PS-00160-2025

1/19  Expediente Nº: EXP202501567 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 31 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a WALLAPOP, S.L. (en adelante, WALLAPOP), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202501567 (PS/00160/2025) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 18 de noviembre de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra WALLAPOP, S.L. con NIF B66049057, -titular de la página web https://es.wallapop.com/ (en adelante, la parte reclamada), por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en adelante LSSI). Los motivos en que basa la reclamación son los siguientes: Reclamación dirigida contra el responsable de https://es.wallapop.com/, relacionada con la utilización de cookies cuando no se informa ni se recaba adecuadamente el consentimiento de los usuarios. En particular, el reclamante se queja de que "no es posible navegar por Wallapop sin que se descarguen cookies de tercero, aunque rechaces las cookies". Junto a la notificación se aporta la siguiente documentación: - Correo electrónico enviado desde la dirección ***EMAIL.1 de fecha 15/11/24 dirigido a la dirección de correo privacidad@wallapop.com con el siguiente mensaje: o C/ Jorge Juan, 6 28001 – Madrid “Buenas tardes, cuando entro y me registro en su web, rechazo las ¿Qué puedo hacer para que no se almacenen cookies de terceros?” www.aepd.es sedeaepd.gob.es 2/19 - Correo electrónico enviado desde la dirección privacidad@wallapop.com de fecha 18/11/24 a la dirección de correo ***EMAIL.1, con el siguiente mensaje: o “Muchas gracias por contactar con nosotros. Lamentablemente no podemos darte mayor información, la configuración de las cookies corresponde a cada móvil. Sentimos no poder ayudarte en esta ocasión” SEGUNDO: Con fecha 04 de febrero de 2025, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a la normativa de protección de datos. TERCERO: Con fecha 05 de febrero de 2025 se recibe en esta Agencia escrito de contestación al traslado realizado, en el que la parte reclamada manifiesta lo siguiente. “En el Requerimiento se menciona que el Reclamante ha aportado dos documentos en formato PDF (PDF 1 y PDF 2) en el que se incluirían los contactos que ha mantenido con Wallapop. Sin embargo, dichos documentos no han sido incluidos dentro de la documentación remitida a Wallapop a través del Requerimiento. Dado que desconocemos tanto la identidad del Reclamante como el contenido de la Reclamación en su totalidad, no somos capaces de poder proporcionar una respuesta completa al Requerimiento dado que no podemos localizar los intercambios de contacto entre Wallapop y el Reclamante. Por ello, solicitamos formalmente que se remitan los documentos faltantes u otra información adicional que nos permita conocer con precisión los términos de la Reclamación y, en consecuencia, poder proporcionar una respuesta clara a la reclamación específica formulada por parte del Reclamante. En línea con lo anterior, solicitamos, en base a lo establecido en el Artículo 32 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, una ampliación del plazo concedido de un mes en 15 días adicionales, en base a la imposibilidad de dar respuesta al Requerimiento de forma completa con la información disponible”. CUARTO: Con fecha 18 de febrero de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 03 de marzo de 2025 se recibe en esta Agencia escrito de la parte reclamada en el que manifiesta lo siguiente: “1. La decisión adoptada a propósito de esta reclamación. Como punto previo, nos gustaría recalcar que junto con el Requerimiento no se nos dio traslado completo de la reclamación del Reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/19 En este sentido, en el Requerimiento se menciona que el Reclamante ha aportado dos documentos en formato PDF (PDF 1 y PDF 2) en el que se incluirían los contactos que ha mantenido con Wallapop. Sin embargo, dichos documentos no han sido incluidos dentro de la documentación remitida a Wallapop a través del Requerimiento. Al ver este punto, procedimos a presentar un escrito el mismo día 5 de febrero de 2025 solicitando la remisión de los documentos faltantes, así como solicitando una ampliación del plazo concedido. No obstante, a día de hoy no hemos recibido respuesta a dicho escrito. Teniendo esto en consideración, dado que desconocemos tanto la identidad del Reclamante como el contenido de la Reclamación en su totalidad, nos vemos impedidos a dar una respuesta completa al Requerimiento dado que no podemos localizar los intercambios de contacto entre Wallapop y el Reclamante Derivado de lo anterior, la presente respuesta se realizará en base al texto relativo a la reclamación del usuario incluido dentro de la página 6 de la Reclamación: Nos gustaría indicar que, al acceder a Wallapop, no se instala ninguna cookie de tercero ni ninguna cookie no técnica sin que el usuario haya aceptado expresamente su instalación. En este sentido, si se accede al sitio web de Wallapop https://es.wallapop.com, si el usuario no presiona ni aceptar ni rechazar, únicamente se instalarán imágenes: En consecuencia, desconocemos a qué incidencia hace referencia el Reclamante en su reclamación dado que, tal y como se evidencia en las anteriores imágenes, no se instala ninguna cookie de terceros ni cookie no técnica sin que el usuario haya aceptado expresamente su instalación. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Tal y como se ha indicado anteriormente, no existen evidencias que haya existido una incidencia en nuestros sistemas. Dicho lo anterior, nos gustaría poder tener acceso a la reclamación completa del Reclamante a fin de poder analizar si ha existido alguna incidencia que desconocemos. 3. Informe sobre las medidas adoptadas para adecuar la utilización de cookies a lo dispuesto en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI). Se incluye como Anexo I Informe sobre las medidas adoptadas para adecuar la utilización de cookies a lo dispuesto en el artículo 22.2 LSSI. 4. Indicación de fechas de implantación y controles efectuados para comprobar la eficacia de las medidas. Se incluye dentro del Anexo I. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/19 5. Cualquier otra que considere relevante. Nada adicional que añadir. SEXTO: Con fecha 08 de marzo de 2025, por parte de esta Agencia se accede a la página web https://es.wallapop.com/, diligenciando las siguientes características respecto a su “Política de Cookies”: Política de Cookies: Fecha 08/03/25 1.- Sobre la utilización de cookies antes de que el usuario preste su consentimiento: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se ha comprobado, que se utilizan las siguientes cookies: a).- Cookies de naturaleza técnica o necesaria: Tienen una función operativa o funcional relacionada con la navegación y el acceso a áreas seguras del sitio web: rl_session Dominio: .wallapop.com device_id Dominio: .wallapop.com OptanonConsent Dominio: .wallapop.com wallapop_keep_session C/ Jorge Juan, 6 28001 – Madrid Descripción (finalidad de la cookie) Esta cookie se utiliza para gestionar la sesión del usuario en el sitio web. Normalmente mantiene el estado del usuario durante la sesión, garantizando que los usuarios permanezcan conectados y que sus interacciones con el sitio sean coherentes durante toda su visita. Esta cookie se utiliza para reconocer el dispositivo de un usuario con el fin de proporcionar una experiencia de navegación consistente y segura, recordando las preferencias del usuario y permitiendo un funcionamiento sin problemas en diferentes sesiones. Esta cookie la establece la solución de cumplimiento de cookies de OneTrust. Almacena información sobre las categorías de cookies que utiliza el sitio y si los visitantes han dado o retirado el consentimiento para el uso de cada categoría. Garantiza que el usuario permanezca identificado (logueado) durante su interacción con la web, www.aepd.es sedeaepd.gob.es 5/19 Descripción (finalidad de la cookie) evitando la necesidad constante de autenticarse. b).- Cookies de rendimiento: son un tipo de cookies que recopilan información sobre cómo los usuarios interactúan con una página web, permitiendo al propietario de la web mejorar su funcionamiento. Estas cookies no recopilan información personal que pueda identificar al usuario, sino datos estadísticos, como, páginas visitadas, Tiempo que los usuarios pasan en cada página. Errores o fallos técnicos que puedan ocurrir. Métricas relacionadas con el rendimiento del sitio (como la velocidad de carga), etc. Estas cookies recopilan información sobre cómo los usuarios interactúan con el sitio web y aunque no recojan información que identifique directamente al usuario, el comportamiento puede considerarse datos personales si se vincula a una dirección IP u otros identificadores. _ga Dominio: .wallapop.com rl_anonymous_id Dominio: .wallapop.com _ga_1QLHFVW5P3 Dominio: .wallapop.com AMP_be52855061 Dominio: .wallapop.com C/ Jorge Juan, 6 28001 – Madrid Descripción (finalidad de la cookie) se utiliza para distinguir usuarios asignando un número generado aleatoriamente como identificador de cliente y se utiliza para calcular datos de visitantes, sesiones y campañas para los informes de análisis de sitios. Esta cookie se utiliza para identificar a un visitante ayudando a los propietarios del sitio web a comprender cómo interactúan los visitantes con el sitio. Google Analytics utiliza esta cookie para realizar análisis estadísticos sobre cómo los usuarios interactúan con el sitio web (por ejemplo, número de visitas, duración de la sesión, procedencia del usuario, páginas visitadas, etc.). Recopilar información estadística sobre cómo se utiliza el sitio web con la finalidad de mejorar la experiencia del usuario y optimizar funcionalidades y contenidos. www.aepd.es sedeaepd.gob.es 6/19 Descripción (finalidad de la cookie) ab.storage.sessionId. 47b54d36-7a864c05-9bfc2d7b8aadd1ce Su función es analítica, orientada a la experimentación y optimización del sitio web mediante la evaluación del comportamiento de los usuarios en diferentes versiones o escenarios. Dominio: .wallapop.com c).- Cookies de Segmentación: También conocidas como cookies publicitarias o de targeting, son un tipo de cookies diseñadas para recopilar información sobre los hábitos de navegación del usuario con el objetivo de mostrarle publicidad personalizada y relevante. Estas cookies permiten crear un perfil del usuario basándose en las páginas visitadas; frecuencia y duración de las visitas; acciones específicas realizadas en un sitio web (clics, compras, etc.); ubicación geográfica, etc. MPID Dominio: .wallapop.com ab.storage.deviceId.47b54d367a86-4c05-9bfc2d7b8aadd1ce Dominio: .wallapop.com rs_braze_dedup_attributes Dominio: .wallapop.com C/ Jorge Juan, 6 28001 – Madrid Descripción (finalidad de la cookie) Su finalidad es la creación de perfiles, análisis del comportamiento del usuario y la personalización publicitaria. Esta cookie está asociada a servicios de marketing, particularmente a plataformas que gestionan pruebas A/B (experimentos de usabilidad) y personalización de experiencias. Permite personalizar contenidos o publicidad adaptados al comportamiento o preferencias. Su finalidad es la creación de perfiles, análisis del comportamiento del usuario y la personalización publicitaria. Cuando el usuario vuelve a interactuar con el sitio podrían generar los mismos atributos, esta bloquea la posible repetición de atributos. www.aepd.es sedeaepd.gob.es 7/19 rl_page_init_referrer Dominio: .wallapop.com rl_page_init_referring_domain Descripción (finalidad de la cookie) Evalúa y mide la efectividad de campañas de marketing, identificando las fuentes del tráfico web (por ejemplo, anuncios, redes sociales, buscadores). Facilita el análisis de las fuentes de tráfico, permitiendo medir la efectividad de las estrategias de marketing y adquisición de 2.- Sobre el banner de información sobre cookies en la primera capa: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin realizar ninguna acción sobre la página web, aparece un banner de información sobre cookies con el siguiente mensaje: Opciones sobre la utilización de cookies: a).- Si se desea dar el consentimiento: Si el usuario desea dar el consentimiento a la instalación de cookies que no sean técnicas o necesarias en su equipo terminal cliqueando en la opción (<<Aceptar Todo>>) se comprueba como la web empieza a utilizar, además de las cookies detectadas antes de dar el consentimiento, otras cookies tanto propias como de terceros. b).- Si no se desea prestar el consentimiento: Si se opta por no prestar el consentimiento a la utilización de cookies que no sean técnicas o necesarias cliqueando en la opción <<Rechazar Todo>> se comprueba como la web sigue utilizando las cookies detectadas al comienzo de la sesión.

1. c)Si se desea personalizar el consentimiento: Si se opta por personalizar el consentimiento accediendo al panel de control de donde se comprueba que los grupos de cookies se encuentran premarcados en la opción OFF (desactivados). No obstante, si se desea no prestar el consentimiento cliqueando en la opción (<<Rechazar todo>>) se comprueba como la web sigue utilizando las mismas cookies que se detectaron al principio de la sesión y empieza a utilizar nuevas cookies tanto propias como de terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/19 3º.- Sobre la posibilidad de modificar el consentimiento prestado sobre cookies, en cualquier momento de la navegación web. Si el usuario ha prestado el consentimiento inicial para que la web utilice cookies que sean de naturaleza técnica o necesarias cliqueando en la opción <<Aceptar todas >> existente en el banner inicial, y desea, en un momento determinado de la navegación web, modificar el consentimiento, existe la posibilidad de acceder nuevamente al panel de control de cookies a través del enlace existente en la “Política de Cookies”: https://about.wallapop.com/cookies/. No obstante, una vez desplegado el panel de control de cookies, se comprueba que no es posible desinstalar las cookies detectadas al comienzo de la sesión y las cookies que se han instalado después. 4º.- Sobre la información suministrada en la “Política de Cookies”: Si se accede a la “Política de Cookies” a través del enlace existente en la parte inferior de la página principal, la web redirige al usuario a una nueva página https://about.wallapop.com/cookies/ : donde se proporciona información sobre: qué son las cookies; para qué sirve la información recogida mediante las cookies; qué tipo de cookies existen y cuáles son las cookies que utiliza el sitio web y como gestionar las cookies a través de los mecanismos existentes en el navegador instalado en el equipo terminal. CONCLUSIONES: a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: En la comprobación realizada se pudo constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la mimas ni aceptar las cookies, se utilizan cookies que no son de naturaleza técnica o necesaria: de Rendimiento: _ga; rl_anonymous_id; _ga_1QLHFVW5P3; AMP_be52855061, ab.storage.sessionId.47b54d36-7a86-4c05-9bfc-2d7b8aadd1ce rs_braze_dedup_attributes; rl_page_init_referrer; rl_page_init_referring_domain b).- Sobre el banner de información de cookies existente en la primera capa (página principal): En el banner de información sobre cookies existente en la primera capa de la web, se identifica de forma genérica, las finalidades para las que se utilizarán las cookies y si éstas son propias o también de terceros. c).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: Si se accede al panel de control para rechazar la utilización de cookies, se comprueba como los grupos de cookies están premarcados en la opción “OFF” pero si se rechaza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/19 la utilización de cookies mediante la opción <<rechazar todo>> se comprueba que no tiene efecto pues la web sigue utilizando las cookies no técnicas detectadas al comienzo de la sesión. d).- Sobre la posibilidad de modificar el consentimiento prestado sobre cookies, en cualquier momento de la navegación web. Existe la posibilidad de acceder nuevamente al panel de control de cookies a través del enlace existente en la “Política de Cookies”. No obstante, una vez desplegado el panel de control de cookies, se comprueba que no es posible desinstalar la cookies detectadas al comienzo de la sesión y las cookies que se han instalado después. Sigue sin ser operativo el panel de control.
2. e)Sobre la información sobre cookies proporcionada en la “Política de Cookies”: Se proporciona información sobre, qué son las cookies; para qué sirve la información recogida mediante las cookies; qué tipo de cookies existen y cuáles son las cookies que utiliza el sitio web y como gestionar las cookies a través de los mecanismos existentes en el navegador instalado en el equipo terminal. FUNDAMENTOS DE DERECHO I Competencia “De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes”. II Deficiencias detectadas en la Política de cookies a).- Instalación de cookies en el equipo terminal previo al consentimiento del usuario: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/19 El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedarían exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies exceptuadas estarían las cookies de entrada del usuario, (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
3. in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En el presente caso, en la comprobación realizada en la web en cuestión se detectó que al acceder a la misma por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la misma se utilizaban las siguientes cookies de naturaleza no técnica: _ga rl_anonymous_id _ga_1QLHFVW5P3 AMP_be52855061 ab.storage.sessionId.47b54d36-7a86-4c05-9bfc-2d7b8aadd1ce MPID ab.storage.deviceId.47b54d36-7a86-4c05-9bfc-2d7b8aadd1ce rs_braze_dedup_attributes rl_page_init_referrer rl_page_init_referring_domain C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/19 b).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a la segunda capa si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus preferencias sobre la utilización de las cookies. Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la selección, en el panel podrá implementarse, además de un sistema de gestión granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción podría ser considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular. Por otra parte, la retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/19 En el presente caso, si se accede al panel de control para rechazar la utilización de “OFF” pero si se rechaza la utilización de cookies mediante la opción <<rechazar todo>> se comprueba que no tiene efecto pues la web sigue utilizando las cookies no técnicas detectadas al comienzo de la sesión. c).- Sobre la posibilidad de modificar el consentimiento prestado sobre cookies, en cualquier momento de la navegación web: Los usuarios deberán poder retirar el consentimiento previamente otorgado en cualquier momento. A tal fin, el editor deberá asegurarse de que facilita información a los usuarios en su política de cookies sobre cómo pueden retirar el consentimiento. El usuario debe poder revocar el consentimiento de forma fácil. El sistema que se ofrezca para retirar el consentimiento debe ser tan fácil como el utilizado cuando se prestó. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las cookies. En el presente caso, no es posible modificar el consentimiento prestado a la utilización de cookies no técnicas o no necesarias en cualquier momento de la navegación web pues no existe ningún enlace permanente que redirija al usuario al panel de control. En el presente caso, se comprueba que sí existe la posibilidad de acceder nuevamente al panel de control de cookies a través del enlace existente en la “Política de Cookies”. No obstante, una vez desplegado el panel de control de cookies, se comprueba que no es posible desinstalar la cookies detectadas al comienzo de la sesión y las cookies que se han instalado después. Sigue sin ser operativo el panel de control. III Obligación incumplida El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación.” La definición de prestador del servicio se contiene en el apartado
4. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Por su parte, el artículo 22.2 de la LSSI, establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/19 Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. En el presente caso, se han detectado las siguientes deficiencias en la Política de - La utilización de cookies que no son de naturaleza técnica sin el previo consentimiento del usuario; - La imposibilidad de rechazar las cookies que no sean de naturaleza técnica en la primera capa ni en el panel de control, y - La imposibilidad de modificar el consentimiento prestado a la utilización de Todo ello podría suponer por parte del reclamado, la comisión de la infracción del artículo 22.2 de la LSSI. IV Tipificación de la infracción Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. V Propuesta de sanción Asimismo, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 40 de la LSSI: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
5. a)La existencia de intencionalidad.
6. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
7. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
8. d)La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/19 naturaleza y cuantía de los perjuicios causados.
9. e)Los beneficios obtenidos por la infracción.
10. f)Volumen de facturación a que afecte la infracción cometida.
11. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” Tras las evidencias obtenidas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: La existencia de intencionalidad (apartado a). Expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. Con arreglo a dichos criterios, y sin perjuicio de lo que resulte de la instrucción del presente expediente, se estima adecuado imponer, por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad, una sanción inicial de 5.000 euros (cinco mil euros). Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a entidad WALLAPOP, S.L. con NIF B66049057, titular de la página web https://es.wallapop.com/ por la vulneración del artículo 22.2 de la LSSI, tipificada como “leve” en el artículo 38.4 g), de la citada norma. SEGUNDO: NOMBRAR como Instructor a D. A.A.A., y Secretario a D. B.B.B. indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del presente expediente administrativo. CUARTO: QUE a los efectos previstos en el art. 64.2
12. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la instrucción del presente expediente, de 5.000 euros (cinco mil euros). QUINTO: NOTIFICAR el presente acuerdo de inicio de expediente sancionador a la entidad WALLAPOP, S.L. con NIF B66049057, titular de la página web https://es.wallapop.com/ , otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/19 Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
13. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000 euros (tres mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, (4.000 euros o 3.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución, se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 43.2 de la LSSI. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/19 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 3 de julio de 2025, WALLAPOP ha procedido al pago de la sanción en la cuantía de 3.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/19 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 3.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, WALLAPOP ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/19 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 5.000,00 euros. Tras haber procedido WALLAPOP, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 3.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202501567, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a WALLAPOP, S.L.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
14. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
15. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/19 Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 936-080725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es