1/17 Expediente Nº: EXP202206594 - RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FRESHLY COSMETICS, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 9 de enero de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202206594 (PS/00315/2022) PROPUESTA DE RESOLUCION DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27/04/22 y 21/06/22, D. A.A.A.(en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra la entidad FRESHLY COSMETICS, S.L. con CIF.: B55666143, titular de la página web ***URL.1 (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y contra la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y atendiendo a los siguientes: Los motivos en que basaba la reclamación eran los siguientes: “En esta web no hay aviso de cookies. No existe la posibilidad de aceptar o no las cookies que se van a instalar. Añade todas las cookies al acceder a la web sin posibilidad de aceptar o no Añade cookies de terceros, Google, Facebook y otros. En ningún lado puedo tener un consentimiento y tampoco veo el consentimiento realizado o que pueda cambiarlo. Además, en las hojas legales el CIF/NIF no es correcto, está mal escrito y por lo tanto es posible que falten datos. En los formularios en ningún lugar me dan la opción de elegir y aceptar las políticas de privacidad. En los formularios no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 me indican que uso se va a realizar con mis datos que voy a proporcionar. En el registro de usuario o cliente no me indica que uso van a dar mis datos”. SEGUNDO: Con fecha 19/07/22, por parte de esta Agencia se accede a la página web ***URL.1, constatándose las siguientes características sobre el tratamiento de datos personales que se realizan en ella, su “Política de Privacidad” y sobre su “Política de Cookies”: a).- Sobre la obtención de los datos personales de los usuarios: En la página web ***URL.1, existen varias opciones para obtener datos personales de los usuarios de esta: 1.- Para darse de alta como cliente en la página web, se debe cliquear en el icono situado en la parte superior derecha de la página principal, y <<crear una cuenta>>, desplegándose un formulario, ***URL.2, donde se pueden incluir datos personales como el nombre, apellido, dirección de correo electrónico, contraseña y opcionalmente la fecha de nacimiento. Antes de poder enviar el formulario de alta en el sitio web es obligatorio cliquear en la opción: _ He leído y acepto las <<Condiciones de venta>>, las <<Condiciones de uso>> y la <<Política de Privacidad y Protección de Datos>>. 2.- También se puede cliquear, de forma voluntaria en la opción: _ Unirte a nuestra newsletter: Al unirte aceptas recibir comunicaciones comerciales de Freshly Cosmetics. Puedes retirar el consentimiento cuando quieras. <<Política de Privacidad>>. 3.- En la web también existe la posibilidad de obtener datos personales de los usuarios a través de la opción, <<contacta con nosotros>>, situado en la parte inferior de la página principal, a través de cuyo enlace se despliega un formulario ***URL.3, donde se pueden introducir datos personales como el nombre, los apellidos, el correo electrónico y el asunto a tratar. Antes de poder enviar el formulario se debe cliquear en la opción: _ He leído y acepto la <<política de privacidad>> 4.- En la web también existe la posibilidad de obtener datos personales de los usuarios a través de la opción, <<Únete al Freshly Club>>, situado en la parte inferior de la página principal, a través de cuyo enlace se despliega un formulario, ***URL.4 donde se pueden introducir datos personales como el nombre, los apellidos, el correo electrónico y el asunto a tratar. Antes de poder enviar el formulario se debe cliquear en la opción: Antes de poder enviar el formulario de alta en el sitio web es obligatorio cliquear en la opción: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 _ He leído y acepto las <<Condiciones de venta>>, las <<Condiciones de uso>> y la <<Política de Privacidad y Protección de Datos>>. También se puede cliquear, de forma voluntaria en la opción: _ Unirte a nuestra newsletter: Al unirte aceptas recibir comunicaciones comerciales de Freshly Cosmetics. Puedes retirar el consentimiento cuando quieras. <<Política de Privacidad>>. b).- Sobre la “Política de Privacidad”: Si se accede a la “Política de Privacidad” a través de los enlaces situados en los formularios indicados anteriormente o en el enlace situado en la parte inferior de la página principal, se accede a una nueva página ***URL.5 donde se proporciona información sobre: quién es el responsable del tratamiento de los datos personales; qué presencia tiene FRESHLY COSMETICS en las redes sociales; qué datos personales recogen; sobre el tratamos datos de menores; Para qué tratan los datos personales; cuál es la legitimación para el tratamiento de los datos personales; quién tiene acceso a los datos personales; sobre la posible transferencias internacionales de datos; por cuánto tiempo conservan los datos personales; qué medidas de seguridad aplican al tratamiento de los datos personales; cuáles son los derechos delos usuarios sobre sus datos personales y donde ejercerlos y como contactar con ellos. c).- Sobre la Política de Cookies: 1.- Sobre las cookies utilizadas previo al consentimiento del usuario.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se ha comprobado, que se utilizan cookies que no son técnicas o necesarias, con las siguientes características: A).- Cookies de rendimiento
(5)_ga_1HNLJTWEPT DOMINIO ***DOMINIO.1 _ga _gid C/ Jorge Juan, 6 28001 – Madrid ***DOMINIO.1 DESCRIPCIÓN Google Analytics utiliza esta de la sesión. Asociado con Google Universal Analytics, se utiliza para distinguir usuarios únicos mediante la asignación de un número generado aleatoriamente como identificador de cliente. Se incluye en cada solicitud de página en un sitio y se usa para calcular los datos de visitantes, sesiones y campañas para los informes de análisis de sitios. Esta cookie está configurada por Google Analytics. Almacena y www.aepd.es sedeagpd.gob.es 4/17 __kla_id ***DOMINIO.1 _gat_UA73272528-1 ***DOMINIO.1 actualiza un valor único para cada página visitada y se usa para contar y rastrear páginas vistas por el usuario. Rastrea cuando alguien hace clic a través de un correo electrónico de Klaviyo a su sitio web establecida por Google Analytics, donde el elemento de patrón en el nombre contiene el número de identidad único de la cuenta o sitio web con el que se relaciona. Es una variación de la cookie _gat que se utiliza para limitar la cantidad de datos registrados por Google en sitios web de alto volumen de tráfico. elemento de patrón en el nombre contiene el número de identidad único de la cuenta o B).- Cookies de orientación
(5): _gcl_au DOMINIO ***DOMINIO.1 _uetvid ***DOMINIO.1 _pin_unauth _uetsid ***DOMINIO.1 ***DOMINIO.2 _dy_df_geo ***DOMINIO.1 _fbp ***DOMINIO.1 uuid ***DOMINIO.3 C/ Jorge Juan, 6 28001 – Madrid DESCRIPCIÓN Utilizado por Google AdSense para experimentar con la eficiencia de la publicidad en los sitios web que utilizan sus servicios Ads que permite relacionarse con un usuario que ha visitado previamente el sitio web. Se utiliza para publicidad dirigida. Bing utiliza esta cookie para determinar qué anuncios deben mostrarse que puedan ser relevantes para el usuario final que examina el sitio. Almacena la ubicación geográfica de los navegadores y los anuncios de destino. Utilizado por Meta para ofrecer una serie de productos publicitarios, como ofertas en tiempo real de anunciantes externos. Esta cookie se utiliza para optimizar la relevancia de los anuncios mediante la recopilación de datos de visitantes de múltiples www.aepd.es sedeagpd.gob.es 5/17 MUID ***DOMINIO.2 IDEMás ***DOMINIO.4 uido ***DOMINIO.5 mt_misc ***DOMINIO.3 8lcfmzhxc8d6_ uid ***DOMINIO.6 sitios web; este intercambio de datos de visitantes normalmente lo proporciona un centro de datos de terceros o un intercambio de anuncios. como identificador único de usuario. Se sincroniza a través de muchos dominios de Microsoft diferentes, lo que permite el seguimiento de usuarios. Esta la establece Doubleclick y lleva información sobre cómo el usuario final usa el sitio web y cualquier publicidad que el usuario final haya visto antes de visitar dicho sitio web Proporciona una identificación de usuario generada por máquina y asignada de forma única y recopila datos sobre la actividad en el sitio web. Estos datos pueden enviarse a un tercero para su análisis y generación de informes. MediaMath utiliza esta cookie para almacenar atributos sobre el navegador para la prevención de fraudes y otras optimizaciones técnicas. Define una identificación única para el visitante que permite a los anunciantes de terceros dirigirse al visitante con publicidad relevante. Este servicio de emparejamiento es proporcionado por centros de publicidad de terceros que permiten ofertas en tiempo real para los anunciantes. DYID _ttp GlobalE_Data C C/ Jorge Juan, 6 28001 – Madrid DOMINIO ***DOMINIO.7 ***DOMINIO.8 ***DOMINIO.9 ***DOMINIO.10 www.aepd.es sedeagpd.gob.es 6/17 2º.- Sobre la información suministrada en el banner de advertencia de la página principal.- Al acceder a la página web por primera vez aparece un banner de advertencia de utilización de cookies con la siguiente leyenda: ¿Podemos almacenar cookies? Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad y contenido personalizado en base a tus intereses de navegación, para mejorar tu experiencia de navegación. Puedes aceptar todas las cookies o gestionar tus preferencias en el panel de configuración. Consulta más información en nuestra <<Política de cookies>>. <<Personalizar>> <<Aceptar todas>> 3º.- Sobre el panel de control de cookies.- Si se cliquea en el enlace <<Personalizar>>, la web despliega la web un panel de control, donde se comprueba que las cookies están divididas por grupos. No obstante, todos los grupos de cookies están premarcados en la opción de “aceptados”: Las cookies necesarias hacen la web utilizable, activando funciones básicas como la navegación en la página web y el acceso a áreas seguras de la página. La página web no puede funcionar adecuadamente sin estas cookies. Consulta más información en nuestra Política de cookies. OFF ON Las cookies de preferencia permiten que los sitios web recuerden información del usuario, provocando comportamientos en este último. Consulta más información en nuestra Política de cookies. OFF ON Las cookies analíticas ayudan a los propietarios de los sitios web a comprender cómo interactúan los visitantes con los sitios web mediante la recopilación y la presentación de información de forma anónima. Consulta más información en nuestra Política de cookies. OFF ON Las cookies de marketing se utilizan para rastrear a los visitantes en las páginas web. La intención es mostrar anuncios relevantes y atractivos para el usuario individual, y, por lo tanto, más valiosos para los editores y terceros anunciantes. Consulta más información en nuestra Política de cookies. OFF ON Las cookies no clasificadas son cookies para las que todavía estamos en proceso de clasificar, junto con los proveedores de cookies individuales. <<aceptar selección>> <<aceptar cookies>> Si se desea rechazar todas las cookies que no sean necesarias se debe ir moviendo el cursor en los diferentes grupos de cookies, desde la posición (ON) a la posición (OFF). Una vez realizada esta operación, si se cliquea en opción <<aceptar la selección>> (solo cookies técnicas) se comprueba como la web elimina las cookies de terceros que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 no son técnicas o necesaria excepto la cookie “MUID” cuyo dominio pertenece a “***DOMINIO.2”. 4.- Sobre la información suministrada en la “Política de Cookies”.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies de la primera capa o a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página ***URL.6 donde se informa al usuario de qué son las cookies, qué tipos de cookies utiliza el sitio web; se identifican las cookies que utiliza el sitio web, su funcionalidad y el tiempo de actividad. TERCERO: Con fecha 17/10/22, por parte de la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración de lo establecido en los artículos: a).- la infracción del artículo 22.2 de la LSSI, por las irregularidades detectadas en su página web respecto de la “Política de Cookies”, con una sanción inicial de 5.000 euros (cinco mil euros). CUARTO: Con fecha 30/10/22, la entidad reclama presenta escrito de alegaciones a la incoación del expediente en el cual, entre otras, indica: PRIMERA.- Que FRESHLY COSMETICS es una empresa dedicada a la elaboración y comercialización de productos cosméticos, que canaliza la mayor parte de sus ventas a través de la página web ***DOMINIO.1, de la que es titular. FRESHLY COSMETICS tiene como prioridad garantizar la protección de los derechos de sus clientes y usuarios de la citada página web en el ejercicio de su actividad, siendo consciente de la especial necesidad de garantizar estos derechos en el comercio a distancia. En este sentido, FRESHLY COSMETICS ha adoptado, entre otras, una política de protección de datos personales de sus clientes y usuarios. En el marco de esta política, y en aplicación del principio de responsabilidad proactiva, FRESHLY COSMETICS implementó una Política de Cookies en la página web de referencia, cuya estructuración y configuración era, a entender de la Compañía, conforme a la normativa vigente. Así mismo, FRESHLY COSMETICS realiza auditorías periódicas, internas y externas, con el objeto de verificar el cumplimiento de la normativa en materia de protección de datos en el ejercicio de su actividad. SEGUNDA.- Que, a la vista de las observaciones recogidas en el Acuerdo de Inicio del Procedimiento Sancionador de referencia, FRESHLY COSMETICS ha constatado que, FRESHLY COSMETICS, S.L. REFERENCIA AEPD PS/00315/2022 ASUNTO ALEGACIONES atendiendo a los colores de las casillas de selección de cookies en el panel de gestión habilitado a tal efecto, éstas aparecen como pre-aceptadas, cuando no debería ser así. En nuestro constante esfuerzo por mejorar nuestro servicio de e-commerce y, en especial, por proteger los derechos de los consumidores y usuarios, al tener constancia de esta incidencia hemos procedido a subsanarla de inmediato, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 modificando los colores de forma que sean coherentes y adecuados a la normativa vigente. Como resultado de lo anterior, al entrar en el panel de gestión de cookies, el usuario ya no verá premarcado ni preaceptado ningún grupo de cookies, salvo las cookies identificadas como “necesarias” al amparo de lo previsto en el artículo 22.2 de la LSSI. En caso de que el usuario esté interesado en activar el resto de cookies (en todo o en parte), deberá seleccionarla expresamente marcando la casilla habilitada a tal efecto. Se acompaña, a los efectos oportunos, diferentes capturas de pantalla de la página web ***DOMINIO.1 en la que se muestra la Política de Cookies que se aplicará a partir de ahora, con detalle de las diferentes capas de información. TERCERA.- Que en el Acuerdo de Inicio de Procedimiento Sancionador se indica, igualmente, que aunque el usuario no acepte ninguna de las cookies calificadas como “no necesarias”, la web sigue utilizando coolies de terceros que no son técnicas o necesarias. Al respecto, cabe matizar que las cookies que se descargan en el dispositivo del usuario antes de que realice ninguna acción en relación con el banner de la primera capa (es decir, antes de que el usuario exprese su voluntad de aceptar o rechazar todas o algunas de las Así mismo, en caso de que el usuario acceda al panel de gestión y opte por no seleccionar la activación de ninguna cookie, las cookies antes referidas (descargadas antes de que el usuario realice ninguna acción) se eliminan automáticamente. Se adjuntan a continuación dos capturas de pantalla, mostrando la situación inicial (descarga de las cookies antes de que el usuario realice ninguna acción) y la situación final, en el caso de que el usuario no FRESHLY COSMETICS, S.L. REFERENCIA AEPD PS/00315/2022 ASUNTO ALEGACIONES seleccione la activación de ninguna cookie (en la captura de pantalla correspondiente a la situación final se aprecia que las cookies antes citadas se han eliminado de forma automática) Situación inicial (antes de que el usuario haya realizado ninguna acción en relación con las cookies) Situación final (el usuario ha entrado en el panel de gestión de la segunda capa, y no ha seleccionado la activación de ninguna cookie) Atendiendo al funcionamiento y a la naturaleza de estas cookies (no almacenan información y se eliminan si el usuario no acepta cookies), entendemos que no sería necesario solicitar el consentimiento en la fase en la que el usuario todavía no ha realizado ninguna acción. SOLICITA 1) Que se tengan por presentada las alegaciones objeto del presente escrito, así como los documentos adjuntos. FRESHLY COSMETICS, S.L. REFERENCIA AEPD PS/00315/2022 2) Que se tengan por cumplidas las obligaciones de FRESHLY COSMETICS, S.L. recogidas en el artículo 22.2) de la LSSI. QUINTO: Con fecha 09/01/23, por parte de esta Agencia se accede a la página web ***URL.1 , constatándose las siguientes características sobre su “Política de Cookies”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 1.- Sobre las cookies utilizadas previo al consentimiento del usuario.Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se ha comprobado, que se utilizan cookies que no son técnicas o necesarias, con las siguientes características: A).- Cookies de rendimiento
(5): _ga_1HNLJTWEPT; _ga; _gid; __kla_id; _gat_UA-73272528-1 . B).- Cookies de orientación
(11): _dy_df_geo _fbp _gcl_au IDEMás uido 8lcfmzhxc8d6_uid MUID _pin_unauth _dy_geo _uetsid _uetvid 2º.- Sobre la información suministrada en el banner de advertencia de la página principal.- Al acceder a la página web por primera vez aparece un banner de advertencia de utilización de cookies con la siguiente leyenda: ¿Podemos almacenar cookies? Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad y contenido personalizado en base a tus intereses de navegación, para mejorar tu experiencia de navegación. Puedes aceptar todas las cookies o gestionar tus preferencias en el panel de configuración. Consulta más información en nuestra <<Política de cookies>>. <<Personalizar>> <<Aceptar todas>> 3º.- Sobre el panel de control de cookies.- Si se cliquea en el enlace <<Personalizar>>, la web despliega la web un panel de control, donde se comprueba que las cookies están divididas por grupos. No obstante, todos los grupos de cookies están premarcados en la opción de “no aceptados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 Si se cliquea en la opción <<solo usar cookies necesarias>> se constata que la web sigue utilizando cookies de terceros no necesarias, entre las que se encuetran: MUID; cuyo dominio pertenece a“***DOMINIO.2” Uido; cuyo demonio pertenece a “.***DOMINIO.5” _ttp; cuyo dominio pertenece a “***DOMINIO.8” 8lcfmzhxc8d6_uid; cuyo dominio pertenece a “***DOMINIO.11” IDE; cuyo dominio pertenece a “***DOMINIO.12” 4.- Sobre la información suministrada en la “Política de Cookies”.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies de la primera capa o a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página ***URL.7 donde se informa al usuario de qué son las cookies, qué tipos de cookies utiliza el sitio web; se identifican las cookies que utiliza el sitio web, su funcionalidad y el tiempo de actividad. HECHOS PROBADOS. De las actuaciones practicadas en el presente procedimiento y de la información y documentación presentada por las partes, ha quedado acreditadas los siguientes hechos: Primero: Con fecha 19/07/22, por parte de esta Agencia se accede a la página web ***URL.1, constatándose las siguientes características sobre el tratamiento de datos personales que se realizan en ella, su “Política de Cookies”: 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se ha comprobado, que se utilizan cookies que no son técnicas o necesarias: A).- Cookies de rendimiento
(5): _ga_1HNLJTWEPT _ga _gid __kla_id _gat_UA-73272528-1 . B).- Cookies de orientación
(11): _gcl_au _uetvid _pin_unauth _uetsid . _dy_df_geo _fbp . MUID . IDEMás uido mt_misc . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 8lcfmzhxc8d6_uid 2º.- Sobre la información suministrada en el banner de advertencia de la página principal.- Al acceder a la página web por primera vez aparece un banner de advertencia de utilización de cookies con la siguiente leyenda: ¿Podemos almacenar cookies? Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad y contenido personalizado en base a tus intereses de navegación, para mejorar tu experiencia de navegación. Puedes aceptar todas las cookies o gestionar tus preferencias en el panel de configuración. Consulta más información en nuestra <<Política de cookies>>. <<Personalizar>> <<Aceptar todas>> 3º.- Sobre el panel de control de cookies.- Si se cliquea en el enlace <<Personalizar>>, la web despliega la web un panel de control, donde se comprueba que las cookies están divididas por grupos. No obstante, todos los grupos de cookies están premarcados en la opción de “aceptados”: 4.- Sobre la información suministrada en la “Política de Cookies”.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies de la primera capa o a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página ***URL.8 donde se informa al usuario de qué son las cookies, qué tipos de cookies utiliza el sitio web; se identifican las cookies que utiliza el sitio web, su funcionalidad y el tiempo de actividad. Segundo: Como consecuencia de la apertura del presente procedimiento sancionador, la entidad reclamada, manifiesta, entre otras, que: - al tener constancia de la incidencia se ha procedido a subsanar las casillas premarcadas en el panel de control, de tal manera que, al entrar en el panel, el usuario ya no verá premarcado ni preaceptado ningún grupo de cookies, salvo las cookies identificadas como “necesarias” - las cookies que se descargan en el dispositivo del usuario antes de que realice ninguna acción en relación con el banner de la primera capa (es decir, antes de que el usuario exprese su voluntad de aceptar o rechazar todas o algunas de las cookies), no almacenan ningún tipo de información del usuario y en caso de que el usuario acceda al panel de gestión y opte por no seleccionar la activación de ninguna cookie, las cookies antes referidas (descargadas antes de que el usuario realice ninguna acción) se eliminan automáticamente. Tercero: Con fecha 09/01/23, por parte de esta Agencia se accede a la página web ***URL.1, constatándose las siguientes características sobre su “Política de Cookies”: 1.- Sobre las cookies utilizadas previo al consentimiento del usuario.Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 la página web, se ha comprobado, que se utilizan cookies que no son técnicas o necesarias, con las siguientes características: A).- Cookies de rendimiento
(5): _ga_1HNLJTWEPT; _ga; _gid; __kla_id; _gat_UA-73272528-1 . B).- Cookies de orientación
(11): _dy_df_geo _fbp _gcl_au IDEMás uido 8lcfmzhxc8d6_uid MUID _pin_unauth _dy_geo _uetsid _uetvid 2º.- Sobre la información suministrada en el banner de advertencia de la página principal.- Al acceder a la página web por primera vez aparece un banner de advertencia de utilización de cookies con la siguiente leyenda: ¿Podemos almacenar cookies? Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad y contenido personalizado en base a tus intereses de navegación, para mejorar tu experiencia de navegación. Puedes aceptar todas las cookies o gestionar tus preferencias en el panel de configuración. Consulta más información en nuestra <<Política de cookies>>. <<Personalizar>> <<Aceptar todas>> 3º.- Sobre el panel de control de cookies.- Si se cliquea en el enlace <<Personalizar>>, la web despliega la web un panel de control, donde se comprueba que las cookies están divididas por grupos. No obstante, todos los grupos de cookies están premarcados en la opción de “no aceptados”. Si se cliquea en la opción <<solo usar cookies necesarias>> se constata que la web sigue utilizando cookies de terceros no necesarias, entre las que se encuetran: MUID; cuyo dominio pertenece a“***DOMINIO.2” Uido; cuyo demonio pertenece a “.***DOMINIO.5” _ttp; cuyo dominio pertenece a “***DOMINIO.8” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 8lcfmzhxc8d6_uid; cuyo dominio pertenece a “***DOMINIO.11” IDE; cuyo dominio pertenece a “***DOMINIO.12” 4.- Sobre la información suministrada en la “Política de Cookies”.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies de la primera capa o a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página ***URL.1 donde se informa al usuario de qué son las cookies, qué tipos de cookies utiliza el sitio web; se identifican las cookies que utiliza el sitio web, su funcionalidad y el tiempo de actividad. FUNDAMENTOS DE DERECHO I.Competencia: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), II.- Sobre la Política de Cookies de la página web a).- Sobre la utilización de cookies previo al consentimiento del usuario: El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
- in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En las comprobaciones realizadas por esta Agencia en la página web reclamada tanto antes de iniciar el procedimiento sancionador como después de recibir las alegaciones a la incoación del expediente se pudo constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la mimas ni aceptar las cookies, se utilizaba cookies que no son técnicas o necesarias independientemente de que almacenen o no información. b).- Sobre el consentimiento a la utilización de cookies: Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a la segunda capa si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus preferencias sobre la utilización de las cookies. Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la selección, en el panel podrá implementarse, además de un sistema de gestión granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción podría ser considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular. Por otra parte, la retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 tenga acceso sencillo y permanente al sistema de gestión o configuración de las Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En el caso que nos ocupa, el banner de la primera capa posibilita aceptar todas las antes de tener conocimiento de la incoación del presente expediente, si se accedía al panel de control se observaba que los grupos de cookies estaban premarcados en la opción de “aceptados”. Si se deseaba rechazar las cookies que no eran técnicas o necesarias se debía ir desmarcando los grupos de cookies. No obstante, si se realizaba esta operación se observaba que la web seguía utilizando cookies que no eran técnicas o necesarias. Por lo tanto, a tenor de lo anteriormente expuesto se procede a emitir la siguiente: PROPUESTA DE RESOLUCIÓN PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se proceda a sancionar a la entidad FRESHLY COSMETICS, S.L. con CIF.: B55666143, titular de la página web ***URL.1 con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por la infracción del artículo 22.2 LSSI, con una sanción de 5.000 euros (cinco mil euros) En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de diez días hábiles pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 82.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. R.R.R. EL INSTRUCTOR DEL PROCEDIMIENTO ANEXO Relación de documentos obrantes en el Procedimiento PS/00315/2022, se notifica la relación de documentos obrantes en el procedimiento a fin de que pueda obtener las copias de los que estime convenientes: 1. Denuncia y documentación 2. Petición e Informes. 3. Acuerdo de inicio del procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 4. Alegaciones al acuerdo de inicio y documentos adjuntos. >> SEGUNDO: En fecha 23 de enero de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 4.000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI), los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202206594, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a FRESHLY COSMETICS, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es