=en Google publica desde año 2009 el número de solicitudes de información sobre usuarios en los EE. UU. relativas a FISA (Foreign Intelligence Surveillance Act) y al NSL (National Security Letters). FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/30 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. II Cuestiones previas El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que AXA SEGUROS realiza la recogida y tratamiento a través del servicio Google Analytics de, entre otros, los siguientes datos personales de personas físicas: identificadores únicos de usuarios (_ga y _gid), la dirección IP, así como otros datos asociados al navegador y a la propia navegación, entre otros tratamientos. AXA SEGUROS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, el artículo 44 del RGPD regula la transferencia de datos personales a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/30 terceros países. III Contestación a las alegaciones A continuación, se procede a dar respuesta a las alegaciones presentadas por la entidad reclamada, según el orden en que aquellas son formuladas en su escrito: “PRIMERA – REGULACIÓN DE LAS TRANSFERENCIAS INTERNACIONALES DE DATOS” Según AXA SEGUROS: “En el caso específico de los servicios prestados por el proveedor objeto del presente procedimiento, la parte Reclamada siguió rigurosamente las indicaciones realizadas por el CEPD en las Recomendaciones 01/2020, tomando como referencia para ello la versión en formato borrador que se publicó antes de su aprobación definitiva el día 18 de junio de 2021, con el fin de asegurar que las posibles transferencias internacionales de datos cumplieran con las garantías exigidas por la autoridad europea en el menor plazo posible, llegando incluso a adoptarlas antes de que las mismas fueran aprobadas de forma definitiva en junio de 2021.” Respecto a la normativa en vigor en el momento de las transferencias: “AXA realizó un análisis detallado sobre la legislación local de EE.UU., con objeto de evaluar si el proveedor objeto del presente procedimiento, como proveedor ubicado en EE.UU., tendría la capacidad de cumplir con las obligaciones contractuales suscritas con AXA respecto al tratamiento de datos del presente procedimiento, o si hubiera alguna limitación derivada de su normativa nacional. En este sentido, se dispone que el proveedor podría cumplir con las medidas dispuestas y alcanzar un nivel de protección adecuado, considerándose la posibilidad de que se produjese un acceso por las autoridades públicas de EE.UU. como residual y no suficiente para entender que no se cumplirían las garantías contractualmente asumidas.” A continuación, AXA SEGUROS enumera una serie de medidas complementarias tales como la gestión de las IPs, la funcionalidad User ID y datos de carácter personal recogidos a través de la implementación (quote_id), a fin de tratar de garantizar un nivel de protección equivalente al establecido en el RGPD para aquellos datos transferidos a los EE. UU. En respuesta a estos argumentos, en primer lugar, acerca de las medidas adoptadas en virtud de las Recomendaciones 01/2020, sobre medidas que complementan los instrumentos de transferencia para garantizar el cumplimiento del nivel de protección de los datos personales de la UE, no pueden habilitar a las cláusulas contractuales tipo como medio adecuado para la realización de transferencia internacionales de datos a los EE. UU. ya que el TJUE declaró en el asunto C-311/18 ("Schrems II"), que su utilización no podía por sí sola garantizar un nivel de protección, tal como exige el artículo 44 del RGPD, al no poder evitar las posibilidades de acceso de los servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/30 de inteligencia estadounidenses a los datos transferidos. Debido a que la naturaleza contractual de estas cláusulas se derivaba que no podían ser vinculantes para las autoridades de terceros países. En particular, el TJUE declaró que: “...Por lo tanto, si bien existen situaciones en las que, en función de la legislación y las prácticas vigentes en el tercer país de que se trate, el destinatario de dicha transferencia está en condiciones de garantizar la protección necesaria de los datos únicamente sobre la base de cláusulas contractuales tipo de protección de datos, existen otras en las que el contenido de dichas cláusulas tipo podría no constituir un medio suficiente para garantizar, en la práctica, la protección efectiva de los datos personales transferidos al tercer país de que se trate. Este es el caso, en particular, cuando la legislación de ese tercer país permite a sus autoridades públicas interferir con los derechos de los interesados a los que se refieren dichos datos" (C-311/18, punto 126, subrayado añadido). Por lo tanto, en cuanto a las medidas complementarias adoptadas por AXA SEGUROS, lo cierto es que este tipo de medidas técnicas de hecho, no impedían o reducían las posibilidades de acceso de los servicios de inteligencia estadounidenses sobre la base del marco jurídico de los Estados Unidos. Además, cabe realizar los siguientes comentarios respecto las medidas enunciadas: “▪ Gestión de IPs:” Esta opción de configuración en la gestión de las IPs no impide su recogida, lo cual por sí mismo constituye el tratamiento de datos personales de los interesados, independientemente de su anonimización posterior. A modo de ejemplo, en Google Analytics 4, según la “Privacidad y Datos en la UE” de Google (https://support.google.com/analytics/answer/12017362?hl=es&ref_topic=2919631), “…los datos de direcciones IP se usan únicamente para obtener los datos de geolocalización y se descartan de inmediato”, por lo que sí se utiliza información que pueda proporcionar la IP antes de la anonimización. El hecho de recoger la IP por sí mismo supone una operación de tratamiento. “▪ User ID: identificador único de usuario. “ Si bien el uso de la funcionalidad User ID puede aumentar las posibilidades de identificación de los usuarios mediante al poder asociar sus propios identificadores con usuarios individuales para que pueda conectar su comportamiento en diferentes sesiones y en varios dispositivos y plataformas; la falta de uso de dicha funcionalidad no impide hacer identificables a los usuarios de la web www.directseguros.es, mediante la combinación de identificadores únicos con otros elementos, tal y como se razona en el punto 2 del Fundamento de Derecho IV de esta resolución. De este modo, otros datos como IP o la información almacenada en las cookies, pueden utilizarse comúnmente para identificar a un usuario, especialmente cuando se combinan con otros tipos de información similares. Esto se ilustra en el considerando 30 del RGPD, según el cual la asignación de identificadores en línea como direcciones IP identificadores de cookies a personas físicas o sus dispositivos puede «dejar rastros que, en particular cuando se combinan con identificadores únicos y otra información recibida por los servidores, pueden utilizarse para crear perfiles de las personas físicas e identificarlos». C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/30 A modo de ejemplo, recordemos las funciones que, según se describen en los Hechos Probados, se les atribuyen a las cookies _ga y _gid. La cookie _ga registra una identificación única que se utiliza para generar datos estadísticos acerca de cómo utiliza el visitante el sitio web, y la cookie _gid registra una identificación única que se utiliza para generar datos estadísticos acerca de cómo utiliza el visitante el sitio web. “▪ Datos de carácter personal recogidos a través de la implementación (quote_id): datos personales recogidos para finalidad analítica:” El cifrado de los números de presupuestos generados en todas las tarificaciones de seguros realizados en www.directseguros.es, puede ser una técnica de mejora de la privacidad, pero, como ya se dijo anteriormente, no impide las posibilidades de acceso de los servicios de inteligencia estadounidenses ni hace que estos accesos sean ineficaces. Si bien la seudonimización puede ser una técnica de mejora de la privacidad, los identificadores únicos tienen, como ya se describió anteriormente, la intención específica de seleccionar a los usuarios, no de actuar como salvaguarda. Aparte de esto, también se ha descrito anteriormente por qué la combinación de identificadores únicos con otros elementos (como los datos del navegador o del dispositivo y la dirección IP) y la posibilidad de vincular dicha información a una cuenta de Google en cualquier caso hacen que una persona pueda identificarse Por todo ello, se desestima la presente alegación. “SEGUNDA. – SOBRE LA DE TRANSFERENCIA INTERNACIONAL” En esta alegación, AXA SEGUROS sostiene que “desde la fecha objeto de la presente reclamación, hasta el presente requerimiento, no consta que se haya dado ninguna petición de revelación de información por parte de entidades públicas estadounidenses, que suponga una transferencia internacional de datos hacia este país”. Como respuesta a esta afirmación, debe señalarse de que no siempre las Google puede notificar a sus usuarios la petición de información. En la web de Google en la que se informa acerca de “Cómo gestiona Google las solicitudes gubernamentales de información sobre usuarios” se dice que: “No enviamos ninguna notificación al usuario en los casos en que está prohibido por ley según los términos de la solicitud. Sin embargo, dicha notificación se envía una vez que se levanta la prohibición legal correspondiente, como cuando ha vencido un auto de reserva establecido por resolución judicial o por ley”. Además, el hecho de que, según afirma AXA SEGUROS, no se hayan producido acceso a los datos recopilados en la web de www.directseguros.es, es decir, que no se haya materializado el riesgo sobre un acceso a los datos transferidos sin las garantías establecidas en el RGPD, no evita que la transferencia internacional de datos haya sido contraria al RGPD. De la lectura de los datos de las estadísticas de acceso que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/30 se refieren en el Hecho Probado Noveno, puede comprobarse que el acceso por las agencias de inteligencia estadounidenses a los datos personales recopilados por Google se trataba de un riesgo real. Por todo lo expuesto, se desestima la presente alegación IV Transferencias de datos personales a terceros países El artículo 44 “Transferencias de datos personales a terceros países u organizaciones internacionales” del RGPD establece: “Solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del presente Reglamento, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional. Todas las disposiciones del presente capítulo se aplicarán a fin de asegurar que el nivel de protección de las personas físicas garantizado por el presente Reglamento no se vea menoscabado”. El capítulo V del Reglamento prevé diversos instrumentos para garantizar un nivel de protección sustancialmente equivalente al garantizado en la Unión Europea, de conformidad con el artículo 44 del Reglamento: - decisiones de adecuación (artículo 45); - garantías adecuadas (artículo 46); A falta de un nivel de protección equivalente, establece excepciones para situaciones específicas (artículo 49). 1. Sobre el tratamiento de datos y la responsabilidad del tratamiento. En el documento de fecha 9 de abril de 2021 enviado por Google LLC a la autoridad austríaca de protección de datos, el cual ésta compartió con el resto de las autoridades en el marco del grupo de trabajo TF101, se indica que Google Analytics funciona incluyendo un bloque de código Javascript en las páginas de un sitio web. Cuando un usuario visita una página web, este código Javascript hace referencia a un código Javascript que se ha descargado previamente al dispositivo del usuario, el cual ejecuta entonces la operación de ‘tracking’ para Google Analytics. La operación de ‘tracking’ envía datos acerca de la página solicitada a través de varios medios y envía esta información al servidor de Analytics por medio de una serie de parámetros anexados a una petición de una imagen GIF de un solo pixel enviados al dominio google-analytics.com. Los datos entonces se procesan más extensamente y terminan en los reportes del propietario de la web, en este caso AXA SEGUROS. Los datos que Google Analytics recolecta en beneficio del propietario de la web viene de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/30 siguientes fuentes: i. La petición HTTP del usuario. Una petición HTTP contiene detalles como el navegador y el ordenador que hace la petición, como el hostname, el tipo navegador, ‘referer’, e idioma. ii. Información del navegador y del sistema. iii. Los administradores de sitios web que integran el servicio de Google Analytics pueden enviar instrucciones a Google para el procesamiento de los datos recopilados a través de Google Analytics. El administrador del sitio web puede aplicar diferentes configuraciones, por ejemplo, con respecto al período de retención de datos. La función Google Analytics también permite a los administradores de sitios web monitorear y mantener la estabilidad de su sitio web, por ejemplo, manteniéndolos informados de ciertos eventos como un pico en la audiencia o el hecho de que no hay tráfico en absoluto. Google Analytics también permite a los administradores de sitios web medir y optimizar la efectividad de las campañas publicitarias realizadas utilizando otras herramientas de Google. Por lo tanto, Google Analytics recopila la consulta http del usuario y la información sobre el navegador y el sistema operativo del usuario, entre otros elementos. Una solicitud http, para cualquier página, contiene detalles del navegador y del dispositivo que realiza la consulta, como el nombre de dominio y la información del navegador, su tipo, referencia e idioma. Google Analytics almacena y lee cookies en el navegador del usuario para evaluar la sesión del usuario y otra información sobre la consulta. Por lo que se refiere a estas transferencias de datos, el contrato relativo a la función Google Analytics (“Condiciones del Servicio de Google Analytics”) incorpora un apéndice titulado “Términos del Tratamiento de Datos de Google Ads” (en versiones anteriores con el nombre de “Condiciones del Tratamiento de Datos de Google Ads”). Este apéndice contiene cláusulas contractuales tipo que rigen la transferencia de datos personales a los Estados Unidos de América bajo el servicio Google Analytics. Además, Google ha implementado medidas legales, organizativas y técnicas adicionales para regular las transferencias de datos bajo el servicio Google Analytics. De conformidad con el punto 10 de los “Términos del Tratamiento de Datos de Google Ads”, el responsable del tratamiento ha acordado que Google pueda almacenar y tratar datos personales del cliente (en el presente caso, datos personales de la parte reclamante) en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones. Cuando se recopila esta información, se transmite a los servidores de Google Analytics. Volviendo al documento enviado por Google LLC con fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8, Google manifiesta que todos los datos recopilados a través de Google Analytics están alojados en los Estados Unidos. Por lo tanto, los datos recopilados en el sitio web «https://www.directseguros.es/» a través de Google Analytics se transfieren a los Estados Unidos. Dicha transmisión de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/30 requiere una base jurídica de conformidad con el artículo 44 y siguientes del RGPD. Todos estos elementos muestran que, al decidir implementar la función de Google Analytics en su sitio web, AXA SEGUROS, que gestiona el sitio web «https://www.directseguros.es/», determinó los medios y fines de la recopilación y el tratamiento de los datos obtenidos a raíz de la integración de Google Analytics en su sitio web y debe considerarse el responsable del tratamiento en el sentido del artículo 4.7 del RGPD. 2.- Sobre la calificación de los datos objeto de tratamiento como datos personales Puede afirmarse que los datos recopilados con arreglo a la función Google Analytics y transferidos a los Estados Unidos de América constituyen datos personales. El artículo 4.1 del RGPD define los datos personales como «toda información relativa a una persona física identificada o identificable («el interesado»); una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador, como un nombre, un número de identificación, datos de ubicación, un identificador en línea o uno o varios factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física.». Cabe señalar que los identificadores en línea, como las direcciones IP o la información almacenada en las cookies, pueden utilizarse comúnmente para identificar a un usuario, especialmente cuando se combinan con otros tipos de información similares. Esto se ilustra en el considerando 30 del RGPD, según el cual la asignación de identificadores en línea como direcciones IP, identificadores de cookies a personas físicas o sus dispositivos pueden «dejar rastros que, en particular cuando se combinan con identificadores únicos y otra información recibida por los servidores, pueden utilizarse para crear perfiles de las personas físicas e identificarlos». En el caso particular en el que el responsable del tratamiento alegara no tener la capacidad de identificar al usuario mediante el uso (solo o combinado con otros puntos de datos) de dichos identificadores, se esperaría que revelara los medios específicos desplegados para garantizar el anonimato de los identificadores recopilados. Sin tales detalles, no pueden considerarse anónimos. Por lo tanto, es necesario examinar en qué medida la implementación de Google Analytics en un sitio web permite al administrador del sitio web y a Google hacer que un interesado (un visitante del sitio web en cuestión) pueda ser identificado. Cuando la parte reclamante visitó el sitio web https://www.directseguros.es/, los siguientes datos (a través del código JavaScript) fueron transmitidos desde el navegador de la parte reclamante a los servidores de Google LLC:      URL de la página web visitada (parámetro
16. dl)y título de la página web visitada (parámetro
17. dt)IP sr (resolución de pantalla), entre otros parámetros. Datos sobre el navegador y sistema operativo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/30  Identificador único que identifica al operador del sitio web Cabe señalar que el TJUE ya ha declarado que las direcciones IP son datos personales (véase el asunto C-597-19, punto 102 y C-582/14, punto 49). La dirección IP no pierde su naturaleza de datos personales simplemente porque los medios de identificación residen en terceras entidades. Además, el caso en cuestión es muy diferente, ya que la dirección IP puede combinarse con otros elementos, como se describirá a continuación. En lo que respecta a los identificadores únicos, cuando un usuario visita el sitio web https://www.directseguros.es/, en su política de cookies se reconoce el uso de Google Analyctics, lo que conlleva el envío de los valores de las cookies «_ga» y «_gid» a Google LLC, tal y como se recoge en la referencia de las cookies de Google Analytics (página 134 del expediente). Según la descripción de Google Analytics localizable en las urls: “https://developers.google.com/analytics/devguides/collection/analyticsjs/fieldreference” y “https://developers.google.com/analytics/devguides/collection/gajs/cookie-usage” , las cookies _ga y _gid se usan para distinguir a los usuarios y que el parámetro “sr” se refiere a la resolución de pantalla. Los identificadores de visitantes son identificadores únicos destinados para diferenciar a individuos (donde esa diferenciación no era posible antes), y hacen que los individuos sean identificables. Estos identificadores también pueden combinarse con otra información, como la dirección del sitio web visitado, los metadatos relativos al navegador y el sistema operativo, la hora y los datos relativos a la visita al sitio web y la dirección IP. Esta combinación de información diferencia aún más a los individuos. Por esta razón, cuando se combinan varios elementos, pueden permitir identificar individualmente a los visitantes de la página web de «https://www.directseguros.es/», en la que se implementa Google Analytics. No es necesario conocer el nombre o la dirección (física) del visitante, ya que, de acuerdo con el considerando 26 del RGPD, tal calificación de las personas es suficiente para que el visitante sea identificable. Si se decidiera lo contrario, el alcance del derecho a la protección de datos, garantizado por el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, se vería socavado, ya que permitiría a las empresas seleccionar específicamente a las personas junto con la información personal (por ejemplo, cuando visitan un sitio web específico) al mismo tiempo que les negaría cualquier derecho de protección contra tal singularización. Una opinión tan restrictiva que socavaría el nivel de protección de las personas tampoco está en consonancia con la jurisprudencia del Tribunal de Justicia de la Unión Europea (en adelante, TJUE), que dictaminó repetidamente que el ámbito de aplicación del RGPD debe entenderse de manera muy amplia (véase, por ejemplo, la sentencia C-439/19, apartado 61). Google LLC afirma que no tiene «ninguna intención» de utilizar identificadores en línea para identificar a la parte reclamante (u otras personas), según refiere en el último párrafo de la respuesta a la pregunta 13 del documento de 9 de abril de 2021 y que de hecho «no hacen esto». Hay que señalar que el artículo 4, apartado 1, del RGPD no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/30 requiere que una entidad tenga una intención específica de identificar a una persona. De acuerdo con la redacción clara del artículo 4, apartado 1, del RGPD, el término «datos personales» se completa cuando una entidad puede (tiene la posibilidad) de hacerlo. Incluso una interpretación más restrictiva del artículo 4, apartado 1, del RGPD, que en cualquier caso sería contrario a la jurisprudencia del TJUE, la definición de «datos personales» se entendería aplicable a los datos expuestos. En el caso de que algún visitante de la web https://www.directseguros.es/ hubiese iniciado sesión en una cuenta de Google en el momento de su visita, tal y como puede verse en la declaración de Google LLC del 9 de abril de 2021, la implementación de Google Analytics en un sitio web permite a Google recibir la información que un usuario específico de la cuenta de Google ha visitado ese sitio web. En el contexto del uso de Google Analytics, y dependiendo de algunos ajustes en la configuración de la cuenta de usuario de Google (ver respuesta a la pregunta 9 del documento de Google de 9 de abril de 2021), permite a Google recibir información de que un usuario conectado a una cuenta de Google ha visitado un sitio web en particular. Por lo tanto, se recopilan datos personales relacionados con esta cuenta. Por todo ello, debe considerarse que los datos en cuestión son datos personales en el sentido del artículo 4.1 del RGPD. 3.-Sobre el incumplimiento de la obligación de regular las transferencias de datos personales fuera de la Unión Europea En el presente caso, debe verificarse si produjo la exportación de datos personales a los Estados Unidos de América como señala la parte reclamante, en los términos que establece el artículo 44 del RGPD, y, en caso de que se hubiera producido, si la exportación se realizó con un nivel de protección adecuado conforme a una decisión de adecuación del artículo 45 del RGPD, o, en su defecto, si se adoptó alguna de las garantías del artículo 46 del RGPD.  Decisiones de adecuación En su sentencia del asunto C-311/18 ("Schrems II"), de 16 de julio de 2020, el TJUE invalidó la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección ofrecida por el "EU-US Privacy Shield" (“Escudo de la privacidad”), sin mantener sus efectos en la fecha de los hechos objeto de reclamación. En ausencia de decisión de adecuación aplicable al presente caso, la transferencia de datos en cuestión no puede estar basada en lo dispuesto en el artículo 45.3 del RGPD.  Salvaguardias apropiadas: Cláusulas tipo de protección de datos El artículo 46, “Transferencias mediante garantías adecuadas”, del RGPD, establece en su apartado 1 que “A falta de decisión con arreglo al artículo 45, apartado 3, el responsable o el encargado del tratamiento solo podrá transmitir datos personales a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/30 un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.» El artículo 46, apartado 2, del RGPD dispone que “Las garantías adecuadas con arreglo al apartado 1 podrán ser aportadas, sin que se requiera ninguna autorización expresa de una autoridad de control, por: (…)
18. c)cláusulas tipo de protección de datos adoptadas por la Comisión de conformidad con el procedimiento de examen a que se refiere el artículo 93, apartado 2. (…)”. Las cláusulas contractuales tipo de Google para la transferencia de datos personales a los Estados Unidos, actualizadas el 27 de septiembre de 2021, con el nombre "Google Ads & Measurement: Standard Contractual Clauses (Module 3: Processor-toProcessor)”, que podría traducirse como: “Términos de tratamiento de datos de Google Ads: Modelo de Cláusulas Contractuales, Cláusulas Contractuales Tipo Encargado a Encargado” (en adelante, SCC). Estas cláusulas se ajustan a las publicadas por la Comisión Europea en la Decisión 2010/87/UE. En este contexto, cabe destacar que las cláusulas contractuales tipo son un instrumento de transferencia en el sentido del capítulo V del Reglamento y no fueron impugnadas como tales por el TJUE en su sentencia de 16 de julio de 2020 (C311/18). Sin embargo, el TJUE consideró que de la naturaleza contractual de estas cláusulas se derivaba que no podían ser vinculantes para las autoridades de terceros países. En particular, el TJUE declaró que: “...Por lo tanto, si bien existen situaciones en las que, en función de la legislación y las prácticas vigentes en el tercer país de que se trate, el destinatario de dicha transferencia está en condiciones de garantizar la protección necesaria de los datos únicamente sobre la base de cláusulas contractuales tipo de protección de datos, existen otras en las que el contenido de dichas cláusulas tipo podría no constituir un medio suficiente para garantizar, en la práctica, la protección efectiva de los datos personales transferidos al tercer país de que se trate. Este es el caso, en particular, cuando la legislación de ese tercer país permite a sus autoridades públicas interferir con los derechos de los interesados a los que se refieren dichos datos" (C-311/18, punto 126, subrayado añadido). No es necesario realizar un análisis adicional de la situación jurídica de los Estados Unidos, ya que el TJUE ya lo ha proporcionado en su sentencia antes mencionada. En efecto, el TJUE consideró que los programas de vigilancia reglamentaria como el artículo 702 de la FISA y el E.O. 12333 en conjunción con la PPD-28, no satisfacen las exigencias mínimas establecidas por el Derecho de la Unión con respecto al principio de proporcionalidad, de modo que los programas de vigilancia basados en estas disposiciones no pueden considerarse limitados a lo estrictamente necesario (C311/18, punto 184). Además, el TJUE consideró que el marco jurídico en cuestión no confería a los interesados derechos susceptibles de recurso ante los tribunales contra las autoridades estadounidenses, de lo que se deduce que estas personas no tienen derecho a una tutela judicial efectiva (C-311/18, punto 192). El análisis del TJUE es pertinente en el presente asunto, ya que Google LLC (como importador de los datos a los EE. UU.) debe calificarse como proveedor de servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/30 de comunicaciones electrónicas en el sentido del apartado (
19. b)del punto 4 del artículo 1881 del título 50 del Código de los Estados Unidos y, por lo tanto, está sujeto a vigilancia por parte de los servicios de inteligencia de EE. UU. de acuerdo con el apartado (
20. a)del artículo 1881 del título 50 del Código de los Estados Unidos («FISA 702»). Por lo tanto, Google LLC tiene la obligación de proporcionar datos personales al gobierno de los Estados Unidos cuando se le solicite de conformidad con el apartado (
21. a)del artículo 1881 del título 50 del Código de los Estados Unidos (FISA 702). Como se puede ver en el Informe de transparencia de Google, Google LLC está sujeto regularmente a tales solicitudes de acceso por parte de los servicios de inteligencia de Estados Unidos. El informe puede consultarse en: https://transparencyreport.google.com/user-data/us-national-security?hl=en El TJUE declaró, por un lado, que la decisión de adecuación UE-EE. UU. era inválida debido a las posibilidades de acceso de los servicios de inteligencia estadounidenses y, por otro, llegó a la conclusión de que la utilización de las cláusulas contractuales tipo no puede por sí sola garantizar un nivel de protección, tal como exige el artículo 44 del RGPD, ya que las garantías que ofrecen quedan sin cumplir cuando se realizan dichas solicitudes de acceso. De hecho, el TJUE concluyó lo siguiente: “De ello se deduce que las cláusulas tipo de protección de datos adoptadas por la Comisión sobre la base del artículo 46, apartado 2, letra c), del RGPD solo tienen por objeto ofrecer garantías contractuales que se aplican de manera uniforme en todos los terceros países a los responsables y encargados del tratamiento establecidos en la Unión Europea y, en consecuencia, con independencia del nivel de protección garantizado en cada tercer país. En la medida en que estas cláusulas tipo de protección de datos no pueden, habida cuenta de su propia naturaleza, ofrecer garantías más allá de una obligación contractual de garantizar el cumplimiento del nivel de protección exigido por el Derecho de la Unión, pueden exigir, en función de la posición imperante en un tercer país determinado, la adopción de medidas complementarias por parte del responsable del tratamiento para garantizar el cumplimiento de dicho nivel de protección" (C-311/18, punto 133).  Observaciones generales sobre las medidas complementarias En sus Recomendaciones 01/2020, de 18 de junio de 2021, (que se pueden consultar en la web https://edpb.europa.eu/system/files/202106/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_en. pdf, aunque las transcripciones incluidas en este documento se refieren a su traducción al español) el Comité Europeo de Protección de Datos (CEPD) ha aclarado que, cuando la evaluación de la legislación o las prácticas vigentes del tercer país puede afectar a la eficacia de las salvaguardias adecuadas de los instrumentos de transferencia en los que se basa el exportador, en el contexto de su transferencia específica, como sucede en este caso tras la evaluación del TJUE, el exportador debe suspender la transferencia o aplicar medidas complementarias adecuadas. El CEPD observa a este respecto que “Cualquier medida complementaria solo podrá considerarse eficaz en el sentido de la sentencia del TJUE «Schrems II» en la medida en que aborde las deficiencias específicas detectadas en su evaluación de la situación jurídica en el tercer país. Si, en última instancia, no puede garantizar un nivel de protección esencialmente equivalente, no deberá transferir los datos personales.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/30 (véanse las Recomendaciones 01/2020, punto 75). Las medidas para complementar las cláusulas tipo de protección de datos pueden clasificarse en tres categorías: contractual, técnico u organizativo (véanse las Recomendaciones 01/2020, punto 74). Con respecto a las medidas contractuales, el CEPD señaló que: “En algunas situaciones, estas medidas pueden complementar y reforzar las garantías que el instrumento de transferencia y el Derecho pertinente del tercer país pueden proporcionar, cuando, teniendo en cuenta las circunstancias de la transferencia, estas no cumplan todas las condiciones necesarias para garantizar un nivel de protección esencialmente equivalente al garantizado en la Unión. Habida cuenta de la naturaleza de las medidas contractuales, que por lo general no pueden vincular a las autoridades de ese tercer país cuando no formen parte del contrato, estas deberán combinarse con otras medidas técnicas y organizativas para proporcionar el nivel de protección de datos requerido (...)”. (véanse las Recomendaciones 01/2020, punto 99, subrayado añadido). Por lo que se refiere a las medidas organizativas, el CEPD destacó que: “… Seleccionar y aplicar una o varias de estas medidas no garantizará necesaria y sistemáticamente que su transferencia cumple la norma de equivalencia esencial que exige el Derecho de la Unión. En función de las circunstancias específicas de la transferencia y de la evaluación realizada sobre el Derecho del tercer país, se necesitarán medidas organizativas para complementar las medidas contractuales o técnicas, a fin de garantizar un nivel de protección de los datos personales esencialmente equivalente al garantizado en la Unión" (véanse las Recomendaciones 01/2020, punto 128, subrayado añadido). Por lo que se refiere a las medidas técnicas, el CEPD señaló que «…Estas medidas serán especialmente necesarias cuando la legislación de dicho país imponga a los importadores de datos obligaciones que sean contrarias a las garantías del artículo 46 del RGPD y puedan, en particular, afectar a la garantía contractual de un nivel de protección esencialmente equivalente contra el acceso de las autoridades públicas de ese tercer país a dichos datos» (véanse las Recomendaciones 01/2020, punto 77). Añadió que "Las medidas enumeradas a continuación tienen por objeto garantizar que el acceso de las autoridades públicas de terceros países a los datos transferidos no afecte a la eficacia de las garantías apropiadas contenidas en los instrumentos de transferencia del artículo 46 del RGPD. Estas medidas se aplican incluso si el acceso de las autoridades públicas se ajusta al Derecho del país del importador, cuando dicho acceso vaya más allá de lo necesario y proporcionado en una sociedad democrática. Estas medidas tienen por objeto evitar la posible vulneración del acceso impidiendo a las autoridades identificar a los interesados, inferir información sobre ellos, individualizarlos en otro contexto o asociar los datos transferidos con otros conjuntos de datos que puedan poseer y que puedan contener, entre otros datos, identificadores en línea proporcionados por los dispositivos, aplicaciones, herramientas y protocolos utilizados por los interesados en otros contextos." (véanse las Recomendaciones 01/2020, punto 79, subrayado añadido).  C/ Jorge Juan, 6 28001 – Madrid Medidas complementarias implementadas por Google LLC www.aepd.es sedeagpd.gob.es 25/30 Google LLC, como receptor de datos de los usuarios de sus servicios de Google Analytics, adoptó medidas contractuales, organizativas y técnicas para complementar las SCC. En el documento de fecha 9 de abril de 2021 enviado por Google LLC a la autoridad austríaca de protección de datos, la cual ésta compartió con el resto de las autoridades en el marco del Grupo de trabajo TF101, Google LLC describió las medidas adoptadas en detalle. Teniendo en cuenta las consideraciones del TJUE y del CEPD, ahora debe verificarse si las medidas complementarias adoptadas por Google LLC eran eficaces, lo que significa que abordan la cuestión específica de las posibilidades de acceso de los servicios de inteligencia estadounidenses. Por lo que se refiere a las “medidas jurídicas y organizativas” adoptadas, cabe señalar que ni la notificación de los usuarios, incluso en caso de que dicha notificación sea admisible, ni la publicación de un informe de transparencia o una «política pública sobre el tratamiento de las solicitudes gubernamentales» de hecho impiden o reducen las posibilidades de acceso de los servicios de inteligencia estadounidenses. Además, no está claro cómo la «revisión cuidadosa de cada solicitud» de Google LLC sobre su admisibilidad es efectiva como medida complementaria, teniendo en cuenta que, según el TJUE, las solicitudes (legales) admisibles de los servicios de inteligencia estadounidenses no están en consonancia con los requisitos de la normativa europea de Protección de Datos. Con respecto a las “medidas técnicas” adoptadas, cabe señalar que no se ha aclarado, cómo las medidas descritas, tales como la protección de las comunicaciones entre los servicios de Google, la protección de datos en tránsito entre centros de datos, la protección de las comunicaciones entre usuarios y sitios web, o la «seguridad en el sitio», de hecho, impiden o reducen las posibilidades de acceso de los servicios de inteligencia estadounidenses sobre la base del marco jurídico de los Estados Unidos. Por lo que se refiere a las tecnologías de cifrado, como en el caso de los «datos en reposo» en los centros de datos, como lo menciona específicamente Google LLC como medida técnica, hay que señalar que Google LLC, como importador de datos, tiene la obligación de conceder acceso o entregar datos personales importados en su poder, incluidas las claves criptográficas necesarias para que los datos sean inteligibles (véanse las Recomendaciones 01/2020, punto 81). En otras palabras: mientras Google LLC tenga la posibilidad de acceder a los datos de las personas físicas en un texto claro, dicha medida técnica no puede considerarse efectiva en el presente caso. En cuanto Google LLC señala que «en la medida en que los datos de Google Analytics para la medición transferidos por los propietarios de sitios web sean datos personales, habría que considerarlos como seudónimos», debe tenerse en cuenta que los identificadores únicos universales (UUID) no entran en la definición del artículo 4.5 del RGPD. Si bien la seudonimización puede ser una técnica de mejora de la privacidad, los identificadores únicos tienen, como ya se describió anteriormente, la intención específica de seleccionar a los usuarios, no de actuar como salvaguarda. Aparte de esto, también se ha descrito anteriormente por qué la combinación de identificadores únicos con otros elementos (como los datos del navegador o del dispositivo y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/30 dirección IP) y la posibilidad de vincular dicha información a una cuenta de Google en cualquier caso hacen que una persona pueda identificarse. En la medida en que Google LLC se refiere a una «medida técnica opcional» por medio de una función de anonimización IP, debe tenerse en cuenta, en primer lugar, que dicha medida es, como su nombre indica, opcional y no aplicable a todas las transferencias. Además, de la respuesta de Google no se desprende si esta anonimización tiene lugar antes de la transferencia o si la dirección IP completa se transmite a los Estados Unidos y solo se acorta después de esta transferencia a los Estados Unidos. Por lo tanto, desde un punto de vista técnico, existe un acceso potencial a toda la dirección IP completa antes de acortarla. Por lo tanto, las medidas complementarias adoptadas, tal como las presentó Google, no son eficaces en la medida en que ninguna de ellas aborda las cuestiones específicas en el presente caso, lo que significa que ninguna de ellas impide las posibilidades de acceso de los servicios de inteligencia estadounidenses ni hace que estos accesos sean ineficaces.  Las excepciones previstas en el capítulo V del Reglamento El artículo 49, “Excepciones para situaciones específicas”, del RGPD establece: "1. En ausencia de una decisión de adecuación de conformidad con el artículo 45, apartado 3, o de garantías adecuadas de conformidad con el artículo 46, incluidas las normas corporativas vinculantes, una transferencia o un conjunto de transferencias de datos personales a un tercer país u organización internacional únicamente se realizará si se cumple alguna de las condiciones siguientes:
22. a)el interesado haya dado explícitamente su consentimiento a la transferencia propuesta, tras haber sido informado de los posibles riesgos para él de dichas transferencias debido a la ausencia de una decisión de adecuación y de garantías adecuadas;
23. b)la transferencia sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud del interesado; (…)” El Comité Europeo de Protección de Datos (CEPD), en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos, según le atribuye el artículo 70 del RGPD, dictó las Directrices 2/2018 sobre las excepciones contempladas en el artículo 49 del Reglamento 2016/679. En cuanto a la interpretación del supuesto
24. a)del artículo 49 del RGPD (apartado 2.1 de las Directrices 2/2018), el CEPD señala que el consentimiento debe ser específico e informado acerca de los posibles riesgos, estableciendo lo siguiente: “esta disposición obliga a los interesados a ser también informados de los riesgos específicos derivados del hecho de que sus datos se transferirán a un país que no ofrece un nivel adecuado de protección y de que no se prevén garantías adecuadas para la protección de los datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/30 En el presente caso, el consentimiento de los usuarios para el almacenamiento de consentido explícitamente la transferencia internacional de datos, tal y como exige el artículo 49.1.
25. a)del RGPD; este consentimiento tiene que obtenerse de forma específica y, para que fuese válido, AXA SEGUROS debió informar previamente a los interesados de los riesgos que suponían las transferencias de datos a EE. UU., ante la ausencia de una decisión de adecuación y de garantías adecuadas en el sentido del artículo 49, apartado 1 del Reglamento. Respecto a la posible existencia de una relación contractual, no se aprecia la concurrencia de este supuesto, teniendo en cuenta que el Considerando 111 del RGPD exige que la transferencia internacional de datos basadas en el consentimiento explícito debe de ser “ocasional y necesaria en relación con un contrato”, mientras que en este caso las transferencias se producen de forma continua y sistemática y no se justifica su necesidad.  Marco jurídico actual Con fecha 10 de julio de 2023 se aprobó por la Comisión la Decisión de Ejecución (UE) 2023/1795 relativa a la adecuación del nivel de protección de los datos personales en el Marco de Privacidad de Datos UE-EE. UU. con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, por lo que las transferencias internacionales que se realicen con posterioridad a la misma pueden quedar amparadas por la citada Decisión. En la web https://www.dataprivacyframework.gov/s/ puede comprobarse que Google LLC ha certificado su adhesión a los principios del Marco de Privacidad de Datos hasta el 13 de septiembre de 2024, debido a la necesidad de renovar anualmente dicha certificación. Por lo tanto, en la actualidad, las transferencias internacionales de datos a Google LLC en los EE. UU. están amparadas por el Marco de Privacidad de Datos UE. EE. UU. Sin embargo, debe concluirse que, en la fecha en la que ocurrieron los hechos objeto de la reclamación, AXA SEGUROS no puede invocar ninguna de las herramientas previstas en el Capítulo V del RGPD para justificar las transferencias internacionales de datos personales de los visitantes a su sitio web, en particular identificadores únicos, direcciones IP, datos del navegador y metadatos, a Google LLC en los Estados Unidos, siendo de plena aplicación la doctrina establecida por el Tribunal de Justicia de la Unión Europea en la sentencia del caso Schrems II, por la que se invalidó la decisión sobre el "EU-US Privacy Shield". En consecuencia, de conformidad con las evidencias de las que se dispone en esta resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a AXA SEGUROS, por vulneración del artículo 44, “Principio general de las transferencias”, del RGPD, que señala que solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del RGPD, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/30 desde el tercer país u organización internacional a otro tercer país u otra organización internacional. V Tipificación y calificación de la infracción del artículo 44 del RGPD La vulneración del artículo 44 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
26. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
27. l)La transferencia internacional de datos personales a un destinatario que se encuentre en un tercer país o a una organización internacional, cuando no concurran las garantías, requisitos o excepciones establecidos en los artículos 44 a 49 del Reglamento (UE) 2016/679. (…)” VI Apercibimiento El artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/30 (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” De conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento, el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, por la infracción cometida al vulnerar lo establecido en el artículo 44 del RGPD, procede dirigir un apercibimiento a AXA SEGUROS. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a AXA SEGUROS GENERALES, S.A. DE SEGUROS Y REASEGUROS, con NIF A60917978, por una infracción del Artículo 44 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a AXA SEGUROS GENERALES, S.A. DE SEGUROS Y REASEGUROS. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
28. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/30 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es