1/13 Procedimiento Nº: PS/00208/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0208/2021, instruido por la Agencia Española de Protección de Datos, a al CONSORCIO REGIONAL DE TRANSPORTES DE LA COMUNIDAD DE MADRID, con CIF.: Q7850003J, titular de la página web, www.crtm.es, (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la parte reclamante”), por presunta infracción de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 23/05/20, tuvo entrada en esta Agencia escrito de reclamación en el que se indicaba, entre otras, lo siguiente: “La página web del Consorcio de Transportes de Madrid tiene marcadas por defecto las cookies no obligatorias. Si quiero poder visualizar el contenido sin aceptaras, es necesario hacer clic en Configurar, desmarcar las 3 casillas de las distintas categorías de cookies, hacer clic en aceptar y aceptar la política de protección de datos”. SEGUNDO: Con fecha 18/06/20, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 01/10/20 por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por la parte reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. CUARTO: Con fecha 22/03/21, la Subdirección General de Inspección de Datos se dirigió requerimiento informativo a la parte reclamada, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del RGPD. QUINTO: Con fecha 08/04/21, se recibió escrito de contestación al requerimiento realizado por esta Agencia, en el que se indicaba, entre otras, lo siguiente: “Existe constancia que desde el 17 de abril de 2019 la Delegación de Protección de Datos de este Organismo comenzó a trabajar en la supervisión del cumplimiento de lo establecido en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, de conformidad con las mayores exigencias que imponía la vigente normativa en materia de protección de datos. En este sentido, el 13 de junio de 2019 se trasladó al Área de Sistemas un documento denominado “Normativa aplicable a la aceptación de cookies”, cuya copia se adjunta, el cual contenía las pautas o recomendaciones que resultaba pertinente implementar, al objeto de que los usuarios pudiesen contar con mecanismos efectivos para proteger C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 su privacidad. No obstante, esta implementación no se llevó a cabo durante 2019 y en diciembre de dicho año expiró el contrato administrativo de mantenimiento del portal corporativo (página web www.crtm.
- es)y, en consecuencia, finalizó también la relación jurídica con la empresa que podía realizar el desarrollo de las modificaciones necesarias para alcanzar la funcionalidad deseada, en materia de cookies. En esas fechas se empezó a evaluar si resultaba conveniente efectuar la migración del portal corporativo del Consorcio Regional de Transportes a la Agencia para la Admiración La autenticidad de este documento se puede comprobar en Digital de la Comunidad de Madrid, ente público que tiene encomendada la función de prestar los servicios informáticos y de telecomunicaciones a la Administración Comunidad de Madrid (a la que pertenece el Consorcio Regional de Transportes, como Organismo autónomo adscrito a la Consejería de Transportes, Movilidad e Infraestructuras) o se continuaba con la administración independiente del mismo y, por tanto, procedía la licitación de un nuevo contrato de mantenimiento. Esta última fue, finalmente, la opción elegida, si bien la pandemia originada por el Covid19 determinó que la tramitación de la licitación del correspondiente contrato quedase paralizada. En todo caso, el Área de Contratación y Régimen Jurídico ha informado que si el proceso discurre con normalidad el contrato estará adjudicado y formalizado antes del mes de junio. En cuanto se formalice el contrato de mantenimiento de desarrollos informáticos que afecta al portal corporativo, se requerirá, de manera urgente, a la empresa adjudicataria para que, con carácter prioritario, implemente las medidas contenidas en el documento “Normativa aplicable a la aceptación de cookies” remitido en su día al Área de Sistemas, complementadas con las orientaciones recogidas en la “Guía sobre el uso de las cookies”, de julio de 2020, publicada por la Agencia Española de Protección de Datos. Como es lógico, una vez la empresa adjudicataria del contrato de mantenimiento de los desarrollos de portal corporativo comunique la implantación de la medida, se realizará el correspondiente control de verificación para comprobar que efectivamente se ha realizado y que se ha hecho de forma satisfactoria. Sobre el “medio previsto para revocar el consentimiento al uso de cookies por parte del usuario”: El que se sugiere en el documento “Normativa aplicable a la aceptación de cookies”, que se adjunta y consistente en que al entrar en la página web, o una vez que se esté navegando por ella, el pulsado de la pestaña “inicio” u otra que podría denominarse “Política de cookies”, lleve aparejado la nueva visualización de la pantalla con la información sobre las cookies, en la que aparecen las casillas de aceptación, rechazo, o configuración de las mismas Se darán instrucciones al Delegado de Protección de Datos y al Responsable de Seguridad de los Sistemas de Información de este Organismo, para que ambos ultimen la redacción de Política de cookies, de modo que esté lista para insertarse en el portal corporativo, en el mismo momento en que la empresa adjudicataria del mantenimiento de los desarrollos efectúe las modificaciones técnicas oportunas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 SEXTO: Con fecha 27/05/21, por parte de esta Agencia se realizan las siguientes comprobaciones en la página web reclamada, www.crtm.es: a).- Sobre la contratación de bienes o servicios por vía electrónica. En la parte superior de la página principal de la web reclamada, existe una pestaña denominada, “Billetes y Tarifas”, a través de la cual se accede a una nueva página, https://www.crtm.es/billetes-y-tarifas/tarjeta-transporte-publico.aspx, donde se puede obtener on-line la “Tarjeta Transporte Público” del Consorcio de Transportes de la Comunidad de Madrid. b).- Sobre el “Club de Amigos del Transporte Público”: En la parte superior de la página principal de la web reclamada, existe una pestaña denominada, “Club de Amigos del Transporte Público”, a través de la cual se accede a una nueva página, https://www.crtm.es/club-de-amigos-del-transporte-publico.aspx, donde se proporciona la siguiente información: “Un club para todos los usuarios del sistema de transporte público, abierto a cada uno de vosotros, con el fin de haceros llegar todas las actividades a las que podéis acceder, de manera cómoda y sencilla, en transporte público. Un club que nace con un objetivo claramente definido: ofrecerte todas las ventajas y descuentos en relación con todas las oportunidades que están a tu alcance, en Metro, en autobús, en metro ligero, en Cercanías... El Consorcio de Transportes de Madrid es una institución comprometida con los usuarios del transporte público, porque unimos Ilusiones, unimos Experiencias, unimos Culturas, unimos Emociones, unimos Momentos... unimos Personas”. Existe un enlace en la parte inferior de la página, <<accede ahora, muchas oportunidades y ventajas únicas te están esperando>>, a través del cual, la web redirige a una nueva página web, https://clubdeamigos.crtm.es/, dedicada, según se indica en la propia página a, “fomentar el Transporte Público y ofrecer a sus usuarios información útil, ideas, planes de ocio, descuentos y concursos” de los diferentes colaboradores del Consorcio Regional del Transporte de Madrid, (entidades financieras, comercios, etc.). c). - Sobre la Política de Cookies de la página web www.crtm.es : 1º.- Al entrar en la página principal aparece un banner con la siguiente información: “Usamos cookies técnicas, analíticas, publicitarias y de personalización (propias y de terceros)” <<configurar personalización>> <<aceptar y continuar>> 2º.- Se comprueba que, sin aceptar las cookies ni realizar ninguna acción sobre la web, se utilizan las siguientes cookies de terceros no necesarias cuyo dominio pertenece a Google.com: NID; 1P_JAP y CONSENT. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 3º.- Si se opta por ir al panel de configuración de las cookies, la web despliega una nueva página con la siguiente información: “Este es el panel de configuración y aceptación de Cookies. Selecciona las que deseas aceptar: - comunicación de datos. <<Ver listado detallado de este tipo de cookies>> - X Aceptar cookies analíticas. <<Ver listado detallado de este tipo de - X Aceptar cookies publicitarias <<Ver listado detallado de estas cookies>> - X Aceptar cookies de personalización: <<Ver listado detallado>> <<ACEPTAR>> En este panel de control, los grupos de cookies de, “personalización”, “publicitarias” y “analíticas”, se encuentran premarcados en la opción de “aceptados”. Si el usuario desea rechazar estos grupos de cookies, debe ir desmarcando las casillas correspondientes a cada grupo una a una y después “aceptar” la decisión tomada. 3º.- No existe ningún enlace directo a la página de la “Política de cookies”, ni desde el banner de la página inicial y desde este panel de control. 4º.- Antes de poder seguir navegando por la web, tanto si se aceptan todas las cookies en el banner inicial como si se gestionan en el panel de control, se debe aceptar obligatoriamente la política de protección de datos, en una nueva pantalla emergente. 5º.- No existe en la página principal, ningún enlace que redirija al usuario a la “Política de Cookies” o segunda capa. La única información existente sobre las cookies es, en el panel de control, a través de los diferentes enlaces: “<<ver listado detallado de este tipo de cookies>>”, donde se informa de las cookies pertenecientes a cada grupo elegido, su denominación, su función y el tiempo que estarán activas. SÉPTIMO: Con fecha 20/07/21, por la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la parte reclamada, por infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies” de la página web de su titularidad, dirigiendo un “apercibimiento” a la entidad e imponiéndola, como medida correctiva, que implementase en la página web de su titularidad, un mecanismo que imposibilitase la utilización de cookies que no fueran técnicas o necesarias antes de que el usuario diera su consentimiento; un mecanismo que posibilitase rechazar todas las cookies de forma que sea tan fácil rechazarlas como aceptarlas o si se optase por la gestión granular de las cookies a través del panel de control, los diferentes grupos de cookies no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 deberían estar premarcados en la opción de “aceptados”. Por último, se requería a la entidad para que incluyese en la página web un enlace a la “Política de Cookies”. OCTAVO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 02/08/21 formuló, en síntesis, las siguientes alegaciones: “Tal y como se indicó a esa Agencia, el 8 de abril de 2021, en respuesta al requerimiento de información efectuado por la misma, en relación con este asunto, “(…) desde el 17 de abril de 2019 la Delegación de Protección de Datos de este Organismo comenzó a trabajar en la supervisión del cumplimiento de lo establecido en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, de conformidad con las mayores exigencias que imponía la vigente normativa en materia de protección de datos. En este sentido, el 13 de junio de 2019 se trasladó al Área de Sistemas un documento denominado “Normativa aplicable a la aceptación de cookies”, cuya copia se adjunta, el cual contenía las pautas o recomendaciones que resultaba pertinente implementar, al objeto de que los usuarios pudiesen contar con mecanismos efectivos para proteger su privacidad.” Interesa destacar el hecho de que estas actuaciones se realizaron a iniciativa propia, sin que mediase requerimiento de esa Agencia, ni reclamación de persona alguna, contrariamente a lo que parece desprenderse de la expresión: “Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la primera reclamación de abril de 2019, (apartado b).”, contenida en la página 13 del Acuerdo de incoación del procedimiento sancionador, que se ha notificado. La autenticidad de este documento se puede comprobar en www.madrid.org/csv y código seguro de verificación: ***1 Segunda.- De las circunstancias que han impedido (hasta la fecha) la adopción de las medidas para ajustarse a lo previsto en el artículo 22.2 de la LSSI Conforme se ha señalado en la respuesta al requerimiento de información, la implementación de las medidas no se llevó a cabo durante 2019 “y en diciembre de dicho año expiró el contrato administrativo de mantenimiento del portal corporativo (página web www.crtm.
- es)y, en consecuencia, finalizó también la relación jurídica con la empresa que podía realizar el desarrollo de las modificaciones necesarias para alcanzar la funcionalidad deseada. En esas fechas se empezó a evaluar si resultaba conveniente efectuar la migración del portal corporativo del Consorcio Regional de Transportes a la Agencia para la Administración Digital de la Comunidad de Madrid, (Madrid Digital) o se continuaba con la administración independiente del mismo y, por tanto, procedía la licitación de un nuevo contrato de mantenimiento, siendo esta última la opción elegida, si bien la pandemia originada por el Covid-19 determinó que la tramitación de la licitación del correspondiente contrato quedase paralizada. El contrato para el “Mantenimiento y mejoras funcionales en el portal web CRTM (2021-2024)” se suscribió el 9 de julio de 2021. No obstante, según ha informado el Área de Sistemas del Consorcio, al resultar adjudicatario un licitador distinto del que diseñó la página web, con carácter previo a cualquier otra actuación, deben montar su propio entorno de desarrollo. Como puede apreciarse, las circunstancias que han retrasado la implementación de las medidas han sido las derivadas de los plazos de tramitación de un contrato administrativo, el imponderable de la pandemia y cuestiones técnicas de desarrollo inforC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 mático, todas ellas imposibles de evitar y que han impedido, hasta la fecha, el ajuste a lo establecido en el artículo 22.2 LSSI. Tercera. - De las medidas adoptadas y las que se van a implementar para asegurar el correcto cumplimiento de lo previsto en la normativa aplicable. Según se anunció en la respuesta al requerimiento de información, una vez se formalizado el contrato de mantenimiento de desarrollos informáticos que afecta al portal corporativo, se ha requerido, de manera urgente, a la empresa adjudicataria para que, con carácter prioritario, aborde la tarea de la gestión de las cookies. La autenticidad de este documento se puede comprobar en www.madrid.org/csv mediante el siguiente código seguro de verificación: ***1 Con objeto de acreditar que se ha comunicado esta prioridad a la empresa adjudicataria, se adjunta el acta de la reunión de seguimiento de la ejecución del contrato de fecha 23 de julio de 2021, en cuyo apartado 2, denominado “Desarrollo de la Reunión”, al inicio, se comienza señalando que “Se mencionan las 7 tareas que ya hay abiertas comentando que son cuestiones que quedaron pendientes y habría que abordar. Las más prioritarias serían las que hacen referencia a las cookies y su gestión.” A fin de orientar a la empresa adjudicataria sobre las acciones concretas que debe realizar, el 22/07/21, se trasladó al Área de Sistemas la nota interior, que se acompaña a las presentes alegaciones, y de la que destacamos las instrucciones siguientes: ► «respecto a la información relativa a la protección de datos personales "no es necesario obligar al usuario a aceptar la política de protección de datos para seguir navegando por la web si no ha proporcionado sus datos personales”. En atención a esta consideración, se puede seguir manteniendo el actual mensaje sobre protección de datos, a título informativo, pero las personas que accedan a la página web del Organismo no tienen que marcar ninguna casilla para continuar visualizando el contenido de esta.» ► «se deben implementar las instrucciones contenidas en los documentos trasladados al Área de Sistemas, prestando especial atención a los siguientes aspectos: 1) Es preciso habilitar un mecanismo que imposibilite la utilización de las cookies no necesarias antes de que el usuario dé su consentimiento. 2) En la configuración, los diferentes grupos de cookies no deben estar premarcados en la opción de “aceptar”» ► « En todo caso, el Delegado de Protección de Datos ha realizado la siguiente recomendación: “Si no es absolutamente imprescindible para el cumplimiento de las funciones legalmente atribuidas al Consorcio Regional de Transportes, se aconseja que en la página web de este Organismo, únicamente, se empleen aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario, las cuales están excluidas del ámbito de aplicación del artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico y, por tanto, no es necesario informar, ni obtener el consentimiento sobre su uso, por lo que en el apartado «política de La autenticidad de este documento se puede comprobar en www.madrid.org/csv mediante el siguiente código seguro de verificación: ***1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 La recomendación del Delegado de Protección de Datos, no solo persigue el ajuste a lo previsto en la normativa aplicable, sino que además trata de conjugar el cumplimiento de lo dispuesto en la LSSI con el respeto al principio de “minimización”, que se recoge en el artículo 5 del Reglamento (UE) 2016/679 Cuarta.- De la previsible fecha de implantación de las medidas. Con arreglo a lo informado por el Área de Sistemas, el adjudicatario del contrato se ha comprometido a que las medidas necesarias para adecuar la política de cookies en la página web www.crtm.es estén implementadas “lo antes posible y, en cualquier caso, antes de que finalice el verano” En atención a las alegaciones formuladas y en vista de las medidas que va a llevar a cabo este Organismo, para resolver el asunto, se solicita se proceda al archivo definitivo del procedimiento sancionador, sin imposición de sanción alguna”. NOVENO: Con fecha 07/08/21, se inició el período de práctica de pruebas, acordándose, dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/08369/2020 y dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00208/2021, presentadas por la entidad denunciada. DÉCIMO: Con fecha 07/10/21, por parte de esta Agencia se comprueba que, en la página web reclamada, www.crtm.es, existen las siguientes características sobre la política de cookies: 1º.- Al entrar en la página principal aparece un banner con la siguiente información: “Usamos cookies técnicas, analíticas, publicitarias y de personalización (propias y de terceros)” <<configurar personalización>> <<aceptar todas>> <<rechazar todas>> 2º.- Se comprueba que, sin aceptar las cookies ni realizar ninguna acción sobre la web, no se ha constado la existencia de cookies que puedan no ser técnicamente necesarias sin el consentimiento del usuario. 3º.- Si se opta por rechazar todas las cookies, mediante la opción <<rechazar todas>>, se comprueba como la página no utiliza cookies que no sean técnicas o necesarias. 4º.- Si se opta por ir al panel de configuración de las cookies, la web despliega una nueva página con la siguiente información: “Este es el panel de configuración y aceptación de Cookies. Selecciona las que deseas aceptar: - la comunicación de datos. <<Ver listado detallado de este tipo de cookies>> - _ Aceptar cookies analíticas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 <<Ver listado detallado de este tipo de cookies>> - _ Aceptar cookies de personalización <<Ver listado detallado de este tipo de cookies>> <<ACEPTAR>> Se comprueba como en este panel de control, los grupos de cookies: “personalización”, y “analíticas”, no se encuentran premarcadas. Si el usuario desea rechazar las Si se sale del panel de control sin haber marcada ningún grupo de cookies, cliqueando en la opción de “aceptar” se comprueba que la página no utiliza nuevas cookies que no sean técnicas. Antes de poder seguir navegando por la web, tanto si se aceptan todas las cookies en el banner inicial como si se rechazan en el panel de control, se debe aceptar obligatoriamente la política de protección de datos, en una nueva pantalla emergente que contiene la siguiente información: “Los datos personales recogidos a través de este canal serán tratados de conformidad con el Reglamento Europeo (UE) de Protección de Datos, dentro de las actividades de tratamiento, indicadas en cada uno de los formularios por medio de los que se recaban. Para más información al respecto, puede consultar el Registro de las actividades de tratamiento de datos personales de la Consejería de Transportes, Movilidad e Infraestructuras de la Comunidad de Madrid y los Organismos Autónomos adscritos a la misma, entre los que se encuentra el Consorcio Regional de Transportes, en la siguiente dirección web: Registro de actividades de tratamiento. El responsable del tratamiento es la Dirección-Gerencia del Consorcio Regional de Transportes Públicos Regulares de Madrid, con domicilio en la Plaza Descubridor Diego de Ordás,3 28003-Madrid y el contacto del Delegado de Protección de Datos es: crtm_protecciondatos@madrid.org Los datos personales recabados no se cederán a terceros salvo obligación legal, en cuyo caso los destinatarios, únicamente, podrán ser el Defensor del Pueblo, el Ministerio Fiscal, los Jueces y Tribunales y las personas interesadas en el procedimiento. Los datos no serán objeto de transferencias internacionales. Puede ejercitar, si lo desea, los derechos de acceso, rectificación, supresión (derecho al olvido), solicitar la limitación del tratamiento u oponerse al mismo, así como pedir la portabilidad de los datos, negarse a ser objeto de decisiones individuales automatizadas, incluida la elaboración de perfiles y retirar el consentimiento prestado, de cualquiera de las siguientes maneras: Presencialmente, a través de los registros de la Comunidad de Madrid; presentando una solicitud por registro electrónico, con arreglo a lo dispuesto en el artículo 16 de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas o enviando un correo electrónico a la siguiente dirección: crtm_protecciondatos@madrid.org C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 Con independencia del modo elegido para ejercer los derechos señalados, la solicitud siempre deberá dirigirse al responsable del tratamiento (Director- Gerente del Consorcio Regional de Transportes), ir firmada por quien ejercita el derecho y, en su caso, acompañada del documento acreditativo de identidad correspondiente. Por último, se informa que, si no está conforme que el tratamiento dispensado a sus datos personales tiene derecho a presentar una Reclamación ante la Agencia Española de Protección de Datos. 5º.- Si se accede a la “Política de Cookies” o segunda capa, a través del enlace existente en la página principal, la web redirige a una nueva página https://www.crtm.es/ politica-de-cookies/, donde se proporciona información de qué son las cookies y los tipos de cookies que existen y los que utiliza la web. Además, proporciona los enlaces a los diferentes navegadores si se desea gestionar la generación o descarga de cookies a través del navegador DÉCIMO PRIMERO: Con fecha 13/10/21, se notifica a la entidad reclamada la propuesta de resolución, en la cual, se propone que, por la Directora de la Agencia Española de Protección de Datos se proceda al archivo del presente procedimiento contra el CONSORCIO REGIONAL DE TRANSPORTES DE LA COMUNIDAD DE MADRID, con CIF.: Q7850003J, titular de la página web, www.crtm.es, por presunta infracción del artículo 22.2 de la LSSI, al comprobarse que había adaptado la página web de su titularidad a la legislación vigente, en lo que se refiere a la política de DÉCIMO SEGUNDO: Notificado la propuesta de resolución, no ha tenido entrada en esta Agencia ningún escrito de alegaciones a la misma, en el tiempo concedido al efecto. HECHOS PROBADOS 1º.- Según el reclamante, La página web del Consorcio de Transportes de Madrid (www.crtm.
- es)tenía marcadas por defecto las cookies no obligatorias. Si se quería navegar por la página web del Consorcio sin que se cargaran las cookies no técnicas, era necesario acceder al panel de control y desmarcar las 3 casillas de las distintas categorías de cookies, hacer clic en aceptar y aceptar la política de protección de datos. 2º.- Consultada la página web, por parte de esta Agencia, se constató que: Al entrar en la página web por primera vez, sin aceptar las cookies ni realizar ninguna acción sobre la web, se utilizaban cookies de terceros no necesarias Al acceder al panel de control de las cookies, se comprobó que los grupos de cookies “analíticas”; “publicitarias” y “de personalización” se encontraban premarcadas en la opción de “aceptadas”. Si el usuario deseaba que dichas cookies no fueran utilizadas, debía desmarcarlas. Se comprobó además que, no existía en la página principal, ningún enlace que redirija al usuario a la “Política de Cookies” o segunda capa. La única información existente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 sobre las cookies era, dentro del panel de control, a través de los diferentes enlaces a <<ver listado detallado de este tipo de cookies>>, donde se informaba de las cookies pertenecientes al grupo, su denominación, su función y el tiempo que estarán activas. 3º.- Una vez iniciado el presente procedimiento sancionador contra la entidad reclamada por infracción del artículo 22.2) de la LSSI, respecto de la “Política de Cookies”, y recibido en esta Agencia escrito de alegaciones al mismo, se ha podido comprobar que: Al entrar en la página web por primera vez, sin aceptar las cookies ni realizar ninguna acción sobre la web, ya no se utilizaban cookies de terceros no necesarias. Al acceder al panel de control de las cookies, se comprueba que los grupos de cookies “analíticas”; “publicitarias” y “de personalización” no se encontraban premarcadas en la opción de “aceptadas”. Si el usuario desea que dichas cookies no sean utilizadas, y seguir navegando, debe cliquear directamente en <<aceptar>>. Existe un enlace en la página principal de la web que redirige al usuario a la “Política de Cookies”, https://www.crtm.es/politica-de-cookies/, donde se proporciona información de qué son las cookies y los tipos de cookies que existen y los que utiliza la web. Además, proporciona los enlaces a los diferentes navegadores si se desea gestionar la generación o descarga de cookies a través del navegador. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Esta Agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), no se utilizan cookies propias ni de terceros que no sean necesarias. La configuración de las cookies se puede realizar de forma granular marcando los grupos de En la página de la “Política de Cookies”, además de proporcionar la información necesaria sobre las cookies, de qué son las cookies y los tipos de cookies que existen y los que utiliza la web. Además, proporciona los enlaces a los diferentes navegadores si se desea gestionar la generación o descarga de cookies a través del navegador. En este sentido, el artículo 22.2 de la LSSI, donde se establecen los Derechos de los destinatarios de servicios de la sociedad de la información, se indica que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” Se debe tener presente en este caso, la sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, donde se analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento su derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD. Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la parte reclamada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido. Recuérdese que al tener conocimiento de la denuncia la entidad denunciaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 da, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir”, aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
- c)de la Ley.” Esta sentencia, se interpreta el apercibimiento con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haberse cumplido las medidas esperadas relacionadas con la infracción, en este caso, la modificación de la política de cookies adaptándola a la legislación vigente, no sería entonces “apercibimiento”, sino archivo, tal y como se deduce del fundamento SEXTO de la Sentencia arriba citada. Por tanto, en el presente caso, después del análisis realizado en la página web objeto de la reclamación, de los documentos aportados y las circunstancias concurrentes, no se evidencia vulneración de la legislación vigente sobre la política de cookies de la página web reclamada, al haber modificado correctamente su política de cookies atendiendo a la normativa vigente y a lo requerido por esta Agencia. A la vista de lo anteriormente expuesto, por parte de la Directoria de la Agencia Española de Protección de Datos RESUELVE: ARCHIVAR: el presente procedimiento sancionador contra al CONSORCIO REGIONAL DE TRANSPORTES DE LA COMUNIDAD DE MADRID, con CIF.: Q7850003J, titular de la página web, www.crtm.es, por infracción del artículo 22.2 de la LSSI. NOTIFICAR: la presente resolución al CONSORCIO REGIONAL DE TRANSPORTES DE LA COMUNIDAD DE MADRID. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es