PS-00135-2014

1/8 Procedimiento Nº PS/00135/2014 RESOLUCIÓN: R/00820/2014 En el procedimiento sancionador PS/00135/2014, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA DE ESPAÑA SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28 de agosto de 2013 tiene entrada en esta Agencia un escrito de A.A.A., en el que manifiesta que el sitio web http://info.movistar.es/ http://info.telefonica.es genera una gran cantidad de cookies sin consentimiento o autorización y que no muestra alerta o información alguna sobre dichas cookies. Aporta una lista de las cookies descargadas. Dominio Nombre Caducidad www.invertia.com ASPSESSIONIDSSCTRQTC info.telefonica.es _atuvc Persistente info.telefonica.es _utma Persistente info.telefonica.es _utmb Persistente info.telefonica.es _utmc Sesión info.telefonica.es _utmz Persistente telefonica.es _utma Persistente telefonica.es _utmb Persistente telefonica.es _utmc Sesión telefonica.es S_CC Sesión telefonica.es S_NR Persistente telefonica.es S_SQ Sesión telefonica.es S_VI Persistente telefonica.es S_FID Persistente apis.google.com BEAT Persistente apis.google.com OTZ Persistente google.com NID Persistente google.com PREF Persistente google.com SAPISID Persistente google.com S google.com HSID Persistente google.com SSID Persistente C/ Jorge Juan, 6 28001 – Madrid Sesión Sesión www.agpd.es sedeagpd.gob.es 2/8 google.com APISID Persistente google.com SID Persistente addthis.com _ATUVC Persistente addthis.com DI Persistente addthis.com DT Persistente addthis.com SSC Persistente addthis.com LOC Persistente addthis.com UID Persistente addthis.com UIT Persistente addthis.com UVC Persistente SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, se practican diligencias de información frente a la entidad TELEFÓNICA DE ESPAÑA SAU, teniendo conocimiento de los siguientes extremos: 1. El 13 de septiembre de 2013 se accede por medio de un navegador Mozilla Firefox al sitio web denunciado donde al pie de la página principal se encuentran una serie de enlaces que permiten acceder, entre otras, a las páginas de “Aviso legal” y de “Política de protección de datos”. En ambas páginas se identifica a TELEFONICA, S.A. como responsable del sitio web. No se localiza una página específica que informe sobre el uso de cookies en el sitio web ni en las páginas de “Aviso legal” y de “Política de protección de datos. Durante el acceso realizado el 13 de septiembre de 2013 se descargan las siguientes cookies: Dominio Nombre Primera - Tercera parte Caducidad info.telefonica.es _atuvc Tercera info.telefonica.es _utma Tercera Persistente Persistente info.telefonica.es _utmb Tercera Persistente info.telefonica.es _utmc Tercera Sesión info.telefonica.es _utmz Tercera Persistente telefonica.es s_sq Primera Sesión telefonica.es s_cc Primera telefonica.es s_nr Primera Sesión Persistente telefonica.es s_fid Primera Persistente telefonicaes.122.2º7.net s_vi Primera Persistente apis.google.com BEAT Tercera Persistente apis.google.com OTZ Tercera Persistente accounts.google.com LSID Tercera Persistente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 accounts.google.com GoogleAccountLocaleSession Tercera Sesión accounts.google.com GAPS Tercera Persistente accounts.google.com GALX Tercera Sesión google.com NID Tercera Persistente google.com PREF Tercera Persistente google.com SAPISID Tercera Persistente google.com HSID Tercera Persistente google.com SSID Tercera Persistente google.com APISID Tercera Persistente google.com SID Tercera Persistente addthis.com _atuvc Tercera Persistente addthis.com uid Tercera Persistente 2. El 7 de febrero de 2014 se accedió al sitio web denunciado utilizando un navegador Google Chrome versión 32.0.1700.107 m. Al acceder a la página se observa que se ha adoptado una estrategia de información en dos capas de la que la primera es una banda informativa ubicada en la parte inferior de la pantalla con el texto “Utilizamos cookies propias y de terceros para mejorar su experiencia y nuestros servicios, analizando la navegación en nuestro Sitio Web. Si continúa navegando, usted está aceptando su uso. Puede obtener más información en nuestra Política de Cookies.”. El texto “Política de Cookies” es un enlace a una página1 que es la segunda capa informativa y en la que se informa del uso que el sitio web hace de las cookies. Al continuar navegando el aviso se oculta pero la información sobre cookies continúa siendo accesible a través de un enlace situado al pie de la página. A continuación se muestra el listado de las cookies HTTP descargadas: Dominio Nombre Primera - Tercera parte Caducidad info.telefonica.es _atuvc Tercera info.telefonica.es _utma Tercera Persistente Persistente info.telefonica.es _utmb Tercera Persistente info.telefonica.es _utmc Tercera Sesión info.telefonica.es _utmz Tercera Persistente info.telefonica.es aviso_cookies Primera Persistente info.telefonica.es BIGipServerTelefonica.com_**.***.*.***.a pp-telefonica.es…. Primera Sesión info.telefonica.es TS33047d Primera www.telefonica.com BIGipServerTelefonica.com_**.***.*.***1. app~telefonica.com Primera Sesión www.telefonica.com TScf2c6d Primera Sesión Sesión 1 http://info.telefonica.es/es/legal_text/politica_cookies.shtml C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 www.invertia.com ASPSESSIONIDQSSTBBDT Tercera Sesión google.es PREF Tercera Persistente google.es NID Tercera Persistente google.com NID Tercera Persistente addthis.com _atuvc Tercera Persistente addthis.com uid Tercera Persistente addthis.com loc Tercera Persistente Aparte de las cookies HTTP señaladas, se descargaron los dispositivos de almacenamiento basados en HTML 5 asociados a los dominios plu.google.com, google.es (2 dispositivos) e info.telefonica.es. Todos estos dispositivos son persistentes. 3. La página de “Política de Cookies” del sitio web denunciado proporciona la siguiente información:  Utilizan cookies propias y de terceros.  Descripción de su finalidad: “…nos permiten almacenar y acceder a información relativa al idioma, el tipo de navegador utilizado, y otras características generales predefinidas por el usuario, así como, seguir y analizar la actividad que lleva a cabo, con el objeto de introducir mejoras y prestar nuestros servicios de una manera más eficiente y personalizada. Telefónica, S.A. no utiliza cookies publicitarias o de publicidad comportamental.”  Sobre la posibilidad de oponerse al uso de cookies informan de que “puede configurar su navegador, aceptando o rechazando todas las cookies, o bien seleccionar aquéllas cuya instalación admite y cuáles no, siguiendo uno de los siguientes procedimientos, dependiendo del navegador utilizado:” Sigue una lista de los navegadores más populares (Internet Explorer, Mozilla seguir para llegar al apartado de configuración de cookies y un enlace a una página donde ampliar información, excepto en el caso de Safari, en el que en lugar de instrucciones para configurar las cookies, el enlace lleva a la página en la que el fabricante de Safari informa sobre las cookies que usa en su sitio web.  Indican que la página utiliza los servicios Google Analytics y Adobe SiteCatalyst para analizar el comportamiento de los usuarios en la web, proporcionando enlaces a las políticas de privacidad de ambos prestadores de servicios. La página aporta también un listado de las cookies utilizadas en las que clasifican éstas por su nivel de intrusividad. Todas las cookies del listado tiene nivel 2 que se describe como sigue “se corresponde con cookies anónimas de uso interno necesarias para el mantenimiento de contenidos y navegación, así como a cookies gestionadas por terceros en el marco de servicios solicitados expresamente por el usuario en las webs de aquellos (ej.: Social Plugins de Facebook o Twitter)”. TERCERO: De los hechos anteriormente expuestos se desprende que la información sobre dispositivos de almacenamiento y recuperación de datos (cookies) proporcionada tanto al inicio de las actuaciones de inspección, como en las pruebas sucesivas es incompleta y deficiente en tanto que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 1. En la primera prueba realizada, en el momento de acceder al sitio web, no consta información relativa a la instalación de dispositivos de almacenamiento y recuperación de datos (cookies). 2. En la segunda prueba realizada, se observa la información proporcionada en dos capas. La información proporcionada en la primera, respecto de las finalidades de las cookies, es deficiente pues no informa de la instalación de expresamente que no utiliza cookies publicitarias o de publicidad comportamental, sin embargo en el momento de acceder al sitio web se descargan las cookies PREF y NID. CUARTO: Con fecha 11 de marzo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a, TELEFÓNICA DE ESPAÑA SAU con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 22.2, de la LSSI, tipificada como leve en el artículo 38.4

1. g)de la citada Ley. QUINTO: Notificado el citado Acuerdo de inicio, TELEFÓNICA DE ESPAÑA SAU presentó alegaciones en las que señaló que no es responsable de la página web a la que se hace referencia en la denuncia, sino que el responsable es TELEFONICA, S.A. la página web es http://info.telefonica.es. FUNDAMENTOS DE DERECHO I La competencia para sancionar por la comisión de las infracciones tipificadas en el artículo 38.4.
2. d)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 II En el presente caso se imputa a TELEFONICA DE ESPAÑA, S.A.U, la vulneración del art. 22.2 de la LSSI, que dispone que: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. No obstante lo anterior, ha resultado acreditado que el responsable de la página web denunciada no es TELEFONICA DE ESPAÑA, S.A.U, por lo que no puede exigirse responsabilidad por incumplimiento de la LSSI. Acontece la falta de legitimación pasiva y vulneración del principio de personalidad en la comisión de las infracciones. La legitimación implica una titularidad de obligaciones y derechos que se hallan en conflicto y la existencia de un poder de disposición sobre los mismos, en este caso no consta que la entidad Telefónica de España, S.A.U controle o tenga poder de disposición alguno sobre los contenidos del sitio web http://info.telefonica.es., es decir, en la relación jurídica entre el Prestador de los Servicios de la Sociedad de la Información y el Destinatario de los mismos. Así no consta que la entidad Telefónica de España, S.A.U sea titular de la citada página web cuyo acceso por los usuarios trae aparejado la instalación de dispositivos de almacenamiento y recuperación de datos, ni tampoco en el diseño o configuración de la página, y por ende, tenga intervención en la información ofrecida al respecto. El principio de personalidad de la sanción ha sido consagrado por el Tribunal Constitucional en la STC 219/1988, como principio de responsabilidad por hechos propios. El respeto al principio de personalidad exige un nexo casual entre el hecho constitutivo de la infracción y la persona responsable. La cuestión radica en analizar la especial configuración que el hecho infractor tiene en Derecho Administrativo Sancionador. La tipificación de las infracciones administrativas trata en definitiva, por lo general, de proteger el cumplimiento del Ordenamiento Jurídico, y de sancionar, por tanto, su incumplimiento, a diferencia de lo que ocurre con las infracciones penales, que sancionan la lesión o puesta en peligro de un bien jurídico protegido, sin que haya, por lo general una norma sustantiva subyacente que imponga la obligación que haya sido vulnerada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Si en consecuencia, el hecho infractor consiste en un incumplimiento de la norma (y no es una lesión aun bien jurídico), sólo el titular de tal obligación estará, en principio capacitado para cometer la infracción, en este caso Telefónica S.A. La exigencia de responsabilidad a quien no sea titular de la obligación incumplida vulneraría, por tanto, el principio de personalidad, pues no corresponde al no titular cumplir la obligación, ni por ende, se le puede hacer responder de su incumplimiento (en este caso Telefónica de España, S.A.U.,). Ello explica que, a efectos de determinar la imputación de una infracción a una persona determinada, lo relevante sea la indagación previa de la titularidad de la obligación que subyace al tipo, en este caso, el Prestador de Servicios de la Sociedad de la Información, es decir, Telefónica S.A. debiendo archivar el presente procedimiento a Telefónica de España, S.A.U., al no tener intervención en los hechos analizados. El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador a la entidad TELEFÓNICA DE ESPAÑA SAU, por la infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4
3. g), de conformidad con lo establecido en el artículo 45 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA DE ESPAÑA SAU, y a A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es