PS-00161-2019

1/6 812-0419 Procedimiento Nº PS/00161/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00161/2019, instruido por la Agencia Española de Protección de Datos, a la entidad FRESHLY COSMETICS, S.L. con NIF B55666143, (en adelante, “la entidad reclamada”), vista la denuncia presentada por A.A.A., (en adelante, “el reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 21/10/18, tuvo entrada en esta Agencia escrito, presentado por el reclamante, en el que exponía, entre otras, lo siguiente: “Como cliente de “Freshly Cosmetics SL”, que gestiona las webs https://www.freshlycosmetics.com/es/ y https://www.identybeauty.com/es/ he detectado algunas posibles irregularidades con relación a la aplicación del Reglamento General de Protección de Datos, entre otras: 1.- Al visitar la página web www.identybeauty.com no existe el recuadro informando de la existencia de cookies, ni en la versión de escritorio ni en la de móvil, y en la versión móvil de www.freshlycosmetics.com tampoco aparece dicho recuadro. 2.- No se ha enviado el consentimiento de la nueva política de protección de datos a los usuarios, se presume que a partir de la vigencia del nuevo RGPD”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 31/01/19, se dirige un requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 28/02/19, la entidad reclamada, remite a esta Agencia, escrito de contestación a la reclamación indicada en el punto “primero”. Respecto de la política de cookies, la entidad indica, entre otras, que: “(…) Las páginas web de Freshly Cosmetics y de Identy Beauty cuentan con sendos recuadros informando sobre la existencia de cookies, tanto en la versión de escritorio como en la versión móvil. Es posible que no haya apreciado dichos recuadros durante su navegación ya que, al ser de un color oscuro, en algún momento pueden llegar a confundirse con el fondo de la pantalla, si éste presenta tonalidades similares. A fin de evitar que otros usuarios puedan incurrir en la misma confusión, hemos decido modificar el diseño de estos recuadros, a fin de lograr su máxima visibilidad. En este sentido, le informamos de que nuestros técnicos ya están trabajando en esta modificación, cuya implantación está prevista en un plazo máximo de 30 días, a contar desde la fecha de la presente comunicación (…)”. Sobre las medidas adoptadas por la entidad para evitar que se produzcan incidencias similares, se indica, entre otras, que: “(…) Tras analizar el recuadro con el texto informativo sobre cookies en la Web de FRESHLY COSMETICS y en la Web de IDENTY BEAUTY hemos detectado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 que, debido a su diseño de colores oscuros, durante la navegación puede llegar a confundirse con el fondo de pantalla, dejando de ser visible, de forma momentánea, por parte del usuario. Hemos decidido modificar el diseño de los recuadros informativos sobre la existencia de cookies, con el fin de lograr su máxima visibilidad por parte del usuario en todo momento. En este sentido, nuestros técnicos ya están trabajando en el rediseño de estos recuadros para que, en el plazo máximo de 30 días, la Web de FRESHLY COSMETICS y la Web de IDENTY BEAUTY cuenten con nuevos recuadros de información sobre la existencia de cookies, que sean perfectamente visibles en todo momento por parte del usuario (…)”. CUARTO: A la vista de los hechos denunciados, de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos considera que la actuación de la entidad reclamada no cumple las condiciones que impone la normativa en vigor, con respecto a la utilización de cookies, en las páginas webs https://www.freshlycosmetics.com/es/ y https://www.identybeauty.com/es/, por lo que procede la apertura del presente procedimiento sancionador. QUINTO: Con fecha 12/09/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), por la infracción del artículo 22.2 de la citada LEY, y tipificada en el artículo 38.4.g) como leve, argumentándolo esencialmente en que: “Si se accede a la “política de cookies” de las páginas web indicadas, el consentimiento a que se cedan datos a terceros a través de cookies es implícito, ya que en ningún momento da la opción de poder oponerse a la instalación de estas en el dispositivo o de cualquier otra cookies, sino que remite a la configuración de los navegadores para eliminarlas o bloquearlas, no ofreciendo la posibilidad de denegar el consentimiento para el uso de cookies o de retirar el prestado, si no es a través de las opciones del navegador. No facilita un sistema de gestión o panel de configuración de cookies que permita al usuario eliminarlas de forma granular. A este respecto se considera que la información ofrecida sobre las herramientas proporcionadas por varios navegadores para configurar las cookies sería complementaria a la anterior, pero insuficiente para el fin pretendido de permitir configurar las preferencias en forma granular o selectiva. Además, no enumera las cookies propias ni el tiempo de duración instaladas en el navegador”. SEXTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 27/09/19, formuló, en síntesis, las siguientes alegaciones: “Que FRESHLY COSMETICS es una empresa dedicada a la elaboración y comercialización de productos cosméticos, que canaliza la mayor parte de sus ventas a través de las páginas web www.freshlycosmetics.com y www.identybeauty.com, de las que es titular. Tiene como prioridad garantizar la protección de los derechos de sus clientes y usuarios de las citadas páginas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 web en el ejercicio de su actividad, siendo consciente de la especial necesidad de garantizar estos derechos. En este sentido, se ha adoptado, entre otras, una política de protección de datos personales de sus clientes y usuarios. En el marco de esta política, y en aplicación del principio de responsabilidad proactiva, se implementó una Política de Cookies en las páginas web de referencia, cuya estructuración y configuración era, a entender de la Compañía, conforme a la normativa vigente. Que, a raíz de la recepción del Acuerdo de Inicio del Procedimiento Sancionador de referencia, FRESHLY COSMETICS ha venido en conocimiento de determinadas carencias en la configuración de la Política de Cookies de las páginas web de las que es titular, de las que hasta ahora no era consciente. Que, a la vista de las observaciones recogidas en dicho Acuerdo, se ha procedido a reconfigurar de inmediato la Política de Cookies de sus páginas web, adecuándola a las indicaciones de la AEPD, teniendo en cuenta la “Guía sobre el uso de cookies” publicada por este organismo. Se acompaña, a los efectos oportunos, diferentes capturas de pantalla de las páginas web www.freshlycosmetics.com y www.identybeauty.com en las que se muestra la Política de Cookies que se aplicará a partir de ahora, con detalle de las diferentes capas de información”. SÉPTIMO: Con fecha 22/10/19, se notifica la propuesta de resolución sancionadora consistente en que, por parte de la Directora de la Agencia Española de Protección de Datos, se proceda al ARCHIVO del presente procedimiento sancionador al no existir vulneración de lo estipulado en el RGPD, fundamentándolo en que: “En el caso que nos ocupa, el prestador de servicios utiliza un sistema de información por capas, y donde la segunda capa complementa a la primera. En la primera capa se muestra la información esencial sobre el uso de cookies y el modo en que el usuario puede prestar el consentimiento o rechazar la instalación de cookies. Incluye además un enlace visible a la segunda capa. La información ofrecida en la segunda capa incluye información sobre, qué son y para qué se utilizan las cookies, los tipos de cookies utilizadas y su finalidad (sin son propias o de terceros) y el período de conservación de las mismas para los diferentes fines. Se da información de cómo revocar el consentimiento ya prestado y se proporciona la opción de permitir, bloquear o eliminar las cookies enunciadas a través de las funcionalidades facilitadas por el editor en dicha capa. Además proporciona información sobre las herramientas incluidas en los navegadores o a las diferentes plataformas comunes que permiten gestionar las cookies”. OCTAVO: Notificada la propuesta de resolución, la entidad reclamada no presenta alegaciones a la propuesta, en el periodo concedido al efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Consultadas las páginas web: www.freshlycosmetics.com , y www.identybeauty.com, con fecha 20/10/19, se puede observa que: 1º.- En la primera capa, se incluye el mensaje: “Esta página web usa cookies. Utilizamos cookies propias y de terceros para mejorar tu experiencia de navegación. Al aceptar consientes el uso de esta tecnología en nuestra web. Puede personalizar tus preferencias y consultar nuestra política de cookies”. 2º.- En la misma capa, existen tres opciones: a.- acceder a la “política de 3º.- Dentro de la segunda capa, “política de cookies” se informa sobre qué son las cookies y qué cookies usan, tanto propias como de terceros. 4º.- Sobre el consentimiento, se informa que: “al navegar y continuar en nuestro sitio web estará consintiendo el uso de las cookies antes enunciadas, en las condiciones contenidas en la presente Política de Cookies. Le informamos de que, dado que las cookies no son necesarias para el uso de nuestro sitio web, puede bloquearlas o deshabilitarlas a través de la configuración de su navegador. Si las bloquea o deshabilita podrá seguir usando nuestro sitio web, aunque el uso de algunos de sus servicios podrá ser limitado y por tanto su experiencia en nuestro Sitio web menos satisfactoria. Si desea revocar su consentimiento informado respecto a nuestra política de sus navegadores de Internet. Estos son los enlaces de los distintos navegadores que informan sobre las cookies (…)” Sobre la configuración de las cookies en la propia página web: se posibilita su configuración granular, aceptando o no las mismas por grupos: -cookies de preferencias