PS-00127-2019

1/27 812-0419 Procedimiento Nº PS/00127/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 4 de enero de 2019 Don A.A.A., (en adelante, el reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos poniendo de manifiesto la instalación de dispositivos de almacenamiento y recuperación de datos, (en adelante, DARD o cookies), por parte del responsable del sitio web ***URL.1 en los equipos terminales de los usuarios sin haber obtenido previamente el consentimiento informado de los mismos para ello, puesto que no se presta mediante una manifestación de voluntad libre, específica, informada e inequívoca de los interesados por los siguientes motivos: “A este respecto, tan solo hemos de entrar en su página web por primera vez ***URL.1 para comprobar cómo nos aparece en la parte superior de la pantalla un cartel o notificación en la que taxativamente nos están afirmando que “La web de IKEA utiliza siquiera aceptar su uso. Se está haciendo una recopilación para un tratamiento de mis datos personales en la que no consta mi consentimiento, ni expreso ni libre, pues ni se me ofrece la opción de poder aceptar; tan solo te informan de que llevan a cabo dicha actividad. En cuanto a libertad de este consentimiento que, si recordamos, no puede quedar supeditado o condicionado a la efectiva prestación del servicio suministrado, habremos de hacer click en la única opción que dicho cartel te permite: Más información sobre cookies. Dentro de esta redirección, aparte seguir sin encontrar opción alguna que permita otorgar/negar el consentimiento, nos advierten de que, En caso de que no desees una experiencia óptima al navegar por nuestra página web, tienes la opción, en todo momento, de rechazar el uso de cookies en tu equipo. Sin embargo, al hacerlo, es posible que experimentes una navegación menos satisfactoria que, incluso, puede llegar a ser defectuosa. Ten en cuenta que si bloqueas el uso de algunas de sus características no funcionen correctamente. Por ejemplo, no podrás utilizar la lista de la compra, ni realizar compras online”. Lo que parece, sin duda alguna, una clara supeditación (…) de la ejecución y prestación de un correcto servicio a la falta de oposición con respecto a su política de cookies.” SEGUNDO: Con fecha 21 de enero de 2019 se constata que al acceder al sitio web citado se descargan 23 cookies y que sobre el uso de dichos dispositivos se indica que “La web de IKEA utiliza cookies que hacen la navegación mucho más fácil. Más información sobre cookies.”. El texto subrayado es un enlace. TERCERO: De conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/27 con fecha 1 de febrero de 2019 se trasladó dicha reclamación a IKEA IBÉRICA, S.A.U. (en adelante, el reclamado) solicitándole, entre otra, información relativa a los hechos expuestos en la misma, si bien dicha entidad en su escrito registrado de entrada en esta Agencia con fecha 27 de febrero de 2019, se limitó a responder sobre la falta de contestación en plazo al ejercicio del derecho de supresión que aparecía detallado como motivo de la reclamación, cuando dicha opción se eligió, erróneamente por el reclamante en el desplegable de categorías de la sede electrónica de la Agencia, ya que en la reclamación nada refería a ese respecto. El reclamado contestó que había informado al reclamante de que sus datos no figuraban en sus sistemas y que no les constaba que hubiese ejercitado ante esa entidad el derecho de supresión de datos CUARTO: Con fecha 7 de marzo de 2019 la Subdirección General de Inspección de Datos de esta Agencia accedió por Internet a la URL ***URL.2 constatando los siguientes hechos, conforme consta en diligencia levantada con esa misma fecha: - La descarga de 3 cookies del dominio Google.com, 11 cookies del dominio ***DOMINIO.1 y 1 cookies del sitio web ***URL.2 - En la pantalla que se visualiza en dicha URL no aparece un banner o aviso informativo relativo al uso de cookies. - Al elegir la opción “España-Península” y el ítem “Español” del desplegable a través de la URL ***URL.1 se visualiza una pantalla en la que figura el siguiente aviso de “IKEA utiliza cookies propias y de terceros con fines de rendimiento, publicidad y redes sociales para ofrecerte una mejor experiencia cuando visites nuestro sitio web, ofrecerte información personalizada de acuerdo a tus hábitos de navegación. Recuerda que siempre puedes cambiar tus preferencias acerca de las cookies a través de los ajustes de tu navegador o si estás de acuerdo cerrar o seguir navegando. Consulta la Política de privacidad y la Política de cookies para obtener más información. Al clicar el enlace “Política de Cookies” se accede a la segunda capa informativa, donde se señala lo siguiente: ”Con la finalidad de poder ofrecerte el mejor servicio a través de nuestra página web, y en línea con nuestra preocupación constante de que tengas la mejor experiencia posible como cliente, IKEA utiliza cookies para recordar tus preferencias de navegación. A continuación, te explicamos qué son las cookies, para qué sirven, qué tipos de cookies utilizamos y cómo puedes desactivarlas, si así lo deseas. Al continuar navegando a través de la página web de IKEA entendemos que aceptas la presente Política de Cookies.” En el apartado ¿Qué tipos de cookies utilizamos?” se indica que para mejorar “Tu experiencia como cliente” se utilizan: cookies estrictamente necesarias, cookies analíticas y/o de rendimiento, cookies funcionales, cookies de registro, cookies de obje tivo, cookies de publicidad comportamental. Incluye un enlace que dirige al “Listado de cookies” propias o de terceros que se utilizan. En el apartado “PERMISOS Y DESACTIVACIONES. Tu permiso para que utilicemos cookies, y cómo puedes desactivarlas” se informa: “Cuando accedes por primera vez a nuestra página web, se te muestra una ventana en la que se te pide que indiques si aceptas las cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/27 En caso de que no desees una experiencia óptima al navegar por nuestra página web, tienes la opción, en todo momento, de rechazar el uso de cookies en tu equipo. Sin embargo, al hacerlo, es posible que experimentes una navegación menos satisfactoria que, incluso, puede llegar a ser defectuosa. Para desactivar las cookies simplemente tienes que modificar la configuración de tu navegador. Para más información, puedes visitar las pautas de desactivación de cookies previstas para cualquiera de los cuatro navegadores más usados (Firefox, Mozilla, Chrome, Ten en cuenta que si bloqueas el uso de cookies tal vez no puedas acceder a determinadas áreas de nuestra página web, y algunas de sus características no funcionen correctamente. Por ejemplo, no podrás utilizar la lista de la compra, ni realizar compras online.” A la vista de lo cual, de conformidad con lo previsto en el artículo 65 de la LOPDGDD y a los efectos previstos en el artículo 64.2 de la misma norma, con fecha 7 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. QUINTO: Con fecha 11 de junio de 2019 desde la Subdirección General de Inspección de Datos de esta Agencia se accedió nuevamente a la página web ***URL.2, constatando los siguientes hechos: Que no aparece ningún tipo de información relativo al uso de cookies. No obstante lo cual se constata que la descarga de cookies no exentas del deber de informar se produce con carácter previo a la obtención del consentimiento informado del usuario, toda vez que tan pronto como se accede a dicho sitio web se instalan, sin mediar información alguna al respecto y sin haberse realizado ningún tipo de acción por parte del usuario, entre otras, las cookies de tercera parte _ga, _gat y _gid de analítica web del servicio Google Analytics. Elegida la opción “España-Península” y el ítem “Español” del desplegable, a través de la URL ***URL.1 se visualiza una pantalla en la que figura el siguiente aviso de cookies de primera capa: “Utilizamos cookies propias y de terceros para ofrecerte una mejor experiencia cuando visites nuestro sitio web, mejorando nuestros servicios y adecuando el contenido de acuerdo a tus hábitos de navegación. Si no cambias los ajustes de tu navegador, entenderemos que estás de acuerdo en recibir todas las cookies del sitio web de IKEA. Política acerca de nuestras cookies.” Botón de “Aceptar.” (El subrayado es un enlace que dirige a la segunda capa informativa). Al pulsar el enlace contenido en dicho aviso se accede a la segunda capa informativa o documento de “Política de Cookies”, que contiene la misma información que la ofrecida con fecha 7 de marzo de 2019.Esta información está permanentemente accesible para los usuarios a través del enlace con el mismo nombre situado al pie de las páginas web del sitio web. Se verifica que la descarga de cookies se produce también con carácter previo a la obtención del consentimiento informado del usuario. Se instalan como consecuencia del mero acceso a la página y sin haberse pulsado el botón de aceptar contenido en la primera capa del aviso de cookies. Entre otras, se instalan las cookies de tercera parte: “_ga”, “_gat” y “_gid” de analítica web del servicio Google Analytics. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/27 “fr” del dominio facebook.com “perzonalization_id” del dominio twitter.com “uid” del dominio adform.net “fr” del dominio facebook.net Respecto del contenido del sistema de información por capas ofrecido por el reclamado se observa: En relación con el contenido del aviso informativo de la primera capa, no informa sobre los siguientes aspectos: No identifica las finalidades de las diferentes cookies que se utilizan. Sólo se refiere a las finalidades de las cookies analíticas cuando cita el seguimiento de los hábitos de navegación de los usuarios, pero no menciona sucintamente las finalidades para las que se usan el resto de tipos de cookies no exentas del deber de informar que se detallan como utilizadas en la segunda capa informativa, entre las que se citan las de publicidad comportamental. Dado que en la “Política de Cookies” se indica que se utilizan cookies de publicidad comportamental, debería informarse en forma genérica sobre el tipo de datos que se van a recopilar y utilizar para elaborar perfiles de los usuarios. No incluye un botón o mecanismo específico para rechazar todas las cookies. No informa sobre la posibilidad de configurar las preferencias de uso de las habilitado para seleccionarlas en forma granular. La advertencia de que “Si no cambias los ajustes de tu navegador, entenderemos que estás de acuerdo en recibir todas las cookies del sitio web de IKEA.” incumple los requisitos del consentimiento. En relación con el contenido del documento “Política de cookies” de la segunda capa, no informa sobre los siguientes aspectos: - No se identifican los terceros que utilizan los diferentes tipos de cookies no exentas del deber de informar, para lo cual, si no se conoce su denominación social completa puede proporcionarse el nombre o marca con la que se conocen públicamente dichos terceros. -No informa sobre la forma de revocar el consentimiento prestado. - No facilita un sistema de gestión o panel de configuración de cookies que permita al usuario eliminarlas de forma granular. Para facilitar esta selección el panel podrá habilitar un mecanismo o botón para rechazar todas las cookies, otro para habilitar todas las cookies o hacerlo de forma granular para poder administrar preferencias. A este respecto, se considera que la información ofrecida sobre las herramientas proporcionadas por varios navegadores para configurar las cookies sería complementaria a la anterior, pero insuficiente para el fin pretendido de permitir configurar las preferencias en forma granular o selectiva. - No proporciona el enlace del “Complemento inhabilitación para navegadores de Google Analytics”, que facilita la información necesaria para poder bloquear las - No indica el período de conservación de los datos para los diferentes fines C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 para los que se utilizan. - En su caso, deberá informarse sobre la realización de transferencias de datos propias a terceros países. información sobre la realización. En cuanto a la advertencia “Ten en cuenta que si bloqueas el uso de cookies tal vez no puedas acceder a determinadas áreas de nuestra página web, y algunas de sus características no funcionen correctamente. Por ejemplo, no podrás utilizar la lista de la compra, ni realizar compras online.” contenida en el apartado de “Permisos y Desactivaciones”, se recuerda que el artículo 22.2 de la LSSI exceptúa el deber de informar y de obtener el consentimiento sobre sobre las cookies cuya instalación resulta necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario del mismo. Entre dichas cookies, se encontrarían, en principio, las cookies asociadas a la cesta de la compra para hacer el seguimiento de los artículos que el usuario ha seleccionado o las cookies vinculadas a las compras online, siempre y cuando respondan a esa exclusiva finalidad. Lo que no obsta para que, en caso de tratarse de cookies polivalentes que puedan usarse para finalidades no exentas del deber de obtener el consentimiento informado del usuario, dichas cookies quedarán sujetas al ámbito de aplicación del citado precepto, como por ejemplo si también se usan con fines de publicidad o de analítica web. Por otro lado, dado el principio de transparencia de la información, sería conveniente que el reclamado informase a los usuarios de la página web las áreas de la misma y las características que no funcionarían correctamente en el caso de rechazo o bloqueo de cookies no exentas. SEXTO: Mediante Acuerdo de fecha 14 de junio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada en el artículo 38.4.

1. g)de la LSSI. Conforme a lo dispuesto en el artículo 64.2.
2. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el citado acuerdo de apertura se fijaba que, de acuerdo con las evidencias obtenidas con anterioridad a dicha apertura, la sanción que podría corresponder por la infracción descrita sería de 10.000 euros (diez mil euros), sin perjuicio de lo que resultase de la instrucción. Igualmente, a los efectos de la reducción de la sanción, en dicho acto se informaba de lo previsto en los apartados 1 y 2 del artículo 85 de la LPACAP. SÉPTIMO: Notificado el citado Acuerdo de inicio, con fecha 25 de junio de 2019 se registra de entrada en esta Agencia escrito de alegaciones del reclamado solicitando el archivo del procedimiento por inexistencia de infracción al cumplirse las obligaciones previstas en el artículo 22.2 de la LSSI en relación con la página web de IKEA en España ***URL.2 y dada la diligencia mostrada en su forma de proceder. Con carácter previo se puntualiza que la página ***URL.2 pertenece a la entidad INTER IKEA SYSTEMS, empresa del grupo propietaria de la página principal de IKEA para todas las franquicias del mundo. Una vez se escoge el país, el dominio se corresponde con la página web de IKEA en España ***URL.1
3. a)En cuanto al deber de información: La primera capa el modelo de aviso empleado informa sobre los siguientes extremos: uso de las cookies propias y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 terceros que se instalan al navegar, centrándose en las cookies analíticas y de publicidad comportamental, sin perjuicio del uso de otros dispositivos que se identifican en la segunda capa; se identifican como finalidades principales de las navegación del usuario, sin perjuicio de finalidades adicionales señaladas en la segunda capa; Se indica que la configuración del navegador por parte de usuario se entiende como aceptación del uso de las cookies; Se incluye un botón de “ACEPTAR” y un enlace a la segunda capa completando la información anterior. El reclamado mantiene que ni en la “Guía sobre el uso de las cookies”, (Guía de Cookies), ni en el artículo 22.2 de la LSSI se exige la existencia de un panel de configuración de preferencias de cookies. No obstante lo cual, se tendrá en cuenta dicha acción de cara a su adopción en el marco del proyecto de revisión y actualización del proceso de uso de cookies iniciado, a instancias de su matriz en Suecia, a principios de 2019 en la página web de la entidad española. La segunda capa informa sobre todos los extremos señalados en la Guía de
4. b)En cuanto a la obtención del consentimiento: La primera capa incluye la petición del consentimiento para la instalación de las cookies a través de la marcación del botón “ACEPTAR”. Aduce que incluso cuando el usuario no manifieste expresamente dicha aceptación, pero continúe utilizando la página web se podría entender que éste ha dado su consentimiento al informarse claramente en este sentido. Sobre la retirada del consentimiento, el reclamado se remite a las referencias recogidas en la Guía de Cookies, en la que se señala que basta con informar que el usuario podrá retirar el consentimiento previamente otorgado en cualquier momento, conforme consta en la política de privacidad y, en su caso, eliminar las cookies de acuerdo con lo indicado en la política de cookies. IKEA entiende que las referencias citadas se incluyen en los textos de referencia incluidos en la página web. El reclamado, aduce que ha actuado bajo el convencimiento de que la forma de informar y obtener el consentimiento para el uso de cookies se adecuaba a las previsiones del artículo 22.2 de la LSSI y a las pautas de la “Guía sobre el uso de las específica que motivara un cambio de actuación. Se añade que en marco del plan de acción mencionado se están desarrollando nuevas políticas de uso de cookies y el desarrollo tecnológico vinculado a las mismas, para la cual se ha llegado a un acuerdo con un proveedor externo One Trust, al que como a su matriz IKEA ha comunicado las cuestiones señaladas por la AEPD para que fueran consideradas. Se adjuntan pantallazos con las actualizaciones realizadas por dicho proveedor en las que se incluye la herramienta de configuración de las cookies, solución que se indica se implementaría en la página web de IKEA en las próximas semanas, además del modelo de aviso de la primera capa de información. De no admitirse el archivo, se insta la aplicación del apercibimiento previsto en el artículo 39 bis 2 de la LSSI, como ha ocurrido en otros casos semejantes. Subsidiariamente, se solicita la aplicación de lo previsto en el artículo 40 de la LSSI en orden a imponer la menor de las cuantías correspondientes a la sanción aplicable en atención a la concurrencia de los criterios
5. a)y
6. d)recogidos en dicho precepto (falta de intencionalidad y ausencia de perjuicios al reclamante derivados del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 uso de las cookies). Añade la buena fe, pretendiendo en todo momento ser garantista en relación con la LSSI y, sin obviar las medidas de configuración señaladas por la Agencia, recuerda las medidas internas y externas adoptadas, en forma diligente, para regularizar el uso de las cookies. OCTAVO: Con fecha 25 de julio de 2019 se registra de entrada escrito de alegaciones complementario al anterior aduciendo la implementación de las siguientes medidas: -En el dominio ***DOMINIO.1 que pertenece a la entidad INTER IKEA SYSTEMS: Sólo se instalan cookies estrictamente necesarias; Se ha adaptado el texto de la primera capa de cookies en la home; Se ha actualizado el Listado de Cookies. -En el dominio ***URL.1: Se ha adaptado el texto de la primera capa de habilitado los mecanismos técnicos necesarios para que las cookies no se instalen en el dispositivo del usuario hasta que el mismo no haya aceptado la instalación de las por defecto y no instalación previa) ; así como a su desactivación por defecto; Se ha actualizado el Listado de Cookies. NOVENO: Con fechas 17,18 y 21 de octubre de 2019 se accede a los sitios web mencionados por el reclamado a fin de constatar los cambios alegados, obrando su resultado en las Diligencias incorporadas al procedimiento el 21 de octubre de 2019. 9.1 Respecto del sitio web ***URL.2, con fecha 17 de octubre de 2019 se comprueba que antes de realizar cualquier navegación sólo se descargan cookies funcionales de sesión. En la página de acceso del sitio web aparece el siguiente aviso: “En nuestro sitio web sólo usamos cookies funcionales. Estos son necesarios para que nuestro sitio funcione correctamente. Para más información lea nuestro “Cookie y declaración de privacidad”. (El texto subrayado es de la AEPD) Al pulsar el enlace “Cookie y declaración de privacidad” se accede a la página ***PÁGINA.1, donde se muestra el siguiente aviso: “Este sitio web utiliza cookies. En nuestro sitio web utilizamos cookies técnicas, analíticas y de preferencia. Estos son necesarios para que nuestro sitio funciones correctamente y para brindarnos información sobre cómo se utiliza nuestro sitio Haga clic en “Configuración” para obtener más información o para cambiar sus preferencias de cookies.“, seguido por un botón con el texto “Configuraciones” y otro botón con el texto “Bien por mí, acepto”. El botón “Configuraciones” dirige a un panel en el que se informa sobre las funciones de los tres tipos de cookies que se indica se utilizan y permite guardar ajustes de configuración a través de las casillas que por defecto aparecen premarcadas. 9.2 En el documento “Declaración de privacidad y sobre las “cookies” de la página se indica que ese sitio “se usa sólo para redirigirte correctamente al sitio web de IKEA (Islas Baleares, Islas Canarias o península)”. Se señala que sólo se utilizan facilita el listado de las cookies utilizadas. En el apartado “Páginas que enlazan con nuestra página web” se indica que: “En nuestra página web ofrecemos enlaces a otros sitios web de IKEA. Ten en cuenta que esta declaración sobre las “cookies” sólo es válida para ***DOMINIO.1. Otras páginas web de IKEA tienen su propia declaración sobre “cookies”. Consúltalas, antes de proceder.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 9.3 Respecto del sitio web ***URL.1, el resultado de los accesos efectuados a esta página web con fechas 17, 18 y 21 de octubre de 2019 figura en los Hechos Probados 5) y 6) del siguiente antecedente. DÉCIMO: Con fecha 24 de octubre de 2019 la instructora del procedimiento propone que por parte de la Directora de la Agencia Española de Protección de Datos se sancione a IKEA IBERICA, S.A.U. con multa de 10.000,00 € (DIEZ MIL euros) por la infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.
7. g)de la LSSI, de conformidad con lo establecido en los artículos 39.1.
8. c)y 40 de la citada Ley. Se ponía de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pudiese alegar cuanto considerase en su defensa y presentar los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 en relación con el artículo 73.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se informaba de que podría, en cualquier momento anterior a la resolución del procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma, quedando establecida la sanción con tal reducción en 8.000,00 euros e implicando su pago la terminación del procedimiento. Se advertía que la efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Notificado dicho acto, el reclamado solicitó la ampliación del plazo concedido para formular alegaciones y poder coordinar con los distintos equipos, tanto nacionales como internaciones de su matriz, la adopción e implantación de las medidas necesarias tendentes a poder cumplir las cuestiones formuladas por la Agencia en la propuesta de resolución, acordándose con fecha 31 de octubre de 2019 ampliar dicho plazo hasta un máximo de cinco días, a contar a partir del día siguiente a aquel en el que finalizase el plazo concedido inicialmente. UNDÉCIMO: Con fecha 11 de noviembre de 2019 se registra de entrada en esta Agencia escrito de alegaciones del reclamado a la propuesta de resolución, en el que solicita la desestimación de la reclamación interpuesta y el archivo del procedimiento sancionador por inexistencia de infracción del artículo 22.2 de la LSSI, o, en su caso, proceder al apercibimiento, para lo cual aduce los siguientes argumentos: En relación con la primera capa: se señala que se ha completado de forma clara y precisa el contenido del aviso informativo, de modo que en el mismo se recogen los siguientes extremos: la referencia a cookies propias y de terceros; las finalidades de las cookies empleadas; el modo en que el usuario puede prestar el consentimiento a través de la marcación de un botón de aceptación; la posibilidad de configurar o rechazar el uso de las cookies mediante la revisión a un panel a través de un enlace; la remisión por medio de un segundo enlace a la Política de cookies. Se indica que el aviso aprobado, cuyo texto se facilita mediante aportación de captura, constando transcrito en el Fundamento de Derecho VII, ya está operativo en la página web analizada. -En relación con la segunda capa: se indica que a los efectos de subsanar las carencias informativas señaladas por la AEPD en la “Política de Cookies” se han implementado las medidas necesarias para su corrección, cuya implementación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 señala justifica aportando la versión de dicho documento, de fecha 11 de noviembre de 2019, ya disponible en la página web de IKEA. - Considera que se ha producido una cualificada disminución de la culpa y de la antijuridicidad del hecho por la concurrencia de varios de los criterios enunciados en el artículo 40 de la LSSI, habiendo regularizado la situación de conformidad con las observaciones de la Agencial. - Subsidiariamente, solicita la aplicación de lo previsto en el artículo 40 de la LSSI a efectos de imponer la menor de las cuantías correspondientes a la sanción aplicable, concurriendo falta de intencionalidad en la conducta que venía llevando bajo el convencimiento de que era correcta, llegando a desistir de la misma. Reitera la ausencia de beneficio alguno y falta de daño al reclamante como consecuencia de su conducta. DUODÉCIMO: Con fechas 20 y 21 de noviembre de 2019 se accede a la página web ***URL.2 a los efectos de comprobar las correcciones alegadas, constatándose los siguientes hechos: 12.1 Que al acceder al sitio web citado se muestra el siguiente aviso: “Utilizamos elaborar perfiles a partir de tus hábitos de navegación en la web p. ej. mostrarte contenido personalizado. También usamos cookies analíticas para saber cómo usas nuestra página web, evaluar su funcionamiento y mejorarla, y cookies funcionales como por ejemplo las que usamos para darte soporte a través de nuestro chat. Consulta nuestra Política de Cookies para más información. Puedes aceptar todas las Junto al que aparece un botón con el texto “ Aceptar cookies” . 12.2 Pulsando el enlace con el texto “Política de Cookies” se accede a la segunda capa de información, con fecha de actualización 11 de noviembre de 2019, que cuenta con los siguientes apartados: -¿Qué son las cookies? -¿Quién es el responsable? -¿Cómo utilizamos las COOKIES en IKEA? -Ejemplos de cómo utilizamos las cookies -Servicio de Google Analytics y Google Audiences -¿Qué tipo de cookies utilizamos?. En este apartado se señala que las cookies utilizadas son: Cookies estrictamente necesarias; Cookies analíticas y/o de medición; Cookies funcionales; Cookies de publicidad comportamental. -¿Cómo puedes configurar las cookies y revocar el consentimiento?. En este apartado se indica:” Cuando accedes por primera vez a nuestra página web, se te muestra una ventana en la que se te pide que indiques si aceptas las necesarias, a través del Centro de Preferencias de Privacidad al que puedes acceder directamente desde el banner principal de l web, así como en cualquier momento desde el enlace disponible en la web para Configuración de Cookies. Si deseas configurarlas puedes acceder al Centro de Preferencias de Privacidad en el que puedes visualizar el tipo de cookies con el que trabajamos y su función y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27 con ello elegir la instalación de las cookies de tu elección. Esta acción, así como retirar el consentimiento prestado, la puedes llevar a cabo en cualquier momento. Si aceptas cookies de terceros y posteriormente deseas eliminarlas podrás usar las herramientas de desactivación de cookies de los diferentes navegadores o a través del sistema habilitado por estos terceros para ello a través de los enlaces que te indicamos en el apartado siguiente.” -¿Cómo deshabilitar cookies en los principales navegadores? En este apartado se indica: “Para desactivar las cookies simplemente tienes que modificar la configuración de tu navegador. Para más información, puedes visitar las pautas de desactivación de cookies previstas para cualquiera de los cuatro navegadores más usados: Google Chrome; Mozilla Firefox, Intenet Explorer, Iphone y Ipad. Además existen opciones para inhabilitar Google Analitycs, que puedes encontrar aquí.” 12.3 Que mantenida la desactivación de las cookies analíticas, funcionales y de publicidad comportamental y confirmada dicha configuración en el panel habilitado a tales efectos, se comprueba que durante la navegación efectuada por el sitio web se habían descargado, entre otras, las siguientes cookies: “_ga”, “_gat” y “_gid” de analítica web del servicio Google Analytics; “PREF”, “VISITOR_INFO 1_LIVE” del dominio YouTube.com; “IDE” del dominio doubleclik.net y “NID” del dominio google.com. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS 1) Con fecha 4 de enero de 2019 se registra de entrada en esta Agencia reclamación formulada por el reclamante contra IKEA IBÉRICA, S.A.U., (en adelante, el reclamado), por instalar cookies en los equipos terminales de los usuarios que visitan el sitio web ***URL.1 sin ofrecerles la opción de aceptarlas o rechazarlas y por condicionar el correcto funcionamiento de determinados servicios a su instalación. 2) Con fecha 21 de enero de 2019 se constata que al acceder al sitio web citado se descargan 23 cookies, informándose al respecto que “La web de IKEA utiliza 3) Con fecha 7 de marzo de 2019 se accede al sitio web ***URL.1, cuya titularidad corresponde al reclamado, constatándose que informa sobre el uso de En el aviso de la primera capa se informa: “IKEA utiliza cookies propias y de terceros con fines de rendimiento, publicidad y redes sociales para ofrecerte una mejor experiencia cuando visites nuestro sitio web, ofrecerte información personalizada de acuerdo a tus hábitos de navegación. Recuerda que siempre puedes cambiar tus preferencias acerca de las cookies a través de los ajustes de tu navegador o si estás de acuerdo cerrar o seguir navegando. Consulta la Política de privacidad y la Política de cookies para obtener más información.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27 Al clicar el enlace “Política de Cookies” se accede a la segunda capa informativa, en la que, entre otra información, se señala que: ”Con la finalidad de poder ofrecerte el mejor servicio a través de nuestra página web, y en línea con nuestra preocupación constante de que tengas la mejor experiencia posible como cliente, IKEA utiliza cookies para recordar tus preferencias de navegación. A continuación, te explicamos qué son las cookies, para qué sirven, qué tipos de cookies utilizamos y cómo puedes desactivarlas, si así lo deseas. Al continuar navegando a través de la página web de IKEA entendemos que aceptas la presente Política de Cookies.” En el apartado ¿Qué tipos de cookies utilizamos?” se indica que para mejorar “Tu experiencia como cliente” se utilizan: cookies estrictamente necesarias, cookies analíticas y/o de rendimiento, cookies funcionales, cookies de registro, cookies de obje tivo, cookies de publicidad comportamental.“ Incluye un enlace que dirige al “Listado de cookies” propias o de terceros que se utilizan. En el apartado “PERMISOS Y DESACTIVACIONES. Tu permiso para que utilicemos cookies, y cómo puedes desactivarlas” se informa: “Cuando accedes por primera vez a nuestra página web, se te muestra una ventana en la que se te pide que indiques si aceptas las cookies. En caso de que no desees una experiencia óptima al navegar por nuestra página web, tienes la opción, en todo momento, de rechazar el uso de cookies en tu equipo. Sin embargo, al hacerlo, es posible que experimentes una navegación menos satisfactoria que, incluso, puede llegar a ser defectuosa. Para desactivar las cookies simplemente tienes que modificar la configuración de tu navegador. Para más información, puedes visitar las pautas de desactivación de cookies previstas para cualquiera de los cuatro navegadores más usados (Firefox, Mozilla, Ten en cuenta que si bloqueas el uso de cookies tal vez no puedas acceder a determinadas áreas de nuestra página web, y algunas de sus características no funcionen correctamente. Por ejemplo, no podrás utilizar la lista de la compra, ni realizar compras online.” 4) Con fecha 11 de junio de 2019 se accede a la página web ***URL.1, comprobándose: 4.1 Que como consecuencia del mero acceso a la página y sin haberse pulsado el botón de aceptar contenido en la primera capa del aviso de cookies se descargaron, entre otras, las cookies de tercera parte: “_ga”, “_gat” y “_gid” de analítica web del servicio Google Analytics; “fr” del dominio facebook.com; “personalizacion_id” del dominio twitter.com; “uid” del dominio adform.net; “fr” del dominio facebook.net 4.2 Que el aviso de cookies de primera capa señalaba: “Utilizamos cookies propias y de terceros para ofrecerte una mejor experiencia cuando visites nuestro sitio web, mejorando nuestros servicios y adecuando el contenido de acuerdo a tus hábitos de navegación. Si no cambias los ajustes de tu navegador, entenderemos que estás de acuerdo en recibir todas las cookies del sitio web de IKEA. Política acerca de nuestras cookies.” Botón de “Aceptar.” (El subrayado es un enlace que dirige a la segunda capa informativa). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 4.3 Que la segunda capa informativa no ha sido modificada desde la visita anterior, con fecha 7 de marzo de 2019. Esta información resulta accesible en forma permanente a través del enlace “Política de Cookies” situado al pie de las diferentes páginas del sitio web. 5) Con fechas 17, 18 y 21 de octubre de 2019 se accede a la página web ***URL.1, comprobándose: 5.1 Que al acceder al sitio no se descargan cookies no exentas del deber de informar. 5.2 Que inactivadas las cookies de rendimiento y guardada en el panel la configuración elegida no se descargan cookies de rendimiento al navegar por el sitio. 5.3 Que activadas las cookies de rendimiento, funcionales y de publicidad comportamental y guardada dicha configuración en el panel, tras navegar por el sitio web se descargan, entre otras, las siguientes cookies: “_ga” y “_gid” de analítica web del servicio Google Analytics; “PREF”, “VISITOR_INFO 1_LIVE” del dominio YouTube.com; “IDE” del dominio doubleclik.net; “NID” del dominio google.com 5.4 Respecto del aviso de la primera capa, se observa que informa lo siguiente: “¡Hola! En IKEA utilizamos cookies propias y de terceros para mejorar la navegación y mostrarte ofertas, contenidos y publicidad de tu interés. Puedes aceptarlas y continuar navegando, o configurar las cookies.” Junto a este aviso aparece un botón con el texto “Configuración de cookies” y un botón de aceptación de cookies con el texto “De acuerdo”. 5.5 El enlace “Configuración de cookies” redirige a un panel de configuración de cookies denominado “Centro de preferencia de privacidad” que permite al usuario habilitar, o no, el uso de las “Cookies de rendimiento” (analíticas), las “Cookies funcionales” y las “Cookies dirigidas” (publicidad comportamental) de forma granular a través del mecanismo de activación y desactivación ofrecido. También se ofrece un botón para “Permitir todo”. 5.6 Respecto de la segunda capa informativa o “Política de cookies”, se observa: Que contiene los siguientes apartados: ¿Qué son las cookies?, ¿Cómo las utilizamos? Ejemplos de cómo utilizamos las cookies. ¿Qué tipos de cookies utilizamos? Donde se señala que para mejorar la experiencia del usuario como cliente se utilizan: Cookies estrictamente necesarias; dirigidas o de publicidad comportamental. Al final del apartado se incluye un “Listado de Cookies” en el que se detallan las cookies utilizadas para cada una de las tipologías indicadas, identificándose si son de sesión o permanentes y asociándose, en su caso, al tercero que las instala y/o utiliza. En el listado aparecen, entre otras, como Cookies analíticas y/o de rendimiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27 utag_main asociada a la plataforma de Tealium); como Cookies dirigidas o de publicidad comportamental: las permanentes “PREF”, “VISITOR_INFO1_LIVE”, “GPS” del dominio YouTube; las cookies “id” e “IDE” de Doubleclick de Google; la cookie “fr” de Facebook Permisos y Desactivaciones. Donde se informa: “Cuando accedes por primera vez a nuestra página web, se te muestra una ventana en la que se te pide que indiques si aceptas las cookies o si deseas configurarlas, y en su caso rechazar la instalación de cookies salvo aquellas estrictamente necesarias, sin las cuales la web no funcionaría correctamente. Si deseas configurarlas puedes acceder a un panel en el que puedes visualizar el tipo de cookies y su función y con ello elegir la instalación de las cookies de tu elección. Esta acción la puedes llevar a cabo en cualquier momento y así mismo puedes retirar el consentimiento prestado en cualquier momento. En caso de que no desees una experiencia óptima al navegar por nuestra página web, también tienes la opción, en todo momento, de rechazar el uso de navegación menos satisfactoria que, incluso, puede llegar a ser defectuosa. Para desactivar las cookies simplemente tienes que modificar la configuración de tu navegador. Para más información, puedes visitar las pautas de desactivación de Mozilla, Chrome, Internet explorer, Safari). 6) Con fecha 21 de octubre de 2019 se constata que configurada la desactivación de las cookies el proceso de compra ha funcionado correctamente en las fases anteriores al abono del pedido, momento en que se ha finalizado dicho acceso. FUNDAMENTOS DE DERECHO I La Directora de la Agencia Española de Protección de Datos, es competente para resolver este procedimiento de conformidad con lo dispuesto en el artículo 43.1, párrafo segundo, de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico. II En el presente supuesto se trata de dilucidar si el reclamado es responsable de la comisión de una infracción a lo previsto en el artículo 22.2 de la LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de servicios” , establece que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. III El Anexo de la LSSI define en su apartado
9. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
10. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática.” En el presente caso la entidad IKEA IBÉRICA S.A.U. ostenta la condición de prestador de servicios de la sociedad de la información en tanto que es titular de la página web ***URL.1 y responsable de la utilización de las cookies que se almacenan en los equipos terminales de los usuarios que visitan dicho sitio web, motivo por el cual está sujeta a las obligaciones y al régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las cookies estén individualmente exentas del deber de informar y obtener el consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. IV El artículo 22.2 de la LSSI vincula la obtención del consentimiento a la información que se facilite al usuario, de forma que el consentimiento que, en su caso, otorgue el usuario sea informado. La remisión efectuada en dicho precepto la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en lo relativo a los requisitos del consentimiento informado, en la actualidad se ha de interpretar como referida al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos(RGPD), aplicable desde el 25 de mayo de 2018, y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). El artículo 4.11) del RGPD define en como <<consentimiento del interesado>>: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; >>. Por su parte, el artículo 6.1.
11. a)del RGPD, bajó la rúbrica “Licitud del tratamiento”, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27
12. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;” Respecto de las “Condiciones para el consentimiento” el artículo 7 del RGPD determina que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” El precepto anterior se conecta con lo indicado respecto del consentimiento en los Considerandos 32 y 42 del RGPD, en los que se señala: “