1/17 Expediente Nº: EXP202103886 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de marzo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VUELING AIRLINES, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00032/2022 (EXP202103886) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VUELING AIRLINES, S.A., con CIF.: A63422141 titular de la página web ***URL.1 (en adelante “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y contra la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y atendiendo a los siguientes: HECHOS PRIMERO: Con fecha 22/08/21, tuvo entrada en esta Agencia, escrito presentado por el reclamante, en la que indicaba, entre otras, lo siguiente: “En la compra de un billete a través de la página web de ***URL.1 no solo no se permite eliminar cookies al acceder a la web, sino que resulta imposible comprar un billete de avión sin aceptar el envío de datos comerciales y promociones. Ya que, si no marcas la casilla, no se continúa con la compra”. SEGUNDO: Con fecha 04/11/21, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 TERCERO: Con fecha 21/12/21, la entidad reclamada presenta ante esta Agencia, escrito de contestación a la solicitud realizada donde, entre otras, indica lo siguiente: “Por tanto, por parte de Vueling se ha procedido a realizar una revisión de los siguientes aspectos de su página web: El proceso de compra de billetes y las cookies utilizadas, y en su caso, instaladas en los dispositivos de los visitantes. A continuación, se exponen las conclusiones de las revisiones que se han llevado a cabo. 1) Revisión del proceso de compra de billetes.Según se ha verificado, el usuario que compra billetes a través de la página web, ***URL.1 puede aceptar o no una casilla con el siguiente texto: “Sí, deseo estar al día de las ofertas y novedades de Vueling. Ver condiciones”. Los usuarios que no marcan esta casilla no reciben comunicaciones comerciales. A pesar de lo que señala la parte reclamante, es posible completar el proceso de compra del billete sin marcar esta casilla. Adicionalmente, existen dos casillas de marcación obligatoria, en las que el usuario declara haber leído y aceptar la política de privacidad y el contrato de transporte. El Documento Nº 1 incluye capturas de pantalla de todo el proceso de compra, y que ponen de manifiesto que el usuario puede adquirir un billete sin aceptar el envío de comunicaciones comerciales. En la política de privacidad de la página web, que se encuentra accesible en todo momento durante la navegación, y que está dividida en apartados desplegables para mayor facilidad de acceso a los contenidos, se indica que los datos personales de los afectados podrán utilizarse, entre otras, para las siguientes finalidades: “Para realizar encuestas relacionadas con la experiencia a bordo de Vueling. Basándonos en el consentimiento que previamente nos haya otorgado, podremos contactar con usted para que pueda participar en encuestas relacionadas con la experiencia a bordo de vuelos de Vueling, así como para ofrecerle la oportunidad de participar en estudios de mercado realizados por Vueling o por un tercero. Para realizar actividades de marketing y mantenerle informado sobre los productos y servicios de Vueling. Basándonos en el consentimiento que previamente nos haya otorgado, podremos enviarle información sobre nuestros productos y servicios por correo electrónico, mensajes push de nuestra app o mensaje de texto. También podremos enviarle comunicaciones personalizadas tras identificar aquellos productos y servicios que puedan interesarle. Esto significa que crearemos un perfil suyo para conocerle mejor como cliente y personalizar las comunicaciones que le enviamos. Para conocer lo que es relevante para usted, utilizamos herramientas que analizan los datos que obtenemos de información proporcionada por usted (a través de encuestas), su navegación, sus preferencias de compra o servicios prestados en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 pasado para elaborar perfiles que permitan identificarle con segmentos de clientes con similares características a las suyas y enviarle promociones u ofertas personalizadas que creamos que pueden interesarle. Tiene derecho a revocar su consentimiento para el tratamiento de datos con la finalidad de realizar dichas actividades de marketing en cualquier momento, así como en cada comunicación.” Además, existe un apartado denominado “Consentimiento” en el que se señala el mecanismo habilitado para la revocación del consentimiento: “Si la base del tratamiento de sus datos personales fuera su consentimiento, podrá revocarlo en cualquier momento, poniéndose en contacto con nosotros a través la dirección Delegado de Protección de Datos , Vueling Airlines, S.A., Plaza Pla de l’Estany, 5, 08820, El Prat de Llobregat, Barcelona, España o a través del correo electrónico ***EMAIL.1.” Por último, todas las comunicaciones comerciales que se remiten a los afectados por correo electrónico (y que constituyen el medio preferente de contacto con clientes y posibles clientes, puesto que otras opciones como el correo postal o las llamadas telefónicas no forman parte de las herramientas habitualmente utilizadas por el área de marketing) incluyen un mecanismo sencillo y gratuito para darse de baja. 2) Revisión de las cookies utilizadas en la página web. Al acceder por primera vez a la página web ***URL.1, aparece un mensaje informativo de primer nivel con el siguiente texto: “Utilizamos cookies propias y de terceros con fines analíticos y para mostrarte publicidad relacionada con tus preferencias en base a un perfil elaborado a partir de tus hábitos de navegación. Para más información puedes leer nuestra Política de <<CONFIGURAR COOKIES>> <<ACEPTAR COOKIES>> Si el usuario opta por la opción de configurar cookies, se abre un panel donde puede seleccionar sus preferencias. Las cookies se han clasificado, según su finalidad, en las siguientes categorías: “Cookies técnicas (estrictamente necesarias). Estas cookies son estrictamente necesarias para el correcto funcionamiento y navegación del usuario por el sitio web, así como para recordar las preferencias de cookies y, por lo tanto, no es posible desactivarlas. No almacenan ninguna información de identificación personal. recurrencia de nuestros visitantes y realizar la medición y análisis estadístico de la utilización de nuestro servicio para poder mejorar su rendimiento. Toda la información que recogen estas cookies es agregada y, por lo tanto, es anónima. que almacenan información de su comportamiento obtenida a través de sus hábitos de navegación para elaborar un perfil. Dicha información nos permite mostrar publicidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 más personalizada y acorde con tus gustos en nuestra Web o en otras webs de terceros (por ejemplo, búsquedas de destinos o páginas visitadas).” Vueling utiliza la plataforma de gestión de consentimientos Ensighten (***URL.2) para garantizar que solamente se utilizarán las cookies seleccionadas por el usuario. En el Documento Nº 2, se incluyen capturas de pantallas donde se muestra el proceso descrito. Asimismo, se puede observar cómo el texto de la política de cookies incluye un enlace al listado completo de cookies utilizadas en la web, así como información para configurar el navegador del usuario para rechazar estos dispositivos. Desde la política de cookies, resulta posible volver en cualquier momento al panel configurador inicial, y revocar consentimientos prestados. La opción de revocación del consentimiento es uno de los motivos por los que se selecciona el gestor de consentimientos Ensighten. Para que esta opción sea posible, Ensighten instala la cookie desactivada en el navegador del usuario. Aunque esta pueda visualizarse en el navegador del usuario porque está “instalada”, permanece inoperativa si el usuario no consiente la categoría en la que dicha cookie ha sido clasificada. Es decir, si no se acepta la categoría correspondiente, no se activa ni genera ningún tipo de rastreo. La cookie no podrá ser utilizada puesto que Ensighten aplica un filtro que evita su uso. Entendemos que este podría haber sido el motivo por el cual el reclamante considera que no se han obtenido los consentimientos oportunos para la utilización de cookies. Sin embargo, como se ha indicado, este sistema no permite la utilización de cookies no autorizadas y facilitar al usuario la revocación de los consentimientos de forma más efectiva que la configuración de su navegador: En cualquier momento puede cambiar sus preferencias sin que ello afecte a la instalación de cookies técnicas. En este sentido, debemos señalar que un alto porcentaje de pasajeros compran sus billetes a través de usuarios registrados, por lo que se deben instalar cookies técnicas en sus equipos, y determinadas configuraciones de navegadores pueden dificultar o impedir el normal acceso a las opciones de registro. La utilización de la plataforma Ensighten aparece reflejada en el proceso interno denominado “ENSIGHTEN_Client-side website security workflows” (Documento Nº 3). La aprobación de la instalación de cookies y su clasificación dentro de las categorías establecidas es un proceso manual, no automatizado a través de la plataforma de gestión de consentimiento. Al recibirse el traslado de la reclamación presentada frente a Vueling, se ha elaborado un listado con todas las cookies utilizadas actualmente en la web de Vueling Doc. Nº 4, donde se indica a qué categoría pertenecía en el momento de realizar la revisión cada una. Se ha verificado que algunas cookies se encontraban erróneamente clasificadas como cookies funcionales, debiendo estar sometidas al consentimiento. En el listado que se adjunta como Doc. Nº 5, figura la clasificación corregida, que, como se indica más adelante, se implementará en la web ***URL.1. 2. Informe, si procede, sobre las medidas adoptadas para adecuar su “Política de Privacidad” al artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Consejo de 27 de abril de 2016 (RGPD), fechas de implantación y controles efectuados para comprobar su eficacia. En función de lo explicado en el apartado 1 de este escrito, entendemos que no procede realizar ninguna acción de adaptación de la política de privacidad de la página web de Vueling ni del proceso de compra de billetes. 3. Informe, si procede, sobre las medidas adoptadas para adecuar la utilización de servicios de la sociedad de la información y de comercio electrónico (LSSI), en particular en lo relativo a la información facilitada a los usuarios sobre la utilización de rechazar o retirar el consentimiento para su uso. Se pide además indicación de fechas de implantación y controles efectuados para comprobar su eficacia. En función de lo indicado en el apartado 1 de este escrito, en relación con la política de cookies, se implementarán las siguientes medidas: 1º. Se definirán de nuevo las categorías de cookies, para alinear la terminología utilizada con la que aparece en la Guía de cookies de la Agencia Española de Protección de Datos. Aunque consideramos que la clasificación efectuada es correcta, y un usuario medio comprende la finalidad de cada tipo de cookies con la explicación facilitada, se ha procedido a modificar el nombre de dichas categorías para alinearla con la terminología utilizada en la Guía sobre el uso de las cookies elaborada por esta Agencia. De esta forma, las cookies de rendimiento pasarán a denominarse “cookies analíticas” y las cookies dirigidas se denominarán “cookies publicitarias”. 2º. En el configurador de cookies, se desmarcarán por defecto las categorías de 3º. Algunas cookies se han clasificado erróneamente en una categoría que no correspondía. Por ello, se procederá a reclasificarlas Doc. Nº 5. 4º. Se revisará el texto completo de la Política de Cookies de la web una vez efectuadas las acciones anteriores. No hemos tenido acceso a la identificación de la parte reclamante, ni a capturas de pantalla que, en su caso, se haya presentado. Por tanto, fuera de las acciones ya explicadas en este escrito, no podemos adoptar ninguna medida adicional, como remitir una explicación detalla al afectado sobre el tratamiento que se efectúa de sus datos, bloquear su correo electrónico a efecto de comunicaciones comerciales o verificar si ha ejercido su derecho de oposición y no ha sido atendido a su satisfacción”. CUARTO: Con fecha 20/01/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: a).- Sobre la obtención de los datos personales de los usuarios: 1º.- A través del enlace <<regístrate>>, situado en la parte superior de la página principal, la web redirige a una nueva página “Registro en Vueling Club” donde se pueden introducir datos personales de los usuarios como el nombre, apellidos y dirección de correo. Antes de poder enviar el formulario de inscripción, el usuario debe cliquear la opción: _ Acepto los <<términos y condiciones de Vueling Club y avíos>> y la << Política de privacidad de Vueling>>. Existe la posibilidad de darse de alta, de forma voluntaria, en la opción siguiente, para recibir comunicados comerciales: _Quiero enterarme de las mejores promociones de Vueling y de sus partners. <<Ver condiciones>> 2º.- En la opción de compra de billetes, antes de poder enviar el formulario de compra, el usuario debe cliquear la opción: _ He leído y acepto la <<Política de privacidad>>. Existe la posibilidad de darse de alta, de forma voluntaria, en la opción siguiente, para recibir comunicados comerciales: _Sí, quiero estar al día de las ofertas y novedades de Vueling. <<Ver condiciones>> b).- Sobre la “Política de Privacidad”: 1º.- Si se accede a la “Política de Privacidad” de la web, a través de los enlaces existentes en los formularios indicados anteriormente, o a través del enlace existente en la página principal, la web redirige al usuario a una nueva página ***URL.3, donde se da respuesta a las siguientes cuestiones: Responsable del Tratamiento de Datos Personales; Cuándo es aplicable la política de privacidad; Cómo puede proteger sus datos personales; Cuándo recabamos sus datos personales; Qué tipos de datos personales recabamos y conservamos; Cuándo y por qué recabamos “datos personales sensibles; Para qué utilizamos sus datos personales; Cuándo le enviaremos comunicaciones comerciales; Cómo puede cambiar el tipo de comunicaciones comerciales a recibir y la forma de recibirlos; Cuál es la base legal para tratar sus datos personales; Durante cuánto tiempo conservamos los datos personales; Cumplimiento de un contrato con usted; Intereses legítimos; Cumplimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 de obligaciones legales; Para proteger sus intereses vitales o los de terceros; Consentimiento; Con quién compartimos sus datos personales; A qué países se enviarán sus datos personales; Qué derechos tiene y cómo puede ejercitarlos. c).- Sobre la Política de Cookies: 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar cookies ni realizar ninguna acción sobre la página web ***URL.1, se ha comprobado, a través de la herramienta “inspeccionaraplicación del navegador de Google Chrome, que se utilizan las siguientes cookies de terceros que no son técnicas o necesarias: Proveedor Proveedor MUID AEC CONSENT IDSYNC pxrc ab rud rlas3 eud _kuid_ NID IDE .bing.com / .google.com / .google.com / .analytics.yahoo.com .rlcdn.com / .agkn.com / .rfihub.com / .rlcdn.com / .rfihub.com / .krxd.net / .google.com / .doubleclick.net IDE uid _kuid_ A3 uid uid ruds C IDE CONSENT AEC .doubleclick.net .criteo.com / .krxd.net / .yahoo.com / .adform.net / .criteo.com / .rfihub.com / .adform.net / .doubleclick.net .google.com / .google.com / 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: Utilizamos cookies propias y de terceros con fines analíticos y para mostrarte publicidad relacionada con tus preferencias en base a un perfil elaborado a partir de tus hábitos de navegación. Para más información puedes leer nuestra <<Política de cookies>> . <<Configura tus cookies>> <<Acepta todas las cookies>>. 3.- Si se accede al panel de control de cookies a través del enlace <<Configura tus opción de “aceptadas”: X X X <<Confirmar mis preferencias>> C/ Jorge Juan, 6 28001 – Madrid <<Rechazar todas las cookies>> www.aepd.es sedeagpd.gob.es 8/17 Si se opta por “Rechazar todas las cookies” se comprueba como la web sigue utilizando cookies de terceros que no son técnicas o necesarias: Proveedor Proveedor MUID IDE _kuid_ .bing.com / .doubleclick.net .krxd.net / CONSENT NID AEC .google.com .google.com .google.com / / / 4.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies de la primera capa o a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.4 donde se informa al usuario de qué son las cookies, qué tipos de cookies existen; se identifican las cookies que utiliza el sitio web, su funcionalidad y el tiempo de actividad (***URL.5) , además de cómo administrar las cookies a través de los navegadores instalados en el equipo terminal de usuario. FUNDAMENTOS DE DERECHO I.- Competencia: - Sobre el tratamiento de los datos personales y la “Política de Privacidad”: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. - Sobre la “Política de Cookies”: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley LSSI. II.- Sobre el tratamiento de los datos personales y la “Política de Privacidad” de la web ***URL.1 : Se ha podido constatar que en la web se pueden obtener datos personales de los usuarios que desean registrarse en la web o adquieren un billete de avión, a través de los enlaces correspondientes. Antes de poder enviar cualquiera de los dos formularios, el usuario debe cliquear obligatoriamente en la casilla de haber leído y aceptado su política de privacidad. También existe la posibilidad de darse de alta, de forma voluntaria, para recibir comunicaciones comerciales o promocionales de la compañía. Respecto a esto, el artículo 6.1 del RGPD, establece, sobre la licitud del tratamiento de datos personales, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 “El tratamiento de los datos personales será licito si, cumple una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…). Por otra parte, si se accede a la “Política de Privacidad”, a través de los enlaces existentes en los formularios o a través del enlace existente en la parte inferior de la página principal, la web proporciona información sobre la identidad del responsable de la página; de dónde obtienen los datos personales, la finalidad del tratamiento de dichos datos, el tiempo de conservación de los mismos y los derechos que asisten a los usuarios en lo que respecta a sus datos personales, ante quien realizarlo y cómo hacerlo, así como, la posibilidad de presentar una reclamación ante la autoridad nacional de control. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de obtener sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la gestión de los datos personales que realiza la página web, ***URL.1 no se contradice con lo estipulado en el RGPD respecto al consentimiento en el tratamiento de los datos personales para enviarle comunicaciones comerciales y respecto a la información que se proporciona al interesado cuando se obtienen de él, sus datos personales. III.- Sobre la Política de Cookies de la página web ***URL.1. a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
- in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En la comprobación realizada por esta Agencia en la página web reclamada se pudo constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la mimas ni aceptar las cookies, se utilizaban las siguientes cookies no necesarias: Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se utilizan cookies de terceros que no son técnicas o necesarias, cuyos proveedores son: .bing.com; .doubleclick.net; .google.com; .criteo.com; .krxd.net; .analytics.yah oo.com; .yahoo.com; .rlcdn.com; .adform.net; .agkn.com; .criteo.com; .rfihub.co m; .adform.net b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a la segunda capa si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus preferencias sobre la utilización de las cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la selección, en el panel podrá implementarse, además de un sistema de gestión granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción podría ser considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular. Por otra parte, la retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En el caso que nos ocupa, el banner de la primera capa posibilita aceptar todas las control se comprueba como las cookies de rendimiento y las cookies dirigidas se encuentran premarcadas en la opción de “aceptadas”. Si se opta por “rechazar todas las cookies”, en la opción existente en el panel de control se comprueba como la web sigue utilizando cookies de terceros que no son técnicas o necesarias, cuyos proveedores son: bing.com; google.com; doubleclick.net y krxd.net. IV.- Calificación y sanciones que pudieran corresponder respecto a las infracciones cometidas en la política de Cookies: De las deficiencias detectadas, respecto de la política de cookies, en la página web ***URL.1: (La utilización de cookies de terceros que no son técnicas o necesarias; los grupos de cookies premarcados en la opción de “aceptados” en el panel de control y la imposibilidad de rechazar las cookies de terceros que no son técnicas o necesarias, podrían suponer por parte del reclamado, la comisión de la infracción del artículo 22.2 de la LSSI, pues establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. Con arreglo a dichos criterios, se estima adecuado imponer una sanción inicial de 30.000 euros, (treinta mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad: ***URL.1. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a ante la entidad VUELING AIRLINES, S.A., con CIF.: A63422141 titular de la página web ***URL.1 por infracción del artículo 22.2 de la LSSI, por las deficiencias detectadas en su página web respecto de la “Política de Cookies”. NOMBRAR: como Instructor a D. B.B.B., y Secretaria, en su caso, a Dª C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del presente expediente administrativo. QUE: a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 30.000 euros (treinta mil euros), por la infracción del artículo 22.2 de la LSSI, sin perjuicio de lo que resulte de la instrucción del presente expediente. NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a VUELING AIRLINES, S.A., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 6.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 6.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 18.000 euros (diez y ocho mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 11 de abril de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 18000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202103886, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a VUELING AIRLINES, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-240122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es