PS-00295-2019

1/5  Procedimiento Nº: PS/00295/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00295/2019, instruido por la Agencia Española de Protección de Datos, a la entidad I.C.B., S.L., con CIF.: B82179573; titular de la página web: ***URL.1, (en adelante “la entidad reclamada”), por presunta infracción a la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 16/05/19, A.A.A. (en adelante, “el reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “Que habiendo dirigido un burofax al responsable del fichero de “ICB Services” para borrar los datos personales de sus bases de datos, ha sido REHUSADO por un empleado de la empresa alegando “DESCONOCIDO”. Que al acceder a la página web de la empresa para ver si había cambiado de domicilio o existiera algún error en la dirección, observo que la sede de la empresa continua en el mismo. Asimismo, observo que el enlace a la política de privacidad (Cookies) esta desactivaba, dirigiendo el navegador a una página donde se indica “La página que buscas no ha sido encontrada”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 18/06/19, se dirige un requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 25/06/19, se recibe en esta Agencia, escrito de la entidad reclamada en el que, entre otras, expone: “Informamos que A.A.A. - consta como cliente en nuestras bases de datos desde el año 2011 por lo que de forma puntual, se le informe promociones de su interés, De igual forma se informa de que con fecha 21/06/19, nos hemos puesto en contacto telefónico con él donde nos ha ratificado su interés de no recibir notificaciones de ICB por lo que con fecha 24/06/19, se ha procedido a darle de bajar en nuestra basa de datos”. CUARTO: Consultada la página web, ***URL.1, con fecha 27/06/19 y 28/10/19, se observa que existe un aviso en la página de inicio (primera capa de información), sobre la instalación de cookies y su gestión: “Este sitio web utiliza cookies para mejorar su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 experiencia. Asumiremos que está de acuerdo con esto, pero debe aceptar para continuar”. A continuación, se muestra un botón con el texto “acepto” y otro con la leyenda de “leer más”. En el enlace de “leer más”, el navegador conduce a la pantalla ***URL.2), donde se informa de, qué es y no es una cookie; qué información almacena una cookie; qué tipos de cookies existen; qué son las cookies propias y las de terceros y qué ocurre si se desactiva las cookies. Respecto de la posibilidad de gestionar las cookies, la página informa de que: “para eliminar las cookies de un sitio web debe ir a la configuración de su navegador y allí podrá buscar las asociadas al dominio en cuestión y proceder a su eliminación”, e informa de cómo configurar la gestión de las cookies en los diferentes navegadores. QUINTO: Con fecha 20/11/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el artículo 43.1 de la LSSI, fijando una sanción inicial de “Apercibimiento”, sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento, y requiriendo a la entidad que: “Tome las medidas adecuadas para incluir en la página web de su titularidad (***URL.1), un mecanismo que permita informar, a los usuarios de la web, sobre las cookies que instalan cuando se accede a la página en cuestión y la política que se aplica sobre ellas. Además, se debe tomar las medidas adecuadas para incluir en la página web de su titularidad (2ª capa) un mecanismo que permita gestionar las cookies no exentas, de forma granular”. SEXTO: Con fecha 20/11/19, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1.- Consultada la página web, ***URL.1, con fecha 27/06/19 y 28/10/19, se observa que existe un aviso en la página de inicio (primera capa de información), sobre la instalación de cookies y su gestión: “Este sitio web utiliza cookies para mejorar su experiencia. Asumiremos que está de acuerdo con esto, pero debe aceptar para continuar”. A continuación, se muestra un botón con el texto “acepto” y otro con la leyenda de “leer más”. En el enlace de “leer más”, el navegador conduce a la pantalla ***URL.2, donde se informa de: - qué es y no es una cookie; - qué información almacena una cookie; - qué tipos de cookies existen; - qué son las cookies propias y las de terceros y qué ocurre si se desactiva las cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Respecto de la posibilidad de gestionar las cookies, la página informa de que: “para eliminar las cookies de un sitio web debe ir a la configuración de su navegador y allí podrá buscar las asociadas al dominio en cuestión y proceder a su eliminación”, e informa de cómo configurar la gestión de las cookies en los diferentes navegadores. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II En el presente caso, si se accede a la segunda capa, https://sat.icb-sp.com/politica-decookies, aparte de la información genérica que proporciona, en ningún momento se enumeran las cookies que se instalan, quién las gestiona (si son propias o de terceros), su finalidad y el tiempo que permanecen activas. Tampoco se posibilita la opción de poder oponerse a su instalación, sino que remite a la configuración de los navegadores para eliminarlas o bloquearlas. No ofrece, por tanto, la posibilidad de denegar el consentimiento para el uso de las cookies o de retirar el ya prestado, si no que remite a la configuración del navegador. La página no facilita un panel de configuración de cookies que permita al usuario eliminarlas de forma granular. Para facilitar esta selección, la página tendría que habilitar un mecanismo o botón para que permitiera rechazar todas las cookies, otro que permitiera habilitar todas las cookies o hacerlo de forma granular para poder administrar las preferencias de cada usuario. A este respecto, la información ofrecida sobre las herramientas proporcionadas por los diferentes navegadores, para configurar las cookies, sería complementaria a la anterior, pero insuficiente para el fin pretendido de permitir configurar las preferencias en forma granular o selectiva. III Los hechos expuestos suponen, por parte de la entidad reclamada, la comisión de la infracción del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. Esta Infracción estas tipificada como leve en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. III A tenor de lo establecido en el artículo 39.1. c) de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE APERCIBIR: a la I.C.B., S.L., con CIF.: B82179573; titular de la página web: ***URL.1, por infracción del artículo 22.2 de la LSSI, tipificada en el artículo 39.1 de la citada Ley. REQUERIR: a la entidad I.C.B., S.L., para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adecuar su página web a lo estipulado en el artículo 22.2 de la LSSI, para lo que podrá seguir las recomendaciones publicadas, por esta AEPD, en su “Guía Sobre Uso de las Cookies”, en noviembre de 2019. NOTIFICAR la presente resolución a la entidad I.C.B., S.L. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es