← España

PS-00032-2020

1/24  Procedimiento Nº: PS/00032/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00032/2020, instruido por la Agencia Española de Protección de Datos, a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL (IBERIA) con CIF: A85850394, titular de la página web: ***URL.1, (en adelante, “la entidad reclamada”), en virtud de la denuncia presentada por Dª. A.A.A., (en adelante, “la reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/10/19, tuvo entrada en esta Agencia escrito, presentado por la reclamante, en el que exponía, entre otras, lo siguiente: “denuncio a la empresa Iberia ya que al buscar un viaje no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 29/11/19, se dirige un requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 28/01/20, la entidad reclamada envía a esta Agencia escrito en el que, entre otras, informa de lo siguiente: “Previo a la recepción del escrito requiriendo información, mi representada llevaba trabajando desde junio de 2019 en el diseño de la solución de adaptación de la política de cookies a las exigencias del Reglamento General de Protección de Datos y la Nueva Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales siguiendo, además, las guías de buenas prácticas emitidas por las autoridades de control y muy especialmente la emitida por la Agencia el pasado mes de noviembre de 2019. En el momento de recepción de la reclamación, en Iberia se estaban realizando pruebas finales en la página de web (***URL.1) para poner en funcionamiento la nueva funcionalidad de información y autogestión de cookies tratando de asegurar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/24 óptimo cumplimiento de las recomendaciones en esta materia realizadas por la Agencia en la Guía que tiene publicada al respecto desde noviembre 2019. Cabe informar que desde mediados de enero la página web de Iberia cumple con la normativa vigente y con las recomendaciones publicadas por la Agencia. Como ya se ha indicado anteriormente, en el momento de la recepción del escrito del Sr. Inspector, Iberia llevaba meses trabajando con diferentes proveedores para llevar a cabo el diseño e implementación de la solución técnica idónea. Una vez publicada la Guía de utilización de cookies por parte de la Agencia y verificadas las necesarias adaptaciones en el diseño que se había preparado para cumplir con las recomendaciones en ella contenidas se ha procedido a la puesta en funcionamiento del nuevo banner de cookies con su configurador. A pesar de haber tenido de por medio las vacaciones navideñas y de año nuevo, gracias a los esfuerzos realizados la nueva herramienta de información y configuración de cookies en la web de Iberia lleva en funcionamiento desde mediados de este mes de enero de 2020. Actualmente se encuentra implementado un banner que además de informar sobre la responsabilidad del uso de cookies en la página, que corresponde a Iberia, permite configurar los tipos de cookies que se encuentran en la web, o bien aceptar todas. Las cookies de la web siempre están activadas y son configurables, siendo una excepción a esta configuración aquellas cookies de tipo técnico que sirven para el rendimiento de la web y que permiten al usuario una correcta visualización de la misma. Además, tal y como se observa en la propia página web, no se carga ninguna cookie, exceptuando las técnicas, sin que el usuario haya aceptado todas las cookies o se haya opuesto a las que él mismo estime convenientes”. CUARTO: Con fecha 31/01/20 y 06/02/20, en el trascurso de la investigación realizada por la Subdirección General de Inspección de Datos de esta Agencia, se accede por Internet a la URL: ***URL.1, comprobándose que: Se cargan cookies en el navegador al acceder a la página web en cuestión: (DoubleClick, Google, y entre las de Iberia, analíticas de Google:_ga, _gid). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 El aviso de cookies de primera capa tiene el siguiente contenido: “Iberia L.A.E le informa que almacena cookies en su dispositivo para garantizar el buen funcionamiento y la seguridad de nuestros sitios web, y ofrecerle la mejor experiencia de navegación posible. Haga clic en Aceptar cookies si acepta el uso de estas cookies, o bien cambie la configuración cuando lo desee en Configuración de En el mismo banner existe la opción de “Aceptar las cookies” y un link a la página de “Configuración de Cookies”. a).- Si se accede a la “Política de Cookies”, se ofrece información sobre: - Cómo y para qué se emplean las cookies. - Qué son las cookies. - Los tipos de cookies de la web y sus finalidades. - Cómo gestionar las cookies. - A qué destinatarios se comunicarán los datos. - Actualizaciones de la Política. - b).- Si se accede a la “Configuración de Cookies” a través del link existente en la primera capa, se proporciona información en apartados: Apartado de “Privacidad del Usuario”. Se informa que pueden almacenar o recuperar información del navegador, principalmente en forma de cookies. Esta información puede ser sobre el usuario, sus preferencias o su dispositivo y se utiliza principalmente para lograr que el sitio funcione como se espera. La información generalmente no lo identifica en forma directa, pero puede brindarle una experiencia web más personalizada. Se puede aceptar o rechazar la utilización de cookies para cada categoría moviendo el selector que encontrarás al final de cada una de las líneas de abajo. Cada vez que se te ofrezca aceptar o rechazar la utilización de determinadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 “política de cookies”, comprobándose que se instalan una serie de cookies sin haberlas aceptado formalmente. Apartado “Cookies Técnicas”. Se informa que son necesarias para que el sitio web funcione y no se pueden desactivar (no son configurables). Apartado “Cookies de Rendimiento”. Se informa que permiten contar las visitas y fuentes de tráfico para poder evaluar el rendimiento de nuestro sitio y mejorarlo. Permite desactivarlas haciendo click sobre el interruptor azul situado en la esquina superior derecha. Apartado “Cookies Dirigidas”, (de publicidad dirigida). Se informa que pueden ser establecidas a través del sitio por socios publicitarios. Pueden ser utilizadas por esas empresas para crear un perfil de sus intereses y mostrar anuncios relevantes. Permite desactivarlas haciendo click sobre el interruptor azul situado en la esquina superior derecha. Apartado “Cookies de Funcionalidad”. Se informa que permiten que el sitio ofrezca una mejor funcionalidad y personalización. Pueden ser establecidas por el titular de la página o por terceras partes cuyos servicios han agregado a la página. Se indica que si no se permiten estas cookies algunos de sus servicios no funcionarán correctamente. QUINTO: A la vista de los hechos denunciados, de la documentación aportada por las partes y de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos consideró que la actuación de la entidad reclamada no cumplía las condiciones que impone la normativa en vigor, por lo que procede la apertura de un procedimiento sancionador. Así, con fecha 01/06/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39.1.

  1. c)y 40) de la citada Ley, respecto de su Política de Cookies, imponiendo una sanción inicial de 30.000 euros, argumentando que: a).- Al acceder a la página ***URL.1, en la primera capa, el banner sobre cookies, proporciona información poco concisa, transparente o inteligible, utilizándose la expresión “(…)almacena cookies en su dispositivo para garantizar el buen funcionamiento y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 seguridad de nuestros sitios web, y ofrecerle la mejor experiencia de navegación posible (…)”, ya que inducen a confusión desvirtuando la claridad del mensaje, (punto 3.1.2.1 de la guía). b).- En la primera capa, se indica que para “Aceptar” todas las cookies se debe hacer clic en “aceptar”, o bien si desea cambiar la configuración de las cookies se debe hacer clic en, “Configuración de cookies”, pero no se informa de que cuando se accede a la página, sin haber realizado ninguna otra acción se cargan cookies sin haberlas aceptado. Tampoco se informa de si las cookies son propias o de terceros, ni Información sobre el tipo de datos que se van a recopilar en caso de que se elaboren perfiles (cookies de publicidad comportamental). Si no se pulsa el botón de “aceptar” o el botón de “configuración de cookies”, no se permite seguir navegando, con lo que no se da la opción al usuario de rechazar el uso de cookies ( ej. 2, del punto 3.1.2.2. guía). c).- Entrando en la segunda capa, a través del link, “configuración de cookies” o en la página de “política de cookies”, se permite la configuración de cookies de forma granular pero no se identifican las cookies de terceros y no se informa del periodo de conservación de las cookies en el navegador, (a excepción de las utilizadas para equilibrar la carga en la infraestructura del sitio web). SÉPTIMO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 15/06/20, formuló, en síntesis, las siguientes alegaciones: “Los hechos sobre los que se inicia procedimiento sancionador no son los mismos por los que se remitió el requerimiento en el expediente E/11207/2019. En el requerimiento previo indicado, se nos daba traslado de una reclamación y se nos requería información en relación con nuestra política de cookies de la web www.iberia.com, y el uso que de dichas cookies se hace de las mismas, así como la no inclusión de una opción de oposición al tratamiento de datos personales que se realiza mediante las mismas. En respuesta a dicho requerimiento, remitido a la Agencia el 28 de enero pasado, ya se informaba del cambio e implantación de la nueva funcionalidad y del banner informativo y de autoconfiguración. Queda patente y confirmado, a la vista de los términos del escrito de comunicación del mencionado procedimiento sancionador, que la información facilitada por IBERIA era correcta y verídica y que todo lo que se dijo el día 28 de enero era cierto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 En lugar de analizar los términos de la herramienta de configuración de la funcionalidad y del banner informativo y de autogestión y, en su caso, remitir un nuevo requerimiento para solicitar aclaraciones o modificaciones al diseño del mismo, la Agencia ha procedido erróneamente a iniciar un procedimiento sancionador cuando los hechos que motivan el requerimiento remitido a finales del mes de noviembre en el expediente E/11207/2019 son significativamente diferentes a los que sirven de base a este nuevo expediente, que se centra en aspectos muy específicos de la nueva funcionalidad puesta en funcionamiento en enero de este año sin que ello borre el hecho de que dicha funcionalidad, en términos generales, cumple con lo dispuesto en el artículo 22 LSSI cuya vulneración se invoca en los fundamentos jurídicos del expediente incoado. Respecto de cada uno de los ítems indicados en la comunicación de inicio del expediente sancionador:
  2. a)Respecto de la Primera Capa: a.1.) Al acceder a la página inicial y sin haber realizado ninguna acción, se comprueba que se cargan cookies no necesarias como las analíticas de Google:_ga, _gid), sin que exista ninguna advertencia de dicha instalación. Las cookies mencionadas que se cargan al acceder a la web de iberia (“Tag Managers”) porque son necesarias para poder gestionar la relación existente entre Iberia y los metabuscadores de viajes y billetes de avión (ej.: ***URL.2). Gracias a estas Los Tag Managers funcionan de forma similar para las que se denominan redes de afiliación, que asimismo se encargan de traer tráfico cualificado a la web de Iberia y tienen el mismo modo de Coste Por Adquisición (CPA) que los metabuscadores. Si desde el primer momento estas cookies estuvieran inactivas, se perdería la información relacional y no sería posible gestionar y mantener la relación entre Iberia y los metabuscadores/redes de afiliación. No obstante, aunque estén activas desde el primer momento no envían información de ningún tipo hasta que el usuario dé su consentimiento. La existencia de este tipo de cookies y del intercambio de este tipo de información está recogida en nuestra política de privacidad en el apartado de terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 Por lo tanto, los datos relevantes a estos efectos son: Para cumplir con su cometido es necesario que las cookies mencionadas se encuentren activas desde que se accede a la web para el correcto tratamiento e identificación de la sesión (que no del equipo desde donde se navega); y - Dichas cookies no contienen datos personales. Las cookies pueden rechazarse, y solo envían información en el momento en que se consienten. Esta información se hubiera facilitado si en lugar de inicio de procedimiento sancionador se hubiera enviado un requerimiento informativo. a.2.) “El banner sobre cookies que se despliega, al acceder a la página, proporciona información poco concisa o inteligible. Al utilizar expresiones como “(…) ofrecerle la mejor experiencia de navegación posible (…)” inducen a confusión…” Además de que la aseveración es totalmente subjetiva y valorativa, lo cierto es que la frase utilizada como ejemplo es la única frase en todos los textos de la funcionalidad que podría ser objeto de esa valoración. En todo caso, la estructura y lenguaje del resto de la funcionalidad de autogestión es suficientemente descriptiva e intuitiva para que desde un punto de vista objetivo se interprete precisamente lo contrario: que es suficientemente clara e informativa. En cualquier caso, la frase indicada ya ha sido modificada, y si en lugar de haber recibido una comunicación de procedimiento de inicio de sanción se hubiera recibido un requerimiento de información o de modificación del texto se hubiera obtenido el mismo resultado. a.3.) No informa de que las cookies instaladas son propias y de terceros (punto 3.1.2.2.
  3. c)de la guía), informando solo de que, “Iberia LAE le informa que almacena de terceros incluso sin haber realizado ninguna acción. Sobre el último punto de la afirmación ya se ha dado debida respuesta en el apartado a.1.) anterior. Si bien es cierto que la primera capa de información no especificaba la existencia de caso de las “Cookies dirigidas”, que se describen como “Estas cookies puede ser establecidas a través de nuestro sitio por nuestros socios publicitarios. Puede ser utilizadas por esas empresas para crear un perfil de sus intereses y mostrarle anuncios en otros sitios…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 Con todo respeto, la Agencia no debe olvidarse de que las guías son orientativas, no normativas, y que aunque son de utilidad para los administrados no constituyen el único medio para cumplir con la verdadera regulación que pretenden poner en práctica. a.3). “Se indica que para aceptar todas las cookies se debe hacer clic en “aceptar”, o bien si desea cambiar la configuración de las cookies se debe hacer clic en “configuración de cookies”, pero si no se pulsa el botón de “aceptar” o el botón de “configuración de cookies”, no se permite al usuario seguir navegando…” Una vez más, en este punto la guía se confirma no sólo como una posible forma o propuesta de dar cumplimiento a la normativa, sino como una que no necesariamente respeta el criterio más común o compartido por la generalidad de organismos europeos reguladores. No se permite seguir navegando porque precisamente esa es la recomendación proveniente del European Data Protection Board (EDPB) publicada el pasado mes de mayo (cierto es, posteriormente a la fecha de emisión de la comunicación de inicio de expediente sancionador que es de marzo). En todo caso, la configuración tal y como estaba establecida a 31 de enero de 2020 hace precisamente uso del ejemplo 2 apartado 3.1.2.2 de la guía, en el que se incluye sólo un botón de aceptación y posteriormente la posibilidad de configurar las cookies para que el usuario las pueda aceptar o rechazar según considere, o incluso rechazarlas todas con un solo clic. “Para facilitar la selección, en el panel podrán implementarse dos botones, uno para aceptar todas las cookies y otro para rechazarlas todas, siendo esta opción recomendable cuanto mayor sea el número distinto de cookies que se utilicen. Si se utiliza la modalidad de “seguir navegando” como forma de obtención del consentimiento, deberá incluirse en el panel un botón para rechazar todas las cookies, para respetar el requisito de que sea tan fácil retirar el consentimiento como darlo.” La página web de Iberia dispone desde enero de 2020 de un panel de configuración de cookies para aceptación y/o rechazo. Además, no se permite seguir navegando si no ha habido aceptación de la configuración, completa o customizada por el cliente, o rechazo completo de todas las cookies. Es imposible “seguir navegando” sin más, porque no es una opción válida tal y como se indica en la guía del EDPB (pág. 21). A pesar de todo, se ha modificado el texto para dotarlo de algo más de claridad. Una vez más, no parece que esta razón sirva para incoar un expediente sancionador en lugar de haber dado lugar a un requerimiento de información o modificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24
  4. b)Respecto de la Segunda capa (configuración de cookies) “Accediendo a través del link, “configuración de cookies”, se permite aceptar o rechazar la utilización de determinadas categorías de cookies como: cookies de rendimiento, cookies dirigidas y puede acceder a la “Política de cookies” a través del link situado en la parte inferior de la página web.” Es cierto que, por motivos técnicos, en algunos navegadores la política de cookies no podía accederse sin aceptar, configurar o rechazar previamente las
  5. c)Respecto de la Segunda capa, al acceder a la página donde se informa sobre la política de cookies, se comprueba que da información sobre: qué son las cookies; tipos de cookies de la web de IBERIA y sus finalidades; cómo gestionar las cookies; a qué destinatarios se comunicarán sus datos; actualizaciones de la Política y cookies utilizadas en iberia.com. Efectivamente, así es. Pero es igualmente cierto que la mayor parte de esa misma información está contenida en los textos de la funcionalidad de autogestión de cookies que precede al texto de la Política de cookies propiamente dicho. c.2.) Sobre las cookies utilizadas en iberia.com se identifican las cookies propias que se instalan, pero no las de terceros, ni el tiempo que permanecen activas en el equipo terminal, (a excepción de las utilizadas para equilibrar la carga en la infraestructura del sitio web, que caducan al finalizar la sesión) Como ya se ha indicado, la información sobre la existencia de cookies tanto propias como de terceros ya estaba suficientemente detallada en la información puesta a disposición del usuario en la segunda capa de la funcionalidad de autogestión. Los usuarios han sido privados de información ni tampoco han sido engañados en relación con la existencia de cookies de terceros. Ausencia de materialidad para la incoación de un expediente sancionador Entendemos, por tanto, que a la luz de las explicaciones facilitadas, de las pequeñas modificaciones llevadas a cabo en los textos de la funcionalidad y de las correcciones técnicas comprometidas/realizadas, según sea el caso de cada uno de los ítems en los que se pretende fundamentar la incoación del expediente sancionador se ha demostrado, por un lado, que no existe tal fundamento y que el propósito y el bien jurídico protegido por el art. 22 LSSI no ha sido vulnerado. A nuestro juicio, no procede incoación de expediente sancionador en contra de Iberia y debería procederse a su archivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 Solicitamos del Sr. Inspector al cargo de este Expediente que tenga por recibido este escrito junto con la documentación que lo acompaña, lo admita y en su virtud tenga por efectuadas las alegaciones en él contenidas, las estime y en su virtud proceda al archivo del expediente sancionador incoado en contra de Iberia”. OCTAVO: Con fecha 24/06/20, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/11207/2019 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00032/2020, presentadas por la entidad denunciada. NOVENO: Con fecha 24/07/20, se notifica a la entidad reclamada la propuesta de resolución en la que se propone que, por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad reclamada, titular de la página web: ***URL.1, por infracción del art 22.2 de la LSSI, con una multa de 30.000 euros. DÉCIMO: Tras la notificación de la propuesta de resolución, con fecha 07/08/20, la entidad reclamada presenta escrito de alegaciones, en el cual, entre otras indica: “Los motivos de este procedimiento sancionador no guardan relación con el hecho que consta en la denuncia que supuestamente lo origina y que fue corregido desde enero de 2020. Los motivos de supuesta infracción alegados en esta fase de instrucción han quedado reducidos a dos y sin embargo se mantiene la misma propuesta de resolución y la cuantía de la multa. La propuesta de sanción no está debidamente fundamentada y es incongruente con la instrucción practicada. No se ha aplicado lo dispuesto en los artículos 39bis y 40 LSSI ni por la Agencia ni por el Sr. Instructor De todos los puntos que se indicaban en la comunicación de inicio de este expediente sancionador, tras las alegaciones presentadas por IBERIA el pasado día 15 de junio y las nuevas comprobaciones que el instructor habría realizado el pasado día 22 de julio de 2020, la propuesta de resolución sancionadora ha quedado limitada en su fundamentación, exclusivamente, a dos únicos supuestos incumplimientos respecto de cada uno de los cuales adelantamos resumidamente nuestras: En primer lugar, transcribimos el apartado “b)” de la página 15 de la comunicación de propuesta de resolución: “b.- Respecto a la información facilitada sobre la política de y ofrecerle la mejor experiencia de navegación posible (…)”, por el mensaje utilizado, a fecha 20/07/20: “(…) Usamos cookies analíticas, de personalización y publicitarias (propias y de terceros) para hacer perfiles basados en hábitos de navegación y mostrarte contenido útil (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 En esta capa, se indica que para “Aceptar” todas las cookies se debe hacer clic en “aceptar” y posibilita así, seguir navegando. Pero, si el usuario desea rechazar todas las cookies debe acceder a la página de “configuración de cookies” y elegir la opción de, <<rechazar todas las cookies>>, permitiendo solo, a partir de entonces, seguir navegando por las diferentes páginas de la web. Sigue, por tanto, sin adecuarse a lo recomendado en el ejemplo 2, del punto 3.1.2.2. de la guía sobre cookies de la AEPD.” Sin embargo, como explicaremos con posterioridad en estas alegaciones, la herramienta de aceptación, rechazo y/o configuración de cookies según su tipología que Iberia instauró durante el pasado mes de enero de 2020 cumplía a este respecto ya por entonces con el art. 22.2 LSSI y con los criterios del European Data Protection Board (EDPB), que la propia Agencia Española ha hecho suyos en la última actualización de su Guía Interpretativa publicada este pasado mes de julio. - En segundo lugar, transcribimos la propuesta de resolución en su página 16. C: “c.Respecto a la configuración de las cookies, se constata que se permite la configuración de las cookies de forma granular o el rechazo de todas las cookies de una sola vez, en la segunda capa, pero, aunque existe información sobre las cookies propias y de terceros, no existe suficiente información sobre el tiempo que permanecen activas en el equipo terminal.” Como explicaremos posteriormente y siguiendo el talante plenamente colaborador de IBERIA con la Agencia, a la fecha de presentación de este escrito de alegaciones ya se ha incorporado a la herramienta de gestión de cookies por parte de los interesados, a través de la información facilitada en la Política de Cookies de Iberia, información detallada sobre el tiempo de permanencia activa de cada una de las cookies en la web. Debemos incidir en tres ideas fundamentales: - La denuncia de la reclamante que supuestamente da origen a este procedimiento sancionador, versa sobre un hecho muy concreto (“denuncio a la empresa Iberia ya que al buscar un viaje no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando”). - Las herramientas de gestión de cookies implantadas por Iberia en su página web desde enero de 2020, tal y como ya se informó en su día a esta Agencia, corrigen por completo el hecho denunciado ya que dan la opción de aceptar todas las cookies o alternativamente de configurarlas según su tipología; y en este segundo paso, además, se brinda la opción bien de rechazarlas todas, bien de guardar la configuración personalizada para cada tipología de cookie tal y como la haya dejado indicada el propio interesado. Elegir entre cualquiera de estas tres opciones (aceptar todas las cookies, rechazarlas todas, o personalizar su configuración) es necesario para poder seguir navegando en la web de Iberia. Por tanto, desde el primer requerimiento se corrigió la situación planteada por la denunciante, cumpliéndose no sólo con el art. 22.2 LSSI sino C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 también con los criterios del European Data Protection Board (EDPB), que la propia Agencia Española ha hecho suyos en la última actualización de su Guía Interpretativa publicada este pasado mes de julio. - Aparte de lo indicado en el apartado
  6. b)de la propuesta de sanción -si bien el Sr. Instructor yerra de pleno en su aseveración como hemos explicado arriba y posteriormente acreditaremos- ninguna de las irregularidades indicadas por la Agencia posteriormente, en la comunicación de inicio de procedimiento sancionador y durante toda su instrucción hasta este momento tiene nada que ver con el hecho que consta en la denuncia que origina este procedimiento. En otro orden de cosas y con independencia de lo anterior, el propio instructor reconoce el esfuerzo realizado por IBERIA en cumplir con todas las indicaciones planteadas por la Agencia para dar cumplimiento al art. 22.2 LSSI a la luz de las sucesivas actualizaciones de la Guía Interpretativa de la Agencia sobre las cookies. A pesar de haberse visto drásticamente reducidos en número e importancia los presuntos aspectos contrarios a la normativa puestos de manifiesto por la Agencia y del reconocimiento de la voluntad mostrada por IBERIA de colaborar y corregir todos aquellos aspectos que –a juicio de la Agencia- así lo requerían, la sanción finalmente propuesta por el Instructor es exactamente la misma que al inicio del procedimiento, lo que equivale a decir que para la Agencia tanto una cosa como la otra han sido totalmente irrelevantes al objeto de baremar la infracción y fijar el importe de la sanción que hubiera de llevar aparejada. Claramente, la propuesta elevada por el Sr. Instructor en este expediente es contraria a derecho, y especialmente contraria a lo que la propia Ley de Servicios de la Sociedad de Información (LSSI) establece en materia de infracciones y sanciones: - El instructor propone una sanción por importe de 30.000 euros, que es la cuantía máxima contemplada al inicio del expediente. - Sin embargo, los dos únicos puntos tenidos finalmente en cuenta constituirían en el peor de los casos, a los efectos del artículo 38.4.
  7. g)LSSI, una única infracción leve (no obstante, en indefensión de IBERIA, la propuesta de resolución nada en absoluto dice a este respecto). - El artículo 39.1.
  8. c)LSSI dispone que las infracciones leves son sancionables con multa de “hasta 30.000 euros”. - El instructor no ha aplicado ningún tipo de minoración del importe de la sanción propuesta a pesar de que Iberia ha cumplido con todos los criterios del artículo 40 LSSI:
  9. i)no ha tenido intencionalidad en los hechos (al contrario, ha observado voluntad de cumplir antes y después de recibirse siquiera la primera comunicación a finales de 2019);
  10. ii)las supuestas infracciones se habrían cometido durante apenas unas pocas semanas; iii) no registra en su historial ningún tipo de reincidencia en materia de 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 gún tipo de beneficio por la infracción; y
  11. vi)el volumen de negocio correspondiente a la supuesta infracción cometida es cero. - Por último, tanto la Agencia como el instructor respectivamente, considerando que nos encontramos en cualquier caso –antes y después de la propuesta de resolución emitida- ante la supuesta comisión de una infracción LEVE, no han cumplido con lo dispuesto en el artículo 39.bis LSSI (“Moderación de sanciones”), apartados .1 (aplicar la cuantía de la sanción de la escala de la clase de infracciones precedente) o .2 (no iniciar siquiera procedimiento sancionador y sustituirlo por un apercibimiento con acciones a cumplir en un determinado plazo), a pesar de que:
  12. i)IBERIA cumple con todos los requisitos del art. 40 (“Graduación de las sanciones”) antes mencionados, para la aplicación de dicho artículo 39bis; y
  13. ii)IBERIA ha regularizado de forma diligente, una por una, todas las presuntas deficiencias denunciadas por la Agencia (sin perjuicio de lo que más adelante en este escrito se dirá respecto de la falta de información sobre el tiempo de permanencia activa de cookies y sobre en qué condiciones se permite o no seguir navegando en la web de Iberia); Entendemos por tanto, como punto de partida a estas alegaciones, que:- La propuesta de sanción no está debidamente fundamentada, puesto que no se indica qué tipo de infracción se ha cometido según el precepto legal correspondiente, ni tampoco entra a evaluar los criterios de graduación de la sanción aplicable sino que se limita a aplicarla en su grado máximo; - En línea con lo anterior, la propuesta de sanción es incongruente con las alegaciones, averiguaciones y hechos probados en fase de instrucción, amén de contra los propios actos de la Agencia y del Sr. Instructor; - La propuesta de sanción va en contra de lo dispuesto en la propia LSSI en lo que respecta a la baremación del importe de la sanción propuesta, a la vista de la instrucción efectuada; y Como hemos mantenido desde el primer momento, el procedimiento sancionador iniciado en sí mismo va en contra de lo dispuesto en el art. 39.bis.2 y –salvo que en este caso concreto en el espíritu de la Agencia primase el ánimo recaudatorio a través de sus facultades sancionadoras- nunca debió haberse iniciado puesto que:
  14. i)el único supuesto incumplimiento alegado en instrucción que se corresponde realmente con la denuncia que lo habría originado en ningún caso es tal incumplimiento puesto que desde enero de 2020 un usuario no está obligado a aceptar las cookies para poder seguir navegando, sino que ha de elegir entre aceptarlas todas, rechazarlas todas o configurarlas según su tipología a su conveniencia; y
  15. ii)al ser todos los demás supuestos incumplimientos manifiestamente diferentes y, en el mejor de los casos, accesorios al incumplimiento principal y nunca susceptibles en su conjunto de una calificación más allá de infracción leve de la LSSI, un requerimiento de subsanación habría sido más que suficiente para obtener la corrección de la presunta situación contraria no a la LSSI sino, en el mejor de los casos, a los criterios de la Guía Interpretativa sobre el uso de las cookies promulgada por la Agencia, la cual por otra parte ha sido recientemente objeto de actualización por la propia Agencia. La herramienta de gestión de cookies existente en la web de Iberia desde enero de 2020 cumple con el art. 22.2 LSSI y con los criterios del European Data Protection C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 Board (EDPB), que la propia Agencia Española ha hecho suyos en la última actualización de su Guía Interpretativa publicada este pasado mes de julio Efectivamente, al acceder por primera vez a ***URL.1 se obtenía el siguiente mensaje: El navegador permitía (y permite) hacer scroll arriba y abajo pero no permite clicar sobre ningún botón de acción ni navegar dentro de la página. A día de hoy la única diferencia es que este bocadillo ahora sale en la parte inferior de la pantalla: De esta forma, el usuario puede informarse sobre la política de cookies, y bien aceptar todas ellas o pasar a personalizar su configuración, en cuyo caso obtiene la siguiente pantalla: Es decir: - Con sólo un clic el interesado puede aceptar todas las cookies, - Con solo dos clics puede rechazarlas todas; - Personalizarlas le llevaría de uno a tres clics más solamente. Lo anterior es totalmente congruente con que se recomienda en la “Guía sobre el uso de las cookies” publicada por la propia Agencia, en su reciente actualización del pasado mes de julio de 2020, que en sus páginas 20 y 21 indica lo siguiente: … Otro ejemplo válido de primera capa, con el mismo tipo de cookies, sería el siguiente: Como en el ejemplo anterior, si no se pulsa el botón “Aceptar”, el usuario no está autorizando el uso de cookies (por lo tanto, no está legitimado el uso de cookies si el usuario no pulsa el botón para aceptar cookies). Será necesario que el usuario realice una acción que pueda calificarse como una clara acción afirmativa para que el consentimiento se considere válidamente otorgado. La obtención del consentimiento mediante una conducta de los usuarios distinta de un botón de aceptación, pero que consista en una clara acción afirmativa, será admisible siempre que las condiciones en que se produzca la conducta ofrezcan suficiente certeza de que se presta un consentimiento informado e inequívoco y pueda probarse que dicha conducta se ha realizado. En cualquier caso, el mero hecho de permanecer visualizando la pantalla, hacer scroll o navegar por el sitio web no se considerará una clara acción afirmativa bajo ninguna circunstancia. Será necesario que la información de la primera capa se complete con un sistema o panel de configuración en el que el usuario pueda optar entre aceptar o no las cookies de forma granular, o un enlace que conduzca a dicho sistema o panel. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 También puede darse al usuario una tercera opción, consistente en incluir dos botones, para que acepte o configure/rechace las cookies: Un párrafo más adelante, la guía dice textualmente (el sombreado es añadido por nosotros): El enlace o botón para administrar preferencias debe llevar al usuario directamente al panel de configuración, sin que tenga que desplazarse por grandes cantidades de texto buscando la información, que deberá seguir siendo accesible de forma permanente. El panel podrá integrarse en la segunda capa informativa. Para facilitar la selección, en el panel podrán implementarse dos botones, uno para aceptar todas las cookies y otro para rechazarlas todas, siendo esta opción recomendable cuanto mayor sea el número distinto de cookies que se utilicen. Si se utiliza el segundo o tercer ejemplo como forma de obtención del consentimiento, deberá incluirse en el panel un botón para rechazar todas las cookies, para respetar el requisito de que sea tan fácil retirar el consentimiento como darlo. La configuración de la primera capa implantada por Iberia desde enero de 2020 sigue a pie juntillas el “Ejemplo número 3” indicado en la Guía: permite elegir entre “aceptar todas las cookies” o “configurarlas” al gusto del usuario; y el botón de “configuración de cookies” lleva directamente a lo que la Guía refiere como “panel de configuración”. Y por último, además, en dicho panel de configuración se incluye bien visible un botón para “Rechazar todas” – cumpliendo nuevamente con lo recomendado en la guía- y otro para “Confirmar mis preferencias” una vez que el usuario las haya establecido. Por lo tanto, el hecho denunciado por “la reclamante” originalmente quedó completamente subsanado con las implantaciones realizadas en enero de 2020 y NO HAY INCUMPLIMIENTO del art. 22.2 LSSI en este sentido por parte de IBERIA, puesto que la herramienta de gestión de cookies implantada entonces cumple a rajatabla con las recomendaciones emitidas en su Guía actualizada por la propia Agencia, lo cual debe obviamente extenderse a todas luces con efectos retroactivos al pasado enero. Como se ha dicho, con la única excepción relativa a poder visualizar la política de 22.2 LSSI como la NLOPD y GDPR, por referencia, el usuario ha necesariamente de elegir entre cualquiera de las tres opciones puestas a su disposición (aceptar todas las Con ello queda asegurado –conforme a las recomendaciones más recientes de la propia Agencia Española de Protección de Datos- el requisito de que el cliente preste un consentimiento debidamente informado y no condicionado, habiéndose por tanto subsanado desde enero de 2020 el motivo de denuncia por parte de “la reclamante” (tal y como esta ha sido definida en la propuesta de resolución). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 A la fecha de presentación de este escrito de alegaciones ya se ha incorporado a la herramienta de gestión de cookies, a través de la información facilitada en la Política de Cookies de Iberia, información detallada sobre el tiempo de permanencia activa de cada una de las cookies en la web de Iberia En primer lugar debemos insistir una vez más en que la falta de información sobre el tiempo de permanencia activa de las cookies no era objeto de la denuncia que originó este procedimiento sancionador. En cualquier caso, nos es grato informar a la Agencia que en el momento de presentación de este escrito de alegaciones se ha incorporado en la política de información sobre las cookies de la web de iberia.com, en el apartado “6. Cookies utilizadas en ibe ria.com”, un desglose pormenorizado de los distintos subgrupos de cookies y el tiempo de permanencia activa de cada una de ellas en el equipo del usuario: A MODO DE CONCLUSIONES: - Se ha comprobado según las indicaciones contenidas en la Alegación Segunda de este escrito que desde enero de 2020 que la forma en que se ofrecen desde el mes de enero de 2020 al usuario de la web www.iberia.com las distintas posibilidades de configuración de las cookies (en modo aceptar todas, rechazar todas, o confirmar configuración personalizada) es conforme a los criterios más recientes publicados por la Agencia. - El motivo de la denuncia de la reclamante que provoca el inicio de este expediente sancionador (volvemos a transcribirla: “denuncio a la empresa Iberia ya que al buscar un viaje no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando“) ya había sido entonces diligentemente subsanado por IBERIA. - El resto de consideraciones y supuestos incumplimientos de las indicaciones de la Guía de la Agencia en su conjunto no estaban contemplados en la denuncia presentada por “la reclamante” y tampoco estaban contempladas en el requerimiento emitido por la Agencia a finales del año 2019, y aquellos no constituirían en su conjunto y en el peor de los casos más que una ÚNICA INFRACCIÓN LEVE de la normativa LSSI. - Concurriendo los requisitos establecidos en el art. 39bis.2 LSSI (hechos constitutivos de infracción leve y la existencia de un registro histórico limpio por parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 de IBERIA en materia de cookies e infracciones LSSI) la actuación diligente por parte de la Agencia hubiera consistido en emitir un apercibimiento, en lugar de iniciar procedimiento sancionador, en términos similares y otorgar un plazo de subsanación a los apercibir procedido Habiéndose acreditado se retome el camino del artículo 39bis.2 LSSI. - Habiendo planteado esta misma alegación en el escrito presentado en el momento en que la Agencia comunicó el inicio del procedimiento sancionador, la Agencia no ha sido capaz de contestar motivadamente por qué inició el proceso sancionador en lugar de optar por esta otra vía, igual de efectiva y mucho menos gravosa para mi representada. - Ha quedado acreditado en fase de instrucción que todos y cada uno de los supuestos incumplimientos de las recomendaciones de la Guía de cookies de la Agencia habían quedado ya subsanados por IBERIA antes incluso de haberse emitido la propuesta de sanción, a excepción del despliegue de información acerca del periodo de permanencia activa de las cookies que requería de un esfuerzo técnico y de análisis mayor y que, a la luz de las circunstancias que venimos padeciendo desde el pasado mes de marzo con motivo de la pandemia COVID19 y del estado de alarma decretado y finalizado en el mes de junio no ha sido posible subsanar con más antelación, si bien a día de hoy la web de IBERIA también cumple con la Guía de cookies de la Agencia. Por todo lo anterior SOLICITAMOS: - Declare de oficio la NULIDAD del expediente sancionador incoado por estar fundamentado en un requerimiento previo de la Agencia a IBERIA que sí habría sido atendido en tiempo y forma, habiéndose subsanado el motivo de la denuncia en que dicho requerimiento se sustentaba. - En su defecto, declare de oficio la NULIDAD del expediente sancionador incoado por incumplimiento de lo dispuesto en el artículo 39.bis.2 en relación con el resto de supuestos incumplimientos que se citan en la comunicación de inicio de dicho expediente sancionador - En su defecto, proceda al archivo de dicho expediente sin imposición de sanción alguna a cargo de IBERIA por:
  16. i)haberse acreditado que el motivo de la denuncia que da origen al procedimiento sancionador ya había sido subsanado con anterioridad a su inicio; y
  17. ii)el resto de supuestos incumplimientos por parte de IBERIA, totalmente ajenos a la citada denuncia, también habrían sido ya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 solventados por IBERIA, sin que por tanto exista razón de ser de dicho expediente. HECHOS PROBADOS 1.- Con fecha 23/10/19, la reclamante denuncia que, en la web ***URL.1, “si se quiere seguir navegando se debe aceptar obligatoriamente la política de cookies no dando opción alguna a rechazarlas”, por ello, con fecha 29/11/19, se da traslado de dicha denuncia a la entidad reclamada, indicándola en el escrito que, “En el portal web de IBERIA no se proporciona la opción de oponerse o no prestar consentimiento al tratamiento de datos personales realizado mediante "cookies", instalándose éstas desde el momento que se produce la visita a la página inicial” y requiriendo a la compañía que informase de la decisión adoptada a propósito de la reclamación; las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y los controles efectuados para comprobar su eficacia. 2.- Con fecha 28/01/20, la entidad reclamada, en contestación al requerimiento de esta Agencia, reconoce que, “llevaba trabajando desde junio de 2019 en el diseño de la solución de adaptación de la política de cookies a las exigencias del RGPD y a la LOPDGDD; y que desde mediados de enero la página web de Iberia cumplía con la normativa vigente y con las recomendaciones publicadas por la Agencia, (guía sobre 3.- No obstante, con fecha 31/01/20 y 06/02/20, en el trascurso de la investigación realizada por la Subdirección General de Inspección de Datos de esta Agencia, se comprobó que, el banner sobre cookies de la primera capa proporcionaba información poco concisa, poco transparente e inteligible, en contra de lo recomendado en el punto 3.1.2.1 de la guía de la AEPD. Además, si no se pulsaba el botón de “aceptar” o el botón de “configuración de cookies”, no se permitía seguir navegando, con lo que no se da la opción al usuario de rechazar el uso de cookies, tal y como se recomienda en el ejemplo 2, del punto 3.1.2.2. de la guía de la AEPD. Por otra parte, si se entraba en la segunda capa, a través del link, “configuración de vez. En esta segunda capa , tampoco se identificaban las cookies de terceros, ni se informaba del periodo de conservación de las cookies en el navegador del usuario, (a excepción de las utilizadas para equilibrar la carga en la infraestructura del sitio web), tal y como se recomienda en el punto 3.1.1 de la guía publicada por la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 3.- No obstante, después de iniciar el expediente sancionador PS/0032/2020 por los hechos indicados anteriormente, con fecha 22/07/20, se ha comprobado, por parte de la Subdirección General de Inspección de Datos de esta Agencia que, la política sobre 3.1.- En la primera capa (página inicial) aparece un banner sobre cookies, en la parte central de la página, con la leyenda: “Las cookies son importantes para ti, influyen en tu experiencia de navegación. Usamos cookies analíticas, de personalización y publicitarias (propias y de terceros) para hacer perfiles basados en hábitos de navegación y mostrarte contenido útil. Puedes aceptar este tipo de cookies pulsando el botón “Aceptar” o configurarlas o rechazar su uso en Configuración de cookies”. Para más información, <<lea la Política de Cookies de Iberia>> <<Aceptar todas las cookies>> 3.2.- Si se accede a la página de “configuración de las cookies”, a través del enlace correspondiente, se despliega una nueva página con diferentes apartados: - 3.2.1.- Apartado de “Privacidad del Usuario”. Se informa de: “Como respetamos su privacidad, puede aceptar o rechazar nuestra utilización de de cada una de las líneas de abajo. Cada vez que se te ofrezca aceptar o rechazar la utilización de determinadas categorías de cookies, te proporcionaremos la información esencial que necesites saber para efectuar tu elección. Sin embargo, si bloquea algunos tipos de cookies, puede que su experiencia de uso de la web se vea afectada y también los servicios que podemos ofrecerle. Para obtener más información sobre la gestión de cookies que realiza Iberia acceda a nuestra política. Más información”. Si se hace click en “Más Información”, que la web redirige a “política de cookies”. En la parte inferior del apartado existen dos opciones: <<Confirmar mis preferencias>> C/ Jorge Juan, 6 28001 – Madrid <<Rechazarlas todas>> www.aepd.es sedeagpd.gob.es 20/24 - 3.2.2.- Apartado “Cookies Técnicas y Necesarias”. Se informa que están activas siempre y que: “Estas cookies son necesarias para que el sitio web funcione y no se pueden desactivar en nuestros sistemas. Se configuran en respuesta a sus acciones realizadas al solicitar servicios, como establecer sus preferencias de privacidad, iniciar sesión o completar formularios. Puede configurar su navegador para bloquear o alertar sobre estas <<Confirmar mis preferencias>> - <<Rechazarlas todas>> 3.2.3.- Apartado “Cookies de Rendimiento”. Se informa que permiten contar las visitas y fuentes de tráfico para poder evaluar el rendimiento de nuestro sitio y mejorarlo. Permite desactivarlas haciendo click sobre el interruptor azul situado en la esquina superior derecha. En la parte inferior del apartado existen dos opciones: <<Confirmar mis preferencias>> - <<Rechazarlas todas>> 3.2.4.- Apartado “Cookies Dirigidas”, (de publicidad dirigida). Se informa que pueden ser establecidas a través del sitio por socios publicitarios. Pueden ser utilizadas por esas empresas para crear un perfil de sus intereses y mostrar anuncios relevantes. Permite desactivarlas haciendo click sobre el interruptor azul situado en la esquina superior derecha. En la parte inferior del apartado existen dos opciones: <<Confirmar mis preferencias>> - <<Rechazarlas todas>> 3.2.5.-Apartado “Cookies de Funcionalidad”. Se informa que permiten que el sitio ofrezca una mejor funcionalidad y personalización. Pueden ser establecidas por el titular de la página o por terceras partes cuyos servicios han agregado a la página. Se indica que si no se permiten estas cookies algunos de sus servicios no funcionarán correctamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 Permite desactivarlas haciendo click sobre el interruptor azul situado en la esquina superior derecha. En la parte inferior del apartado existen dos opciones: <<Confirmar mis preferencias>> <<Rechazarlas todas>> 3.3.- Si se accede a la “Política de Cookies”, a través del enlace correspondiente, existente en la página de inicio o a través del enlace (más información), existente en la página de “configuración de cookies”, la web redirige a una nueva página donde se ofrece información sobre: - Cómo y para qué se emplean las cookies. - Qué son las cookies. - Los tipos de cookies de la web y sus finalidades. - A qué destinatarios se comunicarán los datos. - Actualizaciones de la Política. - - En la opción de “cómo gestionar las cookies” se proporciona la siguiente información: Puedes permitir, bloquear o eliminar las cookies instaladas en su equipo mediante la configuración de las opciones de tu navegador de Internet. En caso de que no permitas la instalación de cookies en tu navegador es posible que no puedas acceder a algunos de los servicios y que tu experiencia en nuestra web pueda resultar menos satisfactoria. ¿Cómo rechazo o no doy mi consentimiento para el uso de cookies? Puede negarse a aceptar las cookies modificando los ajustes de su navegador de Internet (por ejemplo, Internet Explorer, Chrome o Firefox). Tenga en cuenta que si no permite el uso de cookies en algunas áreas de nuestro sitio web, es posible que el contenido no sea accesible o no funcione correctamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24 En los siguientes enlaces tienes a tu disposición toda la información para configurar o deshabilitar tus cookies en cada navegador (…): Por último y en caso de que tenga algún problema relacionado con el uso de las FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, hay que recordar los fundamentos de hecho por los que se sanciona a la entidad y que son: En octubre de 2019, se denuncia que la página web de la entidad reclamada ***URL.1 no proporcionaba la opción de rechazar las cookies que se instalaban en el equipo terminal y que si cualquier usuario deseaba seguir navegando por la página, debía aceptar obligatoriamente las cookies, por lo que estaba incumpliendo la normativa vigente. Por estos hechos, se requirió en noviembre de dicho años, información a la entidad para que se explicara sobre hechos denunciados siendo la respuesta de la entidad, dos meses después, esto es, en enero de 2020, que: “ llevaba trabajando desde junio de 2019 en el diseño de la solución de adaptación de la política de cookies a las exigencias del Reglamento General de Protección de Datos y la Nueva Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales siguiendo, además, las guías de buenas prácticas emitidas por las autoridades de control y muy especialmente la emitida por la Agencia el pasado mes de noviembre de 2019 (…)”. También informó a esta Agencia, en enero de 2020, que: “(…) estaba implementado un banner que además de informar sobre la responsabilidad del uso de cookies en la página, que corresponde a Iberia, permite configurar los tipos de cookies que se encuentran en la web, o bien aceptar todas”. No obstante, unos días después, el 06/02/20, para comprobar la veracidad o no de la información suministrada por la entidad reclamada a esta Agencia, se comprobó que, en la página web ***URL.1, además de seguir sin ofrecer la opción de rechazar todas las cookies, tal y como se denunciaba, se comprobó también que, varios puntos de la política de cookies de la página no se ajustaban a las recomendaciones hechas por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24 esta Agencia en su Guía sobre Cookies, comprobando por tanto que la entidad no había cumplido con lo afirmado unos días antes, por lo que en base ello se procedió a la apertura del presente expediente sancionador y no es hasta que la entidad reclamada recibe la incoación del expediente sancionador PS/0032/2020 por incumplimiento a lo estipulado en la Ley LSSI, con una propuesta de sanción de 30.000 euros, cuando procede a modificar la página web, en lo referente a la política de cookies y así se comprobó por parte de esta Agencia, el 22/07/20. Respecto de las últimas alegaciones presentadas por la entidad reclamada en al que indica que: “(…) la actuación diligente por parte de la Agencia hubiera consistido en emitir un apercibimiento, en lugar de iniciar procedimiento sancionador, en términos similares y otorgar un plazo de subsanación a los apercibir procedido Habiéndose acreditado se retome el camino del artículo 39bis.2 LSSI” hubiera sido lo correcto si la entidad hubiera realizado o intentado realizar los cambios que indicó realizados en enero de 2020 y que esta Agencia comprobó, en febrero que no fueron realmente hechos. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL (IBERIA) con CIF: A85850394, titular de la página web: ***URL.1 una sanción de 30.000 euros (treinta mil euros), por infracción del artículo 22.2. de la LSSI. SEGUNDO: NOTIFICAR la presente resolución a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA UNIPERSONAL (IBERIA) e INFORMAR al reclamante sobre el resultado de la reclamación. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  18. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  19. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.