PA-00061-2023

1/35  Expediente N.º: EXP202315694 (PA/00061/2023) RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 13 de abril de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra OCCIDENT GCO, S.A.U. DE SEGUROS Y REASEGUROS (en adelante, OCCIDENT), con NIF A28119220, sociedad absorbente de la extinguida PLUS ULTRA, SEGUROS GENERALES Y VIDA, S.A. Los motivos en que basa la reclamación son los siguientes: Reclamación dirigida contra la responsable del sitio web www.antares.es, por la forma en que se recaba el consentimiento de los usuarios respecto a la instalación de las Google. Aunque no se cargan de manera inmediata en el momento de acceder a la página, en la herramienta habilitada para gestionar el consentimiento de los usuarios, esa opción aparece premarcada. Además, se plantea que la utilización de cookies de terceros como Google o Zendesk implica una transferencia internacional de datos (cita la STJUE sobre el caso "Schrems II"). Junto a la reclamación se aporta: -Impresión de la web https://www.antares.es - Impresión del navegador Chrome – Configuración- Seguridad y Privacidad. - Impresión de una serie de pantallas de la Política de Privacidad y Tratamiento de datos de la web https://www.antares.es/cookies.html, entre las que se encuentra la información relativa al ejercicio de derechos de protección de datos y acerca de las políticas de cookies. Con fecha 26 de mayo de 2022, se incorporaron al expediente las siguientes evidencias recogidas por esta Agencia: - Política de cookies de OCCIDENT, en la que se recogen como cookies funcionales las siguientes cookies de Google Analytics: _ga, _gid. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/35 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 31/05/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 30/06/2022 se recibe en esta Agencia escrito de respuesta. Concretamente, respecto al uso de Google Analytics se indica que: “17. En la reclamación que se ha trasladado a Plus Ultra mediante la Resolución, se afirma que, pese a que el Tribunal de Justicia de la Unión Europea ha invalidado la decisión sobre el "EU-US Privacy Shield, se estarían recogiendo y transfiriendo datos personales a Estados Unidos a través de los servicios de Google Analytics y Zendesk. 18. Plus Ultra no es ajena de la controversia surgida en torno al uso de Google Analytics como consecuencia de las resoluciones emitidas por las autoridades de control francesa y austríaca. Por ello —si bien, salvo error de esta parte, ni la AEPD, ni el European Data Protection Board ni ningún tribunal de Justicia, de ámbito nacional o comunitario, ha emitido ningún pronunciamiento respecto de la mencionada herramienta— Plus Ultra decidió adoptar ciertas medidas de diligencia debida. En concreto, mediante correo electrónico de fecha 23 de febrero de 2022, la Delegada de Protección de Datos suscribiente del presente escrito compartió la situación de Google Analytics con el Departamento de Innovación de la Compañía con el fin de valorar la conveniencia de dejar de usar estos servicios. A efectos acreditativos, se acompaña esta comunicación, como Documento nº 8. 19. La diligencia de Plus Ultra fue, de hecho, mucho más allá de lo exigible, puesto que, como ya hemos avanzado en la Alegación Primera y desarrollaremos a continuación, la información que se recoge en el Sitio Web no constituye un dato personal, por lo que no le resulta de aplicación el RGPD. 20. En efecto, si bien Plus Ultra utiliza en el Sitio Web la herramienta Google Analytics, su función USER ID se encuentra completamente desactivada, tal y como ya hemos avanzado en la Alegación Primera. Una circunstancia que fue confirmada expresamente a la Delegada de Protección de Datos por parte del Departamento de Innovación en su correo de 25 de febrero de 2022, que se acompaña como Documento nº 9. En consecuencia, el tratamiento de esta información obtenida mediante Google Analytics no está sujeta al ámbito de aplicación del RGPD (ex. artículo 2.1) y su eventual transferencia a los Estados Unidos no estaría sujeta a los requerimientos establecidos en el mismo. 21. Así, la información se trata de forma absolutamente anonimizada y, en consecuencia, resulta imposible para Plus Ultra identificar al eventual interesado. Una circunstancia que determina que la información recabada por Plus Ultra fruto del uso de Google Analytics quede, como decíamos, fuera del ámbito material del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/35 22. A lo anterior debe sumarse que, a día de hoy, y salvo error de esta parte, no existe pronunciamiento administrativo ni sentencia judicial alguna que, habiendo analizado el caso específico de Google Analytics, haya llegado a la conclusión de que la mercantil norteamericana contravenga la normativa comunitaria; y, en consecuencia, no es admisible en Derecho presumir lo contrario y, por ende, formular un reproche jurídico contra una mercantil usuaria del servicio, sin constar prueba alguna en contrario ni pronunciamiento desfavorable. 23. Llegados a este punto, y por si lo anterior no fuese suficiente, conviene poner de manifiesto que la utilización de información anonimizada es una circunstancia que se informa expresamente a los usuarios del Sitio Web. En efecto, la política de cookies del Sitio Web informa de forma explícita a los usuarios del uso de Google Analytics, detallando que los datos recopilados a través de dicha herramienta son totalmente anónimos. Adicionalmente, desde el 1 de junio de 2022, la política de cookies incluye también una explicación detallada sobre cómo inhabilitar el complemento, en caso de que el usuario desee que sus datos agregados no se incluyan en los informes de Google Analytics, todo ello en estricta observancia de la Guía. El tenor literal del aviso de cookies en el Sitio Web es el siguiente: “Nuestras páginas Web utilizan Google Analytics, uno de los servicios de análisis web más utilizados en Internet. Aunque esta información se recopila de forma anónima, los usuarios que lo deseen pueden evitar que los datos de su visita se incluyan en los informes de Google Analytics instalando el complemento de inhabilitación para navegadores de Google Analytics que está disponible en http://tools.google.com/dlpage/gaoptout. Este complemento no evita que se envíe información a sitios Web por otras vías distintas a estos servicios de analítica Web. Para más información sobre cookies puede consultar la Guía sobre el uso de cookies de la Agencia Española de Protección de Datos publicada en su página web https://www.aepd.es/”. 24. Obsérvese, además, que el aviso de cookies del Sitio Web culmina con una referencia expresa a la Guía sobre el uso de cookies publicada por la Agencia Española de Protección de Datos, facilitando por transparencia y para mayor información de los interesados el enlace directo a la página web de esa autoridad de control para que los usuarios puedan consultarla si así lo estiman oportuno. 25. Por último, y de forma subsidiaria a cuanto se ha expuesto hasta ahora, no podemos dejar de destacar que si Plus Ultra ha seguido haciendo uso de esta herramienta en el sitio Web (sin utilizar, como ya hemos comentado y acreditado, la función de USER ID) ha sido porque tiene la expectativa más que razonable de que su uso sea finalmente declarado conforme con la normativa nacional y comunitaria. Una expectativa razonable que deriva de los motivos que se expondrán a continuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/35 (

1. i)En primer lugar, las transferencias internacionales de datos efectuadas por Google se llevan a cabo en atención a las Cláusulas Contractuales Tipo establecidas por la Comisión Europea. Así lo indica expresamente Google en el apartado Medidas de Protección de Datos en la web de Google Analytics: (https://support.google.com/analytics/answer/6004245?hl=es#zippy=%2Ctra nsferencias-internacionales) (Documento nº 10). Como es bien sabido, las Cláusulas Contractuales Tipo, son un mecanismo que valida las transferencias de datos de conformidad con lo expuesto por el artículo 46 apartado 2.
2. c)del RGPD. Nuevamente, esta parte no tiene constancia de que se haya producido, pronunciamiento administrativo o sentencia judicial alguna que, habiendo analizado el caso específico de Google Analytics, haya llegado a la conclusión de que la mercantil norteamericana incumple materialmente con el contenido de las mencionadas Cláusulas Contractuales Tipo (i.e. no existe evidencia al afecto y, por ende, debe primar la presunción de su cumplimiento; no pudiéndose sancionar una mera sospecha). (
3. ii)En segundo lugar, y habida cuenta de las resoluciones emitidas por las autoridades de control austríaca y francesa en materia de protección de datos, Google ha implementado medidas complementarias para adaptarse a esta situación sobrevenida. Estas nuevas medidas fueron dadas a conocer el 4 de febrero de 2022 a través una comunicación titulada “Respecto a las transferencias de datos internacionales en Google Analytics”, disponible para su consulta en el siguiente enlace https://support.google.com/analytics/answer/11609059?hl=es y que aportamos como Documento nº 11. Así, Plus Ultra, tras realizar un conjunto de comprobaciones al efecto, entiende de buena fe que cuenta con elementos sólidos para confiar en la plena licitud de su actuación. (iii) A mayor abundamiento, y por si lo anterior no fuese suficiente, lo cierto es que infinidad de entidades, tanto privadas como públicas, utilizan a día de hoy Google Analytics. En efecto, como botón de muestra, Google Analytics es utilizada, entre muchos otros ejemplos y a efectos meramente ilustrativos, en el sitio web oficial del Gobierno de España (https://www.lamoncloa.gob.es/Paginas/politica-de-cookies.aspx) o en el del Ministerio de Igualdad (https://www.igualdad.gob.es/Paginas/politica-decookies.aspx). Se acompañan las copias de las referidas políticas de cookies como Documentos nº 12 y nº 13, respectivamente. Esta circunstancia jurídico-fáctica reafirmó, en el momento de realizar su análisis, la expectativa razonable de Plus Ultra de estar obrando conforme a Derecho. (
4. iv)Por último, no puede obviarse que nos encontramos ante una situación de incertidumbre inusitada, que se ve marcada por el avance de las negociaciones entre la Unión Europea y los Estados Unidos para adoptar un acuerdo que regule las transferencias internacionales de datos hacia esta última jurisdicción. En efecto, tal y como se anunció el pasado 25 de marzo de 2022, la Unión Europea y los Estados Unidos han llegado a un acuerdo para un nuevo Trans-Atlantic Data Privacy C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/35 Framework que reemplazaría el Privacy Shield de 2016 (se adjunta el correspondiente comunicado de prensa, como Documento nº 14, y su traducción al castellano como, Documento nº 14 bis). Ante esta situación transitoria, en la cual aún no se conocen cuáles van a ser los detalles del nuevo acuerdo, es coherente considerar que nos encontramos en un periodo de excepción que justificaría continuar utilizando esta herramienta, en los términos y con las cautelas adoptadas bajo el prisma de la más rigurosa diligencia debida por Plus Ultra, hasta que se haya aprobado un nuevo marco normativo que proporcione una cobertura legal más estable. A ello se le suma que muy recientemente (el pasado 21 de junio de 2022, para ser precisos) el Comité de Energía y Comercio de la Cámara de Representantes de Estados Unidos presentó el texto de la Ley de Protección y Privacidad de Datos de Estados Unidos, que deberá ser aprobado próximamente (se adjunta el correspondiente comunicado de prensa, como Documento nº 15, y su traducción al castellano como, Documento nº 15 bis). Este nuevo marco legislativo supondrá previsiblemente un importante cambio en el paradigma; una circunstancia que agrava, más si cabe, la excepcionalidad e incertidumbre del marco regulatorio actual aplicable para las transferencias a los Estados Unidos de América, así como la dificultad del asesoramiento en este ámbito. 26. Por todo lo anterior, Plus Ultra considera que existe una expectativa legítima para poder seguir utilizando Google Analytics y que el uso que ha realizado hasta ahora Plus Ultra en el Sitio Web ha sido en todo momento conforme a Derecho.” TERCERO: Con fecha 31 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 28 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 44 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 29 de mayo de 2024 como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 6 de junio de 2024, OCCIDENT presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones. SÉPTIMO: Con fecha 7 de junio de 2024, el órgano instructor del procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notificó a OCCIDENT en fecha 10 de junio de 2024, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/35 OCTAVO: En fecha 18 de junio de 2024 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: - Las actuaciones previas de investigación de las que la AEPD se sirve para adoptar el acuerdo de inicio han caducado. - El procedimiento adolece de defectos formales que han causado indefensión a la sociedad, al no haberse dado traslado de la reclamación, y la descripción en los hechos en el requerimiento es muy limitada. Además, la AEPD no ha respetado las funciones de la delegada de protección de datos de la sociedad y se ha conculcado el derecho de defensa de Occident en el presente procedimiento. - El acuerdo de inicio incorpora documentos que causan indefensión por no estar conectados con los hechos concretos a los que se refiere la reclamación. - No procede imponer un apercibimiento al haber cumplido de forma diligente con sus obligaciones y no haberse acreditado ningún incumplimiento ya que:     La sociedad no ha transferido ningún dato del reclamante a Google. La sociedad no ha transferido datos personales a Google. En todo caso, la AEPD no ha analizado si, con base en las circunstancias del caso, se ha producido una infracción del RGPD. La sociedad ha actuado en todo momento de forma diligente y con la expectativa más que razonable de estar cumpliendo la normativa Occident, una empresa firmemente comprometida con la privacidad. - La AEPD se ha apartado de forma injustificada de su propio criterio A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 26 de mayo de 2022, con motivo del análisis de la reclamación presentada por la parte reclamante contra OCCIDENT, se constata por esta Agencia que la Política de cookies de https://www.antares.es/cookies.html, se recogen las siguientes cookies de Google Analytics: _ga, _gid. (página 17 del expediente). En esa misma fecha, se realiza la siguiente actuación: aceptación de las cookies de la web www.antares.es a través del navegador Chrome. En la imagen incorporada al expediente se comprueba que se han instalado las cookies _ga, _gid (página 29 del expediente). SEGUNDO: Con fecha 30 de junio de 2022, en la respuesta al traslado de la reclamación, OCCIDENT reconoce que ha introducido el código de la herramienta Google Analytics en su sitio web: “…En concreto, mediante correo electrónico de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/35 fecha 23 de febrero de 2022, la Delegada de Protección de Datos suscribiente del presente escrito compartió la situación de Google Analytics con el Departamento de Innovación de la Compañía con el fin de valorar la conveniencia de dejar de usar estos servicios”(página 31 del expediente). TERCERO: Con fecha 2 de septiembre de 2020, el plenario del Comité Europeo de Protección de Datos decidió crear un grupo de trabajo (en adelante, grupo de trabajo TF101) para asegurar una aproximación coherente entre las autoridades de datos europeas, respecto a la gestión de las 101 reclamaciones de NOYB relativas al uso de Google Analytics y las posibles transferencias de datos a los EE. UU., en el contexto de la sentencia del TJUE Schrems II. CUARTO: En el documento de fecha 9 de abril de 2021. remitido por GOOGLE LLC a la autoridad austríaca de protección de datos, la cual lo comparte con el resto de las autoridades a través del grupo de trabajo TF101 reclamaciones de NOYB en el contexto de la sentencia del TJUE Schrems II, consta la siguiente información y manifestaciones (de su traducción no oficial del inglés): (…) QUINTO: En el modelo de Contrato de adhesión a los servicios de GOOGLE (página 145 y siguientes del expediente), con el título “Términos del Tratamiento de Datos de Google Ads” (https://privacy.google.com/businesses/processorterms/), en su versión de 21 de septiembre de 2022, constaba que (traducción no oficial): “Términos del Tratamiento de Datos de Google Ads Google y la contraparte que acepta las presentes Condiciones (el “Cliente”), han celebrado un contrato para la prestación de los Servicios del encargado del tratamiento (con sus enmiendas puntuales, el “Contrato”) Las presentes Condiciones del tratamiento de datos de los anuncios de Google, (las “Condiciones del tratamiento de datos”) se suscriben por Google y el Cliente y complementan al Contrato. […] Si usted acepta estos Términos del Tratamiento de Datos en nombre del Cliente, usted garantiza que
5. a)tiene plena autoridad legal para que estos Términos del Tratamiento de Datos sean vinculantes para el Cliente,
6. b)ha leído y comprende estos Términos del Tratamiento de Datos y
7. c)los acepta en nombre del Cliente. Si no tiene la autoridad legal para que estos Términos del Tratamiento de Datos sean vinculantes para el Cliente, no los acepte. Introducción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/35 Estos Términos del Tratamiento de Datos reflejan el acuerdo entre las partes con respecto a los términos que rigen el tratamiento de determinados datos en relación con la Legislación Europea de Protección de Datos y cierta Legislación No Europea de Protección de Datos. Definiciones e interpretación […] “Entidad de Google” hace referencia a Google LLC (anteriormente conocida como Google Inc.), Google Ireland Limited o cualquier otra entidad que, directa o indirectamente, controle a Google LLC, esté controlada por Google LLC o esté sujeta al mismo control que Google LLC. “Google”: hace referencia a la Entidad de Google que sea parte del Contrato. “Legislación Europea de Protección de Datos” hace referencia, según corresponda,
8. a)al RGPD y/o
9. b)a la FDPA de Suiza. […] “SCCs” hace referencia a las Cláusulas Contractuales Tipo del Cliente y/o las Cláusulas Contractuales Tipo (Encargado del Tratamiento de la UE al Encargado del Tratamiento, Exportador de Google), según corresponda. […] “SCCs (Encargado del Tratamiento al Encargado del Tratamiento, Exportador de Google)” hace referencia a los términos incluidos en business.safety.google/adsprocesso.erms/sccs/p2p-intra-group. […] “ Subencargados del Tratamiento” hace referencia a terceros autorizados en virtud de estos Términos del Tratamiento de Datos para tener acceso lógico a los Datos Personales del Cliente y tratarlos con la finalidad de prestar parte de los Servicios del Encargado del Tratamiento y cualquier asistencia técnica relacionada. […] 5. Tratamiento de datos 5.1 Roles y cumplimiento normativo; autorización. 5.1.1 Responsabilidades del Encargado del Tratamiento de Datos y del Responsable del Tratamiento de Datos. Las partes reconocen y aceptan lo siguiente: (
10. a)El apéndice 1 describe la cuestión y los detalles del tratamiento de Datos Personales del Cliente. (
11. b)Google es un encargado del tratamiento de datos personales del Cliente; (
12. c)El Cliente es un responsable del tratamiento de datos o un encargado del tratamiento, según corresponda, de los Datos Personales del Cliente; y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/35 (
13. d)Cada parte cumplirá las obligaciones que le correspondan en virtud de la Legislación Aplicable de Protección de Datos con respecto al tratamiento de Datos Personales del Cliente. […] 5.2. Instrucciones del Cliente. Al suscribir los presentes Términos del Tratamiento de Datos, el Cliente indica a Google que trate los Datos Personales del Cliente únicamente de conformidad con la ley aplicable:
14. a)para prestar los Servicios del Encargado del Tratamiento y cualquier asistencia técnica relacionada,
15. b)tal y como se especifica más detalladamente a través del uso por parte del Cliente de los Servicios del Encargado del Tratamiento (incluidas la configuración y otras funciones de los Servicios del Encargado del Tratamiento) y cualquier asistencia técnica relacionada,
16. c)según se documenta por medio del Contrato (incluidos estos Términos del Tratamiento de Datos) y
17. d)tal y como se documenta más detalladamente en otras instrucciones proporcionadas por escrito por el Cliente y reconocidas por Google como instrucciones constitutivas para los propósitos de estos Términos del Tratamiento de Datos (en conjunto, las “Instrucciones”). 5.3 Cumplimiento de las Instrucciones por parte de Google. Google cumplirá las Instrucciones a menos que lo prohíban las Leyes Aplicables o dichas Leyes Aplicables exijan otro tratamiento. […] 10. Transferencias de datos 10.1 Almacenamiento de datos e instalaciones de tratamiento. De conformidad con esta sección 10 (Transferencias de datos), Google podrá tratar Datos Personales del Cliente en cualquier país en el que Google o cualquiera de sus Subencargados del Tratamiento tenga instalaciones. 10.2 Transferencias Europeas Restringidas. Las partes reconocen que la Legislación Europea de Protección de Datos no exige SCCs ni una Solución Alternativa de Transferencia para tratar Datos Personales del Cliente en un País Adecuado ni para transferirlos a este. Si los Datos Personales del Cliente son transferidos a cualquier otro país y a esas transferencias se les aplica la Legislación Europea de Protección de Datos (“Transferencias Europeas Restringidas”), en ese caso: Si Google adopta una Solución Alternativa de Transferencia para cualquier Transferencia Europea Restringida, Google informará al Cliente de la solución relevante y se asegurará de que dichas Transferencias Europeas Restringidas se realicen de acuerdo con dicha Solución y/o Si Google no ha adoptado o ha informado al Cliente de que ya no va a adoptar ninguna Solución Alternativa de Transferencia para ninguna Transferencia Europea Restringida, en ese caso: Si la dirección de Google se encuentra en un País Adecuado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/35 Se aplicarán las SCCs del Encargado del Tratamiento al Encargado del Tratamiento, Exportador de Google) con respecto a todas las Transferencias Europeas Restringidas de Google a los Subencargados del Tratamiento y. (B) Además, si la dirección del Cliente no se encuentra en un País Adecuado, se aplicarán las SCCs (Encargado del Tratamiento al Responsable del Tratamiento de Datos) con respecto a las Transferencias Europeas Restringidas entre Google y el Cliente, independientemente de si el Cliente es un responsable y/o un encargado del tratamiento o (
18. ii)Si la dirección de Google no se encuentra en un País Adecuado, Se aplicarán las SCCs del Responsable del Tratamiento de Datos al Encargado del Tratamiento y/o las SCCs (Encargado del Tratamiento al Encargado del Tratamiento), en función de si el Cliente es un responsable del tratamiento de datos y/o un encargado del tratamiento, con respecto a las Transferencias Europeas Restringidas entre el Cliente y Google. 10.3 Medidas complementarias e información. Google proporcionará al Cliente la información pertinente sobre las Transferencias Europeas Restringidas, incluida la información sobre medidas complementarias para proteger los Datos Personales del Cliente, tal y como se describe en la sección 7.5.1 (Revisiones de la Documentación de Seguridad), en el apéndice 2 (Medidas de Seguridad) y en otros materiales relacionados con la naturaleza de los Servicios del Encargado del Tratamiento y con el tratamiento de los Datos Personales del Cliente (por ejemplo, artículos del centro de ayuda). 10.4 Resolución. Si el Cliente concluye, según el uso que hace o pretende hacer de los Servicios del Encargado del Tratamiento, que la Solución Alternativa de Transferencia y/o las SCCs, según corresponda, no proporcionan la protección adecuada para los Datos Personales del Cliente, el Cliente podrá resolver inmediatamente el Contrato por conveniencia mediante una notificación por escrito a Google. 10.5 Información de centros de datos. La información sobre las ubicaciones de los centros de datos de Google está disponible en www.google.com/about/datacenters/locations/. 11. Subencargados del tratamiento de datos. 11.1 Consentimiento de contratación de un Subencargado del Tratamiento. El Cliente autoriza específicamente la contratación como Subencargados del Tratamiento de las entidades que figuren, a partir de la Fecha de Entrada en Vigor de los Términos, en la URL especificada en la sección 11.2 (Información sobre los Subencargados del Tratamiento). Asimismo, y sin perjuicio de lo estipulado en la sección 11.4 (Oportunidad de oponerse a cambios del Subencargado del Tratamiento), el Cliente autoriza de forma general la contratación de cualquier otro tercero como Subencargado del Tratamiento (“Nuevos Subencargados del Tratamiento”). […]” (el subrayado es nuestro). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/35 SEXTO: En la descripción de Google Analytics, localizable en las urls https://developers.google.com/analytics/devguides/collection/analyticsjs/field-reference y https://developers.google.com/analytics/devguides/collection/gajs/cookie-usage consta, entre más información, que las cookies _ga y _gid se usan para distinguir a los usuarios y que el parámetro “sr” se refería a la resolución de pantalla (página 136 y siguientes del expediente). SÉPTIMO: Según consta en la respuesta a la pregunta 4 (
19. ii)del documento de 09 de abril de 2021 de GOOGLE LLC obrante en el expediente, el propietario del sitio web que tenga implementado en dicha web el código de Google Analytics, puede elegir entre múltiples períodos de retención que oscilan entre 2 meses y 50 meses desde el momento en que se recopilaron los datos. OCTAVO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en el expediente, a 18 de enero de 2021, en la url https://policies.google.com/terms/information-requests?hl=en-US constaba (traducción no oficial, original en inglés): “[…] Solicitudes de agencias gubernamentales de EE. UU. en casos que involucran seguridad nacional En investigaciones relacionadas con la seguridad nacional, el gobierno de los EE. UU. puede utilizar una Carta de Seguridad Nacional (NSL) o una de las autorizaciones otorgadas en virtud de la Ley de Vigilancia de Inteligencia Extranjera (FISA) para obligar a Google a proporcionar información del usuario. Una NSL no requiere autorización judicial y solo puede usarse para obligarnos a proporcionar información limitada del suscriptor. Las órdenes y autorizaciones de FISA se pueden usar para obligar a la vigilancia electrónica y la divulgación de datos almacenados, incluido el contenido de servicios como Gmail, Drive y Photos.” […]” (traducción no oficial, original en inglés) NOVENO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en el expediente, a 26 de enero de 2022, en la url https://support.google.com/analytics/answer/7686480 constaba (traducción no oficial, original en inglés): “[…] Conceptos básicos sobre la información personal identificable en los contratos y las políticas de Google. En muchos contratos, términos del servicio y políticas de los productos de publicidad y medición de Google se hace referencia a la "información personal identificable" (IPI). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/35 Se trata de una categorización de datos diferente a lo que el Reglamento General de Protección de Datos (RGPD) considera "datos personales". Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD sí lo haga o que esos datos se consideren información personal de conformidad con la Ley de Privacidad del Consumidor de California (CCPA), y pueden estar sujetos a esas leyes. […] Google considera "información personal identificable" la información que se pueda usar por sí sola para identificar o ubicar con precisión a una persona, o para ponerse en contacto con ella de forma directa. Entre otros datos, incluye lo siguiente: • Direcciones de correo electrónico • Direcciones de correo postal • Números de teléfono • Ubicaciones precisas (por ejemplo, coordenadas GPS, salvo en los casos que se mencionan más abajo) • Nombres completos (nombre y apellidos) o nombres de usuario. […] Entre otros, Google no considera información personal identificable los siguientes datos: • ID de cookie seudónimos • ID de publicidad seudónimos • Direcciones IP • Otros identificadores de usuario final seudónimos Por ejemplo, si se envía una dirección IP con una solicitud de anuncio (algo que sucede con casi todas las solicitudes de anuncios como consecuencia de los protocolos de Internet), ese envío no incumplirá ninguna prohibición relacionada con el envío de información personal identificable a Google. Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD, la CCPA u otras leyes de privacidad los consideren datos personales o información personal. […]” DÉCIMO: Según consta en diligencia de fecha 27 de septiembre de 2024 obrante en el expediente, en la url https://transparencyreport.google.com/user-data/us-nationalsecurity?hl=en Google publica desde año 2009 el número de solicitudes de información sobre usuarios en los EE. UU. relativas a FISA (Foreign Intelligence Surveillance Act) y al NSL (National Security Letters). FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/35 garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. II Cuestiones previas El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que OCCIDENT realiza la recogida y tratamiento a través del servicio Google Analytics de, entre otros, los siguientes datos personales de personas físicas: identificadores únicos de usuarios (_ga y _gid), la dirección IP, así como otros datos asociados al navegador y a la propia navegación, entre otros tratamientos. OCCIDENT realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, el artículo 44 del RGPD regula la transferencia de datos personales a terceros países. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/35 III Contestación a las alegaciones A continuación, se procede a dar respuesta a las alegaciones presentadas por la entidad reclamada, según el orden en que aquellas son formuladas en su escrito: “PRIMERA.- LAS ACTUACIONES PREVIAS DE INVESTIGACIÓN DE LAS QUE LA AEPD SE SIRVE PARA ADOPTAR EL ACUERDO DE INICIO HAN CADUCADO” En respuesta a esta alegación, cabe señalar que, en este caso, tras la admisión a trámite de la reclamación, no se han llevado a cabo actuaciones previas de investigación, por lo que no procede aplicar el plazo de doce meses de duración de dichas actuaciones, que el artículo 67.2 de la LOPDGDD establecía como límite temporal, según la redacción vigente de dicho artículo en el momento en el que la reclamación fue admitida a trámite. El plazo establecido el artículo 67.2 de la LOPDGDD es el plazo máximo en el que debe dictarse el acuerdo de inicio, sólo en el supuesto de que se hayan acordado la apertura de actuaciones previas de investigación, no pudiendo aplicarse diche límite temporal, como pretende OCCIDENT , aun en el caso de que aquellas no hayan sido acordadas. Tras la admisión a trámite de la reclamación, no estimándose necesario realizar actuaciones previas de investigación, el único límite temporal que debemos aplicar es el plazo de prescripción de tres años previsto en el artículo 72.1.
20. l)de la LOPDGDD para el supuesto de infracciones muy graves, tal y como se fundamentó en el acuerdo de inicio. Teniendo en cuenta la ausencia de decisión de adecuación con EE. UU. (tras la STJUE C-311/18) entre el 16 de julio de 2020 y el 10 de julio de 2023, los hechos referidos en la reclamación se mantuvieron hasta, al menos, esta última fecha, que sería la de comienzo del plazo de prescripción, por lo que, a la fecha de inicio del presente procedimiento, la infracción no había prescrito. En cuanto a la incorporación del documento “Informe de transparencia de Google, relativo a las estadísticas de solicitudes de acceso por parte de los servicios de inteligencia de Estados Unidos”, no se produjo en el marco de unas actuaciones previas de investigación. Simplemente se incorporó al expediente un documento que es de notoriedad pública, lo que no equivale a realizar actuaciones previas de investigación. Por otra parte, la Sentencia de la Audiencia Nacional citada por OCCIDENT se refiere al supuesto en el que, habiéndose dictado acuerdo de apertura de actuaciones previas de investigación, y transcurrido el plazo establecido en la LOPDGDD, no se haya declarado la caducidad de las actuaciones previas de investigación, debido a que, cuando se produce esta circunstancia, tiene que procederse al archivo de las actuaciones caducadas y acordar, en su caso, la apertura de unas nuevas actuaciones. Como se ha explicado anteriormente, ante la reclamación que dio origen al presente procedimiento no se acordó la apertura de actuaciones previas de investigación, por lo que los fundamentos de la Sentencia de la Audiencia Nacional no son de aplicación en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/35 Por todo lo expuesto, se desestima la presente alegación. “SEGUNDA.- EL PROCEDIMIENTO ADOLECE DE DEFECTOS FORMALES QUE HAN CAUSADO INDEFENSIÓN A LA SOCIEDAD Y, POR LO TANTO, DEBE SER ARCHIVADO” “1. La AEPD no ha dado traslado de la reclamación a la sociedad” Con carácter previo, cabe señalar que esta Agencia sí formuló el traslado de la reclamación a OCCIDENT. Si bien en dicho traslado no se incorporó el documento presentado por la parte reclamante, en el escrito de remisión notificado a OCCIDENT se recogían los términos de la reclamación. Concretamente, en lo que al objeto del presente procedimiento se refiere, el escrito de traslado de la reclamación señalaba lo siguiente en lo relativo a los “Hechos que motivan la reclamación”: “Además, señala que pese a que el Tribunal de Justicia de la Unión Europea ha invalidado la decisión sobre el "EU-US Privacy Shield", se estarían recogiendo y transfiriendo datos personales a Estados Unidos a través de los servicios de Google Analytics y Zendesk.” Ello permitió que, en la respuesta al traslado de la reclamación, OCCIDENT formulase una respuesta razonada en su “manifestación” segunda, respecto a la utilización de la herramienta Google Analytics. “1.1 La descripción de los hechos incluida en el requerimiento es muy limitada y dificulta la actuación de la sociedad” En primer lugar, debe aclararse que el traslado de la reclamación al responsable del tratamiento el artículo 65.4 de la LOPDGDD no tiene carácter obligatorio, sino que tiene carácter facultativo, “podrá remitir”, dice literalmente el artículo. En segundo lugar, hay que indicar no se trata de un requerimiento como indica OCCIDENT sino de una petición de petición de información en la que se indica claramente el motivo de la reclamación, como se ha indicado en los párrafos precedentes “1.2 El acuerdo de inicio tampoco da traslado de la reclamación” No procede que junto al acuerdo de inicio se acompañe documentación del expediente. Para tener acceso a la documentación obrante en el expediente, el artículo 53 de la LPACAP, “Derechos del interesado en el procedimiento administrativo”, dispone en su apartado 1.a): “Asimismo, también tendrán derecho a acceder y a obtener copia de los documentos contenidos en los citados procedimientos” Sin embargo, una vez iniciado el procedimiento sancionador, OCCIDENT , no ha ejercido su derecho a solicitar copia completa del expediente, ni de la reclamación que motivó el inicio del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/35 “2. El acuerdo de inicio incorpora documentos al expediente que causan indefensión por no estar conectados con los hechos concretos a los que se refiere la reclamación y por ser muy anteriores y/o muy posteriores en el tiempo a los hechos concretos descritos en la reclamación (y que son el objeto del presente procedimiento)” Los documentos incorporados al expediente en el acuerdo de inicio del presente procedimiento constituyen prueba del funcionamiento técnico (Documento acerca de Google Analytics y el uso de cookies en Google Analytics) y de las condiciones contractuales en materia de protección de datos (Términos de Tratamiento de Datos de Google Ads y Cláusulas Contractuales Tipo) en las que se desarrolla el servicio de Google Analytics, herramienta mediante la cual OCCIDENT , como responsable del tratamiento dispone, a través del encargado del tratamiento, Google, la transferencia internacional de datos a que se refiere la parte reclamante en su reclamación. Además, la declaración de Google de fecha de 9 de abril de 2021 aclara aspectos técnicos y jurídicos relativos al funcionamiento de Google Analytics, así como de las peticiones de información realizadas por los servicios de inteligencia de los EE. UU. Por último, en el ”Informe de transparencia de Google”, se publican las estadísticas de solicitudes de acceso por parte de los servicios de inteligencia de EE. UU., lo que viene a corroborar la sujeción de Google a la Sección 702 de FISA, motivo el cual el TJUE en la sentencia en el asunto C-311,/18 (Schrems II), declaró inválida la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, sobre la adecuación de la protección conferida por el Escudo de la Privacidad UE EE. UU. Con relación a las versiones de las fechas de los documentos incorporados al expediente, las afirmaciones realizadas por Google en el documento de 9 de abril de 2021, serían siendo válidas a fecha de 13 de abril de 2022 en todo aquello en lo que se cita en el acuerdo de inicio. Respecto a los Términos de Tratamiento de Datos de Google Ads, la versión vigente a la fecha de interposición de la reclamación (13 de abril de 2022), eran los aprobados por Google con fecha 16 de agosto de 2020, sin que OCCIDENT cite otra versión de dicho documento que pudiera ser aplicable, siendo la versión posterior de fecha 1 de enero de 2023. Por su parte, las Cláusulas Contractuales Tipo de 27 de septiembre de 2021, versión vigente en el momento en que acontecieron los hechos de los que trae causa la Reclamación, siendo la versión siguiente de fecha 21 de septiembre de 2022. Por todo lo expuesto, todos estos documentos sí reflejan el funcionamiento de la herramienta Google Analytics en el momento en que acontecieron los hechos de los que trae causa la reclamación. En cuanto a las afirmaciones realizadas por OCCIDENT de “que este no es un procedimiento iniciado contra Google por la supuesta (y no acreditada) transferencia internacional generalizada de datos personales de usuarios de páginas web alojadas en España”, las transferencias internacionales de datos a través de la herramienta Google Analytics han quedado acreditadas según los términos de tratamiento de Google y su propia declaración de fecha de 9 de abril de 2021 reproducidos en los Hechos Probados. En efecto, este no es un procedimiento iniciado contra Google, quien, como encargado de tratamiento, no puede considerarse responsable del tratamiento realizado por cuenta de OCCIDENT, que es la entidad que decidió los fines y los medios del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/35 tratamiento, como establece el artículo 4.7) del RGPD. De este modo, respecto la STJUE de 5 de diciembre de 2023 dictada en el asunto C683/21 dispone que “84 Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por cuenta suya”. “3. La AEPD no ha respetado las funciones de la delegada de protección de datos de la sociedad” De las alegaciones de OCCIDENT se comprueba que no ha existido ninguna vulneración de la normativa que regula tanto en el traslado de la reclamación como la incoación del presente procedimiento. El traslado fue notificado a OCCIDENT, que remitió a esta Agencia contestación firmada por su Delegado de Protección de Datos. Respecto a los actos del presente procedimiento, concretamente, el acuerdo de inicio fue debidamente notificado a la entidad que al inicio del procedimiento se consideraba responsable del tratamiento. En ningún caso, el régimen jurídico establecido en el RGPD o en el procedimiento administrativo sancionador regulado en la LPACAP dispone que las notificaciones de las actuaciones que se deriven de la incoación de un procedimiento sancionador deban hacerse a un sujeto distinto del responsable del tratamiento o su representante, por lo que, no procedía que las notificaciones se dirigieran al Delegado de Protección de Datos. En consecuencia, la afirmación realizada por OCCIDENT (“la AEPD conocía los datos de contacto de esta delegada de protección de datos y, por lo tanto, podía notificar a esta delegada de protección de datos cuantos actos administrativos se deriven del presente expediente”), no tiene sustento legal alguno. “4. Conclusión: conculcación del derecho de defensa de Occident en el presente procedimiento” Por último, a todos los razonamientos de la alegación “SEGUNDA”, en los que OCCIDENT trata de fundamentar que el “procedimiento adolece de defectos formales que han causado indefensión”, debe entenderse aplicable la doctrina establecida por el Tribunal Constitucional en su sentencia n.º 210/1999, de 29 de noviembre, señala que la indefensión constitucionalmente relevante es la situación en que, tras la infracción de una norma procesal, se impide a alguna de las partes el derecho la defensa eliminando o limitando su potestad, bien de alegar derechos e intereses para que le sean reconocidos, o bien de replicar dialécticamente las posiciones contrarias en el ejercicio del principio de contratación. Como característica esencial de la indefensión es que esta deberá tener carácter material y no meramente formal, es decir, no es suficiente con la existencia de un defecto o infracción procesal, sino que debe haberse producido un efectivo y real C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/35 derecho de defensa (sentencia del Tribunal Constitucional n.º 90/1988, de 13 de mayo). Pues bien, OCCIDENT no es capaz de esgrimir un solo defecto o infracción procesal, ni siquiera formal, que haya limitado su derecho a la defensa de manera efectiva, Por todo lo expuesto, se desestima la presente alegación. “TERCERA.- NO PROCEDE IMPONER UN APERCIBIMIENTO A LA SOCIEDAD: LA SOCIEDAD HA CUMPLIDO DE FORMA DILIGENTE CON SUS OBLIGACIONES Y NO SE HA ACREDITADO NINGÚN INCUMPLIMIENTO” Este apartado se desglosa en los siguientes subapartados: “1. La sociedad no ha transferido ningún dato del reclamante a Google” El tratamiento de datos de la parte reclamante ha quedado acreditado de acuerdo con la documentación aportada junto con la reclamación (imagen de cookies instaladas al aceptar), las evidencias recogidas por esta Agencia (Política de cookies), las manifestaciones y documentos (términos de tratamiento, cláusulas contractuales tipo, estadísticas de solicitud de información, etc.) que el encargado del tratamiento (Google) a puesto a disposición del público, así como las afirmaciones y documentación aportada por OCCIDENT . El esquema de la conducta infractora es el siguiente: 1.- La parte reclamante, así como cualquier usuario de la web www.antares.es, de la que OCCIDENT era responsable, al aceptar las cookies “funcionales” de Google (encargado del tratamiento), permitía que en su navegador se instalasen las siguientes 2. Estas cookies, como expresa la propia Google, tienen como función “distinguir a los usuarios”. Google Analytics envía esta información, junto con otros datos que se describen en el Fundamento de Derecho IV, a los servidores de Google LLC. Recordemos que el Considerando 30 del RGPD señala acerca de identificadores de cuando se combinan con identificadores únicos y otra información recibida por los servidores, pueden utilizarse para crear perfiles de las personas físicas e identificarlos”, por lo que tienen el carácter de datos personales. 3. Según la respuesta de 9 de abril de 2021 de Google, todos estos “datos recogidos a través de Google Analytics se almacenan y se procesan más extensamente en los Estados Unidos”. 4. Después de la sentencia del TJUE en el asunto C-311/18 (Schrems II), que declaró inválida la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, sobre la adecuación de la protección conferida por el Escudo de la Privacidad UE EE. UU, las transferencias internacionales de datos a los EE. UU. desde la U. E. realizadas por Google, de acuerdo con sus “Términos de Tratamiento de Datos Ads.”, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/35 tienen su base jurídica en las cláusulas contractuales tipo, respecto a las cuales el TJUE consideró que, de la naturaleza contractual de estas cláusulas, se derivaba que no podían ser vinculantes para las autoridades de terceros países, por lo que, en el momento de la reclamación, las transferencias internacionales de datos a los EE. UU. no ofrecían garantías equivalentes a las contempladas en el RGPD. 5. Google publica periódicamente las estadísticas de solicitudes de información de agencias gubernamentales de EE. UU. en casos que involucran seguridad nacional, en base a la Sección 702 de FISA, lo cual motivó que el TJUE declarase inválida la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, sobre la adecuación de la protección conferida por el Escudo de la Privacidad UE EE. “2. La sociedad no ha transferido datos personales a Google” OCCIDENT se refiere a la anonimización de la IP como elemento que debe descartar que los datos transferidos tengan el carácter de dato personal. Sin embargo, aunque sí se declara que este dato es recogido, no se prueba el paso posterior de que el dato es anonimizado en el territorio de la U.E. Además, con independencia de la IP, existen en el presente caso se tratan una serie de datos que pueden hacer identificable a la parte reclamante (hacerle distinguible de los demás usuarios), en base a la propia afirmación de Google de que las cookies _ga y _gid son usadas para distinguir usuarios, junto con lo dispuesto por el considerando 30 del RGPD, son argumentos suficientes para entender que la mera posibilidad de hacer identificables a los usuarios de la web de OCCIDENT , supone que estos son datos personales, como así lo refrenda el considerando 26 del RGPD: “Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física.” En consecuencia, de conformidad con lo más ampliamente desarrollado en el Fundamento de Derecho IV, en especial, en su punto 2, “Sobre la calificación de los datos objeto de tratamiento como datos personales”, los datos transferidos por OCCIDENT mediante la herramienta proporcionada por Google tienen la consideración de datos personales. Por todo lo expuesto, se desestima la presente alegación. “3. En todo caso, la AEPD no ha analizado si, con base en las circunstancias del caso, se ha producido una infracción del RGPD” En este punto es destacable que, desde OCCIDENT, se razone acerca de la parquedad de la motivación del acuerdo de inicio, con relación a una “investigación general llevada a cabo sobre Google en otros países”, cuando la entidad reclamada ni C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/35 siquiera ha solicitado copia de los documentos obrantes en el expediente en base a los cuales se ha fundamentado el acuerdo de inicio del presente procedimiento. La investigación acerca del funcionamiento de Google se ha realizado por la propia AEPD. Por ese motivo, en el acuerdo de inicio se dice que se incorporan los documentos de las actuaciones previas de investigación E/10531/2021, que, como decimos, OCCIDENT no ha considerado oportuno consultar. En el marco de la TF-101 al que se hace referencia en los Hechos Probados, grupo de trabajo en el que las autoridades de protección de datos de los Estados miembros de la UE compartieron sus puntos de vistas e información acerca del funcionamiento de Google Analytics, la autoridad austriaca compartió el documento de 9 de abril de 2021 en el que Google LLC realiza una serie de declaraciones acerca del funcionamiento de Google Analytics, que, junto con otros documentos que Google pone a disposición al público, tales como sus “Términos de Tratamientos de Datos Ads.” y el informe relativo a las estadísticas de solicitudes de información de las agencias gubernamentales de los EE. UU. se considera base suficiente para iniciar el presente procedimiento sancionador. De nuevo, debe resaltarse la falta de interés de OCCIDENT en conocer el contenido de la documentación obrante en el expediente en base a la cual se fundamenta el presente procedimiento. Todos estos elementos de juicio han sido aplicados al caso concreto de la web www.antares.es de OCCIDENT, lo que ha llevado a las siguientes Hechos Probados, recogidos anteriormente en la presente resolución: 1.- Cuando la parte reclamante visitó el sitio web www.antares.es el 26 de mayo de 2022, se instalaron en su navegador dos cookies “funcionales” de Google. 2.- En la Política de Cookies del sitio web https://www.antares.es/cookies.html, se recogen las siguientes cookies de Google Analytics: _ga, _gid. 3.- Estas cookies se instalaban sin recabar el consentimiento de la parte reclamante autorizando la transferencia internacional de sus datos a EE. UU., previa advertencia de los riesgos que dicha transferencia conlleva respecto a sus datos personales relativas a la navegación en el sitio web en cuestión. En consecuencia, las circunstancias del caso concreto han sido analizadas convenientemente. “4. La sociedad ha actuado en todo momento de forma diligente y con la expectativa más que razonable de estar cumpliendo la normativa” El hecho de que el sitio web no esté operativo no es excluye la exigencia de responsabilidad por los hechos cometidos por OCCIDENT por los cuales se infringió lo dispuesto en el RGPD. Alega OCCIDENT haber actuado con “máxima diligencia y responsabilidad proactiva”. Sin embargo, deben realizarse las siguientes apreciaciones respecto a sus afirmaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/35 (
21. i)OCCIDENT no ha actuado de forma diligente en la medida en que ha ignorado la jurisprudencia del TJUE en materia de transferencia internacionales de datos a los EE.UU. en el asunto C-311/18 (“Schrems II”), como las decisiones posteriores de las autoridades de protección de datos de la Unión Europea que reseña en sus alegaciones (autoridades de Austria y Francia), acerca de la ilegalidad del uso de Google Analytics, y, por último, las dudas expresadas por su Delegada de Protección de Datos, por lo que, lejos de corregir los efectos de su actuación, los ha mantenido en el tiempo. (
22. ii)Si bien el uso de la funcionalidad User ID puede aumentar las posibilidades de identificación de los usuarios mediante al poder asociar sus propios identificadores con usuarios individuales para que pueda conectar su comportamiento en diferentes sesiones y en varios dispositivos y plataformas; la falta de uso de dicha funcionalidad no impide hacer identificables a los usuarios de la web www.antares.es, mediante la combinación de identificadores únicos con otros elementos, tal y como se razona en el punto 2 del Fundamento de Derecho IV de esta resolución. De este modo, otros datos como IP o la información almacenada en las cookies, pueden utilizarse comúnmente para identificar a un usuario, especialmente cuando se combinan con otros tipos de información similares. Esto se ilustra en el considerando 30 del RGPD, según el cual la asignación de identificadores en línea como direcciones IP identificadores de cookies a personas físicas o sus dispositivos puede «dejar rastros que, en particular cuando se combinan con identificadores únicos y otra información recibida por los servidores, pueden utilizarse para crear perfiles de las personas físicas e identificarlos». A modo de ejemplo, recordemos las funciones que, según se describen en los Hechos Probados, se les atribuyen a las cookies _ga y _gid. La cookie _ga registra una identificación única que se utiliza para generar datos estadísticos acerca de cómo utiliza el visitante el sitio web, y la cookie _gid registra una identificación única que se utiliza para generar datos estadísticos acerca de cómo utiliza el visitante el sitio web. El hecho de que Google tenga un complemento que puedan instalar los usuarios para evitar que sus datos sean recopilados por Google Analytics no exime al responsable del tratamiento, OCCIDENT, para que aquellos datos personales que sí han sido recogidos por Google Analytics, sean tratados de conformidad con lo establecido por el RGPD. “5. Occident, una empresa firmemente comprometida con la privacidad” Circunstancias tales como el “historial de la sociedad” o el “proceso continuo de mejora” no desvirtúan la responsabilidad de OCCIDENT en los hechos constitutivos de la infracción. En cuanto a que “el apercibimiento sería una medida desproporcionada”, OCCIDENT no ha actuado de forma diligente en la medida en que ha manifestado expresamente que era conocedora tanto de la jurisprudencia del TJUE, así como de las resoluciones de otras autoridades de protección de datos acerca de la ilegalidad del uso de Google Analytics, por lo que, lejos de corregir los efectos de su actuación, se ha mantenido en el tiempo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/35 No puede hablarse de falta de proporcionalidad de la medida cuando, de acuerdo con las circunstancias que concurren en el presente caso, no se ha propuesto la imposición de multa por la vulneración del artículo 44 del RGPD, tan sólo de un apercibimiento. “6. La AEPD se ha apartado de forma injustificada de su propio criterio” En esta alegación, OCCIDENT trae a colación una resolución de esta Agencia, en concreto, a la resolución de archivo de actuaciones dictada en el marco del expediente E/10529/2021 en relación con la reclamación presentada contra la Real Academia Española (la “RAE”). El motivo por en el que se fundamentaba el archivo de la reclamación es el siguiente: “…no se han encontrado evidencias que acrediten en el momento actual la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos.” (el subrayado es nuestro) En el caso de la web de OCCIDENT, a diferencia de lo expresado en el párrafo que anteriormente transcrito de la resolución del expediente E/10529/2021, pese a la Sentencia Schrems II, mantuvo el uso de Google Analytics en su web. Aunque posteriormente esta web haya dejado de estar operativo, no es óbice para que constatar el incumplimiento de lo dispuesto en materia de transferencia internacionales de datos por el RGPD, y más concretamente de la doctrina establecido por el TJUE en la Sentencia del asunto C-311/18 “Schrems II”. Por todo lo expuesto, se desestiman todas las alegaciones. IV Transferencias de datos personales a terceros países El artículo 44 “Transferencias de datos personales a terceros países u organizaciones internacionales” del RGPD establece: “Solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del presente Reglamento, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional. Todas las disposiciones del presente capítulo se aplicarán a fin de asegurar que el nivel de protección de las personas físicas garantizado por el presente Reglamento no se vea menoscabado”. El capítulo V del Reglamento prevé diversos instrumentos para garantizar un nivel de protección sustancialmente equivalente al garantizado en la Unión Europea, de conformidad con el artículo 44 del Reglamento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/35 - decisiones de adecuación (artículo 45); - garantías adecuadas (artículo 46); A falta de un nivel de protección equivalente, establece excepciones para situaciones específicas (artículo 49). 1. Sobre el tratamiento de datos y la responsabilidad del tratamiento. En el documento de fecha 9 de abril de 2021 enviado por Google LLC a la autoridad austríaca de protección de datos, el cual ésta compartió con el resto de las autoridades en el marco del grupo de trabajo TF101, se indica que Google Analytics funciona incluyendo un bloque de código Javascript en las páginas de un sitio web. Cuando un usuario visita una página web, este código Javascript hace referencia a un código Javascript que se ha descargado previamente al dispositivo del usuario, el cual ejecuta entonces la operación de ‘tracking’ para Google Analytics. La operación de ‘tracking’ envía datos acerca de la página solicitada a través de varios medios y envía esta información al servidor de Analytics por medio de una serie de parámetros anexados a una petición de una imagen GIF de un solo pixel enviados al dominio google-analytics.com. Los datos entonces se procesan más extensamente y terminan en los reportes del propietario de la web, en este caso OCCIDENT. Los datos que Google Analytics recolecta en beneficio del propietario de la web viene de las siguientes fuentes: i. La petición HTTP del usuario. Una petición HTTP contiene detalles como el navegador y el ordenador que hace la petición, como el hostname, el tipo navegador, ‘referer’, e idioma. ii. Información del navegador y del sistema. iii. Los administradores de sitios web que integran el servicio de Google Analytics pueden enviar instrucciones a Google para el procesamiento de los datos recopilados a través de Google Analytics. El administrador del sitio web puede aplicar diferentes configuraciones, por ejemplo, con respecto al período de retención de datos. La función Google Analytics también permite a los administradores de sitios web monitorear y mantener la estabilidad de su sitio web, por ejemplo, manteniéndolos informados de ciertos eventos como un pico en la audiencia o el hecho de que no hay tráfico en absoluto. Google Analytics también permite a los administradores de sitios web medir y optimizar la efectividad de las campañas publicitarias realizadas utilizando otras herramientas de Google. Por lo tanto, Google Analytics recopila la consulta http del usuario y la información sobre el navegador y el sistema operativo del usuario, entre otros elementos. Una solicitud http, para cualquier página, contiene detalles del navegador y del dispositivo que realiza la consulta, como el nombre de dominio y la información del navegador, su tipo, referencia e idioma. Google Analytics almacena y lee cookies en el navegador del usuario para evaluar la sesión del usuario y otra información sobre la consulta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/35 Por lo que se refiere a estas transferencias de datos, el contrato relativo a la función Google Analytics (“Condiciones del Servicio de Google Analytics”) incorpora un apéndice titulado “Términos del Tratamiento de Datos de Google Ads” (en versiones anteriores con el nombre de “Condiciones del Tratamiento de Datos de Google Ads”). Este apéndice contiene cláusulas contractuales tipo que rigen la transferencia de datos personales a los Estados Unidos de América bajo el servicio Google Analytics. Además, Google ha implementado medidas legales, organizativas y técnicas adicionales para regular las transferencias de datos bajo el servicio Google Analytics. De conformidad con el punto 10 de los “Términos del Tratamiento de Datos de Google Ads”, el responsable del tratamiento ha acordado que Google pueda almacenar y tratar datos personales del cliente (en el presente caso, datos personales de la parte reclamante) en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones. Cuando se recopila esta información, se transmite a los servidores de Google Analytics. Volviendo al documento enviado por Google LLC con fecha 9 de abril de 2021, en el último párrafo a la respuesta de la pregunta 8, Google manifiesta que todos los datos recopilados a través de Google Analytics están alojados en los Estados Unidos. Por lo tanto, los datos recopilados en el sitio web «https://www.antares.es» a través de Google Analytics se transfieren a los Estados Unidos. Dicha transmisión de datos requiere una base jurídica de conformidad con el artículo 44 y siguientes del RGPD. Todos estos elementos muestran que, al decidir implementar la función de Google Analytics en su sitio web, OCCIDENT, que gestiona el sitio web «https://www.antares.es», determinó los medios y fines de la recopilación y el tratamiento de los datos obtenidos a raíz de la integración de Google Analytics en su sitio web y debe considerarse el responsable del tratamiento en el sentido del artículo 4.7 del RGPD. 1. Sobre la calificación de los datos objeto de tratamiento como datos personales Puede afirmarse que los datos recopilados con arreglo a la función Google Analytics y transferidos a los Estados Unidos de América constituyen datos personales. El artículo 4.1 del RGPD define los datos personales como «toda información relativa a una persona física identificada o identificable («el interesado»); una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador, como un nombre, un número de identificación, datos de ubicación, un identificador en línea o uno o varios factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física.». Cabe señalar que los identificadores en línea, como las direcciones IP o la información almacenada en las cookies, pueden utilizarse comúnmente para identificar a un usuario, especialmente cuando se combinan con otros tipos de información similares. Esto se ilustra en el considerando 30 del RGPD, según el cual la asignación de identificadores en línea como direcciones IP, identificadores de cookies a personas físicas o sus dispositivos pueden «dejar rastros que, en particular cuando se combinan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/35 con identificadores únicos y otra información recibida por los servidores, pueden utilizarse para crear perfiles de las personas físicas e identificarlos». En el caso particular en el que el responsable del tratamiento alegara no tener la capacidad de identificar al usuario mediante el uso (solo o combinado con otros puntos de datos) de dichos identificadores, se esperaría que revelara los medios específicos desplegados para garantizar el anonimato de los identificadores recopilados. Sin tales detalles, no pueden considerarse anónimos. Por lo tanto, es necesario examinar en qué medida la implementación de Google Analytics en un sitio web permite al administrador del sitio web y a Google hacer que un interesado (un visitante del sitio web en cuestión) pueda ser identificado. Cuando la parte reclamante visitó el sitio web https://www.antares.es, los siguientes datos (a través del código JavaScript) fueron transmitidos desde el navegador de la parte reclamante a los servidores de Google LLC:       URL de la página web visitada (parámetro
23. dl)y título de la página web visitada (parámetro
24. dt)IP sr (resolución de pantalla), entre otros parámetros. Datos sobre el navegador y sistema operativo: Identificador único que identifica al operador del sitio web Cabe señalar que el TJUE ya ha declarado que las direcciones IP son datos personales (véase el asunto C-597-19, punto 102 y C-582/14, punto 49). La dirección IP no pierde su naturaleza de datos personales simplemente porque los medios de identificación residen en terceras entidades. Además, el caso en cuestión es muy diferente, ya que la dirección IP puede combinarse con otros elementos, como se describirá a continuación. En lo que respecta a los identificadores únicos, cuando un usuario visita el sitio web https://www.antares.es, en su política de cookies se reconoce el uso de Google Analyctics, lo que conlleva el envío de los valores de las cookies «_ga» y «_gid» a Google LLC, tal y como se recoge en la referencia de las cookies de Google Analytics (página 134 del expediente). Según la descripción de Google Analytics localizable en las urls: “https://developers.google.com/analytics/devguides/collection/analyticsjs/fieldreference” y “https://developers.google.com/analytics/devguides/collection/gajs/cookie-usage” , las cookies _ga y _gid se usan para distinguir a los usuarios y que el parámetro “sr” se refiere a la resolución de pantalla. Los identificadores de visitantes son identificadores únicos destinados para diferenciar a individuos (donde esa diferenciación no era posible antes), y hacen que los individuos sean identificables. Estos identificadores también pueden combinarse con otra información, como la dirección del sitio web visitado, los metadatos relativos al navegador y el sistema operativo, la hora y los datos relativos a la visita al sitio web y la dirección IP. Esta combinación de información diferencia aún más a los individuos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/35 Por esta razón, cuando se combinan varios elementos, pueden permitir identificar individualmente a los visitantes de la página web de «https://www.antares.es», en la que se implementa Google Analytics. No es necesario conocer el nombre o la dirección (física) del visitante, ya que, de acuerdo con el considerando 26 del RGPD, tal calificación de las personas es suficiente para que el visitante sea identificable. Si se decidiera lo contrario, el alcance del derecho a la protección de datos, garantizado por el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, se vería socavado, ya que permitiría a las empresas seleccionar específicamente a las personas junto con la información personal (por ejemplo, cuando visitan un sitio web específico) al mismo tiempo que les negaría cualquier derecho de protección contra tal singularización. Una opinión tan restrictiva que socavaría el nivel de protección de las personas tampoco está en consonancia con la jurisprudencia del Tribunal de Justicia de la Unión Europea (en adelante, TJUE), que dictaminó repetidamente que el ámbito de aplicación del RGPD debe entenderse de manera muy amplia (véase, por ejemplo, la sentencia C-439/19, apartado 61). Google LLC afirma que no tiene «ninguna intención» de utilizar identificadores en línea para identificar a la parte reclamante (u otras personas), según refiere en el último párrafo de la respuesta a la pregunta 13 del documento de 9 de abril de 2021y que de hecho «no hacen esto», hay que señalar que el artículo 4, apartado 1, del RGPD no requiere que una entidad tenga una intención específica de identificar a una persona. De acuerdo con la redacción clara del artículo 4, apartado 1, del RGPD, el término «datos personales» se completa cuando una entidad puede (tiene la posibilidad) de hacerlo. Incluso una interpretación más restrictiva del artículo 4, apartado 1, del RGPD, que en cualquier caso sería contrario a la jurisprudencia del TJUE, la definición de «datos personales» se entendería aplicable a los datos expuestos. En el caso de que algún visitante de la web https://www.antares.es hubiese iniciado sesión en una cuenta de Google en el momento de su visita, tal y como puede verse en la declaración de Google LLC del 9 de abril de 2021, la implementación de Google Analytics en un sitio web permite a Google recibir la información que un usuario específico de la cuenta de Google ha visitado ese sitio web. En el contexto del uso de Google Analytics, y dependiendo de algunos ajustes en la configuración de la cuenta de usuario de Google (ver respuesta a la pregunta 9 del documento de Google de 9 de abril de 2021), permite a Google recibir información de que un usuario conectado a una cuenta de Google ha visitado un sitio web en particular. Por lo tanto, se recopilan datos personales relacionados con esta cuenta. Por todo ello, debe considerarse que los datos en cuestión son datos personales en el sentido del artículo 4.1 del RGPD. 2. Sobre el incumplimiento de la obligación de regular las transferencias de datos personales fuera de la Unión Europea En el presente caso, debe verificarse si produjo la exportación de datos personales a los Estados Unidos de América como señala la parte reclamante, en los términos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/35 establece el artículo 44 del RGPD, y, en caso de que se hubiera producido, si la exportación se realizó con un nivel de protección adecuado conforme a una decisión de adecuación del artículo 45 del RGPD, o, en su defecto, si se adoptó alguna de las garantías del artículo 46 del RGPD.  Decisiones de adecuación En su sentencia del asunto C-311/18 ("Schrems II"), de 16 de julio de 2020, el TJUE invalidó la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección ofrecida por el "EU-US Privacy Shield" (“Escudo de la privacidad”), sin mantener sus efectos en la fecha de los hechos objeto de reclamación. En ausencia de decisión de adecuación aplicable al presente caso, la transferencia de datos en cuestión no puede estar basada en lo dispuesto en el artículo 45.3 del RGPD.  Salvaguardias apropiadas: Cláusulas tipo de protección de datos El artículo 46, “Transferencias mediante garantías adecuadas”, del RGPD, establece en su apartado 1 que “A falta de decisión con arreglo al artículo 45, apartado 3, el responsable o el encargado del tratamiento solo podrá transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.» El artículo 46, apartado 2, del RGPD dispone que “Las garantías adecuadas con arreglo al apartado 1 podrán ser aportadas, sin que se requiera ninguna autorización expresa de una autoridad de control, por: (…)
25. c)cláusulas tipo de protección de datos adoptadas por la Comisión de conformidad con el procedimiento de examen a que se refiere el artículo 93, apartado 2. (…)”. Las cláusulas contractuales tipo de Google para la transferencia de datos personales a los Estados Unidos, actualizadas el 27 de septiembre de 2021, con el nombre "Google Ads & Measurement: Standard Contractual Clauses (Module 3: Processor-toProcessor)”, que podría traducirse como: “Términos de tratamiento de datos de Google Ads: Modelo de Cláusulas Contractuales, Cláusulas Contractuales Tipo Encargado a Encargado” (en adelante, SCC). Estas cláusulas se ajustan a las publicadas por la Comisión Europea en la Decisión 2010/87/UE. En este contexto, cabe destacar que las cláusulas contractuales tipo son un instrumento de transferencia en el sentido del capítulo V del Reglamento y no fueron impugnadas como tales por el TJUE en su sentencia de 16 de julio de 2020 (C311/18). Sin embargo, el TJUE consideró que de la naturaleza contractual de estas cláusulas se derivaba que no podían ser vinculantes para las autoridades de terceros países. En particular, el TJUE declaró que: “...Por lo tanto, si bien existen situaciones en las que, en función de la legislación y las prácticas vigentes en el tercer país de que se trate, el destinatario de dicha transferencia está en condiciones de garantizar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/35 protección necesaria de los datos únicamente sobre la base de cláusulas contractuales tipo de protección de datos, existen otras en las que el contenido de dichas cláusulas tipo podría no constituir un medio suficiente para garantizar, en la práctica, la protección efectiva de los datos personales transferidos al tercer país de que se trate. Este es el caso, en particular, cuando la legislación de ese tercer país permite a sus autoridades públicas interferir con los derechos de los interesados a los que se refieren dichos datos" (C-311/18, punto 126, subrayado añadido). No es necesario realizar un análisis adicional de la situación jurídica de los Estados Unidos, ya que el TJUE ya lo ha proporcionado en su sentencia antes mencionada. En efecto, el TJUE consideró que los programas de vigilancia reglamentaria como el artículo 702 de la FISA y el E.O. 12333 en conjunción con la PPD-28, no satisfacen las exigencias mínimas establecidas por el Derecho de la Unión con respecto al principio de proporcionalidad, de modo que los programas de vigilancia basados en estas disposiciones no pueden considerarse limitados a lo estrictamente necesario (C311/18, punto 184). Además, el TJUE consideró que el marco jurídico en cuestión no confería a los interesados derechos susceptibles de recurso ante los tribunales contra las autoridades estadounidenses, de lo que se deduce que estas personas no tienen derecho a una tutela judicial efectiva (C-311/18, punto 192). El análisis del TJUE es pertinente en el presente asunto, ya que Google LLC (como importador de los datos a los EE. UU.) debe calificarse como proveedor de servicios de comunicaciones electrónicas en el sentido del apartado (
26. b)del punto 4 del artículo 1881 del título 50 del Código de los Estados Unidos y, por lo tanto, está sujeto a vigilancia por parte de los servicios de inteligencia de EE. UU. de acuerdo con el apartado (
27. a)del artículo 1881 del título 50 del Código de los Estados Unidos («FISA 702»). Por lo tanto, Google LLC tiene la obligación de proporcionar datos personales al gobierno de los Estados Unidos cuando se le solicite de conformidad con el apartado (
28. a)del artículo 1881 del título 50 del Código de los Estados Unidos (FISA 702). Como se puede ver en el Informe de transparencia de Google, Google LLC está sujeto regularmente a tales solicitudes de acceso por parte de los servicios de inteligencia de Estados Unidos. El informe puede consultarse en: https://transparencyreport.google.com/user-data/us-national-security?hl=en El TJUE declaró, por un lado, que la decisión de adecuación UE-EE. UU. era inválida debido a las posibilidades de acceso de los servicios de inteligencia estadounidenses y, por otro, llegó a la conclusión de que la utilización de las cláusulas contractuales tipo no puede por sí sola garantizar un nivel de protección, tal como exige el artículo 44 del RGPD, ya que las garantías que ofrecen quedan sin cumplir cuando se realizan dichas solicitudes de acceso. De hecho, el TJUE concluyó lo siguiente: “De ello se deduce que las cláusulas tipo de protección de datos adoptadas por la Comisión sobre la base del artículo 46, apartado 2, letra c), del RGPD solo tienen por objeto ofrecer garantías contractuales que se aplican de manera uniforme en todos los terceros países a los responsables y encargados del tratamiento establecidos en la Unión Europea y, en consecuencia, con independencia del nivel de protección garantizado en cada tercer país. En la medida en que estas cláusulas tipo de protección de datos no pueden, habida cuenta de su propia naturaleza, ofrecer garantías más allá de una obligación contractual de garantizar el cumplimiento del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/35 nivel de protección exigido por el Derecho de la Unión, pueden exigir, en función de la posición imperante en un tercer país determinado, la adopción de medidas complementarias por parte del responsable del tratamiento para garantizar el cumplimiento de dicho nivel de protección" (C-311/18, punto 133).  Observaciones generales sobre las medidas complementarias En sus Recomendaciones 01/2020, de 18 de junio de 2021, (que se pueden consultar en la web https://edpb.europa.eu/system/files/202106/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_en. pdf, aunque las transcripciones incluidas en este documento se refieren a su traducción al español) el Comité Europeo de Protección de Datos (CEPD) ha aclarado que, cuando la evaluación de la legislación o las prácticas vigentes del tercer país puede afectar a la eficacia de las salvaguardias adecuadas de los instrumentos de transferencia en los que se basa el exportador, en el contexto de su transferencia específica, como sucede en este caso tras la evaluación del TJUE, el exportador debe suspender la transferencia o aplicar medidas complementarias adecuadas. El CEPD observa a este respecto que “Cualquier medida complementaria solo podrá considerarse eficaz en el sentido de la sentencia del TJUE «Schrems II» en la medida en que aborde las deficiencias específicas detectadas en su evaluación de la situación jurídica en el tercer país. Si, en última instancia, no puede garantizar un nivel de protección esencialmente equivalente, no deberá transferir los datos personales.” (véanse las Recomendaciones 01/2020, punto 75). Las medidas para complementar las cláusulas tipo de protección de datos pueden clasificarse en tres categorías: contractual, técnico u organizativo (véanse las Recomendaciones 01/2020, punto 74). Con respecto a las medidas contractuales, el CEPD señaló que: “En algunas situaciones, estas medidas pueden complementar y reforzar las garantías que el instrumento de transferencia y el Derecho pertinente del tercer país pueden proporcionar, cuando, teniendo en cuenta las circunstancias de la transferencia, estas no cumplan todas las condiciones necesarias para garantizar un nivel de protección esencialmente equivalente al garantizado en la Unión. Habida cuenta de la naturaleza de las medidas contractuales, que por lo general no pueden vincular a las autoridades de ese tercer país cuando no formen parte del contrato, estas deberán combinarse con otras medidas técnicas y organizativas para proporcionar el nivel de protección de datos requerido (...)”. (véanse las Recomendaciones 01/2020, punto 99, subrayado añadido). Por lo que se refiere a las medidas organizativas, el CEPD destacó que: “… Seleccionar y aplicar una o varias de estas medidas no garantizará necesaria y sistemáticamente que su transferencia cumple la norma de equivalencia esencial que exige el Derecho de la Unión. En función de las circunstancias específicas de la transferencia y de la evaluación realizada sobre el Derecho del tercer país, se necesitarán medidas organizativas para complementar las medidas contractuales o técnicas, a fin de garantizar un nivel de protección de los datos personales esencialmente equivalente al garantizado en la Unión" (véanse las Recomendaciones 01/2020, punto 128, subrayado añadido). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/35 Por lo que se refiere a las medidas técnicas, el CEPD señaló que «…Estas medidas serán especialmente necesarias cuando la legislación de dicho país imponga a los importadores de datos obligaciones que sean contrarias a las garantías del artículo 46 del RGPD y puedan, en particular, afectar a la garantía contractual de un nivel de protección esencialmente equivalente contra el acceso de las autoridades públicas de ese tercer país a dichos datos» (véanse las Recomendaciones 01/2020, punto 77). Añadió que "Las medidas enumeradas a continuación tienen por objeto garantizar que el acceso de las autoridades públicas de terceros países a los datos transferidos no afecte a la eficacia de las garantías apropiadas contenidas en los instrumentos de transferencia del artículo 46 del RGPD. Estas medidas se aplican incluso si el acceso de las autoridades públicas se ajusta al Derecho del país del importador, cuando dicho acceso vaya más allá de lo necesario y proporcionado en una sociedad democrática. Estas medidas tienen por objeto evitar la posible vulneración del acceso impidiendo a las autoridades identificar a los interesados, inferir información sobre ellos, individualizarlos en otro contexto o asociar los datos transferidos con otros conjuntos de datos que puedan poseer y que puedan contener, entre otros datos, identificadores en línea proporcionados por los dispositivos, aplicaciones, herramientas y protocolos utilizados por los interesados en otros contextos." (véanse las Recomendaciones 01/2020, punto 79, subrayado añadido).  Medidas complementarias implementadas por Google LLC Google LLC, como receptor de datos de los usuarios de sus servicios de Google Analytics, adoptó medidas contractuales, organizativas y técnicas para complementar las SCC. En el documento de fecha 9 de abril de 2021 enviado por Google LLC a la autoridad austríaca de protección de datos, la cual ésta compartió con el resto de las autoridades en el marco del Grupo de trabajo TF101, Google LLC describió las medidas adoptadas en detalle. Teniendo en cuenta las consideraciones del TJUE y del CEPD, ahora debe verificarse si las medidas complementarias adoptadas por Google LLC eran eficaces, lo que significa que abordan la cuestión específica de las posibilidades de acceso de los servicios de inteligencia estadounidenses. Por lo que se refiere a las “medidas jurídicas y organizativas” adoptadas, cabe señalar que ni la notificación de los usuarios, incluso en caso de que dicha notificación sea admisible, ni la publicación de un informe de transparencia o una «política pública sobre el tratamiento de las solicitudes gubernamentales» de hecho impiden o reducen las posibilidades de acceso de los servicios de inteligencia estadounidenses. Además, no está claro cómo la «revisión cuidadosa de cada solicitud» de Google LLC sobre su admisibilidad es efectiva como medida complementaria, teniendo en cuenta que, según el TJUE, las solicitudes (legales) admisibles de los servicios de inteligencia estadounidenses no están en consonancia con los requisitos de la normativa europea de Protección de Datos. Con respecto a las “medidas técnicas” adoptadas, cabe señalar que no se ha aclarado, cómo las medidas descritas, tales como la protección de las comunicaciones entre los servicios de Google, la protección de datos en tránsito entre centros de datos, la protección de las comunicaciones entre usuarios y sitios web, o la «seguridad en el sitio», de hecho, impiden o reducen las posibilidades de acceso de los servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/35 de inteligencia estadounidenses sobre la base del marco jurídico de los Estados Unidos. Por lo que se refiere a las tecnologías de cifrado, como en el caso de los «datos en reposo» en los centros de datos, como lo menciona específicamente Google LLC como medida técnica, hay que señalar que Google LLC, como importador de datos, tiene la obligación de conceder acceso o entregar datos personales importados en su poder, incluidas las claves criptográficas necesarias para que los datos sean inteligibles (véanse las Recomendaciones 01/2020, punto 81). En otras palabras: mientras Google LLC tenga la posibilidad de acceder a los datos de las personas físicas en un texto claro, dicha medida técnica no puede considerarse efectiva en el presente caso. En cuanto Google LLC señala que «en la medida en que los datos de Google Analytics para la medición transferidos por los propietarios de sitios web sean datos personales, habría que considerarlos como seudónimos», debe tenerse en cuenta que los identificadores únicos universales (UUID) no entran en la definición del artículo 4.5 del RGPD. Si bien la seudonimización puede ser una técnica de mejora de la privacidad, los identificadores únicos tienen, como ya se describió anteriormente, la intención específica de seleccionar a los usuarios, no de actuar como salvaguarda. Aparte de esto, también se ha descrito anteriormente por qué la combinación de identificadores únicos con otros elementos (como los datos del navegador o del dispositivo y la dirección IP) y la posibilidad de vincular dicha información a una cuenta de Google en cualquier caso hacen que una persona pueda identificarse. En la medida en que Google LLC se refiere a una «medida técnica opcional» por medio de una función de anonimización IP, debe tenerse en cuenta, en primer lugar, que dicha medida es, como su nombre indica, opcional y no aplicable a todas las transferencias. Además, de la respuesta de Google no se desprende si esta anonimización tiene lugar antes de la transferencia o si la dirección IP completa se transmite a los Estados Unidos y solo se acorta después de esta transferencia a los Estados Unidos. Por lo tanto, desde un punto de vista técnico, existe un acceso potencial a toda la dirección IP completa antes de acortarla. Por lo tanto, las medidas complementarias adoptadas, tal como las presentó Google, no son eficaces en la medida en que ninguna de ellas aborda las cuestiones específicas en el presente caso, lo que significa que ninguna de ellas impide las posibilidades de acceso de los servicios de inteligencia estadounidenses ni hace que estos accesos sean ineficaces.  Las excepciones previstas en el capítulo V del Reglamento El artículo 49, “Excepciones para situaciones específicas”, del RGPD establece: "1. En ausencia de una decisión de adecuación de conformidad con el artículo 45, apartado 3, o de garantías adecuadas de conformidad con el artículo 46, incluidas las normas corporativas vinculantes, una transferencia o un conjunto de transferencias de datos personales a un tercer país u organización internacional únicamente se realizará si se cumple alguna de las condiciones siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/35
29. a)el interesado haya dado explícitamente su consentimiento a la transferencia propuesta, tras haber sido informado de los posibles riesgos para él de dichas transferencias debido a la ausencia de una decisión de adecuación y de garantías adecuadas;
30. b)la transferencia sea necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a solicitud del interesado; (…)” El Comité Europeo de Protección de Datos (CEPD), en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos, según le atribuye el artículo 70 del RGPD, dictó las Directrices 2/2018 sobre las excepciones contempladas en el artículo 49 del Reglamento 2016/679. En cuanto a la interpretación del supuesto
31. a)del artículo 49 del RGPD (apartado 2.1 de las Directrices 2/2018), el CEPD señala que el consentimiento debe ser específico e informado acerca de los posibles riesgos, estableciendo lo siguiente: “esta disposición obliga a los interesados a ser también informados de los riesgos específicos derivados del hecho de que sus datos se transferirán a un país que no ofrece un nivel adecuado de protección y de que no se prevén garantías adecuadas para la protección de los datos.” En el presente caso, el consentimiento de los usuarios para el almacenamiento de consentido explícitamente la transferencia internacional de datos, tal y como exige el artículo 49.1.
32. a)del RGPD; este consentimiento tiene que obtenerse de forma específica y, para que fuese válido, OCCIDENT debió informar previamente a los interesados de los riesgos que suponían las transferencias de datos a EE. UU., ante la ausencia de una decisión de adecuación y de garantías adecuadas en el sentido del artículo 49, apartado 1 del Reglamento. Respecto a la posible existencia de una relación contractual, no se aprecia la concurrencia de este supuesto, teniendo en cuenta que el Considerando 111 del RGPD exige que la transferencia internacional de datos basadas en el consentimiento explícito debe de ser “ocasional y necesaria en relación con un contrato”, mientras que en este caso las transferencias se producen de forma continua y sistemática y no se justifica su necesidad.  Marco jurídico actual Con fecha 10 de julio de 2023 se aprobó por la Comisión la Decisión de Ejecución (UE) 2023/1795 relativa a la adecuación del nivel de protección de los datos personales en el Marco de Privacidad de Datos UE-EE. UU. con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, por lo que las transferencias internacionales que se realicen con posterioridad a la misma pueden quedar amparadas por la citada Decisión. En la web https://www.dataprivacyframework.gov/s/ puede comprobarse que Google LLC ha certificado su adhesión a los principios del Marco de Privacidad de Datos hasta el 13 de septiembre de 2024, debido a la necesidad de renovar anualmente dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/35 certificación. Por lo tanto, en la actualidad, las transferencias internacionales de datos a Google LLC en los EE. UU. están amparadas por el Marco de Privacidad de Datos UE. EE. UU. Sin embargo, debe concluirse que, en la fecha en la que ocurrieron los hechos objeto de la reclamación, OCCIDENT no puede invocar ninguna de las herramientas previstas en el Capítulo V del RGPD para justificar las transferencias internacionales de datos personales de los visitantes a su sitio web, en particular identificadores únicos, direcciones IP, datos del navegador y metadatos, a Google LLC en los Estados Unidos, siendo de plena aplicación la doctrina establecida por el Tribunal de Justicia de la Unión Europea en la sentencia del caso Schrems II, por la que se invalidó la decisión sobre el "EU-US Privacy Shield". En consecuencia, de conformidad con las evidencias de las que se dispone en esta resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a OCCIDENT, por vulneración del artículo 44, “Principio general de las transferencias”, del RGPD, que señala que solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del RGPD, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional. V Tipificación y calificación de la infracción del artículo 44 del RGPD La vulneración del artículo 44 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
33. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/35 A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
34. l)La transferencia internacional de datos personales a un destinatario que se encuentre en un tercer país o a una organización internacional, cuando no concurran las garantías, requisitos o excepciones establecidos en los artículos 44 a 49 del Reglamento (UE) 2016/679. (…)” VI Apercibimiento El artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” De conformidad con las evidencias de que se dispone en el presente momento de resolución del procedimiento, el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, por la infracción cometida al vulnerar lo establecido en el artículo 44 del RGPD, procede dirigir un apercibimiento a OCCIDENT. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a OCCIDENT GCO, S.A.U. DE SEGUROS Y REASEGUROS, con NIF A28119220, por una infracción del artículo 44 del RGPD, tipificada en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/35 SEGUNDO: NOTIFICAR la presente resolución a OCCIDENT GCO, S.A.U. DE SEGUROS Y REASEGUROS. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
35. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es