1/9 Procedimiento Nº: PS/00209/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00209/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, EXIPAGO S.L. con CIF.: B65984262, titular de la página web, www.exipago.com, (en adelante, “la entidad reclamada”), en virtud de la denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 04/12/19, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “Ni en la página web de Exipago S.L. ni el apartado contacto de la misma, hay información sobre la política de privacidad”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Así, con fecha 08/02/20, y número de referencia E/00839/2020, se dirigió escrito de requerimiento de información a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, del Ministerio de Política Territorial y Administración Pública, el requerimiento enviado a la entidad reclamada el 08/02/20, a través del servicio de Notific@, fue aceptada por la entidad reclamada, el día 12/02/
- TERCERO: Con fecha 19/07/20 se consulta la página web, comprobando los siguientes aspectos sobre la política de privacidad y la política de cookies de la página web: A).- Respecto de la “Política de Privacidad”, de la web denunciada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Se comprueba que, en la página inicial, https://exipago.com/ , existe la posibilidad de recoger datos personales de los usuarios, (nombre, correo electrónico y teléfono), a través del cuestionario existente en el enlace <<contacta>>. En esta página, existe una casilla que se debe marcarse antes de enviar el formulario para dar el consentimiento: “_ He leído y acepto la Política de Privacidad“. Si se cliquea en el link, <<política de privacidad>>, se redirige a la página https://exipago.com/politica-de-privacidad/ , donde se informa de: la finalidad de la empresa; quién es el responsable del tratamiento; cuáles son los derechos de protección de datos de los usuarios; cómo puede presentar una reclamación en la AEPD; En qué casos se recaban datos personales; cómo usamos los datos personales de usuarios; por qué tratan los datos de carácter personal; quién puede acceder a los datos de carácter personal; dónde se tratan los datos personales; cómo protegen los datos personales; durante cuánto tiempo conservan los datos personales; la confidencialidad; sobre las redes sociales; sobre la categoría especial de datos personales; sobre la Política sobre uso infantil y sobre el Marketing directo. A través del link <<Quienes Somos>>, situado en la parte superior de la página inicial, https://exipago.com/quienes-somos/ , existe un enlace a la página de <<Aviso Legal>>, https://exipago.com/aviso-legal/ , donde se proporciona información sobre la identificación del responsable del tratamiento de datos, además, de las condiciones generales de uso del sitio web; la propiedad intelectual e industrial; la limitación de la responsabilidad. Y la legislación aplicable y los tribunales competentes. B).- Respecto de la Política de Cookies de la web denunciada: b.1.) Al acceder a la página web, www.exipago.com (primera capa), existe un banner de información sobre cookies en la parte inferior de la misma, con la siguiente leyenda: “Nuestro sitio web utiliza cookies para mejorar tu experiencia. Puedes encontrar más información en nuestra política de cookies. <<Aceptar>>” b.2.) Si se accede a la política de cookies (segunda capa), a través del link “Política de proporciona información sobre: qué son las cookies y para qué se utilizan y los tipos de cookies que utilizan en este web. Sobre la gestión y la desactivación de las cookies, la página remite al usuario a configurar el navegador utilizado en su equipo para ello. CUARTO: Con fecha 12/08/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el artículo 22.2) de la LSSI, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 respecto a la política de cookies de su página web, sancionable conforme a lo dispuesto en los art. 39.1.c) y 40) de la citada Ley, respecto de su Política de Cookies, imponiendo una sanción inicial de “apercibimiento” y requiriéndole a que tomase medidas para modificar la política de cookies de su página web. QUINTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 04/09/20, formuló, en síntesis, las siguientes alegaciones: “Ya se han desplegado todos los cambios y utilidades en la página web. Los cambios y acciones que se han realizado son las siguientes: Actualización y mejora de la política de privacidad existente en http://exipago.com/politica-de-privacidad . Actualización y mejora de la política de cookies en http://exipago.com/politica-de-cookies - Creación de la primera capa informativa en el formulario de recogida de datos: http://exipago.com/contactenos/. Maquetación del texto de la primera capa informativa en el formulario de contacto. Auditoría de cookies: no se ha detectado el uso de cookies. Configuración de plugin para recabar el consentimiento de las cookies analíticas de Google Analytics si se decide utilizar. Redacción de la primera capa informativa del uso de permanentes a la política de privacidad y a la política de cookies en el footer de la web. Maquetación de los enlaces permanentes a la política de privacidad y a la política de cookies en el footer de la web. Integración de los requerimientos realizados por la AEPD en el procedimiento sancionador. Actualmente Hemos quitado el código de seguimiento de Google Analytics por lo que vuestra web no está utilizando cookies”. SEXTO: Con fecha 04/10/20, por parte de esta Agencia, se comprueba que, en la web denuncia, respecto de su “política de cookies”, tiene las siguientes características: b.1.) En la primera Capa, (página inicial): El banner sobre cookies que se despliega al acceder a la página inicial proporciona la siguiente información: “Exipago S.L. únicamente utiliza cookies propias con finalidad técnica, no recaba ni cede datos de carácter personal de los usuarios sin su conocimiento. Para saber sobre las cookies puede obtener más información en nuestra política de cookies” <<aceptar>> b.2.) En la segunda Capa, https://exipago.com/politica-de-cookies/ , se proporciona información sobre lo siguiente: “En exipago.com solo utilizamos cookies técnicas con el objetivo de prestar un mejor servicio y proporcionarte una mejor experiencia en tu navegación. Queremos informarte de manera clara y precisa sobre las cookies que utilizamos, detallando a continuación, qué es una cookie, para qué sirve, qué tipos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 SÉPTIMO: Con fecha 21/10/20, se notifica a la a la entidad reclamada la propuesta de resolución en la que se propone que, por la Directora de la Agencia Española de Protección de Datos se sancione con “apercibimiento” por infracción del artículo 22.2 de la LSSI. SEXTO: Tras la notificación de la propuesta de resolución, con fecha 27/10/20, la entidad reclamada presenta escrito de alegaciones, en el cual, se indica: “ La página web sobre la que se propone la sanción de apercibimiento no utiliza ninguna cookie que no sea técnica; la única cookie propia que se utiliza en esta web es una botón de “Aceptar”; esta cookie, de nombre catAccCookies tiene como único valor un “1” y sirve exclusivamente para no mostrar permanentemente el aviso de la primera capa de cookies, por lo que ni recaba dato personal alguno ni se utiliza para ninguna otra finalidad. Esta cookie es necesaria e imprescindible para poder mostrar un aviso de cookies en la primera capa, tal y como hace la propia Agencia Española de Protección de Datos en su página web (en el caso de esta Agencia, ella utiliza una cookie de nombre cookie-agreed, y como valor un 2), aunque sea para avisar de que la web no utiliza nada más que cookies técnicas. De hecho, el aviso de esta primera capa informativa en la web de EXIPAGO tiene el mismo texto y funcionamiento que la propia primera capa informativa de la página web de la Agencia Española de Protección de Datos: Aviso de cookies de la primera capa en aepd.es: Este portal web únicamente utiliza los usuarios sin su conocimiento. Sin embargo, contiene enlaces a sitios web de terceros con políticas de privacidad ajenas a la de la AEPD que usted podrá decidir si acepta o no cuando acceda a ellos. <<Más info>> Aviso de cookies de la primera capa en exipago.com: “Exipago S.L. únicamente utiliza los usuarios sin su conocimiento. Para saber sobre las cookies puede obtener más información en nuestra política de cookies”. <<aceptar>> En el caso de la AEPD, el enlace de la primera capa de “Más info”, reenvía a una web con un breve texto en el que se vuelve a decir que la página web de la AEPD solo utiliza cookies técnicas, sin indicar ninguna información más. En el caso de EXIPAGO se ha querido dar algo más de información a los usuarios y se informa de los distintos tipos de cookies que existen, cómo funcionan, enlaces para configurar las cookies en distintos navegadores, etc., y se vuelve a indicar que la web de EXIPAGO no utiliza ninguna cookie no técnica. Existe una tabla en blanco preparada por si en el futuro EXIPAGO decidiera hacer uso de algún servicio que sí empleé cookies de seguimiento, por ejemplo las de Google Analytics, poder incluir ahí toda la información al respecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Como ha quedado acreditado, la web exipago.com utiliza únicamente una cookie técnica, exceptuada expresamente del artículo 22.2 de la LSSI, por lo que el procedimiento debería haberse archivado en el momento en el que esta Agencia comprobó, en fecha 19 de julio de 2020, que la política de privacidad no vulneraba la normativa de protección de datos y no iniciar el procedimiento sancionador por vulneración del artículo 22.2 de la LSSI dado que la cookie que se utiliza en la página web es de naturaleza técnica y por tanto excluida de la normativa. En consecuencia, tampoco se debería haber acordado la propuesta de resolución con sanción de apercibimiento, toda vez que la conducta de EXIPAGO es atípica. No es exigible legalmente a EXIPAGO, tal y como consta en la propuesta de resolución y en el acuerdo de inicio de procedimiento sancionador, que informe de la cookie técnica y que establezca un mecanismo para rechazarla. A mayor abundamiento, EXIPAGO ha realizado las mismas implementaciones técnicas y textos legales para las cookies que la propia autoridad de control en su página web, con el mismo texto legal y el mismo tipo de cookie técnica, así como, ha seguido las indicaciones de la Guía de Cookies de esta Agencia. Si bien la Guía de Cookies no es jurídicamente vinculante, ni tampoco la propia actuación de la AEPD en el tratamiento de sus propias cookies, sí representan unos actos externos propios de la Administración, a tener en cuenta en relación al principio constitucional de seguridad jurídica que no puede defraudar el principio jurisprudencial de la "confianza legítima del administrado", proclamado por el Tribunal de la Comunicad Europea, y confirmado en multitud de sentencias nacionales, como la del Tribunal Supremo de 7 de octubre de
- El artículo 28 apartado primero de la Ley 40/2015 de Régimen Jurídico del Sector Público, indica que sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, […] que resulten responsables de los mismos a título de dolo o culpa. La jurisprudencia del Tribunal Supremo, en línea con la del Tribunal Constitucional, ha establecido que la potestad sancionadora de la Administración, en tanto que manifestación del “ius puniendi” del Estado, se rige por los principios del Derecho penal, siendo principio estructural básico el de culpabilidad, incompatible con un régimen de responsabilidad objetiva, sin culpa. Este elemento de culpabilidad no puede predicarse en el presente supuesto. Efectivamente, EXIPAGO ha seguido las instrucciones dictadas por la autoridad de control en su guía de cookies así como ha reproducido el mismo comportamiento que ésta en su propia página web (en el sentido indicado en la alegación tercera y quinta). No obstante, de la propuesta de resolución se extrae que EXIPAGO podría haber vulnerado el artículo 22.2 de la LSSI por utilizar cookies técnicas, las cuales consideraba EXIPAGO que estaban exentas de la normativa en atención a la Guía de Cookies de esta Agencia y de la propia conducta que mantiene esta Agencia en su página web. Si esta Agencia considera que las cookies técnicas también deben someterse al régimen del artículo 22.2 de la LSSI nos encontraríamos ante un caso de error de derecho o de prohibición, el cual excluye la culpabilidad, ya que EXIPAGO obró en la creencia de que las cookies técnicas están excluidas de la normativa. La Audiencia Nacional, en el procedimiento 1788/2015, establece que la acción u omisión merecedora de reproche sancionador ha de ser necesariamente dolosa o culposa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 en cualquier grado de negligencia pero el error de derecho excluye tal culpabilidad, en línea con lo sostenido en la sentencia (interpretativa) del Tribunal Constitucional 76/1990, que mantiene el criterio de que si una Ley (en ese caso la LSSI) vincula la responsabilidad a una previa conducta culpable, es evidente que el error de Derecho o el error invencible debe producir los efectos de exención que le son propios en un sistema de responsabilidad subjetiva. En este caso EXIPAGO no informó de la cookie técnica en la creencia de que tales puede imputar a título de culpa tal conducta, al constituir un claro caso de error de derecho que no se puede vencer. HECHOS PROBADOS 1.- Con fecha 19/07/20, tras la denuncia presentada por el reclamante, se comprueba, por parte de esta Agencia, que la página web tiene las siguientes características, respecto de su política de cookies: b.1.) Al acceder a la página web, www.exipago.com (primera capa), existe un banner de información sobre cookies en la parte inferior de la misma, con la siguiente leyenda: “Nuestro sitio web utiliza cookies para mejorar tu experiencia. Puedes encontrar más información en nuestra política de cookies. <<Aceptar>>” b.2.) Si se accede a la política de cookies (segunda capa), a través del link “Política de proporciona información sobre: qué son las cookies y para qué se utilizan y los tipo de página informa que: “(…) El usuario puede también configurar su navegador para aceptar o rechazar por defecto todas las cookies o para recibir un aviso en pantalla de la recepción de cada cookie y decidir en ese momento su implantación o no en su disco duro. Enlaces a los fabricantes de dispositivos y navegadores para la gestión o desactivación de cookies en su navegador (…). 2.- Con fecha 04/09/20, la entidad reclamada, en escrito de alegaciones a la incoación del expediente indica que: “Ya se han desplegado todos los cambios y utilidades en la página web. Los cambios y acciones que se han realizado son las siguientes: Actualización y mejora de la política de privacidad existente en http://exipago.com/politica-deprivacidad. Actualización y mejora de la política de cookies en http://exipago.com/politica-de-cookies - Creación de la primera capa informativa en el formulario de recogida de datos: http://exipago.com/contactenos/. Maquetación del texto de la primera capa informativa en el formulario de contacto. Auditoría de cookies: no se ha detectado el uso de cookies. Configuración de plugin para recabar el consentimiento de las cookies C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 analíticas de Google Analytics si se decide utilizar. Redacción de la primera capa informativa del uso de cookies. - Integración del texto de la primera capa informativa. Creación de enlaces permanentes a la política de privacidad y a la política de cookies en el footer de la web. Maquetación de los enlaces permanentes a la política de privacidad y a la política de cookies en el footer de la web. Integración de los requerimientos realizados por la AEPD en el procedimiento sancionador”. 3.- Con fecha 04/10/20, se comprueba, por parte de esta Agencia que, en la primera Capa, (página inicial), el banner sobre cookies que se despliega al acceder a la misma proporciona la siguiente información: “Exipago S.L. únicamente utiliza cookies propias con finalidad técnica, no recaba ni cede datos de carácter personal de los usuarios sin su conocimiento. Para saber sobre las cookies puede obtener más información en nuestra política de cookies <<aceptar>>”. En la segunda capa se proporciona información sobre, qué son las cookies y para qué se utilizan; los tipos de cookies que utilizan, la finalidad y la duración de las mismas. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. En el presente caso, hay que indicar que, cuando se recibió en esta Agencia la denuncia del reclamante, el 04/12/19, se procedió, de conformidad con el artículo 65.4 de la LOPDGDD, a dar traslado de la misma a la entidad reclama para que, informase a esta Agencia de las causas que motivaron la incidencia que originó la reclamación; informase sobre las medidas adoptadas para adecuar su página web a la normativa vigente (RGPD y LSSI); la posibles fechas de implantación; los controles que se realizarían para comprobar su eficacia; la decisión adoptada a propósito de esta reclamación y cualquier otra que considerase relevante que estimase oportuna. Este requerimiento, según el certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, del Ministerio de Política Territorial y Administración Pública, realizado a través del servicio de Notific@, fue aceptado por la entidad reclamada, el día 12/02/
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Pues bien, según consta en las bases de datos de esta Agencia, ningún escrito de contestación al dicho requerimiento fue registrado en esta Agencia, y comprobando que, cinco meses después, ningún cambio se había producido en la página web de la entidad reclama, persistiendo las mismas deficiencias e irregularidades, se procedió a incoar expediente sancionador a la entidad, por estos hechos. No es hasta que la entidad reclamada recibe la notificación de la apertura de un expediente sancionador, el 24/07/20, cuando ésta, admitiendo la existencia de dichas irregularidades, adapta su página web a la normativa vigente y así lo admite en su escrito de fecha 04/09/20, cuando indica: Ya se han desplegado todos los cambios y utilidades en la página web(…)”. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, RESUELVE: ARCHIVAR: el presente procedimiento sancionador contra la entidad, EXIPAGO S.L. con CIF.: B65984262, titular de la página web, www.exipago.com , por la infracción del artículo 22.2 de la LSSI. NOTIFICAR: la presente resolución a la entidad EXIPAGO S.L. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es