PS-00079-2023

(3): Cookies que no han podido ser clasificadas como técnicas pero que su dominio pertenece a un tercero Dominio v1st ***DOMINIO.2 C/ Jorge Juan, 6 28001 – Madrid Descripción www.aepd.es sedeagpd.gob.es 4/20 Dominio dmvk ***DOMINIO.2 nosotrosprivacidad ***DOMINIO.2 Descripción 2.- Sobre el banner de información sobre cookies en la primera capa: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin realizar ninguna acción sobre la página web, aparece un banner de información sobre cookies en la parte inferior de la página principal con el siguiente mensaje: Su privacidad es importante para nosotros: Nosotros y nuestros <<socios>> almacenamos o accedemos a información en un dispositivo, tales como cookies, y procesamos datos personales, tales como identificadores únicos e información estándar enviada por un dispositivo, para anuncios y contenido personalizados, medición de anuncios y del contenido e información sobre el público, así como para desarrollar y mejorar productos. Con su permiso, nosotros y nuestros socios podemos utilizar datos de localización geográfica precisa e identificación mediante las características de dispositivos. Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios para que llevemos a cabo el procesamiento previamente descrito. De forma alternativa, puede acceder a información más detallada y cambiar sus preferencias antes de otorgar o negar su consentimiento. Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir de su consentimiento, pero usted tiene el derecho de rechazar tal procesamiento. Sus preferencias se aplicarán solo a este sitio web. Puede cambiar sus preferencias en cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de privacidad. <<más opciones>> <<acepto>> Si se accede a la segunda capa a través del enlace <<más opciones>> la web despliega un panel de control donde se comprueba que los grupos de cookies se encuentran premarcados en la opción de “DESACTIVADA”: Su privacidad es importante para nosotros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 Nosotros y nuestros socios almacenamos o accedemos a información en dispositivos, tales como cookies, y procesamos datos personales, tales como identificadores únicos e información estándar enviada por un dispositivo, para los propósitos descritos a continuación. Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios para que llevemos a cabo el procesamiento con dichos propósitos. De forma alternativa, puede hacer clic para denegar su consentimiento o acceder a información más detallada y cambiar sus preferencias antes de otorgar su consentimiento. Sus preferencias se aplicarán solo a este sitio web. Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir de su consentimiento, pero usted tiene el derecho de rechazar tal procesamiento. Puede cambiar sus preferencias en cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de privacidad. <<BLOQUEAR TODO>> <<AUTORIZAR TODO>> Datos de localización geográfica precisa e identificación mediante las características de dispositivos “DESACTIVADO” Anuncios y contenido personalizados, medición de anuncios y del contenido, información sobre el público y desarrollo de productos “DESACTIVADO” Almacenar o acceder a información en un dispositivo “DESACTIVADO” <<SOCIOS>> <<INTERÉS LEGÍTIMO>> <<GUARDAR Y SALIR>> En este panel de control se puede constatar que consentimiento no es granular pues tanto las cookies “analíticas” como “las publicitarias” están en un solo bloque: “Datos de localización geográfica precisa e identificación mediante las características de dispositivos: (OFF)” estando el usuario obligado a aceptarlas o rechazarlas conjuntamente. Si se opta por NO permitir ninguno de los grupos de cookies, sin desplazar el cursor correspondiente desde la posición “desactivado” y se cliquea en la opción “guardar y salir” se comprueba como la web sigue utilizando las mismas cookies no técnicas o necesarias detectadas al principio. 3º.- Sobre la información suministrada en la “Política de Cookies”: Si se desea acceder a la información existente en la “Política de Cookies”, a través del enlace existente en la parte inferior de la página principal, la web redirige al usuario a una nueva página ***URL.2, donde se proporciona información sobre: qué son las 4º.- Sobre como retirar el consentimiento de la utilización de cookies después de haberlo ofrecido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 Se comprueba que no existe ningún mecanismo que posibilite volver al panel de control de gestión de cookies para modificar el consentimiento, una vez permitido la utilización de cookies e iniciado la navegación web. QUINTO: Con fecha 10/04/23, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 22.2 de la LSSI respecto de las irregularidades detectadas en la política de cookies de la página web de su titularidad. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 2.000 euros. Las irregularidades detectadas respecto de la política de cookies de la página web en cuestión, en el presente procedimiento fueron: a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se utilizan cookies que no son técnicas o necesarias: - 4 de rendimiento: _ga; _gid; _ga_DZD8C8RYLW y _ga_G4RJW5CDC3 3 Cookies de orientación: _gat_gtag_UA_40838799_5; ts y _gat_gtag_UA_ 30525763_4 3 Cookies que no se ha podido identificar si son técnicas o necesarias pero el dominio pertenece a un tercero no responsable de la web (***DOMINIO.2): v1st; dmvk y nosotrosprivacidad b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: En el panel de control sobre cookies, si se opta por NO permitir ninguno de los grupos de cookies, sin desplazar el cursor correspondiente desde la posición “desactivado” y se cliquea en la opción “guardar y salir” se comprueba como la web sigue utilizando las mismas cookies detectadas al principio. c).- Sobre la retirada del consentimiento para el uso de las cookies una vez prestado. Una vez prestado el consentimiento para el uso de las cookies a través de la opción existente en el banner inicial o a través de consentimiento prestado en el panel de control se comprueba que se instalan las cookies detectadas al principio. No obstante, se comprueba que no existe ningún mecanismo o acceso al panel de control permanente que permita después de haber prestado el consentimiento retirarle. SEXTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de fecha 12/05/23, en el que manifiesta lo siguiente: 1.º. Respecto a la denunciante, es la primera noticia que tenemos de esta usuaria dado que no hemos recibido de la misma ningún tipo de queja o en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 nuestros correos de contacto que hemos facilitado en nuestra página web: Contacto: ***EMAIL.1 y Departamento comercial: ***EMAIL.2. A tal respecto, no hemos podido darles la correspondiente explicación ni solucionar ninguna reclamación al respecto. Resulta muy extraño, que un cliente formalice una denuncia, sin previamente haberse comunicado con la empresa, parece que lo que se busca no es que se solucione el problema sino generar una sanción, lo que pudiese tener un origen en una acción de competencia desleal promovida por un competidor. 2.º. Esta empresa tiene conferido por contrato de servicios OPENHOST S.L., por lo que ha siguiente explicación ha sido facilitada por esta empresa. 3.º. La operativa de la página web es la siguiente: El sistema de gestión de cookies que tiene “cinenuevatribuna” es el sistema Quancast, instalado por nosotros, por opennemas.com. Todos los sistemas de gestión de cookies, en su instalación por defecto en las webs, permiten cookies de Google Analytics. Nosotros en las webs de opennemas.com hemos instalado Quancast. Quancast es una empresa que tiene sistema de gestión de consentimiento de IAB es el organismo más grande a nivel mundial que regula todo el tema de publicidad, cookies y consentimientos. Más información: ***URL.3. El 90% de los medios digitales instalan las cookies de Google Analytics incluso sin que el lector acepte el consentimiento de cookies. Entendemos que el consentimiento implícito de las cookies de analíticas de Google Analytics son necesarias para el control interno de la web. Las cookies de analíticas de Google Analytics son únicamente para gestión interna y control de tráfico. Sino el dueño de la web de noticias está a ciegas y no puede ejercer correctamente la gestión de su negocio editorial ya que no sabría qué está pasando en su medio. Las cookies que se registran son anónimas con la sola intención de medir usuario, es decir que no se realizar ningún tipo de seguimiento sobre el usuario. Y este uso es legal dado que es un sistema de control de acceso, pero no se seguimiento del usuario. Podemos aplicar mejoras en el sistema de consentimiento de cookies para que BLOQUEE LAS COOKIES de Analiticas de Google Analytics pero se perdería todo el control del tráfico real de la web. 4.º. El sistema que se está utilizando, es similar al que utilizan medios de difusión a nivel nacional testeados como: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 Precisamente se testea el uso de las cookies en estos medios para comprobar que el sistema implantado tiene la misma operativa. Partiendo de presunción que estos medios por su propia política de legalidad y bajo el control de LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, están cumpliendo con los parámetros de la actuación legal. 5.º. Respecto a la infracción, como se ha expuesto se considera que no resulta de aplicación el art 38.4.g de la LSSI en la medida que no se está incumpliendo el art. 22 LSSI. 6.º. De existir alguna duda sobre la legalidad, entendemos que el criterio para la aceptación de cookies debe de ser unánime y unificado para todas las empresas, dado que el criterio de exclusión no deja de ser interpretativo 22.2 de la LSSI. Por todo lo anteriormente expuesto, SOLICITO: 1.º. Que se tenga por formalizada oposición al expediente sancionador. 2.º. Que se considere que tanto en la forma de actuar, intencionalidad legalidad, no es motivo de infracción, dado que el uso anónimo de las cookies, a los únicos criterios de control global de acceso, no implica una vulneración del art. 22 de la LSSI 3.º. Que se proceda a la aclaración, sobre la legalidad del uso del procedimiento de seguimiento del uso anónimo de las cookies sin necesidad de una autorización expresa del usuario. SÉPTIMO: Con fecha 07/06/23, por parte de esta Agencia se accede a la página web ***URL.1, constatándose las siguientes características sobre el su “Política de 1º.- Sobre la utilización de cookies antes de que el usuario preste su consentimiento: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se ha comprobado, que se utilizan cookies que no son técnicas o necesarias, con las siguientes características: de visitas y fuentes de tráfico para poder evaluar el rendimiento del sitio. Nos ayudan a saber qué páginas son las más o las menos visitadas y de qué manera los visitantes navegan por el sitio. Dominio Descripción _ga ***DOMINIO.1 Este nombre de cookie está asociado con Google Universal Analytics, que es una actualización importante del servicio de análisis más utilizado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 Dominio Descripción Google. Esta cookie se utiliza para distinguir usuarios únicos mediante la asignación de un número generado aleatoriamente como identificador de cliente. Se incluye en cada solicitud de página en un sitio y se usa para calcular los datos de visitantes, sesiones y campañas para los informes de análisis de sitios. _gid ***DOMINIO.1 Esta cookie está configurada por Google Analytics. Almacena y actualiza un valor único para cada página visitada y se usa para contar y rastrear páginas vistas. _ga_1L5EYBL9XB ***DOMINIO.1 Google Analytics utiliza esta cookie para mantener el estado de la sesión. en sitios para rastrear a los usuarios en la web y proporcionarles anuncios. Dominio Descripción _gat_gtag_UA_ 30525763_4 ***DOMINIO.1 Esta cookie es parte de Google Analytics y se utiliza para limitar las solicitudes (tasa de solicitud de aceleración). b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 En el panel de control sobre cookies, si se opta por NO permitir ninguno de los grupos de cookies, sin desplazar el cursor correspondiente desde la posición “desactivado” y se cliquea en la opción “guardar y salir” se comprueba como la web sigue utilizando las mismas cookies detectadas al principio. c).- Sobre la retirada del consentimiento para el uso de las cookies una vez prestado. Una vez prestado el consentimiento para el uso de las cookies a través de la opción existente en el banner inicial o a través de consentimiento prestado en el panel de control se comprueba que se instalan las cookies detectadas al principio. No obstante, se comprueba que no existe ningún mecanismo o acceso al panel de control permanente que permita al usuario acceder después al panel de control para poder modificar su consentimiento si lo desea. HECHOS PROBADOS De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: Primero: Las irregularidades detectadas respecto de la política de cookies de la página web ***DOMINIO.1, en la comprobación realizada por esta Agencia el 17/02/23, fueron: a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se utilizan cookies que no son técnicas o necesarias: 4 Cookies de rendimiento: _ga; _gid; _ga_DZD8C8RYLW y _ga_G4RJW5CDC3; 3 Cookies de orientación: _gat_gtag_UA_40838799_5; ts y _gat_gtag_UA_ 30525763_4 y 3 Cookies que no se ha podido identificar si son técnicas o necesarias pero el dominio pertenece a un tercero no responsable de la web (.dailymotion.com): v1st; dmvk y nosotrosprivacidad b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: En el panel de control sobre cookies, si se opta por NO permitir ninguno de los grupos de cookies, sin desplazar el cursor correspondiente desde la posición “desactivado” y se cliquea en la opción “guardar y salir” se comprueba como la web sigue utilizando las mismas cookies detectadas al principio. c).- Sobre la retirada del consentimiento para el uso de las cookies una vez prestado. Una vez prestado el consentimiento para el uso de las cookies a través de la opción existente en el banner inicial o a través de consentimiento prestado en el panel de control se comprueba que se instalan las cookies detectadas al principio. No obstante, se comprueba que no existe ningún mecanismo o acceso al panel de control permanente que permita después de haber prestado el consentimiento retirarle. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 Segundo: Las irregularidades detectadas respecto de la política de cookies de la página web ***DOMINIO.1 , en la comprobación realizada por esta Agencia el 07/06/23, después de haber recibido el escrito de alegaciones a la incoación del expediente, fueron: a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se utilizan cookies que no son técnicas o necesarias: 3 Cookies de rendimiento: _ga; _gid; _ga_1L5EYBL9XB y 1 Cookies de orientación: _gat_gtag_UA_30525763_4 b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: En el panel de control sobre cookies, si se opta por NO permitir ninguno de los grupos de cookies, sin desplazar el cursor correspondiente desde la posición “desactivado” y se cliquea en la opción “guardar y salir” se comprueba como la web sigue utilizando las mismas cookies detectadas al principio. c).- Sobre la retirada del consentimiento para el uso de las cookies una vez prestado. Una vez prestado el consentimiento para el uso de las cookies a través de la opción existente en el banner inicial o a través de consentimiento prestado en el panel de control se comprueba que se instalan las cookies detectadas al principio. No obstante, se comprueba que no existe ningún mecanismo o acceso al panel de control permanente que permita después de haber prestado el consentimiento retirarle. FUNDAMENTOS DE DERECHO I.Competencia: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley LSSI. II Con carácter previo al examen de la cuestión de fondo, procede analizar las cuestiones alegadas por el reclamado. Manifiesta el reclamado, entre otras que, “el sistema de gestión de cookies, en su instalación por defecto en las webs, permiten cookies de Google Analytics y que el consentimiento implícito de las cookies de analíticas de Google Analytics son necesarias para el control interno de la web”. Manifiesta además que, “las cookies de analíticas de Google Analytics son únicamente para gestión interna y control de tráfico, son anónimas con la sola intención de medir usuario, es decir que no se realizar ningún tipo de seguimiento sobre el usuario. Y este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 uso es legal dado que es un sistema de control de acceso, pero no se seguimiento del usuario”. Finalmente manifiesta que, “podrían aplicar mejoras en el sistema de consentimiento de cookies para que BLOQUEE LAS COOKIES de Analiticas de Google Analytics pero se perdería todo el control del tráfico real de la web”. Pues bien, indicar que, el apartado segundo del artículo 22 de la LSSI establece: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Este artículo 22.2 se remite a la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en lo relativo a los requisitos del consentimiento informado, si bien en la actualidad esta remisión se ha de interpretar hecha al RGPD, aplicable desde el 25 de mayo de 2018, y a la LOPDGDD, aplicable desde el 7 de diciembre de 2018. En este sentido, el propio RGPD, en su considerando 30, menciona estas tecnologías y su impacto en la protección de datos: “Las personas físicas pueden ser asociadas a identificadores en línea facilitados por sus dispositivos, aplicaciones, herramientas y protocolos, como direcciones de los protocolos de internet, identificadores de sesión en forma de «cookies» u otros identificadores, como etiquetas de identificación por radiofrecuencia. Esto puede dejar huellas que, en particular, al ser combinadas con identificadores únicos y otros datos recibidos por los servidores, pueden ser utilizadas para elaborar perfiles de las personas físicas e identificarlas”. Por ello, cuando la utilización de una cookie conlleve el tratamiento de datos personales, los responsables de tal tratamiento deberán asegurarse del cumplimiento de las exigencias adicionales establecidas por la normativa sobre protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 personales, en particular en relación con las categorías especiales de datos. Se considerará que existe tratamiento de datos personales cuando el usuario esté identificado por un nombre o dirección de email que lo identifique (por ejemplo, por tratarse de un usuario registrado) o cuando se utilicen identificadores únicos que permitan distinguir unos usuarios de otros y realizar un seguimiento individualizado de los mismos (por ejemplo, un ID de publicidad). No obstante, en relación con la atención de derechos de protección de datos de los interesados, si el responsable del tratamiento no está en condiciones de identificar al interesado, podrá denegar la solicitud en los términos del artículo 12.2 del RGPD (excepto cuando el interesado en su ejercicio facilitará información adicional mediante la cual el responsable del tratamiento fuera capaz de realizar su identificación). Por lo demás, con la finalidad de determinar el alcance de la normativa, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI las cookies utilizadas para alguna de las siguientes finalidades: - Permitir únicamente la comunicación entre el equipo del usuario y la red. Estrictamente prestar un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/201210, interpretó que entre las cookies exceptuadas estarían aquellas que tienen por finalidad: - usuario se suelen utilizar para rastrear las acciones del usuario al rellenar los formularios en línea en varias páginas, o como cesta de la compra para hacer el seguimiento de los artículos que el usuario ha seleccionado al pulsar un botón. - - detectar intentos erróneos y reiterados de conexión a un sitio web. - - - - Determinadas cookies de complemento (plug-

1. in)para intercambiar contenidos sociales: La excepción sólo se aplica para usuarios que han decidido mantener la sesión abierta. Dicho esto, por razones de transparencia se recomienda informar, al menos con carácter genérico, de aquellas cookies excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, ya sea en la política de cookies o en la propia política de privacidad (ejemplo: “Este sitio web utiliza cookies que permiten el funcionamiento y la prestación de los servicios ofrecidos en el mismo”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 En todo caso, deberá tenerse en cuenta que una misma cookie puede tener más de una finalidad (cookies polivalentes), por lo que existe la posibilidad de que una cookie quede exceptuada del ámbito de aplicación del artículo 22.2 de la LSSI para una o varias de sus finalidades y no para otras, quedando estas últimas sujetas al ámbito de aplicación de dicho precepto. Esto debería, dicho con palabras del GT29, “incitar a los propietarios de sitios web a utilizar una cookie diferente para cada finalidad”. En relación con los sistemas de gestión o configuración de cookies, cuando se utilicen de aplicación del artículo 22.2 de la LSSI, deberá garantizarse que estas cookies únicamente se utilizan si se aceptan todas las finalidades que agrupan, es decir, si una debería utilizarse, y ello salvo que el sistema de gestión utilizado permita dar un tratamiento diferenciado a las distintas finalidades de estas cookies polivalentes, de forma que sea posible que si el usuario acepta una de sus finalidades y no otras, la Sobre los diferentes tipos de cookies según su finalidad para la que se traten los datos obtenidos a través de las cookies, en el presente caso se han detectado la utilización de las siguientes cookies: - Tres Cookies de rendimiento: _ga; _gid; _ga_1L5EYBL9XB. Las cookies, de análisis, medición o rendimiento, son aquellas que permiten al responsable de las mismas el seguimiento y análisis del comportamiento de los usuarios de los sitios web a los que están vinculadas, incluida la cuantificación de los impactos de los anuncios. La información recogida mediante este tipo de cookies se utiliza en la medición de la actividad de los sitios web, aplicación o plataforma, con el fin de introducir mejoras en función del análisis de los datos de uso que hacen los usuarios del servicio. Respecto al tratamiento de datos recabados a través de las cookies de análisis o rendimiento, el GT29 ha manifestado que, no están exentas del deber de obtener un consentimiento informado para su uso. - Una Cookies de orientación: _gat_gtag_UA_30525763_4 incluyen cookies de redes sociales que se colocan en sitios para rastrear a los usuarios en la web y proporcionarles anuncios. Almacenan información del comportamiento de los usuarios obtenida a través de la observación continuada de sus hábitos de navegación, lo que permite desarrollar un perfil específico para mostrar publicidad en función del mismo. Respecto al tratamiento de datos recabados a través de las cookies de orientación, el GT29 ha manifestado que, no están exentas del deber de obtener un consentimiento informado para su uso. III.a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
2. in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En la comprobación realizada por esta Agencia en la página web reclamada se pudo constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la mimas ni aceptar las cookies, se utilizaban las siguientes cookies no necesarias: Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se utilizan cookies que no son técnicas o necesarias y por tanto deben obtener el consentimiento informado del usuario. Estas y 1 Cookies de orientación: _gat_gtag_UA_30525763_4 b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 la segunda capa si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus preferencias sobre la utilización de las cookies. Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la selección, en el panel podrá implementarse, además de un sistema de gestión granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción podría ser considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular. Por otra parte, la retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En el caso que nos ocupa, en el panel de control sobre cookies, si se opta por NO permitir ninguno de los grupos de cookies, sin desplazar el cursor correspondiente desde la posición “desactivado” y se cliquea en la opción “guardar y salir” se comprueba como la web sigue utilizando las mismas cookies detectadas al principio. c).- Sobre la retirada del consentimiento para el uso de las cookies una vez prestado. Los usuarios deberán poder retirar el consentimiento previamente otorgado en cualquier momento. A tal fin, el editor deberá asegurarse de que facilita información a los usuarios en su política de cookies sobre cómo pueden retirar el consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 El usuario debe poder revocar el consentimiento de forma fácil. El sistema que se ofrezca para retirar el consentimiento debe ser tan fácil como el utilizado cuando se prestó. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las cookies. En el presente caso, una vez prestado el consentimiento para el uso de las cookies a través de la opción existente en el banner inicial o a través de consentimiento prestado en el panel de control se comprueba que se instalan las cookies detectadas al principio. No obstante, se comprueba que no existe ningún mecanismo o acceso al panel de control permanente que permita después de haber prestado el consentimiento retirarle. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos sancione a D. B.B.B.. con NIF ***NIF.1, titular de la página web ***URL.1, por una infracción del Artículo 22.2 de la LSSI respecto de las irregularidades detectadas en la política de cookies de la página web de su titularidad, con una sanción de 2.000 euros (dos mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600 euros (mil seiscientos euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. C.C.C. INSTRUCTOR. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 Índice del Expediente EXP202210346: 10-08-2022 Reclamación 11-08-2022 Reclamación 11-08-2022 Reclamación 04-10-2022 Resolución a NOYB EUROPEAN CENTRE FOR DIGITAL 01-11-2022 Recurso de reposición 15-11-2022 Resolución a NOYB EUROPEAN CENTRE FOR DIGITAL 15-11-2022 Comunicación a NOYB EUROPEAN CENTRE FOR DIGITAL 21-12-2022 Diligencia cookies 13-01-2023 Diligencia cookies Google Analytics 14-02-2023 Requerimiento OPENHOST a OPENHOST, S.L. 16-02-2023 Respuesta requerimiento de OPEN HOST SL 17-02-2023 Diligencia NIC 17-02-2023 Diligencia opennemas 17-02-2023 Inf. actuaciones prevs. 11-04-2023 Acuerdo de inicio 04-05-2023 Info. Reclamante 12-05-2023 Escrito de alegaciones >> SEGUNDO: En fecha 2 de julio de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1600 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202210346, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es