1/8 Procedimiento Nº: PS/00141/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0141/2021, instruido por la Agencia Española de Protección de Datos, a Dª A.A.A. con NIF.: ***NIF.1, titular de la página web www.paramipeque.com, (en adelante, “la parte reclamada”), por presunta infracción de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 12/12/20, tuvo entrada en esta Agencia escrito de reclamación, presentado por D. B.B.B., (en adelante, “la parte reclamante”), en el que indicaba, entre otras, lo siguiente: “La web www.paramipeque.com no cumple los requisitos indicados por la AEPD en cuanto a consentimiento para la utilización de cookies analíticas. En el formulario de registro, no incluye la aceptación de política de privacidad, y en el envío de boletines no existe el check para consentir o no el envío”. SEGUNDO: Con fecha 22/01/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 28/02/21, se recibió escrito de contestación al requerimiento en el que se indicaba, entre otras, lo siguiente: “La página web objeto de este procedimiento ha sido renovada en la medida de las posibilidades de la responsable. Para su subsanación se ha contratado con fecha 04/02/2021 a una empresa externa para la revisión legal de www.paramipeque.com. Se ha redactado una nueva política de privacidad en fecha 9-2-2021 la cual está disponible desde ese día en el sitio web. Se ha instalado una capa 1 informativa en los formularios de recogida de datos y una casilla de aceptación desmarcada, previa al tratamiento de los datos. Cumpliendo con el deber de informar de acuerdo con lo especificado en el RGPD y en la LOPDGDD. Se ha redactado una nueva política de acuerdo con las especificaciones del art 22.2 de la LSSI y utilizando como guía la elaborada en Julio de 2020 por la propia AEPD. Se ha incluido con fecha 9-2-2021 un aviso en formato pop up o plugin informativo del uso de cookies que permite a los usuarios aceptar o rechazar la instalación de estas de manera granular. Se cumple por tanto con el deber de informar siguiendo el sistema de doble capa que incluye un texto o política de cookies y una capa 1 como es el pop-up informativo en el que se solicita el consentimiento para el uso de cookies”. CUARTO: Con fecha 09/05/21, y la vista de los hechos expuestos en la reclamación y de los documentos aportados, la Subdirección General de Inspección de Datos proceC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 dió a realizar actuaciones para su esclarecimiento, así, por parte de esta Agencia se realizaron las siguientes comprobaciones sobre la página web reclamada: - Sobre el tratamiento de datos personales: Para poder registrarse en la página web, consta un formulario de contacto en la url: https://www.paramipeque.com/epages/78362652.sf/es_ES/?ObjectPath=/Shops/ 78362652&ViewAction=ViewRegistration, donde se recogen datos personales de los usuarios, como el nombre, correo electrónico, o número de teléfono. Antes de poder crear la cuenta, es obligatorio marcar la casilla de “_Acepto que mis datos personales sean guardados de acuerdo con la <<Política de privacidad>>. - Sobre la Política de Privacidad: Si se accede a la política de privacidad, a través de los enlaces existentes en el formulario y en la parte inferior de la página principal, la web redirige a una nueva página https://www.paramipeque.com/epages/78362652.sf/es_ES/?ObjectPath=/Shops/ 78362652/Categories/PrivacyPolicy&ViewAction=ViewPopup, donde, entre otras, se proporciona información sobre la identificación del responsable del tratamiento de los datos personales recogidos en el formulario y cómo ponerse en contacto con él; la finalidad del tratamiento; los derechos que asisten al usuario y cómo ejercitarlos, sobre la seguridad de los datos y sobre el tiempo de utilización de los mismos. - Sobre la Política de Cookies: 3.1.- Al entrar en la página principal de la web reclamada y sin aceptar cookies ni realizar ninguna acción sobre la web, se comprueba que se utilizan las siguientes cookies no necesarias: _gid ; _ga y _gat. 3.
- En la página principal, (primera capa), visualiza el banner de utilización de cookies con el siguiente mensaje y características: “Su privacidad es importante para nosotros: Nosotros y nuestros socios almacenamos o accedemos a información en un dispositivo, tales como cookies, y procesamos datos personales, tales como identificadores únicos e información estándar enviada por un dispositivo, para anuncios y contenido personalizados, medición de anuncios y del contenido e información sobre el público, así como para desarrollar y mejorar productos. Con su permiso, nosotros y nuestros socios podemos utilizar datos de localización geográfica precisa e identificación mediante las características de dispositivos. Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios para que llevemos a cabo el procesamiento previamente descrito. De forma alternativa, puede hacer clic para denegar su consentimiento o acceder a información más detallada y cambiar sus preferencias antes de otorgar su consentimiento. Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir de su consentimiento, pero usted tiene el derecho de rechazar tal procesamiento. Sus preferencias se aplicarán solo a este sitio web. Puede cambiar sus preferencias en cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de privacidad”. <<NO ACEPTO>>---<<MÁS OPCIONES>>---<<ACEPTO>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 3.2.a.- Si se opta por “no aceptar” las cookies, se comprueba que se sigue utilizando las siguientes cookies no necesarias: _gid ; _ga y _gat. 3.2.b.- Si se opta por “aceptar” todas las cookies, se comprueba que, además de seguir utilizando las cookies no necesarias indicada anteriormente, se utilizan las nuevas 3.2.c.- Si se opta por redirigirse a la página “más información” la web despliega un panel de control de cookies donde con el siguiente mensaje y las siguientes características: Su privacidad es importante para nosotros: Nosotros y nuestros socios almacenamos o accedemos a información en dispositivos, tales como cookies, y procesamos datos personales, tales como identificadores únicos e información estándar enviada por un dispositivo, para los propósitos descritos a continuación. Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios para que llevemos a cabo el procesamiento con dichos propósitos. De forma alternativa, puede hacer clic para denegar su consentimiento o acceder a información más detallada y cambiar sus preferencias antes de otorgar su consentimiento. Sus preferencias se aplicarán solo a este sitio web. Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir de su consentimiento, pero usted tiene el derecho de rechazar tal procesamiento. Puede cambiar sus preferencias en cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de privacidad. Datos de localización geográfica precisa e identificación mediante las características de dispositivos: <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> <<DESACTIVADO>> localización geográfica e información sobre dispositivo. Utilizar datos de localización geográfica precisa Analizar activamente las características del dispositivo. Anuncios y contenido personalizados, medición. Los anuncios se personalizan basándose en un perfil. Seleccionar anuncios básicos Crear un perfil publicitario personalizado Seleccionar anuncios personalizados Crear un perfil para la personalización de contenidos Seleccionar contenido personalizado Medir el rendimiento de los anuncios Medir el rendimiento del contenido Utilizar estudios de mercado. Desarrollar y mejorar productos Almacenar o acceder a información en un dispositivo Características y Propósitos Especiales <<Legal>>---<<Enlaces Adicionales>>---<<Política de Cookies>> <<SOCIOS INTERÉS LEGÍTIMO>> <<ACEPTO LO SELECCIONADO>>--<<ACEPTO TODO>> 3.3.- Si se accede a la política de cookies, a través del enlace correspondiente, la web redirige a una nueva página: https://www.paramipeque.com/epages/78362652.sf/es_ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 ES/?ObjectPath=/Shops/78362652/Categories/ShippingAndPaymentInformation,donde se proporciona información sobre qué son las cookies; los tipos de cookies que existen; las que utiliza la página web, su descripción y el tiempo que permanecerán activas. QUINTO: Con fecha 14/05/21, por la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la parte reclamada, por infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies” de la página web de su titularidad, con una sanción inicial de “apercibimiento”, por la utilización de cookies no necesarias sin el consentimiento previo de los usuarios e imponiendo como medida correctiva a la entidad que incluyera un mecanismo en su página web que imposibilitase la utilización de estas cookies sin el consentimiento previo. SEXTO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 11/06/21 formuló, en síntesis, las siguientes alegaciones: “La página web objeto ha incorporado un nuevo aviso informativo de cookies a 10 de Junio de
- Se ha redactado una nueva política de cookies y se ha revisado el uso de cookies por parte de terceros a 10 de Junio de
- La web será completamente renovada en las próximas semanas adecuándose completamente a los requisitos. SÉPTIMO: Con fecha 04/08/21, por parte de esta Agencia se comprueba que, en la página web denunciada, www.paramipeque.com, existen las siguientes características sobre la política de cookies: - Sobre la Política de Cookies: 3.1.- Al entrar en la página principal de la web reclamada y sin aceptar cookies ni realizar ninguna acción sobre la web, se comprueba que no se utilizan cookies no necesarias. OCTAVO: Con fecha 25/08/21, se notifica a la entidad reclamada la propuesta de resolución, en la cual, se propone que, por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO del presente procedimiento contra Dª A.A.A., titular de la página web www.paramipeque.com, por presunta infracción del artículo 22.2 de la LSSI, al haber adaptado la página web de su titularidad a la legislación vigente en lo que se refiere a la política de cookies según el requerimiento de esta Agencia. NOVENO: Notificado la propuesta de resolución, no ha tenido entrada en esta Agencia ningún escrito de alegaciones a la misma, en el tiempo concedido al efecto. HECHOS PROBADOS 1º.- Según el reclamante, La web www.paramipeque.com no cumple los requisitos indicados por la AEPD en cuanto a consentimiento para la utilización de cookies analíticas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 2º.- Consultada la página web, por parte de esta Agencia, el día 09/05/21, se constató que, al entrar en la página principal de la web reclamada y sin aceptar cookies ni realizar ninguna acción sobre la web, se utilizaban las cookies no necesarias de terceros: _gid ; _ga y _gat, pertenecientes al dominio .google.com 3º.- Se inicia el presente procedimiento sancionador contra la entidad reclamada por infracción del artículo 22.2) de la LSSI, respecto de la “Política de Cookies”, con una sanción inicial de “apercibimiento”, por la utilización de cookies no necesarias sin el consentimiento previo de los usuarios. 4º.- Una vez notificado el acuerdo de inicio del presente procedimiento sancionador, por parte de esta Agencia se comprobó, con fecha 04/08/21 que la página web denunciada no utilizaba cookies no necesarias sin el consentimiento previo de los usuarios. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Esta Agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), no se utilizan cookies propias ni de terceros que no sean necesarias. La configuración de las cookies se puede realizar a través de las opciones existentes en el banner de la primera capa, aceptando todas las cookies; haciéndolo de forma granular o navegando por la web que equivale a rechazar todas las cookies. En la página de la “Política de Cookies”, además de proporcionar la información necesaria sobre las cookies, existe la posibilidad de gestionarlas de forma granular. En este sentido, el artículo 22.2 de la LSSI, donde se establecen los Derechos de los destinatarios de servicios de la sociedad de la información, se indica que: “
- Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” Se debe tener presente en este caso, la sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, donde se analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento su derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD. Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la parte reclamada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir”, aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.c) de la Ley.” Esta sentencia interpreta o liga apercibimiento con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haberse cumplido las medidas esperadas relacionadas con la infracción, en este caso, la modificación de la política de cookies adaptándola a la legislación vigente, no sería apercibimiento, sino archivo como se deduce del fundamento SEXTO de la Sentencia arriba citada. Por tanto, en el presente caso, después del análisis realizado en la página web objeto de la reclamación, de los documentos aportados y las circunstancias concurrentes, no se evidencia vulneración de la legislación vigente sobre la política de cookies de la página web reclamada, al haber modificado correctamente su política en este aspecto. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE: ARCHIVAR: el presente procedimiento sancionador contra Dª A.A.A. con NIF.: ***NIF.1, titular de la página web www.paramipeque.com por infracción del artículo 22.2 de la LSSI. NOTIFICAR: la presente resolución a Dª A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es