1/6 Procedimiento Nº: PS/00299/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00299/2019, instruido por la Agencia Española de Protección de Datos, a la entidad TWITTER INTERNATIONAL COMPANY (TWITTER SPAIN, S.L.), con CIF. B86672318, titular de la página web: www.twitter.com, (en adelante “la entidad reclamada”), por presunta infracción a la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 04/05/18, D. A.A.A., (en adelante, “el reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “La red Twitter facilita información inadecuada sobre las cookies que utiliza, lo que afecta a usuarios y no usuarios de la red social. Twitter no identifica con claridad todos los usos y socios de Twitter que podrían utilizar esta información de las cookies. También existen cookies que se cargan directamente, sin acción alguna por parte de la persona que accede a la página inicial”. SEGUNDO: Con fecha 04/10/18 y 13/06/19, por los Servicios de Inspección de la Agencia Española de Protección de datos, se practican diligencias de investigación, teniendo conocimiento de lo siguiente: a).- Al acceder al sitio web www.twitter.com, (página de bienvenida), y sin haber realizado ningún tipo de acción, se comprueba que se almacenan automáticamente en el navegador, las siguientes cookies: permanente Uso _ga 2 años Está asociado con Google Universal Analytics, que es una actualización importante del servicio de análisis más comúnmente utilizado por Google. Esta cookie se usa para distinguir usuarios únicos al asignar un número generado aleatoriamente como un identificador de cliente. Se incluye en cada solicitud de página en un sitio y se utiliza para calcular los datos de visitantes, sesiones y campañas para los informes de análisis de sitios. . El propósito principal de esta cookie es: Rendimiento. _gat 1 minuto Este nombre de cookie está asociado con Google Universal Analytics, de acuerdo con la documentación que se utiliza para regular la tasa de solicitud, lo que limita la recopilación de datos en sitios de alto tráfico. Caduca a los 10 minutos. El propósito principal de esta cookie es: Rendimiento. _gid 1 dia Este nombre de cookie está asociado con Google Universal Analytics. Esto parece ser una nueva cookie y desde la primavera de 2017 no hay información disponible de Google. Parece almacenar y actualizar un valor único para cada página visitada. El propósito principal de esta cookie es: Rendimiento. _twitter_sess Caduca al finalizar la sesión Esta cookie permite que los visitantes del sitio web utilicen las funciones relacionadas con Twitter desde la página que visitan. El propósito principal de esta cookie es: Funcionalidad. Ct0 6 horas Aún no hay información general sobre esta cookie basada únicamente en su nombre. El propósito principal de esta cookie es: Desconocido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Guest_id 2 años Esta cookie está configurada por Twitter para identificar y rastrear al visitante del sitio web. El objetivo principal de esta cookie es: segmentación / publicidad. Personalization_id 2 años Esta cookie lleva a cabo información sobre cómo el usuario final utiliza el sitio web y cualquier publicidad que el usuario final haya visto antes de visitar dicho sitio web. El objetivo principal de esta cookie es: segmentación / publicidad. b).- En esa primera página (primera capa), el banner sobre cookies es el siguiente: “Al usar los servicios de Twitter, aceptas nuestra política de cookies. Twitter y sus socios operan a nivel global y utilizan cookies para análisis, personalización y anuncios entre otras cosas”. No existe ningún tipo de link, dentro del banner anterior, que posibilite el rechazo de la c).- Para poder gestionar la política de cookies, existe un link en la parte inferior de la página de inicio, con el título de “cookies”, pero fuera del banner indicado en el punto anterior. Si se hace clic en dicho link se accede a la política de cookies, donde se informa de: - Qué son las cookies, los píxeles y el almacenamiento local. - Por qué y dónde usan estas tecnologías. - Cuáles son las opciones de privacidad. Se indica que existen varias opciones para controlar o limitar el uso de las cookies: - Para controlar si Twitter almacenará información sobre otros sitios web en los que has visto contenido de Twitter, ajusta la configuración Registrar dónde ves contenido de Twitter en la web en la configuración de Personalización y datos. Si tienes esta configuración desactivada, o si te encuentras en la Unión Europea o en alguno de los estados miembro de la Asociación Europea de Libre Comercio, Twitter no almacenará ni usará las visitas a dichas páginas web para mejorar tu experiencia en el futuro. Si almacenamos anteriormente tu historial de navegación web, tu experiencia puede seguir siendo personalizada sobre la base de la información que ya se infirió de dicho historial. - Si no quieres que Twitter te muestre anuncios basados en intereses dentro ni fuera de Twitter, hay varias maneras de desactivar esta función: En tu configuración de Twitter, ve a los ajustes de Personalización y datos y modifica la opción Personalizar anuncios. Desde la web, puedes visitar la herramienta de preferencias de los consumidores de Digital Advertising Alliance en optout.aboutads.info para desactivar los anuncios de Twitter basados en los intereses en tu navegador actual. - Si no quieres que Twitter te muestre anuncios basados en los intereses en la aplicación de Twitter para iOS de tu dispositivo móvil actual, activa la opción “Limitar seguimiento de anuncios” en la configuración de tu teléfono iOS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 - Si no quieres que Twitter te muestre anuncios basados en los intereses en la aplicación de Twitter para Android de tu dispositivo móvil actual, activa la opción “Inhabilitar personalización de anuncios” en tu teléfono Android. - Para controlar la personalización en todos los dispositivos en Twitter, ve a la configuración de Personalización datos y modifica la configuración Personaliza en todos tus dispositivos. Esta configuración determina si podemos vincular tu cuenta con otros navegadores o dispositivos diferentes de los que usas para iniciar sesión en Twitter (o bien, si no iniciaste sesión, si podemos vincular el navegador que estás usando con otros navegadores o dispositivos). - Si deseas controlar los anuncios segmentados en función de los intereses que recibes de determinados socios de publicidad externos, puedes obtener más información sobre cómo dejar de recibir este tipo de anuncios en optout.aboutads.info y en www.networkadvertising.org/choices. Si estás en la versión web, también puedes deshabilitar Google Analytics si instalas el complemento de inhabilitación para navegadores de Google, y puedes cancelar el servicio de anuncios de Google basados en intereses mediante la configuración de anuncios de Google. - Para controlar las cookies, puedes modificar tu configuración en la mayoría de los navegadores web para aceptar o rechazar cookies, o para que se solicite tu autorización cada vez que un sitio web intente establecer una cookie. Aunque las cookies no son necesarias en algunas partes de nuestros servicios, es posible que Twitter y Periscope no funcionen correctamente si las desactivas por completo. Por ejemplo, no podrás iniciar sesión en twitter.com o en pscp.tv si desactivaste el uso de cookies por completo. TERCERO: Con fecha 13/09/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), por infracción del artículo 22.
- de la citada norma, fijando una sanción inicial de 30.000 euros (treinta mil euros), sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento. CUARTO Con fecha 24/09/19, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS De la información y documentación obtenida de la página web www.twitter.com, se ha podido comprobar lo siguiente: 1.- Al acceder a la página web y sin haber realizo ningún otro tipo de acción, se instalan varias cookies en el navegador, entre ellas, algunas de tipo desconocido y otras de publicidad. 2º.- El mensaje que aparece en la primera capa, solamente indica “Al usar los servicios de Twitter, aceptas nuestra política de cookies. Twitter y sus socios operan a nivel global y utilizan cookies para análisis, personalización y anuncios entre otras cosas”, no existiendo ninguna mensaje o link que posibilite el rechazo o la configuración de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 3º.- No obstante, existe, en la parte inferior de la página, varios links, entre los que se encuentra uno con el título de “cookies”. A través de este link se accede a la página de “política de cookies”, donde se informa sobre las cookies y se indica como gestionarlas a través de la configuración en los diferentes navegadores, no ofreciendo la posibilidad de rechazar las cookies o gestionarlas de forma granular. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la LSSI, es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II En el presente caso, si se accede a la página web www.twitter.com, y sin haber realizado ningún otro tipo de acción se ha comprobado que se instalan cookies no necesarias. Además, el mensaje que se edita para advertir sobre las cookies solamente indica que “si se sigue navegando se aceptan la utilización de cookies” pero no se da información de cómo rechazar las cookies o cómo gestionarlas de forma granular. Si existe un enlace en la parte inferior de la página con el título de “cookies”, a través del cual se accede a la política de cookies (segunda capa), pero tampoco en esta capa se posibilita la acción de rechazar las cookies o de hacerlo de forma granular. La página se limita a informar como configurar los diferentes navegadores para la gestión de las cookies. III Los hechos expuestos suponen, por parte de la entidad reclamada, la comisión de la infracción del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. Esta Infracción estas tipificada como leve en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 III Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer en la cuantía de 30.000 euros de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI: - La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/2007 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. - Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la reclamación de mayo de 2018, (apartado b). - La naturaleza y cuantía de los perjuicios causados, con relación al volumen de usuarios a los que afecta la infracción, al tener en la actualidad más de 4 millones de perfiles registrados en España, (apartado d). - Los beneficios obtenidos por la infracción, con relación al volumen de usuarios a los que afecta la infracción (apartado e). - Volumen de facturación a que afecte la infracción cometida, (apartado f). Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: IMPONER a la entidad TWITTER INTERNATIONAL COMPANY (TWITTER SPAIN, S.L.), con CIF. B86672318, titular de la página web: www.twitter.com , una sanción de 30.000 euros (treinta mil euros), por infracción del artículo 22.2) de la Ley LSSI, tipificada como “leve” en el artículo 38.4.g) de la citada Ley. SEGUNDO: REQUERIR a la entidad TWITTER INTERNATIONAL COMPANY (TWITTER SPAIN, S.L.), para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adecuar su página web a lo estipulado en el artículo 22.2 de la LSSI, para lo que podrá seguir las recomendaciones publicadas, por esta AEPD, en su “Guía Sobre Uso de las Cookies”, de noviembre de
- TERCERO: NOTIFICAR la presente resolución a la entidad TWITTER INTERNATIONAL COMPANY (TWITTER SPAIN, S.L.). y, e INFORMAR al reclamante sobre el resultado de la reclamación. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es