1/22 Procedimiento Nº PS/00061/2014 Apercibimiento A/00182/2014 RESOLUCIÓN: R/01564/2014 En el procedimiento sancionador PS/00061/2014, instruido por la Agencia Española de Protección de Datos a Don A.A.A., vista la denuncia presentada por Don B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 15 de abril de 2013 tiene entrada en esta Agencia un escrito de Don B.B.B., en adelante el denunciante, en el que manifiesta que el portal web http://roatextil.com no facilita información clara y completa sobre la utilización de dispositivos de almacenamiento y recuperación de datos, en adelante cookies, entendiendo incluido en dicho término todos dispositivo de tañes características) SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas de investigación, los Servicios de Inspección de esta Agencia realizaron una serie de actuaciones a raíz de las cuales se tiene conocimiento de los siguientes extremos: 1. Mediante la consulta realizada el 11 de septiembre de 2013 en el registro de nombres de dominio de Internet se verificó que Don A.A.A. figuraba como titular del dominio roatextil.com. 2. También con fecha 11 de septiembre de 2013 se verificó que el citado sitio web cuenta con una “nota legal” accesible desde un enlace en su página principal, en el que se observa que: 2.1. Se identifica a A.A.A., en adelante ROA TEXTIL, como titular del sitio web. 2.2. Dispone de un apartado sobre “Tratamiento de Datos y Utilización de Cookies” que proporciona la siguiente información sobre éstas últimas: Definición de cookies. Señala que el uso de las cookies les permite obtener la siguiente información: “La fecha y hora de acceso al Sitio Web. Ello nos permite averiguar las horas de más afluencia, y hacer los ajustes precisos para evitar problemas de saturación en nuestras horas punta. El número de visitantes diarios de cada sección. Ello nos permite conocer las áreas de más éxito y aumentar y mejorar su contenido, con el fin de que los Usuarios obtengan un resultado más satisfactorio. La fecha y hora de la última vez que el Usuario visitó el Sitio Web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 El diseño de contenidos que el Usuario escogió en su primera visita al Sitio Web. Elementos de seguridad que intervienen en el control de acceso a las áreas restringidas.”. Informa sobre la posibilidad de configurar el navegador para que impida la generación de cookies sin que se incluya ninguna información o enlace en relación con dicha posibilidad. Se constata que la política de privacidad a la que se puede acceder desde el pie de página de la página principal proporciona, en relación con las cookies, la misma información que la nota legal. 3. El 11 de septiembre de 2013 se accedió al sitio web www.roatextil.com (idéntico a http://roatextil.com) utilizando un navegador Mozilla Firefox (versión 23.0.1) junto con el complemento Firebug (versión 1.12.1). Durante la realización de dicha prueba se descargaron las siguientes cookies: Dominio Nombre Primera - Tercera parte Caducidad roatextil.com _utma Tercera roatextil.com _utmb Tercera Persistente Persistente roatextil.com _utmc Tercera Sesión roatextil.com _utmz Tercera Sesión google.com khcookie Tercera Sesión google.com PREF Tercera Persistente google.com NID Tercera Persistente google.es khcookie Tercera Sesión google.es PREF Tercera Persistente google.es NID Tercera Persistente blogger.com blogger_TID Tercera blogger.com blogger_TID Tercera 4. Las cookies descargadas del dominio roatextil.com corresponden al servicio de analítica web denominado Google Analytics, que permite obtener información sobre el uso que los usuarios hacen del sitio web (https://developers.google.com/analytics/devguides/collection/analyticsjs/cookie-usage ) Se ha comprobado que las cookies del dominio google.es se descargan únicamente al acceder a la página http://www.roatextil.com/tienda.html que contiene un mapa del servicio Google Maps. [IMAGEN.1] Se ha comprobado que las cookies del dominio google.com se descargan únicamente al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 acceder a la página http://www.roatextil.com/tiendavisita.html que contiene una ventana que permite la visita virtual al establecimiento. El servicio de visita virtual es prestado por Google. [IMAGEN.2] 5. Las cookies denominadas NID y PREF pueden tener más de una finalidad conforme figura en la información contenida en el documento “Tipos de cookies que utiliza Google” (http://www.google.es/intl/es/policies/technologies/types). 6. El 23 de enero de 2014 se realizó una segunda prueba accediendo al sitio web www.roatextil.com utilizando un navegador Google Chrome versión 32.0.1700.76 m y un navegador Mozilla Firefox (versión 26.0) junto con el complemento Firebug (versión 1.12.6). En esta ocasión junto a las cookies descargadas durante la primera prueba también se descargaron las siguientes cookies: Dominio Nombre Primera - Tercera parte Caducidad youtube.com VISITOR_INFO1_LIVE Tercera youtube.com PREF Tercera Persistente Persistente youtube.com YSC Tercera Sesión Además de las cookies HTTP descritas, se descargó una flash cookie asociada al dominio s.ytimg.com y un dispositivo de almacenamiento local basado en HTML5 (localStorage) asociado al sitio www.youtube.com. Se ha comprobado que los dispositivos de almacenamiento asociados descritos en este punto se descargan únicamente al acceder a la página http://www.roatextil.com/blog.html del sitio web en la que se incluye un video del servicio de video bajo demanda Youtube . [IMAGEN.3] De la misma forma, las cookies del dominio blogger.com, únicamente se descargan al acceder a la sección de Blog de la web, que es la misma ubicación que contiene el video de Youtube. 7. En respuesta a la solicitud de información remitida por esta Agencia, el titular del sitio web manifestó lo siguiente: 7.1. Aportan un listado de las cookies que utiliza el sitio web que incluye las de los servicios de Google Maps, Google Analytics y las de la red social Facebook. 7.2. La información se proporciona a los usuarios del sitio web a través de un cartel informativo que siempre está visible y que contiene un enlace a la página con la política de cookies. 8. Durante la prueba realizada el 23 de enero se constató que efectivamente, en la esquina inferior izquierda del navegador aparece el texto “roatextil.com utiliza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 navegando sin cambiar la configuración, consideramos que aceptas su uso. Ver nuestra política de cookies.” La última frase es un enlace a la página de política de cookies del sitio web. [IMAGEN.4] La página de política de cookies proporciona la siguiente información sobre las cookies utilizadas: Definición Enlace a una página web de una asociación de marketing digital en la que se proporciona información sobre cómo funciona la publicidad online. En relación con la posibilidad de rechazar su uso indican que “No obstante, cabe la posibilidad de impedir la generación de cookies, mediante la configuración del navegador web. [...] Tal como mostramos a continuación, en el portal web existen herramientas analíticas de Google. Si se desea bloquear las cookies analíticas de Google, puede instalarse un complemento en su navegador desarrollado siguiendo las instrucciones indicadas en el siguiente enlace.” A pesar de que el texto parece indicar que se enlaza con el complemento citado, no se ha hallado dicho enlace en la página. Tipos y finalidades: “Cookies analíticas: son cookies utilizadas para el análisis, investigación o estadísticas con el fin de mejorar la experiencia del sitio web. Mediante el uso de estas cookies se puede mostrar información más relevante a los visitantes. alojados en servicios de terceros, como por ejemplo, vídeos alojados en Vimeo. Estas para que el usuario pueda acceder a dicho servicio y se rigen por lo dispuesto en sus respectivas políticas de cookies. que permiten al usuario compartir contenidos con los contactos de su red social. Estas sus datos para compartir dichos contenidos. La utilización de estos botones no conllevan el acceso a los datos introducidos por los usuarios al compartir un contenido en una red social.” 9. La cookies del dominio facebook.com incluidas en el listado aportado como respuesta a la solicitud de información no han sido descargadas durante las pruebas al acceder al sitio web denunciado (www.roatextil.com). Algunas de las cookies incluidas en el listado sí que se descargan al acceder, mediante el botón “Me gusta” dispuesto en la parte superior del sitio web o mediante algunos enlaces a fotografías publicadas en ella, a la red social Facebook. 10. Tras configurar un navegador Mozilla Firefox para que no acepte cookies, se ha navegado por el sitio web sin que se haya observado ningún error en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 funcionalidades del mismo. TERCERO: Con fecha 18 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Don A.A.A. por la presunta infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.
- g)de dicha norma. En dicho acuerdo se indicaban las causas por las que, a la vista de lo actuado, se desprendía que la información sobre cookies ofrecida por el responsable del citado sitio web podía suponer la comisión de la citada infracción a la LSSI. CUARTO: Notificado el citado Acuerdo de inicio, con fecha 25 de marzo de 2014 se registra de entrada en esta Agencia escrito de alegaciones de Don A.A.A. solicitando el archivo de las actuaciones practicadas al considerar que no se ha infringido lo estipulado en el artículo 22.2 de la LSSI por los siguientes motivos : - Una vez recibido el requerimiento de información procedente de la AEPD se pasó a utilizar un sistema de información por capas a fin de informar a los usuarios del sitio web sobre las cookies utilizadas. - Se discrepa que en la “Política de cookies” no se aclaren los tipos y finalidades de las cookies utilizadas”, ya que en la misma se indica en forma clara y comprensible que se usan cookies propias y de terceros para las finalidades que se describen al señalar los tres tipos de cookies que se utilizan (cookies analíticas, cookies de complementos externos y cookies sociales). Igualmente, afirman que las cookies “NID” y “PREF” no sólo se usaban para cargar el servicio de Google “Visita Virtual”, sección que por otra parte se ha externalizado del dominio. - Analizadas las cookies, se trae a colación el Dictamen 4/2012 del Grupo de Trabajo del Artículo 29 recordando el tipo de cookies que quedarían excluidas del deber de informar y de la obtención del consentimiento para su uso en función de su finalidad. - El tenor literal del artículo 22.2 no obliga a la identificación particularizada de las cookies ni a la identificación de los responsables que las gestionan, señalándose, en cambio, en el segundo párrafo de dicho precepto la posibilidad de remitir al usuario a la configuración de la navegación para rechazar las cookies. - Invocan la aplicación del principio de presunción de inocencia remitiéndose a la responsabilidad de las Partes en la utilización de cookies que aparece en la página 24 de la “Guía sobre las Cookies”, donde se cita que “La LSSI no define quién es el responsable de cumplir con la obligación de facilitar información sobre las cookies y obtener el consentimiento para su uso.” - Aplicación del artículo 40 de la LSSI por falta de intencionalidad en la infracción y ausencia de ventaja económica puesto que en el portal web no hay publicidad personalizada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 QUINTO: Con fecha 2 de abril de 2014 se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se daban por reproducidos, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el titular del sitio web, el Informe de actuaciones previas de Inspección que forman parte del expediente E/03530/2013, las alegaciones al acuerdo de inicio PS/00061/2014 presentadas por éste y la documentación que a ellas acompaña, así como la información sobre cookies que aparecía con esa misma fecha al acceder a la página principal del reseñado sitio web y al documento de cookies al que dirige el enlace contenido en la misma. SEXTO: Con fechas 2 de junio y 10 de julio de 2014 se realizan nuevos accesos al sitio web www.roatextil.com a los efectos de constatar la información sobre cookies ofrecida en la misma, efectuándose también comprobaciones en relación con la información a la que dirigen los enlaces que muestran las instrucciones a seguir para configurar los navegadores para bloquear o inhabilitar la descarga de cookies. SÉPTIMO: En el acceso efectuado con fecha 10 de julio de 2014 al sitio web www.roatextil.com se constata la utilización de los siguientes dispositivos de almacenamiento y recuperación de datos de naturaleza persistente: (folios 136 al 142) 1) Asociados al sitio www.roatextil.com se descargan las cookies NID y PREF de google.com al utilizar la opción “Nuestra Tienda” que contiene un mapa del servicio Google Maps. 2) Asociados al sitio www.google.com se descargan las cookies NID y PREF de google.com al usar el servicio de visita virtual prestado desde la página https://www.google.com. (folio 131) 3) Asociados al sitio roatextil.blogspot.com.es, desde el que actualmente puede visionarse el vídeo bajo demanda Youtube anteriormente incrustado en el sitio www.roatextilcom, se descargaron las siguientes Valenciana”: - GEUP del dominio youtube.com. VISITOR_INFO1_LIVE y En ese mismo acceso se constata que la información por capas sobre cookies que se muestra a los usuarios del sitio web es la misma que la comprobada con fecha 2 de junio de 2014 . (folios 119 al 130) OCTAVO: Con fecha 14 de julio de 2014 se accede a la información obrante en la “Nota Legal” y “Política de Privacidad” del sitio webwww.roatextil.com . También se, verificá que Don A.A.A. figura en el Registro Mercantil Central como Administrador único de la empresa ROA TEXTIL, SLU. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 PRIMERO: Con fecha 11 de septiembre de 2013 se constata que en la “Nota Legal” del sitio web www.roatextil.com Don A.A.A. aparece como titular de la citada web, en la que se informa sobre los productos y actividades del establecimiento ROA Textil, Indumentaria Valenciana. (folios 9 al 15 ) Don A.A.A. es administrador único de la reseñada sociedad y titular del dominio roatextil.com. (folios 24, 165 y 166) SEGUNDO: Durante el acceso realizado el día 11 de septiembre de 2013 al sitio web www.roatextil.com se constató que la información sobre el uso y finalidades de las el mismo se incluía en la “Nota Legal” y “Política de Privacidad” del sitio, documentos a los que se accedía a través de los enlaces del mismo nombre ubicados en la parte inferior de las páginas de la web. (folios 6 al 18 ) En dichos documentos se definían las cookies, se asociaba su uso a la obtención de información que, en general, se refería a datos relativos a los hábitos de navegación y preferencias de los usuarios que visitaban el sitio web y a elementos de seguridad vinculados al control de acceso de áreas restringidas, señalándose al respecto que “Esta información permite a ROA TEXTIL adaptar y mejorar sus Servicios a los intereses del Usuario.” El contenido de dichos documentos en lo que respecta a la información sobre el uso de TERCERO: En el acceso realizado con fecha 11 de septiembre de 2013 a diferentes páginas y funcionalidades del mencionado sitio web se comprobó que en el equipo terminal desde el que se efectuó dicha visita se descargaron los siguientes dispositivos de almacenamiento y recuperación de datos no exentos del cumplimiento de las obligaciones derivadas del artículo 22.2 de la LSSI: (folios 19 al 22) Dominio Nombre Primera - Tercera parte Caducidad roatextil.com _utma Tercera roatextil.com _utmb Tercera Persistente Persistente roatextil.com _utmc Tercera Sesión roatextil.com _utmz Tercera Sesión google.com PREF Tercera Persistente google.com NID Tercera Persistente google.es PREF Tercera Persistente google.es NID Tercera Persistente CUARTO: Con fecha 3 de octubre de 2013 se registra de entrada escrito de Don A.A.A. aportando transcripción del sistema de información por capas introducido en el sitio web www.roatextilcom a fin de informar sobre la utilización de cookies en el mismo. (folios 28 al 32 ) QUINTO: Con fecha 23 de enero de 2014 se comprobó que al acceder a la página inicial del sitio web aparecía una primera capa informativa mediante un aviso situado en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 la parte inferior izquierda de la misma que mostraba en forma perfectamente visible el siguiente texto: “roatextil.com utiliza cookies propias y de terceros para mejorar tu experiencia de usuario. Si sigues navegando sin cambiar la configuración, consideramos que aceptas su uso. Ver nuestra política de cookies.” (folio 45) Se constata que desde el enlace que constituye la última frase del mencionado aviso se accede a la segunda capa de “Información relativa a las cookies”. En esta capa, tras definir dichos dispositivos, se repite que la información obtenida a través de los mismos “ permite a ROA TEXTIL adaptar y mejorar sus Servicios a los intereses del Usuario.” , citándose de forma genérica la configuración del navegador web como forma de impedir la generación de cookies. No se facilita el enlace que se indica se incluye para bloquear las cookies analíticas de Google que se utilizan, las cuales aparecen citadas junto con las cookies de complementos externos y las cookies sociales como los tres tipos de cookies que se utilizan en la página web en cuestión con las finalidades que también se señalan . (folios 46 al 47) SEXTO: En el mismo acceso de fecha 23 de enero de 2014 se comprobó que en el equipo terminal desde el que se efectuó dicha visita se descargaron, junto con dispositivos de almacenamiento y recuperación de datos anteriormente reseñados, las siguientes cookies no exentas del cumplimiento de las obligaciones derivadas del artículo 22.2 de la LSSI: (folios 48 al 57) - Las cookies VISITOR_INFO1_LIVE y PREF del dominio youtube.com. - Una flash cookie asociada al dominio s.ytimg.com - Un dispositivo de almacenamiento local basado en HTML5 asociado al sitio www.youtube.com SÉPTIMO: Con fecha 23 de enero de 2014 se navegó por el mencionado sitio web sin que se observara ningún error en las funcionalidades del mismo después de haber configurado un navegador Mozilla Firefox para que no se aceptasen cookies. (folio 63) OCTAVO: Con fecha 2 de abril de 2014 al acceder al sitio web www.roatextilcom se constatan las siguientes modificaciones en la información ofrecida sobre el uso de - En la primera capa el aviso contiene el siguiente texto: “Usamos cookies propias y de terceros para mejorar su experiencia de usuario. Si continua navegando consideramos que acepta el uso de cookies. OK. Ver nuestra política de cookies. (folio 97) - En la segunda capa de información, que muestra una estructura y contenidos semejantes a los de la visita de fecha 23 de enero de 2014, se incluyen enlaces a las instrucciones de los navegadores Internet Explorer, Mozilla Firefox, Google Chrome y Safari como instrumentos para rechazar las cookies. Se añade un cuarto tipo de cookies, en concreto cookies técnicas o de personalización, así como una tabla en la que se detalla el nombre de las cookies utilizadas en el sitio web asociadas al dominio desde el que se gestionan, su duración y finalidad. Se proporcionan los enlaces a la política de privacidad de Facebook y de Google, señalando que todos los servicios son ofrecidos por estos terceros. Al describir las cookies de complementos externos, se ha subsanado la referencia a vídeos alojados en Vimeo que aparecía con anterioridad (folio 46) por la siguiente indicación “En la web ofrecemos contenidos que están alojados en servicios de terceros, como por ejemplo, vídeos alojados en Youtube”. (folio 99) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 NOVENO: Con fecha 2 de junio se realiza un nuevo acceso al sitio web www.roatextilcom constatándose las siguientes modificaciones en la información ofrecida sobre cookies: (folios 105 al 114) - En la primera capa el aviso contiene el siguiente texto: “Usamos cookies propias y de terceros para mostrarle contenidos multimedia, mejorar su experiencia de usuarios y realizar estudios estadísticos de navegación. Si continua navegando consideramos que acepta el uso de cookies. OK. Ver nuestra política de cookies. (folio 106) - En la segunda capa de información se comprueba que el enlace al navegador Mozilla Firefox dirige a una versión en inglés y que el enlace que debería dirigir al navegador Safari lleva a la información facilitada por el navegador Google Chrome (folios 105, 107, 110 111, 114 y 115) DÉCIMO: En el acceso efectuado al sitio web www.roatextil.com con fecha 10 de julio de 2014 se descargaron asociados al mismo las cookies de terceros NID y PREF de google.com al clicar la opción “Nuestra Tienda” de la pestaña “Tienda”. Esta opción contiene un mapa del servicio Google Maps. (folios 137 y 154) Se constata que la visualización del vídeo bajo demanda Youtube se realiza desde el sitio roatextil.blogspot.com.es y que la “Visita Virtual” del establecimiento se presta desde la página web https://www.google.com. (folios 131, 139 y 144 al 149, 156) En ese mismo acceso se verifica que la información por capas sobre cookies que se muestra a los usuarios del sitio web es la misma que la comprobada con fecha 2 de junio de 2014 . (folios 119 al 130) UNDÉCIMO: Con fecha 14 de julio de 2014 se comprueba que en la web de Google https://www.google.es/intl/es/policies/technologies/types aparece la siguiente información respecto de la cookies PREF y NID: “Google utiliza cookies, como las servicios de Google como, por ejemplo, la Búsqueda de Google. […] También utilizamos cookies para anuncios que mostramos en toda Web. Nuestra principal cookie publicitaria en sitios que no pertenecen a Google se denomina "id" y se almacena en navegadores en el dominio doubleclick.net. También utilizamos otras cookies denominadas "_drt_", "FLC" y "exchange_uid".” En dicha página también se indica que “La mayoría de los usuarios de Google tienen en sus navegadores una cookie de preferencias denominada "PREF". Un navegador envía esta cookie a través de solicitudes a los sitios de Google. La cookie PREF puede almacenar tus preferencias y otra información, en concreto tu idioma preferido (por ejemplo, inglés), así como el número de resultados de búsqueda que quieres que se muestren por página (por ejemplo, 10 o 20) y si quieres que esté activado el filtro SafeSearch de Google.” (folios 166 al 168) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 DUODÉCIMO: Don A.A.A. es administrador único de la entidad ROA TEXTIL, SLU (folios 164 y 165 ) DECIMOTERCERO: El sitio web mantiene un enlace permanente denominado “Política de cookies” (folio 120) FUNDAMENTOS DE DERECHO I Con carácter previo al estudio del fondo del asunto, hay que reseñar que durante la tramitación del procedimiento se ha promulgado la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, cuya Disposición Final Segunda ha introducido importantes modificaciones en la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico, las cuales, tal y como se expone más adelante, han sido tenidas en cuenta en virtud de la aplicación del principio de retroactividad de la norma sancionadora más favorable. En este sentido, el segundo párrafo del artículo 43.1 de la LSSI en su redacción conferida por la Ley 9/2014 establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
- d)e
- i)y 38.4.d),
- g)y
- h)de esta Ley”; otorgando por tanto a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 22 de la Ley 34/2002, de 11 de julio, o, en su caso, apercibir al sujeto responsable en la forma prevista en el nuevo artículo 39 bis 2 de dicha norma. II Los hechos objeto de imputación del presente expediente constituyen infracción a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, y que teniendo en cuenta las modificaciones introducidas por la Ley 9/2014 de 9 de mayo de Telecomunicaciones dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Conviene señalar que el citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. Dicho precepto se ha integrado en la LSSI utilizando conceptos propios de dicha norma; y se trata de conceptos legales, no vulgares, que cuentan con una definición establecida en la propia ley que los delimita. Por un lado, el Anexo de la LSSI define en su apartado
- c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
- a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) Por otro lado, tanto la rúbrica del artículo 22.2 de la LSSI como el tenor literal del artículo hablan del destinatario, que según el apartado
- d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las consentimiento sobre su uso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. III La incorporación al ordenamiento jurídico español de la Directiva 2009/136/CE se introdujo en virtud del artículo 4.3 del Real Decreto Ley 13/2012, de 30 de marzo, que tenía por objeto la trasposición de directivas en materia de mercados interiores de electricidad y gas y en materia de comunicaciones electrónicas (Directiva 2009/136/CE), dando lugar a la modificación del artículo 22.2 de la LSSI vigente hasta ese momento. En la Exposición de Motivos del citado Real Decreto Ley se indica que mediante el mismo “se efectúa la incorporación al ordenamiento jurídico español del nuevo marco regulador europeo en materia de comunicaciones electrónicas, marco que está compuesto por la Directiva 2009/136/CE, del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (Derechos de los Ciudadanos), y la Directiva 2009/140/CE, del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (LCEur 2009, 1993) (Mejor Regulación). La transposición de estas Directivas se efectúa mediante la modificación de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, así como una modificación puntual de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico”. La Exposición de Motivos ahonda en esta cuestión señalando que: “Por último, se modifican varios artículos de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico, a fin de adecuar su régimen a la nueva redacción dada, por la Directiva 2009/136/CE, a la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, debiéndose destacar la nueva redacción que se da a su artículo 22.2, para exigir el consentimiento del usuario sobre los archivos o programas informáticos (como las llamadas «cookies») que almacenan información en el equipo de usuario y permiten que se acceda a ésta; dispositivos que pueden facilitar la navegación por la red pero con cuyo uso pueden desvelarse aspectos de la esfera privada de los usuarios, por lo que es importante que los usuarios estén adecuadamente informados y dispongan de mecanismos que les permitan preservar su privacidad”. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento, para el envío de publicidad basado en el mismo o como medio para el desarrollo de otros productos y servicios concretos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. IV Conforme a las definiciones legales anteriores, se considera que Don A.A.A., en su condición de titular del dominio roatextil.com, ostenta la condición de Prestador de Servicios al proporcionar a través del sitio web www.roatextil.com información a los usuarios que acceden por vía electrónica (Internet) a dicha página web sobre los productos y servicios objeto de la actividad empresarial y comercial de la mercantil ROA TEXTIL, S.L., empresa de la que dicha persona es administrador único. Sobre este particular, aunque en la “Guía sobre el uso de las cookies” publicada en la página web de la Agencia se indique que la LSSI se refiere a los prestadores de servicios sin definir “quién es el responsable de cumplir con la obligación de facilitar información sobre las cookies y obtener el consentimiento para su uso”, dicha afirmación no puede ser extrapolada, tal y como hace la reseñada empresa, del contexto en el que se realiza tal pronunciamiento en la mencionada Guía al tratar de la “Responsabilidad de las partes en la utilización de cookies”. De este modo, al tratar dicha cuestión se indica claramente que cuando el editor utiliza cookies propias para finalidades no exceptuadas de las mencionadas obligaciones debe cumplir los requisitos de información sobre las mismas fijados en el artículo 22.2 datos. Igualmente, se señala que “cuando se empleen cookies de terceros para alguna o algunas de las finalidades no exentas, tanto el editor como las otras entidades intervinientes en la gestión de las cookies tendrán la responsabilidad de garantizar que los usuarios están claramente informados acerca de las cookies y de las finalidades para las que se trataran (…)”. Además, conviene recalcar, que con independencia de lo indicado en la mencionada Guía, lo sustancial a los efectos que nos ocupan es que el propio precepto establece que será el prestador del servicio de la sociedad de la información el responsable de dar cumplimiento a las obligaciones mencionadas en el mismo. En este supuesto hay que tener presente que las cookies no exceptuadas respecto de las cuales se exige al editor el cumplimiento del deber de información sobre su utilización y finalidades se descargan en los equipos terminales de los usuarios porque éste, en el momento de configurar la página web, decidió incluir en la misma contenidos de terceros que las utilizan o ha empleado software de terceros que las requieren para poder prestar los servicios pretendidos. En todo caso, constituye su responsabilidad realizar las actuaciones necesarias para conocer la tipología y finalidades de las cookies de primera y tercera parte que van a instalarse en los equipos de los internautas al navegar y utilizar las funcionalidades del sitio web, recayendo, por ello, sobre el editor del mismo, y con independencia de las obligaciones de información que también puedan tener los terceros cuyos contenidos o herramientas se emplean en la configuración del sitio web, la obligación de actuar con la diligencia necesaria para recabar dicha información de los terceros en cuestión al objeto de poder trasladarla a los usuarios que visiten el sitio web de su titularidad. En consecuencia, al haber quedado justificado que es responsabilidad del editor, en este caso del titular del dominio en que se aloja el sitio web, informar a los internautas sobre el uso y las finalidades de las cookies propias y de terceros utilizadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 en el mismo, procede desestimar el alegato relativo a vulneración del principio de presunción de inocencia en su conducta. V En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que con fecha 11 de septiembre de 2013 la información disponible en el citado sitio web relativa al uso de estos dispositivos estaba contenida en los documentos de “Política de Privacidad” y “Nota Legal” a los que se llega a través de los enlaces del mismo nombre situados al pie de varias de las páginas que integran el portal. Por lo tanto, la única información sobre cookies facilitada en esas fechas no resultaba directamente accesible ni visible para los usuarios que visitaban el portal ni era reconocible como tal al no incluir ninguna descripción alusiva a información sobre este tipo de dispositivos. Tampoco aclaraba los tipos y finalidades de las incluyendo ningún procedimiento concreto de rechazo para su instalación al limitarse a remitir al usuario, de forma genérica, a la configuración del navegador sin efectuar ninguna otra especificación. Asimismo, ha quedado probado que tan pronto como el administrador de ROA TEXTIL, S.L. recibió, con fecha 17 de septiembre de 2013, el requerimiento de información de esta Agencia optó, además de mantener la información que aparecía en los reseñados textos legales, por introducir un sistema de información por capas cuyo contenido ha sufrido diversas modificaciones con el propósito de adecuar la información ofrecida sobre cookies a la normativa que resulta de aplicación. La utilización de un sistema de información por capas en los sitios web en que se utilicen cookies no exentas es perfectamente válido. Conforme lo indicado en la “Guía sobre el uso de cookies” en la primera capa debe mostrarse la información esencial sobre la existencia de cookies, si son propias o de terceros y las finalidades de las capa, a la que se accederá mediante enlace o hipervínculo de la primera se ofrecerá información adicional sobre las cookies, la cual debería versar sobre qué son y para qué se utilizan las cookies, los tipos de cookies utilizadas y su finalidad, así como la forma de desactivar o eliminar las cookies enunciadas a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o través de las plataformas comunes que pudieran existir, para esta finalidad. Finalmente, en esta segunda capa debe ofrecerse información sobre la identificación de quién utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros, con la identificación de aquellos con los que haya contratado o cuyos servicios ha decidido utilizar el editor. Por tanto, cabe el suministro de la información adicional en una segunda capa por grupos homogéneos de cookies, siempre que ello no produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de rechazo de las cookies enunciadas. La normativa estudiada pretende que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal, siendo esencial que dicha información verse sobre las finalidades de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Ahora bien, nada obsta a que dicha información adicional se ofrezca, a los efectos de dar cumplimiento a los requisitos de la segunda capa, en un cuadro adjunto que señale el dominio bajo el cual figura la cookie, el nombre de la misma, su finalidad concreta, y si es propia o de tercera parte, con identificación, en su caso, del tercero en cuestión. Es decir, aunque dicho sistema no sea exigible la Agencia entiende que la descripción contenida en un cuadro puede dar cumplimiento a los requisitos de la segunda capa relativos a los tipos de cookies utilizadas y su finalidad así como sobre quién utiliza las cookies, en la medida en que contenga la información exigible antes especificada, habiendo sido en este caso decisión del responsable del sitio web incluir una tabla identificando cada cookie de las utilizadas. Relacionando dichas exigencias con la información actualmente ofrecida sobre se efectúan las siguientes consideraciones en relación con el sistema de información por capas empleado: - En el primer nivel de información, que se muestra a través de un aviso que aparece en la parte inferior de la página de inicio del sitito, se señala que: “Usamos cookies propias y de terceros para mostrarle contenidos multimedia, mejorar su experiencia de usuarios y realizar estudios estadísticos de navegación. Si continua navegando consideramos que acepta el uso de cookies. OK. Ver nuestra política de cookies. A la vista de su contenido se observa que, sin perjuicio de que se ha incluido información sobre el uso de cookies propias y de terceros con finalidades de analítica web y para mostrar contenidos multimedia, continúa sin hacerse mención sucinta a las finalidades asociadas al uso de cookies de preferencias (PREF) y cookies publicitarias (NID y PREF) de tercera parte del dominio google.com que se descargan al acceder a la página de la “Tienda” que contiene un mapa del servicio Google Maps. Conviene recordar que en la página web de Google Inc. que aparece reseñada en el Hecho Probado Undécimo se hace mención explícita a dichas finalidades por parte del responsable del servicio de Google Maps y que una cookie puede ser utilizada con más de una finalidad como ocurre con la cookie PREF de Google. - En el segundo nivel de información alojado en el documento identificado como “Política de Cookies”, se aprecia que el editor, después de definir las datos utilizados tanto por tipologías homogéneas de los mismos como mediante un listado en el que se particulariza el nombre de las cookies, el titular de la mismas, su duración y finalidades respectivas. Partiendo de esta estructura informativa se aprecia, en conjunto, lo siguiente en relación con el contenido ofrecido en esta segunda capa:
- a)Los cuatro tipos de cookies que se indican utilizar (cookies técnicas o de personalización, cookies analíticas, cookies de complementos externos y debería informarse sobre el uso de cookies publicitarias respecto a las que no se hace ningún tipo de referencia.
- b)Se considera que no se diferencia correctamente entre cookies técnicas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 de personalización al asimilarse ambas al mismo tipo de cookies al indicar que se usan “Cookies técnicas o de personalización: para el buen funcionamiento del Portal Web”. Así, si bien las cookies técnicas pueden resultar necesarias para el buen funcionamiento del portal a los efectos de permitir la transmisión de la comunicación por una red de comunicaciones electrónicas o para prestar el servicio expresamente solicitado por el usuario, lo que hace que, con arreglo a lo previsto en el tercer párrafo del artículo 22.2 de la LSSI pudieran estar, en principio, exentas del deber de información, sin embargo no ocurre lo mismo con las cookies de personalización debido a las finalidades a las que se asocia su utilización. Respecto de estas segundas cookies, en el Dictamen 4/2012 sobre la exención del requisito de consentimiento de cookies de 7 de junio de 2012 del Grupo de Trabajo creado al amparo del artículo 29 de la Directiva 1995/46/CE, que estudia los criterios de exención de cookies, se indica que las denominadas “cookies de personalización de la interfaz de usuario” se utilizan para “almacenar una preferencia del usuario en relación con un servicio en las páginas web y no están vinculados a otros identificadores persistentes como el nombre del usuario. Sólo se instalan si el usuario ha solicitado expresamente que se recuerde una determinada información, por ejemplo pulsando un botón o marcando una casilla.”.
- c)En cuanto a los mecanismos ofrecidos para desactivar o eliminar las cookies, se aprecia que en el caso del navegador Mozilla Firefox se facilita un enlace que lleva a una página en lengua inglesa, cuando existe esa misma página en español a través del enlace http://support.mozilla.org/es/kb/cookiesinformacion-que-los-sitios-web-guardan-en-?redirectlocale=enUS&redirectslug=Cookies. Además, el enlace asociado al navegador Safari conduce a la ayuda de Coogle Chrome en lugar de a las instrucciones indicadas.
- d)Respecto del listado pormenorizado de la tabla se observa que respecto de las cookies relacionadas no se indica si se trata de cookies de primera o tercera parte. Tampoco aparece indicada la finalidad publicitaria de la En esta segunda capa también se incluye información sobre cookies asociados a dominios de redes sociales (facebook.com), aunque durante las actuaciones de investigación no se ha descargado ningún dispositivo asociado a dicho dominio. VI En relación con la mención que se hace en las alegaciones al acuerdo de inicio al Dictamen 4/2012 respecto de las cookies que en el mismo se considera estarían exentas del deber de información, debe precisarse que entre éstas no se encuentran las cookies de personalización de carácter persistente, las cookies persistentes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 reproductor multimedia, las cookies de publicidad y las cookies analíticas que se han descargado en los diferentes accesos efectuados al sitio web www.roatextilcom. En dicho Dictamen, en cuanto a las cookies de “personalización de la interfaz del usuario” se señala que “Por su propia naturaleza, únicamente los cookies de sesión (o de corta duración) que almacenan dicha información están exentos del requisito de consentimiento con arreglo al CRITERIO B.” En cuanto a las cookies de publicidad en el mismo Dictamen 4/2012 se manifiesta que: “Los cookies de terceros que se utilizan en la publicidad comportamental no están exentos del requisito de consentimiento, como ya se señaló en el Dictamen 2/2013 y el Dictamen 16/2010 del Grupo de Trabajo. El requisito de consentimiento se extiende de forma natural a todos los cookies de terceros relacionados que operen y se utilicen en la publicidad, incluidos los cookies utilizados para fines de limitación de la presión vendedora, inicio de la sesión financiera, afiliación publicitaria, clic en la detección del fraude, investigación y análisis de mercados, mejora y depuración de producto, a que ninguno de estos fines puede considerarse relacionado con un servicio o funcionalidad de un servicio de la sociedad de la información>> explícitamente solicitado por el usuario>>, como exige el CRITERIO B.” En lo referente a las cookies calificadas como de análisis en dicho Dictamen 4/2012 se señala que “Los análisis son instrumentos de medición estadística de audiencia de los sitios web que suelen basarse en cookies.”, añadiendo que “Aunque este instrumento suele ser considerado “estrictamente necesario” para los operadores de sitios web, no es estrictamente necesario para prestar una funcionalidad explícitamente solicitada por el usuario (o abonado). De hecho, cuando estas cookies no están habilitadas, el usuario puede acceder a todas las funcionalidades que ofrece el sitio web. En consecuencia estas cookies no disfrutan de la exención definida en los CRITERIOS A o B”. En cuanto a las “Cookies de sesión de reproductor multimedia”, el reseñado Dictamen 4/2012, recoge que:: “Los cookies de sesión de reproductor multimedia se utilizan para almacenar los datos técnicos necesarios para reproducir contenidos de vídeo o audio, como calidad de la imagen, velocidad de conexión a la red y parámetros de almacenamiento temporal. Estos cookies de sesión multimedia se conocen comúnmente como flash cookies porque la tecnología de vídeo por Internet más utilizada actualmente es Adobe Flash. Al no existir ninguna necesidad a largo plazo de esta información, estos cookies expiran al finalizar la sesión. Cuando el usuario visita un sitio web que contiene contenidos de texto y vídeo relacionados, ambos tipos de contenidos también forman parte del servicio solicitado explícitamente por el usuario. Por lo tanto, la funcionalidad de visualización del vídeo se ajusta al CRITERIO B. Como se ha señalado en la sección 3.2, para poder disfrutar de la exención los operadores de sitios web deben evitar incluir en los flash cookies o de otro tipo cualquier información adicional que no sea estrictamente necesaria para la reproducción del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 contenido en los medios de comunicación.” Todo ello teniendo en cuenta que en dicho documento se indica que el artículo 5.3 de la Directiva 2002/28/CE, “permite que los cookies queden exentos del requisito de consentimiento informado si cumplen alguno de los siguientes criterios: CRITERIO A: el cookie se utiliza «al solo fin de efectuar la transmisión de una comunicación a través de una red de comunicaciones electrónicas». CRITERIO B: el cookie es «estrictamente necesario a fin de que el proveedor de un servicio de la sociedad de la información preste un servicio expresamente solicitado por el abonado o el usuario», puntualizando en lo concerniente al criterio B “que un servicio de la sociedad de la información debe considerarse como la suma de varias funcionalidades, y que el alcance exacto de dicho servicio puede, por tanto, variar según las funcionalidades que solicite el usuario (o abonado). En consecuencia, el CRITERIO B puede reformularse según las «funcionalidades» que ofrezca un servicio de la sociedad de la información. Por tanto, un cookie que cumpla el CRITERIO B tendría que reunir las siguientes condiciones: 1) que el cookie sea necesario para prestar una funcionalidad específica al usuario (o abonado): si los cookies no funcionan, la funcionalidad no se prestará. 2) que la funcionalidad haya sido solicitada explícitamente por el usuario (o abonado), como parte de un servicio de la sociedad de la información.” De acuerdo con dichos criterios se entiende que las cookies persistentes PREF, NID, “VISITOR_INFO_LIVE”, y las cookies analíticas _utma, _utmb, _utmc y _utmz no gozarían de tal exención. VII En el momento en que se inició el procedimiento sancionador PS/00061/2014 el artículo 38.4.
- g)de la LSSI, vigente en esas fechas, establecía como infracción leve: “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.”. Durante la tramitación del citado expediente se ha producido una modificación en la LSSI operada por la disposición final segunda de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, publicada en el BOE nº 114 de fecha 10 de mayo de 2014, la cual ha afectado, entre otros, al citado artículo 38.4.
- g)de la LSSI, que en su nueva redacción califica como infracción leve: “
- g)Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 Conforme al artículo 9.3 de la Constitución Española, “La Constitución garantiza (…) la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales”. Y en este sentido constante jurisprudencia ha mantenido el principio de retroactividad de la ley sancionadora más favorable. Destacamos así la Sentencia del Tribunal Constitucional 131/1986 de 29 de octubre que señala refiriéndose al principio de retroactividad de la ley penal más favorable “es que, además, dicho principio supone la aplicación íntegra de la ley más beneficiosa, incluidas aquellas de sus normas parciales que puedan resultar perjudiciales en relación con la ley anterior, que se desplaza en virtud de dicho principio, siempre que el resultado final, como es obvio, suponga beneficio para el reo, ya que en otro caso la ley nueva carecería de esa condición de más beneficiosa que justifica su aplicación retroactiva”. Y en este sentido el artículo 128.2 de la ley 30/1992, de 28 de noviembre, dispone: “Las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”, dado que, como señala el apartado 17 de su Exposición de motivos, es objeto de la misma la aplicación de "los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia". Asimismo, en Sentencias de la Sala de lo Contencioso Administrativo del Tribunal Supremo de 24 de enero de 2006 (recurso 419/2002), 31 de enero de 2007 (recurso 8873/2003) y 13 de febrero de 2008 (recurso 2110/2004), entre otras muchas, se afirma que el principio de retroactividad de las normas administrativas sancionadoras obliga a aplicar retroactivamente dichas normas en todo aquello que pudiera ser más beneficioso para el presunto infractor, y "...tal aplicación debe llevarse a cabo en cualquier instancia administrativa o judicial donde se encuentre pendiente de enjuiciamiento o ejecución una resolución sancionadora, ya que no tendría sentido confirmar judicialmente la legalidad de una resolución administrativa, según la normativa vigente cuando fue dictada, para que la Administración proceda a dictar seguidamente otra que aplique retroactivamente la nueva norma sancionadora más favorable, resolución esta última que podría ser objeto de un nuevo recurso judicial." En consecuencia, en aplicación del anterior criterio jurisprudencial procede aplicar de forma retroactiva el nuevo régimen sancionador de la LSSI más favorable para el infractor que el vigente en el momento de la comisión de los hechos objeto de imputación. En este caso, de lo actuado, se evidencia que la información por capas ofrecida en el sitio web www.roatextilcom sobre los dispositivos de almacenamiento y recuperación de datos no exentos utilizados en el mismo no resulta clara ni completa, al no ofrecerse, en ninguno de los dos niveles, la información que se considera necesaria respecto del uso de cookies, en especial en cuanto a las finalidades a las que obedece su instalación, tal y como muestran las carencias antes descritas. Esta conducta, consistente en el incumplimiento del deber de información previsto en el primer párrafo del artículo 22.2 de la LSSI, encuentra su tipificación en la infracción leve prevista en el citado artículo 38.4.
- g)de la LSSI, que a tenor de lo establecido en el vigente artículo 39.1.
- c)de la LSSI podrá sancionarse con multa de hasta 30.000 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 VIII A su vez, a los efectos de acordar la resolución procedente debe tenerse en cuenta lo previsto para la moderación de las sanciones en los artículos 39 bis y 40 de dicha norma, añadido a raíz de la modificación operada en la LSSI, el cual dispone lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
- a)La existencia de intencionalidad.
- b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
- c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
- d)La naturaleza y cuantía de los perjuicios causados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22
- e)Los beneficios obtenidos por la infracción.
- f)Volumen de facturación a que afecte la infracción cometida.
- g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” A la vista de lo previsto en el apartado segundo del artículo 39 bis de la LSSI, y en aplicación del criterio jurisprudencial señalado con anterioridad, esta Agencia considera que en este supuesto procede apercibir a Don A.A.A. en lugar de acordar una resolución sancionadora. Ello en atención a las siguientes circunstancias: por un lado se cumplen los requisitos recogidos en las letras
- a)y
- b)del artículo 39 bis 2 de la LSSI y, por otro lado, se constata una cualificada disminución de la culpabilidad de la entidad imputada, teniendo en cuenta la concurrencia significativa de varios de los criterios contemplados en el artículo 40 de dicha norma. En especial, se entiende que concurre el supuesto
- a)del artículo 40 de la LSSI derivado de la existencia de una cualificada ausencia de intencionalidad por parte del infractor en la comisión de la infracción imputada, conforme prueba tanto que en el momento de la realización de las primeras actuaciones inspectoras practicadas esta Agencia ya constatara la inclusión de determinada información relativa al uso de como que, con posterioridad, el responsable del mismo incluyera un sistema de información por capas después de recibir el requerimiento de información en fase de actuaciones previas y el acuerdo de inicio de procedimiento sancionador enviados por esta Agencia, todo lo cual muestra la voluntad del infractor de subsanar la situación a fin de dar cumplimiento a dicho deber de información, ello con independencia de que dichas medidas no hayan regularizado la situación conforme exige el artículo 22.2 de la LSSI al no resultar una información clara y completa por los motivos expresados. Igualmente, concurren los criterios
- d)y
- e)del citado precepto teniendo en cuenta la inexistencia de perjuicios alegados por el denunciante y la falta de constancia de que el infractor haya obtenido beneficios con motivo de los hechos imputados De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. ARCHIVAR el Procedimiento Sancionador PS/00061/2014 instruido por la Agencia Española de Protección de Datos a Don A.A.A. por infracción al artículo 22.2 de la LSSI. 2. APERCIBIR (A/00182/2014) a Don A.A.A. con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). 3.C/ Jorge Juan, 6 28001 – Madrid REQUERIR a Don A.A.A., de acuerdo con lo establecido en el citado www.agpd.es sedeagpd.gob.es 22/22 artículo 39 bis 2, para que en el plazo de un mes desde la notificación de la presente resolución: 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha persona a incluir en el sitio web www.roatextil.com la información sobre los dispositivos de almacenamiento y recuperación de datos no exentos que aparece señalada en el Fundamento de Derecho V como incompleta o no facilitada. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/04289/2014 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. 4.- NOTIFICAR la presente resolución a Don A.A.A.. 5 .- NOTIFICAR la presente resolución a Don B.B.B. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es