1/6 Procedimiento Nº: PS/00126/2020 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00126/2020, instruido por la Agencia Española de Protección de Datos, ante la entidad, FURNISHYOURSPACE SL., con CIF: B67094375 titular de las páginas web, www.muebledesign.com , (página web en idioma castellano); www.iconmobel.de , (página web en idioma alemán) y www.meublesconcept.fr (página web en idioma francés), en adelante, “entidad reclamada”, por presunta infracción a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), en base a los siguientes: ANTECEDENTES PRIMERO: A través del “Sistema de Información del Mercado Interior” (IMI), regulado por el Reglamento (UE) nº:1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012, (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se recibió en esta Agencia Española de Protección de Datos (AEPD), una reclamación, de fecha 15/11/18, formulada por un interesado ante el Comisionado de Protección de Datos y Libertad de Información de Berlín (Alemania). SEGUNDO: A la vista de los hechos expuestos, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD) en el expediente E/1458/
- Así, con fecha 08/04/19, se accede a las páginas web de la entidad reclamada en las que figura la política de cookies, comprobándose los siguientes aspectos: Páginas Principales (primera capa), a.1.) En la página web, www.muebledesign.com , página escrita en castellano, existe, en la parte inferior de la misma, un banner, con el siguiente mensaje: “Nuestra tienda usa cookies para mejorar la experiencia de usuario. Si continúas utilizando este sitio, aceptas el uso de las cookies” <<aceptar>> - <<más información>> a.2.) En la página web, www.iconmobel.de , página escrita en alemán, existe en la parte inferior de la misma, un banner, con el siguiente mensaje: “Unser Shop verwendet Cookies, um die Benutzererfahrung zu verbessern. Wenn Sie diese Seite weiterhin nutzen, akzeptieren Sie die Verwendung von Cookies” . ICH <<AKZEPTIERE>> <<More information>> Cuya traducción al castellano es: “Nuestra tienda utiliza cookies para mejorar la experiencia del usuario. Si continúa utilizando este sitio, acepta el uso de cookies. <<Aceptar>>-<< Más información>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 a.3.) En la página web, www.meublesconcept.fr , página escrita en francés, existe en la parte inferior de la misma, un banner, con el siguiente mensaje: “Notre boutique utilise des cookies pour améliorer l'expérience utilisateur. Si vous continuez à utiliser ce site, vous acceptez l'utilisation de cookies. <<J'ACCEPTE>>-<< Plus d'informations>> Cuya traducción al castellano es: “Nuestra tienda utiliza cookies para mejorar la experiencia del usuario. Si continúa utilizando este sitio, acepta el uso de cookies. <<Aceptar>>-<<Más información>>. Páginas de información sobre “Políticas de Cookies” (segunda capa): b.1.) A través del enlace <<más información>>, de la página web www.muebledesign.com , ésta redirige a la página de “Política de Privacidad”, donde se informa, entre otras, de los siguientes aspectos las cookies: “Las cookies utilizadas por este sitio web son pequeños archivos de texto almacenados en la computadora. De conformidad con el Artículo 22 de la Ley 34/2012 de Servicios de la Sociedad de la Información, estos tienen el único propósito de gestionar la autenticación de los usuarios, proporcionar los servicios solicitados y transmitir información a través de la red. El usuario tiene la posibilidad de evitar la instalación de "cookies" en su disco duro. El navegador debe configurarse para que se le notifique antes de guardar las cookies en el disco duro o eliminar las que ya están almacenadas. El usuario puede establecer en su navegador qué cookies están permitidas y cuáles no. Además, el usuario puede permitir las llamadas cookies de sesión, que se eliminan automáticamente una vez finalizada la sesión. También es posible eliminar las cookies manualmente en cualquier momento. Tenga en cuenta que rechazar las cookies en nuestro sitio web puede impedir o restringir severamente el acceso a nuestros servicios. Consulte las instrucciones y los manuales de su navegador si desea saber más sobre el manejo de b.2) A través del enlace <<more information>>, de la página web www.iconmobel.de, ésta redirige a la página de “Política de Privacidad”, donde se informa, en idioma alemán, de las características de las cookies, en los mismos términos indicados anteriormente en idioma castellano. b.3) A través del enlace <<plus d'informations>>, de la página web www.meublesconcept.fr, ésta redirige a la página de “Política de Privacidad”, donde se informa, en idioma francés, de las características de las cookies, en los mismos términos indicados anteriormente en idioma castellano. TERCERO: A la vista de los hechos denunciados y de conformidad con las evidencias de que se disponía, con fecha 05/06/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 por infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de su Política de Cookies. CUARTO: Con fecha 16/06/20, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito de alegaciones, dentro del periodo concedido al efecto. HECHOS PROBADOS 1.- Respecto de la Política de Cookies de las páginas web denunciadas se ha constatado que: a.- Páginas Principales (primera capa), a.1.) En la página web, www.muebledesign.com , página escrita en castellano, existe, en la parte inferior de la misma, un banner, con el siguiente mensaje: “Nuestra tienda usa cookies para mejorar la experiencia de usuario. Si continúas utilizando este sitio, aceptas el uso de las cookies- “aceptar” - “más información”. a.2.) En la página web, www.iconmobel.de , página escrita en alemán, existe en la parte inferior de la misma, un banner, con el siguiente mensaje, (traducido al castellano): “Nuestra tienda utiliza cookies para mejorar la experiencia del usuario. Si continúa utilizando este sitio, acepta el uso de cookies. ACEPTO- Más información” a.3.) En la página web, www.meublesconcept.fr , página escrita en francés, existe en la parte inferior de la misma, un banner, con el siguiente mensaje, (traducido al castellano): “Nuestra tienda utiliza cookies para mejorar la experiencia del usuario. Si continúa utilizando este sitio, acepta el uso de cookies. ACEPTO- Más información”. b.- Páginas de información sobre “Políticas de Cookies” (segunda capa), se informa de, qué son las cookies y para qué sirven. Sobre la gestión que se puede hacer sobre ellas, las páginas web informan: “El usuario tiene la posibilidad de evitar la instalación de "cookies". El navegador debe configurarse para que se le notifique antes de guardar las cookies en el disco duro o eliminar las que ya están almacenadas. El usuario puede establecer en su navegador qué cookies están permitidas y cuáles no. Además, el usuario puede permitir las llamadas cookies de sesión, que se eliminan automáticamente una vez finalizada la sesión. También es posible eliminar las cookies manualmente en cualquier momento”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 II De las actuaciones practicadas, con relación a la “Política de Cookies”, de las páginas webs denunciadas, se constata que, en la primera capa (página de inicio), el banner sobre cookies proporciona información poco concisa o inteligible. Al utilizar expresiones como, “Nuestra tienda usa cookies para mejorar la experiencia de usuario” (…), inducen a confusión, desvirtuando la claridad del mensaje. Al acceder a la segunda capa (Política de cookies), a través del enlace, “más información”, se redirigen a la página https://www.muebledesign.com/content/terminosy-condiciones-de-uso dividida en varios apartados. En el apartado de “Cookies”, se proporciona información sobre qué son o los tipos de cookies que existen, pero no se da ningún tipo de información sobre las cookies que se cargan en el equipo terminal, si son propias o de terceros, la función que realizan o sobre el tiempo que permanecen activas en el equipo terminal. Tampoco se posibilita al usuario un mecanismo que permita rechazar todas las cookies. Para la gestión de las cookies, solamente se indica: “El usuario tiene la posibilidad de evitar la instalación de "cookies" en su disco duro. El navegador debe configurarse para que se le notifique antes de guardar las cookies en el disco duro o eliminar las que ya están almacenadas. El usuario puede establecer en su navegador qué cookies están permitidas y cuáles no. Además, el usuario puede permitir las llamadas cookies de sesión, que se eliminan automáticamente una vez finalizada la sesión. También es posible eliminar las cookies manualmente en cualquier momento”. Pero ni siquiera posibilita un enlace a los diferentes navegadores para gestionar las cookies ni informa sobre cómo se puede eliminar las cookies manualmente en cualquier momento. III Estos hechos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Tras las evidencias obtenidas en la fase de investigaciones previas, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI: - La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. - Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la reclamación noviembre de 2018, (apartado b). Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de 3.000 euros (tres mil euros), por la infracción del artículo 22.2 de la LSSI. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE IMPONER: a la entidad, FURNISHYOURSPACE SL., con CIF: B67094375 titular de las páginas web, www.muebledesign.com; www.iconmobel.de y www.meublesconcept.fr , una sanción de 3.000 euros (tres mil euros), por la infracción del artículo 22.2) de la LSSI. REQUERIR: a la entidad FURNISHYOURSPACE SL. para que, en el plazo de un mes desde este acto de notificación, proceda a incluir en las páginas web de su titularidad, un mecanismo que permita rechazar todas las cookies. Además, debe informar de las consentimiento. Para lo cual puede seguir lo indicado en la Guía sobre Cookies, editada por la Agencia Española de Protección de Datos, en noviembre de
- NOTIFICAR: la presente resolución a la entidad FURNISHYOURSPACE SL. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es