1/17 Procedimiento Nº: EXP202201683 (PS/00213/2022) RESOLUCION DEL PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 03/01/22, tuvo entrada en esta Agencia, escrito presentado por D. A.A.A., (en adelante la parte reclamante), contra la entidad YEGUADA SENILLOSA, S.L., con CIF.: B55280796, titular de la página web, www.yeguadasenillosa.com (en adelante la parte reclamada) y en la que indicaba, entre otras, lo siguiente: “Quiero denunciar a esta página y a su propietario, por infringir las siguientes normas: - No tiene Política de Cookies. - No dispone de Pop-up inicial informando que la web utiliza cookies. - No solicita el consentimiento para el uso de dichas cookies, ni su tipo, ni la forma que actúan. - No tiene Aviso legal. - No tiene Cláusulas de protección de datos. - No tiene Política de privacidad”. SEGUNDO: Con fecha 25/02/22, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 23/03/22, la entidad reclamada presenta ante esta Agencia, escrito de contestación a la solicitud realizada donde, entre otras, indica lo siguiente: “Que, como puede comprobarse en su web, YEGÜADA SENILLOSA SL, informa a los visitantes de 2 actividades: la venta de caballos y los servicios de alojamiento- turismo rural: Si accedemos a la venta de caballos https://caballos.yeguadasenillosa.com/es/ , podrá comprobarse que no se solicita al usuario o visitante del web formulario alguno para que éste facilite sus datos personales. Únicamente se muestran fotografías de caballos e informaciones relativas a la cría y cuidado de los mismos, así como también el nombre de la persona responsable y su dirección electrónica por si se desea ampliar la información. Copiamos a continuación pantalla ilustrativa. En cuanto a la actividad de turismo rural, tenemos dos opciones, visualizar las casas que se ofrecen para alquilar, https://www.yeguadasenillosa.com/nuestras-casas/ , o bien efectuar una reserva de las mismas. Como puede comprobarse, de manera previa a que el visitante de la web continue con el procedimiento de reserva, se le ofrece la posibilidad de consultar la política de privacidad. Esta información ha estado siempre a disposición del usuario, y más cuando YEGÜADA SENILLOSA SL ofrece la posibilidad de reserva de alojamiento a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 través de la Plataforma NEOBOOKINGS SL. Adjuntamos como ANEXO I descarga completa de los términos de la política de privacidad. Sin embargo, y puesto que la web https://www.yeguadasenillosa.com/ trasciende a la funcionalidad de las reservas de alojamiento, y en cumplimiento del deber de información y transparencia, el responsable del tratamiento ha incorporado el aviso legal y la política de privacidad a dicha Web. El motivo por el que dichos textos no aparecían con anterioridad al requerimiento efectuado por esta Administración responde únicamente a razones de índole técnica, ya que el responsable del tratamiento se halla situado en una zona turística, con gran afluencia de público a partir de los meses de abril y verano, y estaba efectuando la adaptación de sus instalaciones a dicha situación. Esta adaptación quería encontrar reflejo en la web corporativa, por lo que podría entenderse que, de facto, dicha web “estaba en construcción”. Por otro lado, en el apartado de “reservas” aparecía ya la información de privacidad mencionada con anterioridad en este mismo texto, por lo que se generó una situación de confianza en el cumplimiento de la normativa sobre Protección de Datos Personales, sin mala intención alguna, por parte del Responsable del tratamiento. Se adjunta como ANEXO II política de privacidad y aviso legal. SEGUNDO. - Que, dada la naturaleza de la mayor parte de las cookies utilizadas en https://www.yeguadasenillosa.com/ podría considerarse que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI; en esta misma línea estaría la interpretación efectuada por el GT29, en su Dictamen 4/2012 (página 10 de la Guía sobre el uso de las Las cookies utilizadas en https://www.yeguadasenillosa.com/ permiten Nombre Cookie Test_cookie Pll_language GRCAPTCHA Función Saber si se han aceptado o no las Cookies Identificar idioma del usuario Evitar ataques informáticos. Seguridad Mención aparte merece Google Analytics, cuyas funciones en este caso se limitan a informar del número de visitantes de la web, pero siempre de manera anónima, sin identificación personal alguna. Es decir, no se utilizan todas las funcionalidades potenciales. Como medidas de mejora, se ha incorporado a https://www.yeguadasenillosa.com/ca/inici/ el correspondiente banner de aviso de Cookies y también la posibilidad que el usuario acepte o rechace las TERCERO. Que, el responsable de la web https://www.yeguadasenillosa.com/ca/inici/ , es decir, la empresa YEGÜADA SENILLOSA SL, se encuentra al corriente de todas sus obligaciones en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 materia de Protección de Datos Personales, puesto que, por tradición empresarial, existe una especial sensibilidad por garantizar el cumplimiento de dicha normativa. Ha efectuado un Análisis de Riesgos, y confeccionado el Registro de Actividades, en los términos del art. 30 del Reglamento (UE) 2016/679, del PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Asimismo, ha implementado todas las medias de naturaleza personal y técnica disponibles para asegurar la confidencialidad y privacidad de los datos personales a su cargo. En este sentido, ya en el año 2017, YEGÜADA SENILLOSA SL, procedió a registrar ante la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, los ficheros CLIENTES, GESTIÓN LABORAL Y RRHH, y CONTACTOS WEB, correspondiéndoles los números de registro 2170380971 ;2170380969, y 2170380970, respectivamente. Dicha inscripción, efectuada en el ejercicio 2017 , evidencia, por un lado, un claro compromiso de YEGÜADA SENILLOSA SL para con la protección de datos personales en términos generales, y por otro lado más específico, con el registro del fichero “contactos web”, una preocupación muy concreta por los datos personales de los usuarios online”. CUARTO: Con fecha 03/04/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos QUINTO: Con fecha 24/06/22, por parte de esta Agencia se accedió a la página web www.yeguadasenillosa.com teniendo conocimiento de los siguientes extremos, referentes a su Política de Privacidad y a su Política de Cookies : a).- Sobre la obtención de los datos personales de los usuarios: 1º.- Existe un formulario de contacto en la misma página principal donde el usuario puede introducir el nombre, los apellidos y la dirección de correo electrónico. Antes de poder enviar el formulario de inscripción, el usuario debe cliquear la opción: _ He leído y acepto la <<política de privacidad>> <<ENVIAR>> Consulta nuestra información básica sobre la protección de datos personales <<aquí>> 2º.- Existe también la posibilidad de darse de alta, de forma voluntaria, para recibir “Newsletter” introduciendo el correo electrónico: Introducir e-mail_ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 _He leído y acepto la <<política de privacidad>> Se puede cliquear, si el usuario así lo desea en la opción: _Quiero Que YEGÜADA SENILLOSA Me Mantenga Informado Sobre Novedades, Eventos Y Otras Informaciones Relativas A Su Actividad 3º.- En la página web existe la posibilidad de realizar reservas de “casas rurales”, a través del enlace existente en la parte inferior de la página principal “Turismo Rural” <<Reserva>>. Cuando se desea reservar un alojamiento rural de los que la web ofrece, se despliega un formulario donde se deben introducir los datos personales del usuario, así como los datos de la tarjeta de crédito. Antes de poder enviar el formulario de reserva, el usuario debe cliquear _ Confirmo que he leído y acepto las <<condiciones de reserva>> y la <<política de cancelación>> Se puede cliquear, si el usuario así lo desea en la opción: _ Autorizo a Yeguada Senillosa para el envío de sus ofertas, descuentos y promociones. b).- Sobre la “Política de Privacidad”: 1º.- Si se accede a la “Política de Privacidad” de la web, a través de los enlaces existentes en los formularios indicados anteriormente, o a través del enlace existente en la página principal, la web despliega un documento: https://www.yeguadasenillosa.com/wp-content/uploads/2022/03/ ACFrOgAGn49X18aPlu9UxiyqumuYmNEqtd4na85nJ2qa3BFUVZJauGcAL44b2Vy7yWb5uGinEX7JOYi_Mn2arSxhUVkT awzqMtYRp0N0_qXL-p5zJRUrSiTIvrF0X8Rt61wrdkdJWALraDgc1RV.pdf Donde se informa de las siguientes cuestiones: 1.Identificación del responsable del tratamiento. 2. Categoría de datos; 3.Origen de los datos; 4.Plazo de conservación de los datos; 5.Finalidades del tratamiento; 6.Bases legitimadoras del tratamiento; 7.Cesión de datos; 8.Derechos de los usuarios sobre sus datos: ¿Cómo puedo ejercer mis derechos? Y 9.Medidas de seguridad adoptadas. c).- Sobre la Política de Cookies: 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar cookies ni realizar ninguna acción sobre la página web , se ha comprobado, a través de la herramienta “inspeccionaraplicación del navegador de Google Chrome, que se utilizan las siguientes cookies de terceros que no son técnicas o necesarias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Proveedor Proveedor _GRECAPTCHA __Secure-ENID .google.com .google.com CONSENT _ga .google.com .google.com 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: “Utilizamos cookies para ofrecerte la mejor experiencia en nuestra web. Puedes aprender más sobre qué cookies utilizamos o desactivarlas en los ajustes <<Ajustes>> <<Aceptar>>. 3.- Si se accede al panel de control de cookies a través del enlace <<Ajustes>>, la web despliega una página o panel de control comprobando que las cookies se encuentran en la opción “aceptadas”: OFF ON (activado) <<Activar todas>> <<Guardar Cambios>> Si se opta por deslizar el curso a la posición de OFF y después se cliquea en la opción de guardar cambios se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google). 4.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies de la primera capa o a través del enlace existente en la parte inferior de la página principal, la web despliega un documento www.yeguadasenillosa.com/wp-content/uploads/2022/03/ ACFrOgDwC8lrlcQVSlollmGoAM54OVELkkCIZoPZWE5_vEHPZGRW5XBOGYT2O5I AgO1h7zQZI9XAnSJXul42f7LpPhGDDkxWW5d_jk9P94jKclK5CrpknefRKzWX9ZfyzH Rsid81rTysdsqieh2I.pdf Donde se informa de las siguientes cuestiones: 1. ¿Qué son las cookies o galletas? los diferentes tipos de cookies; la duración y la finalidad; 2. Las Cookies utilizadas en el sitio web; Identificación de las Cookies propias y de terceros utilizadas: la denominación, el tipo, la duración, la descripción y el titular de las cookies; y 3. Cómo retirar el consentimiento utilizando el navegador instalado en el equipo terminal. SEXTO: Con fecha 28/06/22, la Directoria de la Agencia Española de Protección de Datos firma la incoación del presente procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad, www.yeguadasenillosa.com, con una sanción inicial de 2.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 SÉPTIMO: Con fecha 15/07/22 la entidad reclamada formuló, en síntesis, las siguientes alegaciones a la incoación del expediente: “La gestión de la página WEB, en cuanto al diseño, mantenimiento y seguridad está externalizada con un proveedor de Servicios Informáticos. Para la gestión de las cookies de la página se instaló un Plugin marca ”Same5ita Cookies”. Que, con anterioridad a la recepción de su notificación, ya se detectaron estas incidencias, procediéndose configurar de nuevo el sistema de configuración de las Cookies y Plugin de Cookies. Esta actualización del sistema implicaba dejar temporalmente sin actividad la Web https://vww.yeguadasenillosa.com , por lo que se decidió aprovecharla Festividad de San Juan para realizar dicha actualización, básicamente porque la web está dirigida a un público que aprovecha vacaciones, puentes, etc. para realizar actividades lúdicas. Realizando las tareas de mantenimiento en un festivo, se consideró que los perjuicios podían ser menores. En la actualidad las deficiencias encontradas han sido subsanadas. Adjunto CERTIFICADO del proveedor de los servicios informáticos acreditativo de las alegaciones formuladas”. OCTAVO: Con fecha 21/07/22, por parte de esta Agencia se accede a la web https://vww.yeguadasenillosa.com, comprobándose, respecto de la “Política de 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar cookies ni realizar ninguna acción sobre la página web , se ha comprobado, a través de la herramienta “inspeccionaraplicación del navegador de Google Chrome, que se utilizan las siguientes cookies de terceros que no son técnicas o necesarias: _GRECAPTCHA __Secure-ENID NID AEC Proveedor .google.com .google.com .google.com .google.com CONSENT _ga SOCS Proveedor .google.com .google.com .google.com 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: “Puedes configurar la utilización de estas cookies según tus preferencias. Pulsa ACEPTAR para consentir todas las cookies. Pulsa AJUSTES para decidir las opciones que prefieres y las que no. Para obtener más información sobre nuestras cookies consulta nuestra <<Política de Cookies> Puedes aprender más sobre qué cookies utilizamos o desactivarlas en los ajustes. <<Aceptar>> <<Rechazar>> <<Ajustes>>. Si se desea rechazar todas las cookies a través de la opción <<Rechazar>>, se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google) que no son técnicas o necesarias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 3.- Si se accede al panel de control de cookies a través del enlace <<Ajustes>>, la web despliega una página o panel de control comprobando que las cookies se encuentran en la opción “desactivadas”: _ (desactivado) <<Activar todas>> <<Rechazar todas>> <<Guardar Cambios>> Si se cliquea en la opción <<Rechazar todas>> se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google) que no son técnicas o necesarias, indicadas en el apartado anterior. 4.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies de la primera capa o a través del enlace existente en la parte inferior de la página principal, la web despliega un documento donde se informa de las siguientes cuestiones: 1. ¿Qué son las cookies o galletas? los diferentes tipos de cookies; la duración y la finalidad; 2. Las Cookies utilizadas en el sitio web; Identificación de las descripción y el titular de las cookies; y 3. Cómo retirar el consentimiento utilizando el navegador instalado en el equipo terminal. NOVENO: Con fecha 21/07/22, se notifica a la entidad reclamada la propuesta de resolución en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos se proceda a sancionar a la entidad, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), una sanción de 2.000 euros (dos mil euros), por la infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), como consecuencia de las irregularidades detectadas en su “Política de Cookies”. DÉCIMO: Notificada la propuesta de resolución a la reclamada, con fecha 03/08/22, se recibe en esta Agencia escrito de alegaciones a la propuesta, en el cual se indica: “PRIMERA. -Banner Cookies, deficiencias detectadas por esta Administración: redacción insuficiente de las finalidades de las cookies utilizadas. A continuación, mostramos el banner actual sobre Cookies, en el que se informa sobre la existencia de las cookies y en el que se puede encontrar toda la información pertinente, la única finalidad que tienen las cookies utilizadas por la web https://www.yeguadasenillosa.com/ , es la que ya se informa, la de mejorar la experiencia de los usuarios/as que visitan nuestra web. Banner actual sobre las cookies donde se explica el uso de las cookies y donde encontrar toda la información pertinente: “Utilizamos las cookies para mejorar la experiencia de nuestros usuarios. Puedes configurar la utilización de estas cookies según tus preferencias. Pulsa ACEPTAR para consentir todas las cookies. Pulsa AJUSTES para decidir las opciones qué prefieres y las que no. Para obtener más información sobre nuestras cookies consulta nuestra Política de Cookies Puedes aprender más sobre qué cookies utilizamos o desactivarlas en los ajustes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 SEGUNDA. - Panel de Control de las Cookies. A continuación, explicamos como hemos implementado estos ajustes: Cuando se hace clic en “Rechazar todas”: No aparece ninguna cookie, la única que se detecta es la de la misma página web conforme no se puede activar ninguna cookie. No se incrusta ninguna cookie de Google ni de terceros. Cuando se hace clic en “Aceptar”: Se incrustan las cookies pertenecientes a Google, son las que empiezan por “_gas”, también las cookies de idioma para detectar el idioma por omisión del usuario y las propias cookies de la web para recordar las preferencias del usuario respecto a las cookies. Cuando no se hace clic en ningún botón: Sólo se detecta la cookie de idioma por omisión del usuario. No se utilizan cookies de terceros y no se utiliza como información de seguimiento ni se almacena como información del usuario. Su única función es mostrar la página web en el idioma que el usuario utiliza por omisión TERCERA.- Cookies utilizadas en https://www.yeguadasenillosa.com/ Recursos que utilizamos para el seguimiento de nuestros usuarios dentro de la web:
- a)Google analytics: <! -- Global site tag (gtag.
- js)- Google Analytics --> <script async src="https://www.googletagmanager.com/gtag/js?id=G-6D661KMS6E"></ script> <script> window.dataLayer = window.dataLayer || []; function gtag(){dataLayer.push(arguments);} gtag('js', new Date()); gtag('config', 'G-6D661KMS6E'); </script>
- b)Google Tag Manager: <!-- Google Tag Manager --> <script>(function(w,d,s,l,i){w[l]=w[l]||[];w[l].push({'gtm.start': new Date().getTime(),event:'gtm.js'});var f=d.getElementsByTagName(s)[0], j=d.createElement(s),dl=l!='dataLayer'?'&l='+l:'';j.async=true;j.src= 'https://www.googletagmanager.com/gtm.js? id='+i+dl;f.parentNode.insertBefore(j,f); })(window,document,'script','dataLayer','GTM-WBGVFX3');</script> <!-- End Google Tag Manager --> CUARTA.-MÉTODO DE ANÁLISIS UTILIZADOS PARA EL EXAMEN DE Para poder comprobar que nuestro sitio web no utiliza cookies a no ser que se acepten hemos usado las siguientes herramientas online: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 Site checker(https://sitechecker.pro/): Con esta herramienta no se detecta ninguna cookie de terceros. La única que se utiliza es la que detecta el idioma por defecto del usuario, pero no tiene ningún fin de seguimiento ni uso de datos. Y, en virtud de todo lo expuesto, SOLICITO: 1. Que se tengo por presentado este escrito en tiempo y forma y la documentación que lo acompaña. 2. Que esta administración estime las alegaciones efectuadas y proceda a dejar sin efecto la propuesta de sanción notificada objeto de las presentes alegaciones. 3. Subsidiariamente, solicito la reducción de la sanción de 2.000 euros propuesta, en los términos previstos en el art. 39.bis.1.
- a)de la Ley 34/2022, de 11 de julio de Sociedad de la Información y Comercio electrónico, puesto que como puede inferirse de las alegaciones y documentación aportada en el escrito de alegaciones presentado en fecha 15/07/2022, así como de presente, se cumplen varios de los criterios establecidos en el artículo 40 de la citada Ley 34/20222, que establece la graduación de la cuantía de las sanciones, fundamentalmente la no intencionalidad (art. 40 a), la no reincidencia (art. 40 b)), y la ausencia de beneficios que supuestamente la comisión de esta infracción podría generar a mi actividad empresarial. DÉCIMO PRIMERO: Con fecha 28/09/22, por parte de esta Agencia se accede a la web https://vww.yeguadasenillosa.com comprobándose, respecto de la “Política de 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar cookies ni realizar ninguna acción sobre la página web en cuestión, se ha comprobado, a través de la herramienta “inspeccionar aplicación del navegador de Google Chrome, que se utilizan las siguientes cookies de terceros, (de Google), que no son técnicas o necesarias: 1P_JAR; NID; AEC; CONSENT y SOCS, 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: “Utilizamos cookies para mejorar la experiencia de nuestros usuarios. Puedes configurar el uso de estas cookies según tus preferencias. Pulse <<ACEPTAR>> para aceptar todas las cookies. Toca <<CONFIGURACIÓN>> para decidir qué opciones prefieres y cuáles no. Para obtener más información sobre nuestras cookies, consulte nuestra <<Política de cookies>>” <<Aceptar>> <<Rechazar>> <<Ajustes>> Si se desea rechazar todas las cookies a través de la opción <<Rechazar>>, se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google), mostradas bajo el dominio de “.yeguadasenillosa.com”, y que no son técnicas o necesarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 3.- Si se accede al panel de control de cookies a través del enlace <<Ajustes>>, la web despliega una página o panel de control comprobando que las cookies se encuentran en la opción “desactivadas”, pero si se cliquea en la opción <<Rechazar todas>> se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google) que no son técnicas o necesarias. HECHOS PROBADOS: De las actuaciones practicadas en el presente procedimiento y de la información y documentación presentada por las partes, ha quedado acreditadas los siguientes hechos: Primero: En la comprobación que esta Agencia hizo de la página web www.yeguadasenillosa.com el día 24/06/22, se detectaron las siguientes deficiencias en materia de “Política de Cookies”: 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar cookies ni realizar ninguna acción sobre la página web , se ha comprobado, a través de la herramienta “inspeccionaraplicación del navegador de Google Chrome, que se utilizan las siguientes cookies de terceros (de Google), que no son técnicas o necesarias: _GRECAPTCHA ;CONSENT;_SecureENID y _ga y _gid. 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: “Utilizamos cookies para ofrecerte la mejor experiencia en nuestra web. Puedes aprender más sobre qué cookies utilizamos o desactivarlas en los ajustes”, en el cual, no se identifican las finalidades para las que se utilizarán las 3.- Si se accede al panel de control de cookies a través del enlace <<Ajustes>>, la web despliega una página o panel de control comprobando que las cookies se encuentran en la opción “aceptadas”: OFF ON (activado). No obstante, si se opta por deslizar el curso a la posición de OFF y después se cliquea en la opción de guardar cambios se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google). Segundo: En el escrito de alegaciones a la incoación del expediente que la entidad reclamada presentó en esta Agencia el 15/07/22 se indicaba, entre otras, que, al detectarse estas deficiencias se procedió a configurar de nuevo el sistema de configuración de las Cookies y Plugin de Cookies y en la actualidad las deficiencias encontradas han sido subsanadas, adjuntando CERTIFICADO del proveedor de los servicios informáticos. El certificado presentado por la entidad reclamada indica textualmente: PRIMERO: en fecha 23/03/2022 se instaló en dicha Web un plugin (Same$ite adaptación en general .de dicha web, a las previsiones establecidas en la normativa sobre Protección de Datos Personales. y en particular a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 previsiones contenidas en la Ley 34/2002 de 11 de junio de servicios de la sociedad de la información. Con posterioridad y como consecuencia de las tareas de seguimiento, nuestro equipo detectó fallos en el funcionamiento de dicho Plugin, consistentes básicamente en la memorización de las opciones seleccionadas por el usuario. aceptación y denegación. Para arreglar dicho problema, se intentaron diferentes opciones, que fracasaron todas. por lo que se decidió realizar un cambio total de Plugin. lo que implicaba dejarla página inoperativa durante un tiempo no identificado. Debido a que dicha Web está destinada a actividades vinculadas con el Turismo. y estamos en plena temporada. se decidió realizar dicho cambio durante la festividad de San juan, 24/06/2022, para minimizar los posibles perjuicios que la falta de operatividad de la página web le pudiera ocasionar. SEGUNDO: a fecha de hoy y después de diferentes actualizaciones. el Plugin funciona correctamente. Tercero: En la comprobación que esta Agencia hizo de la página web www.yeguadasenillosa.com el día 21/07/22, se detectaron las siguientes deficiencias en materia de “Política de Cookies”: 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar cookies ni realizar ninguna acción sobre la página web , se ha comprobado, a través de la herramienta “inspeccionaraplicación del navegador de Google Chrome, que se utilizan las siguientes cookies de terceros (de Google), que no son técnicas o necesarias: _GRECAPTCHA ;CONSENT;_SecureENID; NID; SOCS y AEC 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: “Puedes configurar la utilización de estas cookies según tus preferencias. Pulsa ACEPTAR para consentir todas las cookies. Pulsa AJUSTES para decidir las opciones que prefieres y las que no. Para obtener más información sobre nuestras cookies consulta nuestra <<Política de Cookies>, el cual, sigue careciendo de la identificación y de las finalidades para las que se utilizarán las cookies y si éstas son propias o también de terceros. Si se desea rechazar todas las cookies a través de la opción <<Rechazar>>, se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google) que no son técnicas o necesarias: 3.- Si se accede al panel de control de cookies a través del enlace <<Ajustes>>, la web despliega una página o panel de control comprobando que las cookies se encuentran en la opción “desactivadas”, pero si se cliquea en la opción <<Rechazar todas>> se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google) que no son técnicas o necesarias imposibilitando que el usuario pueda realizar su consentimiento sobre la utilización de las cookies. Cuarto: En la comprobación que esta Agencia hizo de la página web www.yeguadasenillosa.com el día 28/09/22, se detectaron las siguientes deficiencias en materia de “Política de Cookies”: 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar cookies ni realizar ninguna acción sobre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 página web , se ha comprobado, a través de la herramienta “inspeccionar aplicación del navegador de Google Chrome, que se utilizan las siguientes cookies de terceros (de Google), que no son técnicas o necesarias: 1P_JAR NID AEC CONSENT y SOCS. 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: “Utilizamos cookies para mejorar la experiencia de nuestros usuarios. Puedes configurar el uso de estas cookies según tus preferencias. Pulse <<ACEPTAR>> para aceptar todas las cookies. Toca <<CONFIGURACIÓN>> para decidir qué opciones prefieres y cuáles no. Para obtener más información sobre nuestras cookies, consulte nuestra <<Política de cookies>>” <<Aceptar>> <<Rechazar>> <<Ajustes>> Si se desea rechazar todas las cookies a través de la opción <<Rechazar>>, se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google), mostradas bajo el dominio de .yeguadasenillosa.com, que no son técnicas o necesarias. 3.- Si se accede al panel de control de cookies a través del enlace <<Ajustes>>, la web despliega una página o panel de control comprobando que las cookies se encuentran en la opción “desactivadas”, pero si se cliquea en la opción <<Rechazar todas>> se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google) que no son técnicas o necesarias. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley LSSI. II.- Sobre la Política de Cookies de la página web www.yeguadasenillosa.com. a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD). Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
- in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En la comprobación realizada por esta Agencia en la página web reclamada se pudo constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la mimas ni aceptar las cookies, se utilizaban las siguientes cookies no necesarias: Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se siguen utilizando cookies de terceros que no son técnicas o necesarias, cuyo proveedor es Google Analytics y Google AdSense. b).- Sobre el banner de información de cookies existente en la primera capa (página principal): El banner sobre cookies de la primera capa deberá incluir información referente a la identificación del editor responsable del sitio web, en el caso de que sus datos identificativos no figuren en otras secciones de la página o que su identidad no pueda desprenderse de forma evidente del propio sitio. Deberá incluir también una Identificación genérica de las finalidades de las cookies que se utilizarán y si éstas son propias o también de terceros, sin que sea necesario identificarlos en esta primera capa. Además, deberá incluir información genérica sobre el tipo de datos que se van a recopilar y utilizar en caso de que se elaboren perfiles de los usuarios y deberá incluir información y el modo en que el usuario puede aceptar, configurar y rechazar la utilización de cookies, con la advertencia, en su caso, de que, si se realiza una determinada acción, se entenderá que el usuario acepta el uso de las cookies. A parte de la información genérica sobre cookies, en este banner deberá existir un enlace claramente visible dirigido a una segunda capa informativa sobre el uso de las configuración de cookies, siempre que el acceso al panel de configuración sea directo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 esto es, que el usuario no tenga que navegar dentro de la segunda capa para localizarlo. En el caso que nos ocupa, en el banner de información sobre cookies existente en la primera capa de la web denunciada, conteniendo el mensaje genérico y no se identifican las finalidades para las que se utilizarán las cookies y si éstas son propias o de terceros. c).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a la segunda capa si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus preferencias sobre la utilización de las cookies. Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la selección, en el panel podrá implementarse, además de un sistema de gestión granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción podría ser considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular. Por otra parte, la retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En el caso que nos ocupa, en el banner de la primera capa existe la posibilidad de rechazar todas las cookies cliqueando en la opción <<Rechazar>>, pero se comprueba que, si se cliquea en dicha opción se siguen utilizando las mismas cookies de tercero (de Google) que no son técnicas o necesarias. Tampoco existe la posibilidad de rechazar todas las cookies en el panel de control pues cuando se cliquea en la opción de <<Rechazar todas>> <<Guardar configuración>> se ha comprobado que se siguen utilizando las cookies de terceros (de Google) que no son técnicas o necesarias. III.- Sobre la infracción cometida con respecto a la Política de Cookies La utilización de cookies de terceros que no son técnicas o necesarias; la imposibilidad de rechazar las cookies de terceros y la falta de información requerida en el banner sobre cookies, suponen por parte del reclamado, la comisión de la infracción del artículo 22.2 de la LSSI, pues establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la LO 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. A tenor de lo anteriormente expuesto, la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 RESUELVE: PRIMERO: IMPONER a la entidad, YEGUADA SENILLOSA, S.L., con CIF.: B55280796, titular de la página web, www.yeguadasenillosa.com , una sanción de 2.000 euros (dos mil euros) por la infracción del artículo 22.2 LSSI, respecto a las irregularidades detectadas en su Política de Cookies, esto es, la utilización de cookies de terceros que no son técnicas o necesarias; la imposibilidad de rechazar las cookies de terceros y la falta de información requerida en el banner sobre cookies. SEGUNDO: NOTIFICAR la presente resolución a la entidad YEGUADA SENILLOSA, S.L. y al reclamante. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es