← España

PS-00024-2021

1/17  Procedimiento Nº: PS/00024/2021 RESOLUCIÓN R/00230/2021 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00024/2021, instruido por la Agencia Española de Protección de Datos a ABANCA CORPORACIÓN BANCARIA, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 5 de marzo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ABANCA CORPORACIÓN BANCARIA, S.A. (en adelante, el reclamado), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00024/2021 935-240719 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, ABANCA CORPORACIÓN BANCARIA, S.A. con CIF.: A70302039, titular de la página web, ***URL.1,(en adelante, “la entidad reclamada”), en virtud de la reclamación presentada por D. A.A.A. (en adelante, “la persona reclamante”), por presunta vulneración de la normativa de protección de datos, y atendiendo a los siguientes: HECHOS PRIMERO: Con fecha 21/08/20, el reclamante remitió a esta Agencia escrito de reclamación, indicando, entre otras, lo siguiente: “Al acceder a la web, genera una serie de cookies, antes incluso de ser aceptado en el banner que aparece a tales efectos, entre ellas se encuentran cookies de terceros como “Youtube”, “Google” e incluso “***URL.2”. En este sentido cabe destacar que cualquier usuario no tiene la opción "real" de no ser rastreado por terceros ya que la web las carga al mismo tiempo que la advertencia”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 20/10/20, se dirige requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 20/11/20, la entidad reclamada presentó escrito de contestación al requerimiento, en el cual indicaba, entre otras, los siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 “El reclamante manifiesta que en la web ***URL.1, no se estaría obteniendo el consentimiento del usuario para la instalación de cookies no estrictamente necesarias ya que estas aparecen instaladas por defecto no dando la opción a oponerse a su instalación. No obstante, y a los fines de aclarar los hechos que hubiesen podido motivar la reclamación a la que se refiere la presente solicitud de información, se ha realizado una revisión y análisis del funcionamiento del sistema de gestión de consentimientos de cookies que la Entidad tiene implementado en su Web. Con motivo de dicha labor de revisión y análisis, se ha comprobado que el funcionamiento del citado sistema de gestión de consentimientos de cookies se adecúa a lo previsto en el normativa vigente y, en especial, a lo previsto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, “Reglamento general de protección de datos” o “RGPD”); en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, “LSSI”); en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de los Derechos Digitales (en adelante, “LOPDGDD”); así como en las Guías sobre el Uso de En relación con el funcionamiento de las cookies que ABANCA tiene implementado en el Sitio Web, ha de partirse del hecho de que, de forma previa a la obtención del consentimiento por parte del afectado, únicamente se descargan en el dispositivo a través del cual el usuario se conecta a la Web, aquellas cookies que han sido catalogadas como “técnicas” o estrictamente necesarias por ABANCA permitiendo, además, la gestión de consentimientos mediante un panel de configuración claramente visible, bien desde la primera capa de información (esto es, a través del banner de cookies que aparece cuando el usuario se conecta al Sitio Web). En este sentido, ver Anexo I adjunto a este escrito, donde se aporta el contenido del banner o “Aviso de cookies”), bien desde la segunda capa (Política de Cookies. En este sentido, ver Anexo II adjunto a este escrito, donde se hace referencia a la ubicación de la Política de Cookies en el Sitio Web). A estos efectos, no es ocioso recordar que, tal y como ha venido sosteniendo esta Agencia en el apartado 2.1.2 de la Guía de cookies publicada en julio de 2020, las cookies catalogadas como “técnicas” están exentas del cumplimiento de las obligaciones del artículo 22.2 de la LSSI siempre que sean utilizadas para prestar el servicio solicitado por el usuario. En este sentido, tal y como se identifica en la Política de Cookies del Sitio Web, las necesarias e imprescindibles para que ésta funcione correctamente. La descripción pormenorizada de las cookies “técnicas” se incluye en panel de “Configuración de pueden desactivar en nuestros sistemas. Sólo se configuran en respuesta a las acciones que realices al solicitar servicios, tales como establecer tus preferencias de privacidad, iniciar sesión o completar formularios. Puedes configurar tu navegador para bloquear o alertar sobre estas cookies, pero algunas áreas del Sitio Web no funcionarán. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 Estas cookies no almacenan ninguna información de identificación personal. Asimismo, se informa al usuario del Sitio Web de que las cookies técnicas no se pueden desactivar de nuestros sistemas, incluyendo una etiqueta de “Activas siempre” en la consola de “Configuración de cookies”. Esta afirmación se refuerza con lo dispuesto en la sección “Tu privacidad” (véanse, en este sentido, Anexo III y Anexo IV adjuntos al presente escrito), incluida dentro del centro de preferencias de privacidad -también dentro de la consola de “Configuración de cookies”-, en la que se indica lo siguiente: Al pulsar el botón de “Guardar configuración”, se guardará la selección de equivaldrá a rechazar todas las cookies, a excepción de las técnicas. Con el objetivo de ofrecer al usuario información clara, completa y transparente sobre la utilización de cookies técnicas empleadas por la Web, tras el texto descriptivo de las mismas se facilita una enumeración de las cookies que comprenden esta categoría pinchando en “Cookies utilizadas”. Accediendo a esta pestaña se muestra una lista exhaustiva de cookies en la que el usuario de la Web puede visualizar toda la información sobre cada cookie y, en particular, el nombre de la cookie, huésped, duración, tipo, categoría y descripción (vid, a estos efectos, Anexo V adjunto). En relación con las restantes tipologías de cookies empleadas por el Sitio Web (esto es; cookies de análisis, cookies de personalización y cookies publicitarias), en la consola de “Configuración de cookies” se ofrece una descripción de cada grupo de como una enumeración de las cookies empleadas en cada uno de los correspondientes grupos estableciendo, en consecuencia, una misma estructura que para las cookies técnicas. Asimismo, también se ofrece una definición más sucinta de cada grupo de cookies. A diferencia de las cookies técnicas o estrictamente necesarias, el funcionamiento de las cookies incluidas en alguno de los tres grupos de cookies identificados en el párrafo anterior responde a las preferencias del usuario del Sitio Web. En este sentido, es interés de esta parte poner de manifiesto que, de conformidad con las directrices de esta Agencia, no existen casillas premarcadas y las cookies antes referidas no se descargan hasta que exista una clara acción afirmativa por parte del usuario del Sitio Web; acción consistente en marcar expresamente la/s casilla/s correspondientes a cada grupo de cookies y guardando la configuración realizada de acuerdo con sus preferencias. Adicionalmente, aunque el usuario de la Web consienta en un momento determinado la descarga de cualesquiera tipologías de cookies citadas, también se le ofrece la posibilidad de eliminarlas del dispositivo a través del cual se conecta al Sitio Web (a excepción de las mencionadas cookies técnicas a las que nos hemos referido supra). Y ello por cuanto se posibilita, de forma permanente al usuario de la Web el acceso al sistema de configuración a través de la Política de Cookies, en el apartado “¿Qué tipos de cookies hay y cuáles utilizamos?”, en el que se incorpora un botón de acceso directo al panel de configuración de cookies. En el referido apartado se vuelve a informar al usuario de la Web de que, si guarda la configuración de cookies sin haber realizado ninguna acción u activado alguna opción, equivaldrá a rechazar todas las cookies (a excepción de las cookies técnicas que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 como decimos, siempre se encuentran activas por defecto). Finalmente, también en los apartados “¿Cómo visualizar las cookies?” y “¿Cómo eliminar las cookies?”, incluidos en la Política de Cookies, se informa a los usuarios de la Web de que pueden buscar y visualizar las cookies instaladas en su dispositivo, así como de la posibilidad de eliminar y bloquear las cookies almacenadas a través de los ajustes y configuraciones del navegador que tengan instalado. En conclusión, de todo lo expuesto, y a efectos justificativos, se incorpora, como Anexo VII adjunto al presente escrito, evidencia de la descarga exclusiva de cookies técnicas con carácter previo a la obtención del consentimiento, así como del funcionamiento de las demás cookies del Sitio Web en función de la selección realizada por el usuario de la Web según sus preferencias. En julio de 2019 se procedió a actualizar la Política de Cookies, incorporando las previsiones que, en función de lo establecido en el normativa vigente, resultaron necesarias, es decir: ● Identificación del responsable de la Web; ● Finalidades de las de las cookies; ● Cookies empleadas por el Sitio Web; ● Identificación de quién utiliza las cookies, en particular, de los terceros; ● Modo de visualizar las cookies descargadas en el navegador, así como de la forma en que los usuarios del Sitio Web pueden eliminarlas; ● Acciones que el usuario de la Web podía ejercitar: aceptar las contrario, rechazarlas todas. Posteriormente, y con motivo de la publicación por la Agencia de la Guía de cookies en noviembre de 2019, la Política de Cookies mencionada anteriormente fue nuevamente objeto de revisión y actualización por esta parte. Para dar cumplimiento a las nuevas directrices contenidas en la mencionada Guía, con especial atención en reforzar el deber de información a los usuarios de la Web, entre otras cuestiones de menor relevancia, se incorporó a la Política de Cookies:

  1. i)indicación del plazo de conservación de los datos asociados a la configuración de las cookies aceptadas por el usuario del Sitio Web; y,
  2. ii)un enlace directo a la Política de Privacidad de ABANCA para que los usuarios puedan obtener información detallada sobre su privacidad. Finalmente, con ocasión de la reciente publicación por la Agencia de la actualización de la Guía de cookies en julio de 2020, hemos llevado a cabo un nuevo análisis y revisión de la Política de Cookies de la Web. De resultas del citado análisis, se acordó una línea de actuación tendente a actualizar dicha Política de Cookies para: ● Informar de la posible actualización de la Política de Cookies debido a exigencias legislativas, instrucciones a la Autoridad de control o variación del funcionamiento de de cookies existentes; ● Robustecer la información dirigida a los usuarios de la Web en relación con la forma de gestionar sus consentimientos, así como informar de la posibilidad de visualizar las diferentes tipologías de cookies a través del panel de “Configuración de cookies”; ● Informar a los usuarios de la Web que si guardan la configuración de cookies sin haber seleccionado ninguna casilla, dicha acción equivaldrá a rechazar todas las cookies del Sitio Web; y ● Reforzar, a efectos de transparencia y claridad, la información facilitada a los usuarios de la Web en relación con el uso de cookies de terceros y, en particular, sobre la posibilidad de realización de transferencias internacionales de datos por parte de éstos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 En atención a lo expuesto cabe concluir que, tanto la Política de Cookies vigente en la Web en el momento de producirse la reclamación que nos ocupa, como la actual Política de Cookies (accesible en ***URL.3) se ajustan a lo dispuesto en la normativa vigente. En particular, con motivo de esta última revisión, se proporciona al usuario de la Web, de manera concisa, transparente e inteligible, la siguiente información y funcionalidades:
  3. a)Identificación del responsable de la Web.
  4. b)Definición y función genérica de las cookies.
  5. c)Tipología de las cookies utilizadas en el Sitio Web.
  6. d)Botón de acceso directo a la consola de administración de consentimientos para la descarga de cookies.
  7. e)Identificación de quién utiliza las cookies. En este apartado se especifican los terceros que le prestan servicios a ABANCA, incorporando información sobre los fines de las cookies utilizadas por ellos, de la posibilidad de realización de transferencias internacionales de datos y también se incluyen enlaces a la información específica que ofrece cada uno de los terceros sobre sus cookies.
  8. f)Forma de visualizar las cookies instaladas en el navegador y la posibilidad de restringirlas, bloquearlas o eliminarlas.
  9. g)Período de conservación de los datos generados por el uso de las cookies.
  10. h)Forma de aceptar, denegar o revocar el consentimiento en relación con el uso de las cookies.
  11. i)Remisión a la Política de Privacidad (a través de un enlace directo y fácilmente accesible) en relación con la restante información exigida en el artículo 13 del RGPD. A estos justificativos, se incorpora, como Anexo VIII adjunto al presente escrito, la Política de Cookies vigente en el Sitio Web en la actualidad. ABANCA ha venido realizando distintas acciones de adecuación a la normativa vigente en relación con la gestión de cookies de la Web y, en particular, a la Guía sobre el Uso de las Cookies de la AEPD publicada en noviembre de 2019 y actualizada en julio del presente año 2020. Así las cosas, y a los fines de dar cumplimiento a la obligación impuesta en el artículo 22.2 LSSI, consistente en la necesaria obtención del consentimiento previo, expreso e informado del usuario de la página web para que las cookies puedan utilizarse, se procedió a la implementar en el Sitio Web una plataforma de gestión de los consentimientos que permite a la Entidad realizar los desarrollos y configuraciones necesarios para que la gestión de cookies de la Web cumpla con los requisitos que establece la normativa y, especialmente, permita a los usuarios gestionar de manera fácil y accesible sus preferencias en relación con el uso de cookies en cualquier momento. Tal y como se informa en el banner en la página de inicio de la Web, los usuarios pueden configurar o rechazar las cookies de acuerdo con sus preferencias simplemente haciendo “click” en el botón “Configuración de Cookies”. La realización de esta acción despliega un panel de configuración en el que el usuario puede visualizar las diferentes tipologías de cookies empleadas por el Sitio Web y activar o desactivar su descarga en función de sus preferencias (a este panel también se puede acceder a través de la Política de Cookies pulsando el botón de “Configuración de Cookies” incluido en el apartado “¿Qué tipos de cookies hay y cuáles utilizamos?”). De esta manera, se garantiza que la descarga de las cookies que exigen el consentimiento previo por parte del usuario de la Web no se instale en su terminal hasta que se produzca su aceptación, de forma específica, a través de la consola de gestión de cookies. La decisión adoptada a propósito de esta reclamación Según ha quedado expuesto en el apartado PRIMERO del presente escrito, con motivo de la notificación recibida se ha llevado a cabo una revisión y análisis del sistema de gestión de consentimientos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 sistema se adecúa a lo previsto en la normativa vigente. Debido a lo expuesto, no se ha considerado necesario adoptar ninguna decisión y/o realizar actuaciones adicionales a propósito de la reclamación presentada ante esta Agencia toda vez que la Política de Cookies aprobada por esta Entidad ha sido y es acorde a la normativa que resulta de aplicación en cada momento cumpliendo, además, con las directrices y exigencias dispuestas en las distintas Guía de Cookies publicadas por la AEPD. Por todo lo expuesto, SOLICITO que, teniendo por presentado este escrito en tiempo y forma, junto con los documentos que se acompañan, se tenga por cumplido el requerimiento de información (Ref. E/08020/2020) efectuado a ABANCA, sin perjuicio de quedar a disposición de la AEPD para aportar la documentación e/o información complementaria que esta Agencia pueda estimar conveniente” CUARTO: Con fecha 20/01/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por el reclamante, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LPDGDD), al considerar que la respuesta dada por la persona reclamada a esta Agencia en relación a los hechos reclamados no acredita su sometimiento a la legislación vigente. QUINTO: Por parte de esta Agencia, con fecha 28/02/21, se realizan comprobaciones sobre la Política de Cookies en la página web, ***URL.1 comprobándose las siguientes características: 1.- Al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprueba que se utilizan las siguientes - IDE.- (***URL.2). que permite a Google publicar anuncios basados en las visitas que los usuarios realizan en sus sitios o en otros sitios de Internet. - NID.- (***URL.4), que permite mostrar anuncios de Google en los servicios de Google a usuarios que no tengan la sesión iniciada. - 1P_JAR.- (***URL.4), Cookie que transfiere datos a Google para hacer la publicidad más atractiva. - CONSENT.- (***URL.4), Función de aceptación de las cookies C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 - AFFICHE_W.- (***URL.5). contiene el identificador del equipo terminal que se instala durante la primera visita a uno de los sitios de la red de Weborama. 2.- En la página inicial, (primera capa), se despliega un banner con la siguiente información sobre cookies: “ABANCA utiliza cookies propias y de terceros tanto para mejorar tu experiencia de usuario como para mostrarte contenidos comerciales adaptados a tus intereses mediante el análisis de tus hábitos de navegación. La única información personal que recopilaremos serán los datos de tu IP asociados a la configuración que realices de las haciendo click en el botón “Configuración de cookies”. Para más información, por favor, accede a nuestra <<política de cookies>> <<Configuración de las Cookies>> <<Aceptar Cookies>> 3.- Si se opta por acceder a la <<configuración de cookies>>, a través del enlace correspondiente, la web redirige al usuario a un panel de configuración donde aparece el siguiente mensaje: “Las páginas webs que visitas pueden almacenar o recuperar información de tu navegador, principalmente en forma de cookies. Esta información puede ser sobre ti, tus preferencias o tu dispositivo y se utiliza principalmente para lograr que la página web funcione como se espera. Generalmente, esta información no te identifica de forma directa, pero puede brindarte una experiencia web más personalizada. Todas las cookies de este Sitio Web aparecen desactivadas por defecto, salvo las cookies técnicas que, como te indicamos en el apartado correspondiente, son necesarias y no se pueden desactivar de nuestros sistemas. Puedes configurar tus preferencias en relación con las cookies haciendo “click” en los diferentes encabezados de cada categoría, así como obtener más información sobre cada categoría de cookies. Ten en cuenta que, en caso de que no actives algunos tipos de cookies, tu experiencia de uso en el Sitio Web se puede ver afectada y también los servicios que podemos ofrecerte. Al pulsar el botón de “Guardar configuración”, se guardará la selección de cookies que hayas realizado. Si no has activado ninguna opción, pulsar dicho botón equivaldrá a rechazar todas las cookies, a excepción de las técnicas. <<Más información>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 Seguidamente aparece un panel de configuración granular donde la web permite gestionar las cookies por grupos, premarcadas en la opción de “off”: - Técnicas  “siempre activas” - Análisis  Off  ON - Personalización  Off  ON - Publicitarias  Off  ON - << Permitir Todas>> << Guardar Configuración>> Si se opta por “guardar configuración” que, según el mensaje, equivale a “rechazar todas las cookies”, la web elimina el banner inicial y permite seguir navegando por la página. 4.- En la página de la “Política de Cookies”, accesible a través del enlace indicado en el banner, o a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página ***URL.3, donde se proporciona información sobre qué son las cookies y para qué se usan; qué información guarda una cookie; qué tipo de cookies existen; se proporciona el enlace a la consola de configuración de las Analytics; Adobe Analytic y Adobe Target). Para poder visualizar las cookies que utiliza la página web, ésta remite a la información suministrada en el panel de control. - Sobre cómo gestionar la utilización de cookies directamente a través del sitio web, éste informa que: Mostramos información sobre nuestra Política de Cookies la primera vez que accedes al Sitio Web. Ante esta información puedes realizar las siguientes acciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 Aceptar las cookies. Puedes aceptar el uso de las cookies, lo que te permitirá utilizar todas las funcionalidades del Sitio Web sin restricciones. En tal caso, no volverás a visualizar este aviso al acceder a cualquier página del Sitio Web. Modificar la configuración de las cookies. Podrás obtener más información sobre qué son las cookies, cuáles son las cookies utilizadas por el Sitio Web, conocer la Política de Cookies de ABANCA y modificar la configuración de las cookies para adaptarla a tus preferencias. En cualquier momento puedes gestionar tus consentimientos relacionados con las diferentes tipologías de cookies empleadas por el Sitio Web accediendo a la consola de configuración, disponible de forma permanente en el apartado ¿Qué cookies utilizamos? de esta Política de Cookies. SEXTO: A la vista de los hechos denunciados, de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos considera lo indicado anteriormente, no cumple con la normativa vigente, por lo que procede la apertura del presente procedimiento sancionador. FUNDAMENTOS DE DERECHO I Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II En el presente caso, el reclamante indica que, al acceder al sitio web ***URL.1, éste genera una serie de cookies, antes incluso de ser aceptado en el banner que aparece a tales efectos, entre ellas se encuentran cookies de terceros no necesarias. Requerida información al reclamado sobre estos aspectos, éste indicaba, entre otras, que, “(…) únicamente se descargan en el dispositivo a través del cual el usuario se conecta a la Web, aquellas cookies que han sido catalogadas como “técnicas” o estrictamente necesarias por ABANCA permitiendo, además, la gestión de consentimientos mediante un panel de configuración claramente visible, bien desde la primera capa de información (esto es, a través del banner de cookies que aparece cuando el usuario se conecta al Sitio Web) (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 - Sobre la utilización de cookies no necesarias sin el previo consentimiento del usuario: Las cookies técnicas, son aquellas que permiten al usuario la navegación a través de una página web, plataforma o aplicación y la utilización de las diferentes opciones o servicios que en ella existan, incluyendo aquellas que el editor utiliza para permitir la gestión y operativa de la página web y habilitar sus funciones y servicios, como, por ejemplo, controlar el tráfico y la comunicación de datos, identificar la sesión, acceder a partes de acceso restringido, recordar los elementos que integran un pedido, realizar el proceso de compra de un pedido, gestionar el pago, controlar el fraude vinculado a la seguridad del servicio, realizar la solicitud de inscripción o participación en un evento, contar visitas a efectos de la facturación de licencias del software con el que funciona el servicio (sitio web, plataforma o aplicación), utilizar elementos de seguridad durante la navegación, almacenar contenidos para la difusión de vídeos o sonido, habilitar contenidos dinámicos (por ejemplo, animación de carga de un texto o imagen) o compartir contenidos a través de redes sociales. También pertenecen a esta categoría, por su naturaleza técnica, aquellas cookies que permiten la gestión, de la forma más eficaz posible, de los espacios publicitarios que, como un elemento más de diseño o “maquetación” del servicio ofrecido al usuario, el editor haya incluido en una página web, aplicación o plataforma en base a criterios como el contenido editado, sin que se recopile información de los usuarios con fines distintos, como puede ser personalizar ese contenido publicitario u otros contenidos. Las cookies técnicas estarán exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI cuando permitan prestar el servicio solicitado por el usuario, como ocurre en el caso de las cookies enumeradas en los párrafos anteriores. Sin embargo, si estas cookies se utilizan también para finalidades no exentas, quedarán sujetas a dichas obligaciones. En el presente caso, al entrar en la página inicial de la web indicada, sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprueba que se utilizan cookies no necesarias de terceros, como: - “IDE”, cuyo dominio es de “***URL.2” y que permite a Google publicar anuncios basados en las visitas que los usuarios realizan en sus sitios o en otros sitios de Internet; “NID”, cuyo dominio es de “***URL.4”, que permite mostrar anuncios de Google en los servicios de Google a usuarios que no tengan la sesión iniciada; “1P_JAR”, cuyo dominio pertenece a “***URL.4”, que transfiere datos a Google para hacer la publicidad más atractiva al usuario en función de sus preferencias; o “AFFICHE_W”; cuyo dominio es de “***URL.5”, que contiene el identificador del equipo terminal y se instala en el equipo terminal durante la primera visita a uno de los sitios de la red de Weborama. CONSENT.- (***URL.4), Función de aceptación de las cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 En el panel de control de cookies “Configuración de las Cookies”, la web proporciona información e identifica las cookies que utiliza. En este caso, sobre las cookies técnicas, la web informa que utiliza las siguientes: “Estas cookies son necesarias para que el Sitio Web funcione correctamente por lo que no se pueden desactivar en nuestros sistemas. Sólo se configuran en respuesta a las acciones que realices al solicitar servicios, tales como establecer tus preferencias de privacidad, iniciar sesión o completar formularios. Puedes configurar tu navegador para bloquear o alertar sobre estas cookies, pero algunas áreas del Sitio Web no funcionarán. Estas cookies no almacenan ninguna información de identificación personal”. a).- Cookies de Primera Parte: - ASP.NET_SessionId; JSESSIONID; OptanonAlertBoxClosed; ___XXXXX; ___XXXXX; entity; _dc_gtm_UA-xxxxxxxx; LSESSIONID; PHPSESSID; OptanonConsent; ___XXXXX; AB1Cookie; ABCookie; ___XXXXX; b).- Cookies necesarias cuyo dominio es “***URL.1”: - Remkt c).- Cookies necesarias cuyo dominio es “***URL.6”: - PHPSESSID; inbenta-iaf-jsonp d).- Cookies necesarias cuyo dominio es “***URL.7”: - LSESSIONID; ___XXXXX; ___XXXXX. e).- Cookies necesarias cuyo dominio es “cookielaw.org”: - __cfduid C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 Sobre las cookies publicitarias utilizadas, la web indica que utiliza, entre otras, las siguientes: “Estas cookies pueden incluir tanto las cookies publicitarias estándar como las cookies de publicidad comportamental. Las primeras son aquellas que permiten la gestión efectiva de los espacios publicitarios con base en criterios como el contenido editado o la frecuencia en la que se muestran los anuncios. Las segundas son aquellas establecidas a través de nuestro Sitio Web por nuestros socios publicitarios. Estas través de la observación continuada de tus hábitos de navegación, lo que permite desarrollar un perfil específico para mostrarte publicidad personalizada en función de éstos. Si no permites utilizar estas cookies, verás menos publicidad dirigida. Puedes conocer la información de las cookies publicitarias de terceros accediendo a nuestra Política de Cookies haciendo “click” en “Más información”. a).- Cookie publicitaria cuyo dominio pertenece a “***URL.5”: Nombre Huésped Duración Tipo Categoría Cookies Descripción AFFICHE_W ***URL.5 93 days 3rd Party publicitarias This domain is owned be Weborama, a France based online advertising business (que traducido al castellano: “Este dominio es propiedad de Weborama, una empresa de publicidad en línea con sede en Francia”). b).- Cookies publicitarias cuyo dominio pertenece a “***URL.2”: Nombre Huésped Duración Tipo CategoríaCookies Descripción IDE ***URL.2 1 year 3rd Party publicitarias This domain is owned by Doubleclick (Google). The main business activity is: Doubleclick is Googles real time bidding advertising exchange ( que traducido al castellano: “Este dominio es propiedad de Doubleclick (Google). La principal actividad comercial es: Doubleclick es el intercambio publicitario de ofertas en tiempo real de Google”. Hay que indicar que, la web no identifica en ninguno de los grupos de cookies que utiliza, las cookies detectadas al acceder a la página inicial, cuyo dominio pertenece a “goolge.com” y que son: NID, 1P_JAR y CONSENT. Por tanto, En el presente caso, las cookies detectadas al entrar en la página inicial de la web, sin realizar ninguna acción sobre la misma y sin rechazar las cookies,(IDE, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 NID, 1P_JAR y AFFICHE_W además de constatarse que no son cookies necesarias, están identificadas por la propia página web como publicitarias, IDE y AFFICHE_W o, ni siquiera, se encuentran identificadas por la web, como ocurre en el caso de las III Los hechos expuestos podrían suponer por parte de la entidad reclamada la comisión de la infracción del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: - La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. - Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la primera reclamación de agosto de 2020, (apartado b). Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de 5.000 euros (cinco mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web ***URL.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad ABANCA CORPORACIÓN BANCARIA, S.A. con CIF.: A70302039, titular de la página web, ***URL.1 por la infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies” de la página web de su titula ridad. NOMBRAR: como Instructor a D. B.B.B., y Secretaria, en su caso, a Dª C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del presente expediente administrativo. QUE: a los efectos previstos en el art. 64.2
  12. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 5.000 euros (cinco mil euros), por la infracción del artículo 22.2) de la LSSI, respecto de la “Política de Cookies” en la página web de su titularidad, sin perjuicio de lo que resulte de la instrucción del presente expediente. QUE: de conformidad con el artículo 58.2 del RGPD, la medida correctiva que podría imponerse a la entidad ABANCA CORPORACIÓN BANCARIA, S.A. consistiría en ORDENARLE que, tomase las medidas necesarias sobre la página web de su titularidad para adecuarla, de tal manera que se impida la utilización de cookies no necesarias antes de obtener el consentimiento del usuario. NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad ABANCA CORPORACIÓN BANCARIA, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  13. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.600 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000 euros (tres mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 23 de marzo de 2021, el reclamado ha procedido al pago de la sanción en la cuantía de 3.000 euros haciendo uso de las dos reducciones previstas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  14. d)e
  15. i)y 38.4 d),
  16. g)y
  17. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00024/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ABANCA CORPORACIÓN BANCARIA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  18. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-031219 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.