1/9 Procedimiento Nº: PS/0049/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0049/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, CINEMES GIRONA, S.L. con CIF: B65251092, titular de la página web, ***URL.1, ***URL.1 (en adelante, “la entidad reclamada”), en virtud de la denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/10/19, tuvo entrada en esta Agencia escrito, presentado por D. A.A.A., (en adelante, “la reclamante”), en el que exponía, entre otras, lo siguiente: “La web ***URL.1 incumple la normativa en Protección de Datos, entre otras circunstancias por carecer de la información preceptiva en una Política de Privacidad y en la instalación de cookies no ofrecer información clara y completa”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 27/11/19, se dirige un requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 19/12/19, la entidad reclamada envía a esta Agencia escrito en el que, entre otras, informa de lo siguiente: “En el momento en que se realizó la denuncia ante la OEPM por el reclamante, CINEMES GIRONA estaba trabajando justamente en la actualización de los textos legales de su página web, y por ese motivo no disponía de los avisos acorde al RGPD (UE). Que actualmente CINEMES GIRONA ya ha modificado y actualizado sus textos legales y estos se pueden consultar a través de los enlaces web: 1. Aviso legal. ***URL.2 2. Política de privacidad. ***URL.3 3. Política de cookies. ***URL.4 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Que en todos los formularios de recogida de datos que se facilitan en la web de CINEMES GIRONA, se dispone del chekbox de aceptación del aviso legal y la política de privacidad. Que en la política de cookies se detallan las cookies utilizadas y los mecanismos de desactivación de las mismas, para que el usuario pueda configurar su instalación a través de su navegador”. Se acompañan los siguientes anexos: 1. Texto del aviso legal de la web. (anexo 1) 2. Texto de la política de privacidad de la web. (anexo 2) 3. Texto de la política de cookies de la web. (anexo 3) 4. Texto del banner donde se informa de la política de cookies de la web. (anexo 4) Sobre la Política de privacidad.- La información aportada por la entidad reclamada hace referencia a: Quién es el responsable del tratamiento de sus datos personales; Qué datos personales recopilan; Por qué y para qué tratan los datos; Cuál es la legitimación para el tratamiento de los datos; Cuánto tiempo conservan los datos; A qué destinatarios se comunican los datos; Dónde se almacenan los datos; Qué derechos te asisten al usuario; Quién es el responsable de la exactitud y veracidad de los datos facilitados; Cómo tratan los datos personales de los menores de edad y Qué medidas de seguridad aplican para proteger los datos personales. Sobre la Política de cookies.- La información aportada por la entidad reclamada respecto de la política de cookies hace referencia a: Qué son las cookies; Tipos de CUARTO: En el trascurso de la investigación realizada por la Subdirección General de Inspección de Datos de esta Agencia, se accede a la web ***URL.1, ***URL.1 comprobándose que: a).- En la página inicial, (primera capa), en su parte inferior, aparece un banner con la siguiente leyenda: “Utilizamos cookies propias y de terceros para mejorar su navegación y nuestros servicios. Si desea obtener más información consulte nuestra: <<Política de Cookies>> C/ Jorge Juan, 6 28001 – Madrid <<Aceptar>> www.aepd.es sedeagpd.gob.es 3/9 b).- Si se opta por ir a la página de “Política de Cookies” a través del enlace, se redirige a una página donde se proporciona información sobre: - Qué son las cookies. - Tipos de cookies utilizadas en la web. - Sobre la Autorización para el uso de cookies, se informa que: “De conformidad con el aviso de cookies que aparece en el sitio web, el usuario acepta que, al navegar por el mismo, consiente expresamente el uso de cookies según la descripción que a continuación se detalla, sin perjuicio que el usuario pueda modificar la configuración de su navegador para rechazar el uso de las QUINTO: A la vista de los hechos denunciados, de la documentación aportada por las partes y de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos consideró que la actuación de la entidad reclamada no cumplía las condiciones que impone la normativa en vigor, por lo que procede la apertura de un procedimiento sancionador. SEXTO: Con fecha 13/03/20, la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a la entidad reclamada, por incumplir lo estipulado en el artículo 22.2) de la LSSI, respecto de su Política de Cookies, imponiendo una sanción inicial de apercibimiento. SÉPTIMO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 15/06/20, formuló, en síntesis, las siguientes alegaciones: “1.- CINEMES GIRONA ha modificado el banner de cookies siguiendo las indicaciones requeridas en la Resolución, y tomando como referencia las recomendaciones incluidas en la ¨Guía sobre cookies¨ publicada en el propio portal de la AEPD. Consultar Anexo 1 2.- CINEMES GIRONA ha modificado la redacción de lo relativo a la aceptación del usuario de la política de cookies, especificando las consecuencias de las opciones ofrecidas en el banner a través de los tres botones: aceptar, configurar, rechazar. Consultar apartado ¨Autorización para el uso de cookies ¨ del Anexo 2 3.- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 3.- CINEMES GIRONA ha incluido en el texto de la política de cookies, el nombre de cada una de las cookies utilizadas, especificando si son propias o de terceros y su durabilidad/permanencia. Consultar apartado ¨cookies utilizadas por esta página web¨ del Anexo 2 Igualmente comunicamos a la AEPD que CINEMES GIRONA se encuentra en proceso de actualización del diseño visual de la página web con el objetivo de facilitar la navegación del usuario, aunque su estructura y apartados no se modificarán”. OCTAVO: Con fecha 15/07/20, en el trascurso de la comprobación realizada por la Subdirección General de Inspección de Datos de esta Agencia, al acceder a la web ***URL.1 , se ha podido constatar que: a).- En la página inicial, (primera capa), en su parte inferior, aparece un banner con la siguiente leyenda: “Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad personalizada en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Para más información consulta nuestra política de dispuestos para ello: << ACEPTAR >> << RECHAZAR >> << CONFIGURACIÓN >> b).- Si se opta por ir a la página de “CONFIGURACIÓN” a través de dicho enlace, se redirige a una página donde se proporciona la siguiente leyenda: “Este sitio web utiliza cookies para mejorar su experiencia mientras navega por el sitio web. De estas cookies, las cookies que se clasifican como necesarias se almacenan en su navegador ya que son esenciales para el funcionamiento de las funcionalidades básicas del sitio web. También utilizamos cookies de terceros que nos ayudan a analizar y entender cómo se utiliza este sitio web. Estas cookies se almacenarán en su navegador sólo con su consentimiento. También tiene la opción de desactivar estas Necesarias <<siempre activadas>> No Necesarias <<ACEPTAR <-> RECHAZAR”>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9
- c)Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies, se redirige a una página donde se informa de: - Cumplimiento legal de la Política de Cookies - Qué son las cookies. - Tipos de cookies - - Cómo modificar la configuración de las cookies. - Sobre la autorización para el uso de cookies, se informa de: “De conformidad con el banner de cookies que aparece en el sitio web, el usuario podrá aceptar el uso de la totalidad de las cookies, rechazarlas, o modificar su configuración. Si decide rechazarlas no podrá seguir navegando a través del sitio web. Si opta por modificar su configuración, se le indicará que cookies son obligatorias para el funcionamiento de la web y cuales Ud. podrá rechazar. Si acepta, consiente el uso de cookies según la descripción que a continuación se detalla”. NOVENO: Con fecha 31/07/20, se notifica a la entidad reclamada la propuesta de resolución en la que se propone que, por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO del presente procedimiento contra la entidad, CINEMES GIRONA, S.L. con CIF: B65251092, titular de la página web, ***URL.1 , por presunta infracción del artículo 22.2 de la LSSI. DÉCIMO: Tras la notificación de la propuesta de resolución, la entidad reclamada no ha presentado ningún tipo de alegación a la propuesta de resolución, en el plazo concedido para ello. HECHOS PROBADOS 1º.- Con fecha 13/03/20, se comprueba, por parte de esta Agencia, en la web ***URL.1 , respecto de la política de cookies, lo siguiente: - Existe un banner en la parte inferior de la página, con la leyenda: “Utilizamos de cookies, editada por la AEPD en noviembre de 2019 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 - En la página principal de la web (primera capa), existe la opción de “Aceptar” todas las cookies haciendo clic en “aceptar”, o bien si se desea más información se puede hacer clic en “Política de Cookies”, pero en esta página no se informa del hecho de que al navegar por la web se aceptan expresamente todas las cookies, como así se informa en la “Política de Cookies” (segunda capa), contradiciendo lo recomendado en el ejemplo nº3, 3.1.2.2 de la Guía cookies. - Entrando en la segunda capa, a través del link, “Política de Cookies”, se proporciona información sobre algunos aspectos de las cookies, como, por ejemplo, qué son, los tipos de cookies que existen y sobre las cookies que se cargan cuando se navega por la web, pero no se da información sobre el tiempo que permanecerán instaladas en el equipo. Tampoco se posibilita, en esta segunda capa, un mecanismo que permita rechazar todas las cookies. 2.- Con fecha 15/06/20, la entidad reclamada notifica a esta Agencia que: - Ha modificado el banner de cookies siguiendo las indicaciones requeridas en la Resolución, y tomando como referencia las recomendaciones incluidas en la ¨Guía sobre cookies¨ publicada en el portal de la AEPD. Consultar Anexo 1 2.- - Ha modificado la redacción de lo relativo a la aceptación del usuario de la política de cookies, especificando las consecuencias de las opciones ofrecidas en el banner a través de los tres botones: aceptar, configurar, rechazar. Consultar apartado ¨Autorización para el uso de cookies ¨ del Anexo 2 3.- - Ha incluido en el texto de la política de cookies, el nombre de cada una de las durabilidad/permanencia. 3º.- Con 15/07/20, se comprueba, por parte de esta Agencia, en la web ***URL.1, respecto de la política de cookies, lo siguiente: - Existe un banner en la parte inferior de la página, con la leyenda: “Utilizamos personalizada en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Para más información consulta nuestra política de cookies. Puedes Aceptar, Rechazar o Configurar las cookies, pulsando los botones dispuestos para ello: << ACEPTAR >> << RECHAZAR >> << CONFIGURACIÓN >>”, en concordancia con lo recomendado en el punto 3.1.2.1.
- b)de la Guía de Uso de cookies, editada por la AEPD, 2019. - En la página de configuración de cookies, a través de su enlace, se proporciona la opción de rechazar todas las cookies: “Necesarias <<siempre activadas>> y NO Necesarias << “opción de ACEPTAR <-> RECHAZAR”>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 - Entrando en la segunda capa, a través del link, “Política de Cookies”, se proporciona información sobre algunos aspectos de las cookies, como, por ejemplo, qué son, los tipos de cookies que existen y sobre las cookies que se cargan cuando se navega por la web, también se da información sobre el tiempo que permanecerán instaladas en el equipo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados, comprobándose que la entidad reclamada ha modificado la política de cookies de su página web, introduciendo modificaciones en el banner en la página inicial, con una leyenda que proporciona información ajustada a lo recomendado en el punto 3.1.2.1.
- b)de la Guía de Uso de todas las cookies no necesarias o la posibilidad de configurarlas. En la segunda capa (configuración de cookies) se han introducido modificaciones, para poder rechazar todas las cookies y en la página de “política de cookies se proporciona información sobre aspectos de las cookies, como, por ejemplo, qué son, los tipos de cookies que existen y sobre las cookies que se cargan cuando se navega por la web, también se da información sobre el tiempo que permanecerán instaladas en el equipo. El artículo 22.2 de la LSSI, indica, a este respecto que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. En el presente caso, con arreglo a las evidencias que se disponen en este momento de acuerdo de inicio de procedimiento sancionador, se considera que la “Política de 22.2 de la LSSI. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, RESUELVE: ARCHIVAR: el procedimiento PS/0049/2020, iniciado a la entidad CINEMES GIRONA, S.L. con CIF: B65251092, titular de la página web, ***URL.1 NOTIFICAR: el presente Acuerdo a la entidad CINEMES GIRONA, S.L. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es