PS-00320-2013

1/55 Procedimiento Nº PS/00320/2013 RESOLUCIÓN: R/00936/2014 En el procedimiento sancionador PS/00320/2013, instruido por la Agencia Española de Protección de Datos a la entidad GOOGLE INC, vista la denuncia presentada por UNAE- UNION CIVICA PROVINCIAL DE CONSUMIDORES Y USUARIOS DE PALENCIA, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20 de noviembre de 2012 tiene entrada en esta Agencia un escrito remitido por la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, Ministerio de Industria, Energía y Turismo, al que se adjunta denuncia formulada por la UNAE- UNION CÍVICA PROVINCIAL DE CONSUMIDORES Y USUARIOS DE PALENCIA (en adelante UNAE) poniendo de manifiesto diversas irregularidades detectadas por un usuario del sitio web XXXXXXX.blogspot.com, del que es titular el Centro Ecuestre “XXXXXXX”. Según la denuncia, el mencionado sitio web no ofrece información sobre la política de privacidad de datos de carácter personal, lo que pudiera constituir infracción a lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de Datos de Carácter Personal (en adelante LOPD), ni sobre la política de cookies, lo que podría vulnerar la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI). Con fecha 19 de febrero de 2013 se registra de entrada en esta Agencia un escrito de la Junta de Castilla y León, Servicio Territorial de Industria, Comercio y Turismo de Palencia, al que se adjunta denuncia formulada por la UNAE contra el Centro Ecuestre “XXXXXXX” que, en lo que respecta a las materias objeto de competencia de esta Agencia, denuncia los mismos hechos antes descritos. SEGUNDO: A la vista de los hechos denunciados se han practicado una serie de actuaciones previas de Inspección en relación con el sitio web alojado en XXXXXXX.blogspot.com, a raíz de las cuales se ha tenido conocimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/55 los siguientes extremos: 1. De la navegación efectuada el 15 de enero de 2013 a través de las páginas del sitio web XXXXXXX.blogspot.com se observa que: 1.1. El sitio web está construido a partir de la infraestructura proporcionada por Google Inc. a través de un servicio disponible gratuitamente para los usuarios registrados de Google Inc. (https://...google....) llamado Blogspot (en adelante también Blogger). 1.2. El sitio web utiliza servicios asociados al portal www.youtube.com para mostrar un video en una de las páginas del blog. 1.3. Aparte del citado video, la página muestra fotografías de las actividades del centro ecuestre e información sobre éstas y el personal que forma parte del mismo. El sitio proporciona como medio de contacto una dirección postal, una dirección de correo electrónico y un teléfono móvil. 1.4. En ninguna de las páginas del sitio web se recaban datos personales mediante un formulario web. 1.5. El sitio web XXXXXXX.blogspot.com no informaba sobre el uso de los dispositivos de almacenamiento y recuperación de datos (en adelante accedían al sitio web. 2. Tras la navegación realizada el 15 de enero de 2013 utilizando el navegador dispositivos de almacenamiento en el equipo terminal utilizado: Dominio Nombre Persistenci a Finalidad blogger.com _utma 2 años blogger.com _utmb 30 minutos blogger.com _utmc sesión blogger.com _utmz 6 meses doubleclick.net test_cookie 25 minutos Gestión de publicidad google.com 18 meses Gestión de publicidad 8 meses Almacenar la estimación del ancho de banda de cada video de youtube.com reproducido. sesión Contar visualizaciones de videos de youtube.com youtube.com youtube.com NID VISITOR_INFO1_LIV E use_hitbox C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/55 s.ytimg.com Datos de Flash Desconocida. El dominio ytimg parece ser uno de los utilizados para almacenar las imágenes reducidas Desconocida que se muestran antes de activar un visualizador de videos de youtube.com. Al hacer la misma prueba de navegación el 12 de febrero de 2013 utilizando el navegador Internet Explorer versión 8 se descargaron las mismas _utmc y use_hitbox y los datos de Flash que no se descargaron. 3. Con fecha 20 de febrero de 2013, el responsable del Centro Ecuestre “XXXXXXX”, en contestación al requerimiento de información efectuado, únicamente comunicó la eliminación total del sitio web alojado en XXXXXXX.blogspot.com. 4. Con fecha 26 de febrero de 2013 se verificó que el intento de acceso al blog XXXXXXX.blogspot.com, era redireccionado a la URL XXXXXXX.blogspot.com.es, donde se informaba de que “El blog se ha eliminado”. 5. No consta que Google Inc. en su condición de prestador del servicio de blog a través de los dominios blogspot.com y blogspot.com.es, informase al editor del sitio web XXXXXXX.blogspot.com sobre las cookies que se descargaban automáticamente en los equipos terminales de los usuarios que accedían al mencionado sitio. TERCERO: Con fecha 4 de marzo de 2013 se creó el respetando la configuración inicial del mismo. blog http:// C.C.C. Para ello, en el blog únicamente se añadió una entrada con texto, sin incluir imágenes o videos que dieran lugar al uso de otros servicios distintos a los del propio servicio de blog. Al acceder a la página principal del blog recién creado se comprueba que en el terminal se descargaron 5 cookies de los dominios www.blogger.com, google.com y gstatic.com. Al acceder a la única entrada del blog, se comprueba que en el terminal se descargaron 5 cookies más del dominio blogger.com. El listado completo de las cookies descargadas es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/55 Dominio Nombre Persistenci a 2 años blogger.com _utma blogger.com _utmb 30 minutos blogger.com _utmc sesión blogger.com _utmz 6 meses blogger.com s sesión www.blogger.co m blogger_TI D sesión www.blogger.co m blogger_TI D sesión google.com NID 6 meses google.com ID de canal gstatic.com ID de canal Finalidad Analytics. del servicio Google Desconocida Desconocida Desconocida Personalizar los anuncios mostrados. Funciones de seguridad navegador Chrome del Funciones de seguridad del navegador Chrome CUARTO: Asimismo, a través de las actuaciones practicadas han podido constatarse los siguientes extremos: 1. Tras consultar las opciones de configuración de Blogspot no se localizó ninguna que permitiera eliminar o limitar de alguna forma la descarga de En el apartado “Otros” de las opciones de configuración proporcionadas al editor del blog existe un campo denominado “ID de propiedad web de Google Analytics” que, según se explica mediante el icono de ayuda adyacente, tiene como función añadir “…Google Analytics a tu blog para ver cómo interactúan los visitantes con tu sitio. Añade tu ID de propiedad web de Google Analytics para iniciar el seguimiento de tu blog. Esta configuración es específica de las plantillas de vistas dinámicas y de diseño. Si utilizas una plantilla clásica en tu blog, tendrás que añadirla manualmente a tu plantilla habitual.”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/55 Se ha constatado que el campo en cuestión no contiene ningún valor por defecto. Se verifica que a pesar de ello las cookies utilizadas por el servicio Google Analytics son descargadas en cuanto se navega por las entradas del blog. 2. Para poder utilizar el servicio de bitácora (blog) de Blogspot, es necesario crear una cuenta Google[1]. Al crear dicha cuenta, se requiere que el usuario acepte unos “Términos y Condiciones del Servicio” [2] y una “Política de privacidad”[3]. Ambos documentos son genéricos para cualquiera de los servicios ofrecidos por Google y no hacen mención específica a los servicios de bitácora. Ninguno de los dos documentos proporciona información específica a los usuarios del servicio de bitácora Blogspot sobre las cookies o dispositivos de almacenamiento que dicho servicio utiliza, si son necesarias o no para el correcto funcionamiento del servicio, su finalidad, características o la posibilidad de desactivarlas/eliminarlas. La política de privacidad proporciona información genérica sobre el uso de cookies, sin especificar cuáles son las cookies utilizadas para cada servicio o producto y sus características y finalidades específicas. Las condiciones de servicio no mencionan el uso de cookies, aunque al pie de la página contienen, entre otros, un enlace al documento[4] “Tipos de algunos de los tipos de cookies hallados durante las actuaciones inspectoras. 3. Según la información proporcionada por Google: a. Las cookies denominadas “ID de canal” son utilizadas, según describe Google en una de sus páginas sobre privacidad [5] , “Chrome está probando la implementación de una nueva función de seguridad denominada "ID de canal TLS", que permitirá que un servidor afirme con seguridad que nuevas sesiones HTTPS [1] https://.....google............. [2] http://www.google..........1 [3] http://www.google..........2 [4] http://www.google..........3 [5] http://www.google..........4 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/55 proceden del mismo cliente que en una sesión anterior. [...] Los ID de canal no contienen información sobre el usuario, y se creará un ID de canal diferente para cada servidor que lo solicite. Los ID de canal no se comparten entre perfiles de Chrome, y cualquier ID de canal que se cree durante la navegación en modo de incógnito se destruirá al salir de la sesión en este modo.” b. Las cookies del dominio blogger.com _utma, _utmb, _utmc y _utmz son utilizadas para proporcionar, a través del servicio Google Analytics, datos estadísticos al responsable del sitio web sobre el comportamiento de sus usuarios. Se ha constatado que estas cookies son descargadas cuando se crea un blog mediante la plataforma Blogspot, independientemente de su contenido, a pesar de que, existiendo la opción para ello, el creador del blog no haya solicitado el uso del servicio Google Analytics. El campo “ID de propiedad web de Google Analytics” que aparece en el menú de configuración del blog y que según su propia descripción “Añade Google Analytics a tu blog para ver cómo interactúan los visitantes con tu sitio. Añade tu ID de propiedad web de Google Analytics para iniciar el seguimiento de tu blog. Esta configuración es específica de las plantillas de vistas dinámicas y de diseño. Si utilizas una plantilla clásica en tu blog, tendrás que añadirla manualmente a tu plantilla habitual.”, se dejó en blanco, por lo que no debería de existir vinculación alguna entre el blog y ese servicio. A pesar de ello, se ha comprobado que las cookies del servicio Google Analytics son descargadas igualmente. No se ha localizado ningún control que permita al administrador desactivar las estadísticas del blog de forma que las cookies de Google Analytics no sean descargadas. c. “Google utiliza cookies, como la cookie PREF, para poder personalizar los anuncios que se muestran en los servicios de Google como, por ejemplo, la Búsqueda de Google […] También utilizamos cookies para anuncios que mostramos fuera de Google. Nuestra principal cookie publicitaria se denomina "id" y se almacena en navegadores en el dominio doubleclick.net. También utilizamos otras cookies denominadas "_drt_", "FLC", "NID" y "exchange_uid".” Se ha constatado que la cookie denominada “NID” es descargada al acceder a cualquier blog creado mediante la plataforma Blogspot, independientemente de su contenido, sin que se haya podido localizar una opción de configuración que permita al creador del blog desactivar la descarga de la cookie. 4. El dominio youtube.com y las cookies asociadas al mismo son utilizadas en el contexto del servicio de video (streaming de video) proporcionado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/55 por YOUTUBE LLC. 5. El dominio doubleclick.net, registrado a nombre de Google Inc., es uno de los utilizados para la gestión de su negocio de publicidad en Internet. Se señala que la finalidad de las cookies se ha obtenido a partir de la información disponible en Internet, aunque no siempre es proporcionada por las entidades responsables de las cookies en cuestión. CUARTO: Con fecha 19 de noviembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Google Inc. por la presunta infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como grave en el artículo 38.3.

1. i)de dicha norma, pudiendo ser sancionada con multa desde 30.001 hasta 150.000 €, de acuerdo con el artículo 39.1.
2. b)de la LSSI. QUINTO: En contestación a la solicitud efectuada por Don B.B.B., en nombre y representación de Google Inc., con fecha 28 de noviembre de 2013 se acordó conceder una ampliación de plazo para formular alegaciones por un máximo de siete días. Con fecha 29 de noviembre de 2013, se entrega a la representación de la entidad imputada copia de los folios 1 al 196 que integraban el procedimiento sancionador PS/00320/2013 a esa fecha, a excepción de los folios 37 al 50 que contenían información contable con datos de carácter personal de terceros que resultaban innecesarios en relación con el objeto del expediente. SEXTO: A los efectos de poder valorar la condición de parte interesada en el procedimiento sancionador invocada en escrito registrado con fecha 17 de diciembre de 2013, de conformidad con lo dispuesto en el artículo 31 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, por la UNAE, con fecha 7 de enero de 2014 se solicita a dicha Asociación la siguiente información: - Especificación y acreditación de los intereses generales colectivos y difusos de los consumidores cuya defensa se invoca que puedan resultar afectados por la resolución que se acuerde, y cuya titularidad esté reconocida por norma legal. - Detalle de los preceptos legales en los que se reconozca la titularidad de tales intereses. SÉPTIMO: Notificado el citado Acuerdo de inicio, se recibe escrito de alegaciones de la entidad Google Inc. en el que solicita el archivo de las actuaciones con fundamento en las siguientes consideraciones: Primera: Respecto de los hechos considerados en el acuerdo de inicio, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/55 se realizan las siguientes puntualizaciones: - Sobre las finalidades y características de determinadas cookies que se citan como descargadas en el equipo terminal utilizado por los servicios de inspección de la AEPD para acceder a las páginas web de los blogs <XXXXXXX.blogspot.com> y <YYYYYY............blogspot.com>, (en adelante los blogs), se señala: La cookie “test_cookie” del dominio doubleclick.net no tiene la finalidad señalada de gestión de publicidad, sino de comprobación de la configuración del navegador del usuario para verificar si permite, o no, la instalación de probablemente su descarga estuviera vinculada a la contratación por parte del Blog XXXXXXXXXX del servicio Google AdSense , cuyos términos y condiciones obligan a informar acerca de las cookies que utiliza AdSense, entre las que se encuentra dicha cookie. La cookie “Visitor_Info1_Live”, del dominio Youtube.com, se utiliza para funciones de seguridad a fin de identificar si se produce abuso de los servidores de YouTube. Se trata de una cookie que se instala cuando el propietario del blog incluye proactivamente un video de Youtube. Las cookies “blogger_TID” del dominio wwww.blogger.com se emplean para prevenir falsificaciones de petición en sitios cruzados (CSRF), es decir, para garantizar la seguridad del servicio de Google Inc. La cookie “s” del dominio www.blogger.com crea una ID de sesión para identificar una serie de intercambios de mensajes relacionados, resultando necesaria cuando la infraestructura de comunicaciones utiliza un protocolo sin estado como lo es HTTP. Las deducciones sobre el control que podrían ejercer los propietarios de los blogs sobre el uso de las cookies “_utma”, “_utmb”, “_utmc” y “_utmz” de Google Analytics no son del todo acertadas. - Se indica que las “ID de canal”, o tecnología ID de canal TLS, no son proceden del mismo cliente que en una sesión anterior. Así las cookies se pueden vincular de forma criptográfica a un ID de canal específico, reduciéndose, entre otras ventajas, el riesgo de robo de sesión. Se adjunta impresión de la información ofrecida por Google Inc. en la página web “Información sobre privacidad de Google Chrome” describiendo la citada función de seguridad. Segunda: Se defiende que la información recabada por Google Inc. a través de las cookies descritas por la Agencia no conlleva la recogida de datos de carácter personal de los usuarios de los Blogs de Blogger, sino de datos anónimos, por lo que el artículo 22.2 de la LSSI no resulta aplicable. Así, frente al C/ Jorge Juan, 6 28001 – Madrid criterio mantenido por la Agencia que supone la www.agpd.es sedeagpd.gob.es 9/55 aplicabilidad del artículo 22.2 de la LSSI tanto a “usuarios” personas físicas como jurídicas, y que conlleva la innecesariedad de que la información recabada por dichos dispositivos en los equipos terminales de los destinatarios se refiera a datos de carácter personal en sentido estricto, Google Inc. mantiene que para la aplicación del artículo 22.2 de la LSSI resulta “conditio sine qua non” la presencia de datos de carácter personal entre la información que la Agencia señala recaba la entidad imputada de los usuarios de los Blogs. Partiendo de las definiciones de “datos de carácter personal” fijadas en el artículo 2.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en adelante LOPD) y de “persona identificable” regulada en el artículo 5.1.
3. o)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD (en adelante RLOPD), se defiende que la Agencia no ha acreditado ni argumentado que la información que presuntamente es recabada por Google Inc. a través de los dispositivos de almacenamiento y recuperación de datos instalados en los equipos terminales de los usuarios de los Blogs, sea “concerniente” a personas físicas, no identificándose en el expediente a ninguna persona concreta ni acreditándose tampoco en el mismo el modo como a partir de la información recogida Google Inc. podría determinar la identidad de un usuario sin dedicar para ello esfuerzos desproporcionados. Dicha afirmación se sustenta en que el artículo 22.2 de la LSSI debe interpretarse de conformidad a la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), la cual, salvo determinadas excepciones no aplicables al artículo 5.3 de la misma, establece que su ámbito de aplicación se refiere al tratamiento de datos de carácter personal de personas físicas, bien sean usuarios o abonados. En apoyo de la vinculación de la Directiva 2002/58/CE con la protección de datos de carácter personal en materia de comunicaciones electrónicas Google Inc. cita diversos ejemplos que van desde el propio título de la norma comunitaria a distintas referencias sobre esta cuestión en determinados considerandos y artículos de la misma. De este modo se reseña que en el Considerando Segundo al indicar que la Directiva 2002/58/CE pretende garantizar el pleno respeto de los derechos enunciados, entre otros, en el artículo 7 de la Carta de los Derechos Fundamentales de la Unión Europea está refiriéndose al derecho a la protección de datos. También se indica que el Considerando Cuarto de la Directiva 2002/58/CE, señala que era necesario actualizar la Directiva 97/66/CE del Parlamento Europeo y del Consejo, de 15 de diciembre de 1997, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones, - y que trasladó los principios en materia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/55 protección de datos establecidos en la Directiva 95/46/CE al ámbito de las telecomunicaciones-, para asumir los nuevos cambios tecnológicos de los servicios de comunicaciones electrónicas, destinando a esta finalidad la Directiva 2002/58/CE. A su vez el Considerando 25 de la Directiva 2002/58/CE, justificando el objeto del artículo 5.3 de dicha norma, vincula de forma necesaria la obligación de información en relación con el uso de dispositivos como cookies con el cumplimiento de las obligaciones de información en materia de protección de datos de la Directiva 95/46/CE. En línea con lo anterior se resalta que el artículo 1 de la mencionada Directiva sobre la privacidad y las comunicaciones electrónicas establece que dicha norma tiene por objeto regular “el tratamiento de datos personales en el sector de las comunicaciones electrónicas” y que sus disposiciones complementan la Directiva 95/46/CE, específicamente destinada a regular los tratamientos de datos personales. En cuanto a su aplicación a tratamientos referidos a personas jurídicas, también recogido en dicho artículo 1 al establecer que las disposiciones contenidas en la Directiva “Además, protegen los intereses legítimos de los abonados que sean personas jurídicas”, se arguye que tiene carácter accesorio y se limita a los supuestos fijados en la propia norma. De ahí que se defienda que la excepcionalidad relativa a las personas jurídicas no puede hacerse extensiva, por defecto, a todo el articulado de la norma comunitaria, ni utilizarse para negar que el objetivo de la Directiva 2002/58/CE es regular el tratamiento de datos personales que se produce en el ámbito de las comunicaciones electrónicas. Incidiendo en esta argumentación, se destaca que el artículo 5.3 de la Directiva 2002/58/CE contiene dos referencias yuxtapuestas a obligaciones en materia de protección de datos cuyo cumplimiento sólo es factible cuando se aplica a datos de carácter personal. En primer lugar, el citado artículo obliga a proporcionar la información requerida en el mismo “con arreglo a lo dispuesto en la “Directiva 95/46/CE”, cuyo artículo 10 exige que cuando los datos se recaben directamente del interesado se proporcione determinada información, que en lo tocante a la identidad del responsable del tratamiento y a la existencia de derechos de acceso y rectificación de los datos sólo es posible facilitar cuando la información recabada se refiere a datos de carácter personal. Como justificación a dicho razonamiento se defiende, por un lado, que el artículo 2 (
4. d)de la Directiva 95/46/CE define al responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales.”, de tal forma que no es posible atribuir tal figura ni informar sobre la misma cuando no se produce un tratamiento de datos personales. Por otro lado, se indica, que para garantizar la información asociada al ejercicio de los derechos citados, regulados en el artículo 12 de la Directiva 95/46/CE, se precisa asociar los datos con la persona que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/55 ejercita el derecho. En segundo lugar, el citado artículo 5.3 de la Directiva 2002/58/CE obliga a ” que sea el responsable del tratamiento de los datos (quien) le ofrezca el derecho de negarse a dicho tratamiento”, por lo que conforme a la definición de dicha figura recogida en la Directiva 95/46/CE resulta evidente que todo el precepto únicamente puede referirse al tratamiento de datos de carácter personal. A la vista de lo expuesto, se alega que interpretar que el artículo 22.2 de la LSSI resulta de aplicación a todo tipo de información, tal y como parece desprenderse del acuerdo de inicio del procedimiento, sería contrario a la Directiva 2002/58/CE, y, por tanto, al ordenamiento jurídico comunitario. Siguiendo la línea expositiva ya utilizada, se afirma que el artículo 22.2 de la LSSI únicamente puede referirse a datos de carácter personal, habida cuenta que dicho precepto establece que la información que debe ofrecerse a los destinatarios ha de realizarse con arreglo a lo dispuesto en la LOPD, norma que regula dicha información en el artículo 5.1 de la LOPD, que a su vez, transpone el precitado artículo 10 de la Directiva 95/46/CE. Lo contrario supondría que no se podría informar sobre la identidad del responsable del fichero o tratamiento exigido en el artículo 5.1 de la LOPD, puesto que tal condición se justifica en relación con el tratamiento de datos de carácter personal, ni se podría facilitar el ejercicio de los derechos de acceso, rectificación, cancelación y oposición por no poder al no poder vincular datos “no personales” con el interesado que ejercita los mismos. Finalmente, se concluye que la única interpretación válida y coherente con la normativa comunitaria es la que circunscribe la aplicación del artículo 22.2 de la LSSI a información referida a datos de carácter personal. En consecuencia, se reitera que la AEPD para poder imputar a Google la comisión de dicha infracción deberá demostrar que ésta recabo datos de carácter personal de los usuarios de los Blogs. Tercera: Para el caso de no aceptarse la alegación anterior, se mantiene que la información recabada de los usuarios de los blogs es estrictamente necesaria para prestar el servicio expresamente solicitado por el destinatario, por lo que al resultar de aplicación la excepción señalada en el párrafo tercero del artículo 22.2 de la LSSI, Google Inc. no habría cometido la infracción imputada por la AEPD al estar exenta de cumplir las exigencias de información y consentimiento señaladas en los primeros dos párrafos de dicho precepto. Cuarta: Subsidiariamente, al haberse acreditado que el supuesto incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos no puede ser calificado como grave, se solicita la imposición de una multa correspondiente a las sanciones leves conforme a lo establecido en el artículo 39.1.c), la cual deberá graduarse en su importe mínimo al concurrir en este caso todos los criterios de ponderación recogidos en el artículo 40 de la LSSI, precepto que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/55 refleja la concreción en el marco regulador de los servicios de la sociedad de la información y del comercio electrónico del principio de proporcionalidad que rige la potestad sancionadora conforme lo dispuesto en el artículo 131.3 de la LRJPAC . 5. Otrosí Primero, solicita que la AEPD se abstenga de publicar en sus resoluciones cualquier información relacionada con el grupo Google que revele aspectos secretos y estratégicos del grupo contenidos en el expediente sancionador, cuyo conocimiento por terceros impactaría en su actividad empresarial y desarrollo futuro. 6. Otrosí Segundo, de conformidad con lo dispuesto en el artículo 16.1 del Real Decreto 1398/1993, de 4 de agosto, se propone la práctica de los siguientes medios de prueba:
5. a)prueba documental consistente en los documentos que obran en el expediente sancionador, incluyendo los correspondientes a las actuaciones previas nº E/7744/2013 de la AEPD;
6. b)prueba documental consistente en que se tengan por reproducidos los documentos aportados al escrito de alegaciones. OCTAVO: Con fecha 20 de enero de 2014, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas en virtud del cual se dieron por reproducidas a efectos probatorios las actuaciones incorporadas al expediente de investigación señalado con el número E/07744/2012, que incorpora, entre otra documentación, la generada y obtenida por los Servicios de Inspección en relación con las cookies descargadas al visitar los sitios web XXXXXXX.blogspot.com y YYYYYY............blogspot.com, impresión de la información publicada por GOOGLE INC. en Internet sobre sus políticas legales y “Tipos de cookies que utiliza Google” y el Informe de actuaciones previas de inspección correspondiente al citado expediente de investigación. Asimismo, a efectos probatorios, se dieron por reproducidas las alegaciones al acuerdo de inicio PS/00320/2013 presentadas por Google Inc. y la documentación que a ellas acompañaba. Igualmente, se incorporó al procedimiento sancionador, a efectos probatorios, la siguiente información obtenida en Internet: 1) Información obtenida en Internet, recogida en la Diligencia de fecha 17 de enero de 2014 sobre el resultado del número de páginas indexadas por el buscador Google bajo el dominio blogspot.com en España; 2) Información obtenida en Internet, recogida en la Diligencia de fecha 20 de enero de 2014, sobre “Una cuenta. Todo Google”, los servicios Blogger, Google AdSense y Google Analytics, los Documentos de “Política de Privacidad” y “Condiciones de Servicio” de Google de distintas versiones y la información relativa a “Como utiliza Google las cookies” . Con fecha 22 de enero de 2014 se notificó el citado acuerdo de apertura de práctica de pruebas a Google Inc, que recogía la práctica de las pruebas documentales propuestas por dicha entidad. NOVENO: Con fecha 22 de enero de 2014 se registra de entrada escrito de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/55 UNAE señalando que dicha Asociación está legalmente constituida y registrada en el Registro Municipal de Asociaciones de Palencia nº 303, así como en el Registro de Organizaciones de Consumidores y Usuarios de la Junta de Castilla y León con el número P 03 0053, conforme acreditan documentalmente. Añaden que pertenecen a la UNAE Federación Unión Nacional de Consumidores y Amas de Hogar de España, inscrita en el Registro Nacional de Asociaciones de Consumidores y Usuarios del Instituto Nacional de Consumo con el nº 6. Con fecha 4 de febrero de 2014 se registra de entrada nuevo escrito de dicha Asociación adjuntando certificado expedido el 15 de enero de 2014 por la Subdirectora General de Arbitraje, Normativa y Asociacionismo de Consumo, del Instituto Nacional de Consumo, (Ministerio de Sanidad, Servicios Sociales e Igualdad) que acredita la inscripción de la citada Federación en el reseñado Registro Estatal de Asociaciones de Consumidores y Usuarios y la pertenencia a tal Federación de la Asociación Provincial de la Unión Nacional de Consumidores y Amas de Hogar “UNAE” de Palencia. DÉCIMO: Con fecha 20 de marzo de 2014 se incorpora al procedimiento impresión de la información proporcionada por Google sobre las “Cookies de Google Analytics e información sobre la privacidad” y de la versión de 20 de diciembre de 2013 de la “Política de Privacidad” de Google. UNDÉCIMO: Con fecha 8 de marzo de 2014 se acuerda inadmitir la solicitud personación de UNAE como parte interesada en el procedimiento sancionador. DUODÉCIMO: Con fecha 9 de abril de 2014 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a Google Inc. con multa de 130.000 € (Ciento treinta mil euros) por la infracción del artículo 22.2 de la LSSI, tipificada como grave en el artículo 38.3.
7. i)de dicha norma, de conformidad con lo establecido en los artículos 39.1.
8. b)y 40 de la citada LSSI. La Propuesta de Resolución fue notificada a Google Inc. a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa, de acuerdo con el artículo 19 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. En cumplimiento de lo dispuesto en el mencionado precepto, se acompañó una relación de los documentos obrantes en el procedimiento a fin de que pudiera obtener copia de los que estimase convenientes. DECIMOTERCERO: Con fecha 16 de abril de 2014 se desestimó la solicitud de ampliación de plazo para formular alegaciones a la citada propuesta de resolución, presentada, conforme a lo previsto en el artículo 49.2 de la LRJPAC, por Don B.B.B. en nombre y representación de Google Inc. DECIMOCUARTO: En contestación a su petición, con fecha 25 de abril de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/55 2014, se entrega a la representación de la entidad imputada copia de los documentos del procedimiento sancionador señalados con los folios 213 al 489, con excepción de los correspondientes al escrito de alegaciones al acuerdo de inicio. DECIMOQUINTO: Con fecha 24 de abril de 2014 UNAE formula escrito manteniendo que, aunque considera que está revestida de interés legítimo y representatividad suficiente, se aquieta a la denegación de la personación en el procedimiento acordada por la AEPD. Asimismo, solicita la notificación a dicha Asociación de la resolución final del expediente sancionador “a los efectos oportunos dables en derecho” y la comunicación, en su caso, de la apertura de diligencias judiciales a raíz de tal resolución para, si procediese, personarse en las mismas. DECIMOSEXTO: Notificada la propuesta de resolución, con fecha 7 de mayo de 2014 se recibe escrito de alegaciones de la entidad Google Inc. solicitando se dicte resolución acordando la nulidad de la Propuesta de Resolución y del Procedimiento Sancionador como consecuencia de infringir Derechos Fundamentales que gozan de protección constitucional o, subsidiariamente, su anulación por haber sido dictados en vulneración de las leyes. En forma subsidiaria a la petición de anulación, se solicita se declare la ausencia de responsabilidad de la entidad y se acuerde el archivo de las actuaciones, añadiéndose que para el caso de que la AEPD aprecie la comisión de la infracción imputada se imponga una sanción correspondiente a las sanciones leves en su grado mínimo. Google Inc. sustenta dichas peticiones, sustancialmente, en las siguientes consideraciones: Primera: La denegación de la solicitud de ampliación de plazo para formular alegaciones a la propuesta de resolución por no entrar, a juicio de la AEPD, dentro del ámbito de aplicación del artículo 49.2 de la LRJPAC debería conducir a la revocación de dicha propuesta y del procedimiento sancionador al resultar contraria a lo dispuesto en dicho precepto, el cual obliga a conceder dicha extensión por el tiempo máximo permitido en los procedimientos tramitados en territorio español en los que intervengan interesados residentes fuera de España. Para Google resulta ilógico aducir que por mediar un poder notarial de representación a un abogado en particular en España, dicha empresa pierda su condición de parte interesada en el extranjero que, como empresa estadounidense, cuenta, además, con abogados designados en los Estados Unidos, España y otros países que están implicados en el procedimiento, no siendo únicamente a una persona, sino a varias, a las que se ha otorgado un poder notarial en España y en otros países para, entre otras atribuciones, poder presentar los documentos pertinentes ante las autoridades correspondientes. Segunda: Se aclara, por un lado, que no se considera necesario alegar respecto de las cookies “_utma”, “_utmb”, “_utmc” y “_utmz” al no utilizarse ya en relación con los blogs creados bajo el dominio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/55 “blogspot.com.es” o “blogspot.com” en circunstancias como las descritas por la AEPD respecto del blog bajo el dominio http:/YYYYYY............blogspot.com.es. Por otro lado, se puntualiza que cuando la cookie NID se instala en un caso como el que nos ocupa se utiliza para lanzar actualizaciones y corrección de defectos respecto de partes específicas del código de un blog, resultando por ello, en este supuesto, de aplicación la excepción prevista en el párrafo tercero del artículo 22.2 de la LSSI, por ser estrictamente necesaria para la prestación del servicio solicitado por el usuario. Tercera: Para el caso de rechazarse las alegaciones anteriores, Google Inc. reitera su discrepancia frente a la calificación de la conducta analizada como infracción grave al artículo 38.3.
9. i)de la LSSI. Así, defiende que el incumplimiento a lo previsto en el artículo 22.2 de la LSSI no puede calificarse como “significativo” porque afecte a un número ingente de usuarios, tal y como hace la AEPD al partir de una hipótesis incorrecta, sino que en el contexto empleado dicho adjetivo cualifica la mayor o menor gravedad del comportamiento del infractor en relación con el cumplimiento del citado precepto, con independencia del éxito del servicio o del número de usuarios que lo utilicen. Con sustento en dicho argumento, Google mantiene que al no constituir su conducta un incumplimiento significativo a lo previsto en el artículo 22.2 de la LSSI, los hechos imputados deben tipificarse como una infracción leve a lo previsto en el artículo 38.4.
10. g)de la LSSI, la cual, como máximo, debe sancionarse fijando el grado más bajo de la cuantía establecida para tales infracciones en aplicación de lo previsto en los artículos 39.1.
11. c)y 40 de dicha norma. Igualmente, se aduce que la multa de 130.000 euros propuesta se ha calculado sin realizar una ponderación adecuada de los criterios de valoración establecidos en el artículo 40 de la LSS, toda vez que concurren todas las condiciones necesarias recogidas en dicho precepto para que, en caso de ser sancionada, se reduzca la multa contenida en la propuesta de resolución. Se afirma que lo contrario supondría una vulneración del principio de proporcionalidad recogido en el artículo 131.3 de la LRJPAC. HECHOS PROBADOS PRIMERO: Google Inc. (Google en lo sucesivo) es responsable del servicio online Blogger que permite crear blogs (bitácora en línea) y publicar contenidos en forma gratuita a los usuarios registrados de Google (https://...google....). Los sitios web creados (blogs) se alojan dentro de los dominios blogspot.com y blogspot.com.es (folios 216, 304 ) SEGUNDO: Con fecha 4 de marzo de 2013 desde la Subdirección General de Inspección de Datos se creó el blog http:// C.C.C. utilizando la configuración inicial proporcionada por la infraestructura de Blogger, añadiéndose únicamente una entrada con texto en la plantilla predeterminada elegida, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/55 este caso plantilla simple, a efectos del diseño básico del blog. (folios 57 al 59, 118 al 125, 167, 304, 305 ) TERCERO: En el apartado “Otros” de las opciones de configuración proporcionadas por Blogger al editor del blog se encuentra la de instalar el servicio Google Analytics mediante el campo denominado “ID de propiedad web de Google Analytics”, el cual no contiene ningún valor por defecto. Esta opción no se utilizó en la configuración del blog http:// C.C.C. . (folios 118 al 125) El icono de ayuda adyacente a dicha opción informa lo siguiente sobre la misma: “ Añade Google Analytics a tu blog para ver cómo interactúan los visitantes con tu sitio. Añade tu ID de propiedad web de Google Analytics para iniciar el seguimiento de tu blog. Esta configuración es específica de las plantillas de vistas dinámicas y de diseño. Si utilizas una plantilla clásica en tu blog, tendrás que añadirla manualmente a tu plantilla habitual.”. (folios 124, 125) En las opciones de configuración de Blogger no figura ninguna función que permita eliminar o limitar de alguna forma la descarga de cookies. CUARTO: Con fechas 4 de marzo y 26 de agosto de 2013 se constató que al navegar por el sitio web C.C.C. se descargaron, entre otros, los siguientes dispositivos de almacenamiento y recuperación de datos (cookies): (folios 57 al 63, 110 al 117 y 168) Dominio Nombre Persistencia 2 años blogger.com _utma blogger.com _utmb 30 minutos blogger.com _utmc sesión blogger.com _utmz 6 meses google.com NID 6 meses Finalidad Analítica Analytics). (servicio Google Publicitaria. QUINTO: Para poder utilizar el servicio de bitácora (blog) de Blogger es necesario que el usuario del mismo (editor) cree una cuenta Google aceptando las “Condiciones del servicio” y la “Política de privacidad” de Google. (folios 304 al 306). El contenido de dichos documentos es común para todos los productos y servicios ofrecidos por Google, a excepción del caso de las políticas de privacidad específicamente relacionadas con los productos Chrome y Chrome OS, Google Libros, Google Wallet y Fiber y salvo que se apliquen condiciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/55 o requisitos de productos adicionales, que estarán disponibles junto con los Servicios pertinentes. (folios 259 al 264 y 471 al 484) SEXTO: El documento de “Condiciones de servicio de Google” señala que el uso de los servicios de Google implica la aceptación de tales condiciones, indicándose que deben seguirse las políticas disponibles a través de los Servicios, sin hacer ninguna mención al uso de cookies. (folios 84 al 89 y 479 al 484) SÉPTIMO: El documento de “Política de privacidad” proporciona información genérica sobre el uso de las cookies por parte de Google. No especifica el tipo de cookies y finalidades de las mismas en función los servicios o productos, ni la forma prevista para desactivar o eliminar dichas cookies o revocar el consentimiento ya prestado para las mismas. (folios 98 al 105 y 471 al 478) OCTAVO: En lo que respecta al servicio Blogger, en la Guía de Introducción y en la Ayuda de Blogger, en las páginas de configuración del servicio de bitácora de Blogger no se ofrece ninguna información referente a la instalación, por defecto, y utilización por parte de Google de dispositivos de almacenamiento y recuperación de datos (no exentos) en los terminales de los usuarios que visitan los sitios web creados con dicha plataforma, tales como las cookies del servicio Google Analytics y la cookie publicitaria NID anteriormente detalladas. Dichos documentos tampoco informan sobre las finalidades a las que respondería el tratamiento de la información recabada por Google a través de dichos dispositivos ni sobre los mecanismos previstos para rechazar su instalación total o parcial o, en su caso, revocar el consentimiento que pueda prestarse por los visitantes de los sitios web creados bajo la infraestructura del servicio Blogger. (folios 98 al 105, 307 al 364) NOVENO: Google no informa a los visitantes que acceden a los sitios web alojados bajo los dominios blogspot.com y blogspot.com.es, y cuyos editores no añadieron a dichos espacios web el servicio de Google Analytics, a los efectos de obtener su consentimiento previo a la instalación y uso por su parte de cookies analíticas y de publicidad en sus equipos terminales, sobre el almacenamiento de dichos dispositivos y las finalidades a las que responde el tratamiento de la información recogida a través de los mismos, ni sobre los mecanismos de rechazo para su instalación ni medios previstos para la revocación del consentimiento . DÉCIMO: La información proporcionada por Google sobre Cookies no resulta directamente accesible, encontrándose dispersa y fragmentada en distintos documentos a los que se accede a través de los enlaces contenidos en los mismos, y que se presentan bajo las siguientes rúbricas: “Como utiliza Google las Cookies”, “Tipos de cookies que utiliza Google”, “Cómo utiliza Google las de Google Analytics e información sobre la privacidad”, “Instrucciones para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/55 administrar cookies en Chrome”. (folios 65 al 68, 287 al 298 y 462 al 470) UNDÉCIMO: En las impresiones del documento “Tipos de cookies que utiliza Google” efectuadas en distintas fechas se afirma que: “Utilizamos diferentes tipos de cookies para el funcionamiento de los sitios web de Google. Una parte o la totalidad de las cookies identificadas a continuación se pueden almacenar en tu navegador. Puedes ver y administrar cookies en tu navegador (aunque es posible que los navegadores para dispositivos móviles no ofrezcan esta visibilidad)” . (folios 65 al 68, 28 al 291 y 463 al 470) En dicho documento se detallan las siguientes categorías de cookies: preferencias, seguridad, procesos, publicidad, estado de la sesión y Google Analytics, proporcionándose para cada tipología información sobre determinadas finalidades a las que obedece su instalación y, a modo de ejemplo, identificación de algunas de las cookies encuadradas en cada una de las categorías. - En el apartado correspondiente a las cookies de “Publicidad” aparece la siguiente información: “Google utiliza cookies, como la cookie PREF, para poder personalizar los anuncios que se muestran en los servicios de Google como, por ejemplo, la Búsqueda de Google […] También utilizamos cookies para anuncios que mostramos fuera de Google. Nuestra principal cookie publicitaria se denomina "id" y se almacena en navegadores en el dominio doubleclick.net. También utilizamos otras cookies denominadas "_drt_", "FLC", "NID" y "exchange_uid".” - En el apartado correspondiente a Google Analytics, en la versión impresa con fecha 22 de mayo de 2013, aparece la siguiente información: “Google Analytics es una herramienta gratuita de análisis web de Google que principalmente permite que los propietarios de sitios web conozcan cómo interactúan los usuarios con su sitio web. Asimismo, habilita cookies en el dominio del sitio en el que te encuentras y utiliza un conjunto de cookies denominadas “_utma” y “_utmz” para recopilar información de forma anónima y elaborar informes de tendencias de sitios web sin identificar a usuarios individuales. Más información sobre las cookies de Google Analytics e información sobre la privacidad.” (folios 65 al 68) En ese mismo apartado, en la versión impresa con fecha 20 de marzo de 2014, aparece la siguiente información: “Google Analytics es la herramienta de analítica que ayuda a los sitios web y a los propietarios de aplicaciones a entender el modo en que sus visitantes interactúan con sus propiedades. Puede utilizar un conjunto de cookies para recopilar información e informar de las estadísticas de uso de los sitios web sin identificar personalmente a los visitantes de Google. Más información sobre las cookies de Google Analytics e información sobre la privacidad.” (folios 463 al 466) DUODÉCIMO: Con fecha 20 de marzo de 2014 se comprueba que en el documento “Uso de Google Analytics de cookies en los sitios web”, al que dirige el enlace “Más información sobre las cookies de Google Analytics e información sobre la privacidad“, se describe cómo Google Analytics utiliza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/55 indica que es una herramienta sencilla y fácil de usar, que ayuda a los propietarios de sitios web a medir cómo los usuarios interactúan con el contenido del sitio web. También describe el uso de las siguientes cookies compatibles con los ga.js Java Script para medir el uso del sitio web: Sobre la cookie _utma: Se utiliza para distinguir a los usuarios y sesiones. Sobre la cookie _utmb : Se utiliza para determinar nuevas sesiones /vistas. Sobre la cookie _utmc: No se utiliza en ga.js. Ajuste para la interoperabilidad con urchin.js. Sobre la cookie _utmz: Almacena la fuente de tráfico o una campaña que explica cómo el usuario llegó a su sitio. (folios 467 al 470) FUNDAMENTOS DE DERECHO I En primer lugar, debemos indicar que la normativa aplicable en el presente procedimiento sancionador aparece presidida por la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico. Pues bien, durante la tramitación del procedimiento se ha promulgado la Ley 9/2014 de 9 de mayo de Telecomunicaciones, cuya Disposición Final Segunda introduce importantes modificaciones en aquella. Tal y como se expone más adelante, dichas modificaciones han sido tenidas en cuenta en virtud de la aplicación del principio de retroactividad de la norma sancionadora más favorable. En este sentido, el segundo párrafo del artículo 43.1 de la LSSI en su redacción conferida por la Ley 9/2014 establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
12. d)e
13. i)y 38.4.d),
14. g)y
15. h)de esta Ley”; otorgando por tanto a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 22.2 de la citada Ley. II Con carácter previo al análisis del resto de argumentos esgrimidos en su defensa por Google a lo largo del procedimiento, conviene sustanciar el alegato relativo a que la denegación de ampliación de plazo para formular alegaciones a la propuesta de resolución acordada por la AEPD constituye una violación del derecho a la tutela judicial efectiva reconocido en el artículo 24.1 de la Constitución Española, amén de los artículos 49.2, 134 y 135 de la LRJPAC, lo que conllevaría la nulidad de la Propuesta de Resolución de todo el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/55 procedimiento sancionador conforme a lo previsto en los artículos 62.1.(
16. a)y (
17. b)de la LRJPAC, y, subsidiariamente, su anulabilidad conforme a lo previsto en el artículo 63.1 de la misma norma. Dichos preceptos tienen el tenor literal siguiente: El artículo 24 de la Constitución Española señala: “1. Todas las personas tienen derecho a obtener la tutela efectiva de los jueces y tribunales en el ejercicio de sus derechos e intereses legítimos, sin que, en ningún caso, pueda producirse indefensión. 2. Asimismo, todos tienen derecho al Juez ordinario predeterminado por la ley, a la defensa y a la asistencia de letrado, a ser informados de la acusación formulada contra ellos, a un proceso público sin dilaciones indebidas y con todas las garantías, a utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia. La ley regulará los casos en que, por razón de parentesco o de secreto profesional, no se estará obligado a declarar sobre hechos presuntamente delictivos.” El artículo 49 de la LRJPAC dispone respecto de la ampliación de plazos: “1. La Administración, salvo precepto en contrario, podrá conceder de oficio o a petición de los interesados, una ampliación de los plazos establecidos, que no exceda de la mitad de los mismos, si las circunstancias lo aconsejan y con ello no se perjudican derechos de tercero. El acuerdo de ampliación deberá ser notificado a los interesados. 2. La ampliación de los plazos por el tiempo máximo permitido se aplicará en todo caso a los procedimientos tramitados por las misiones diplomáticas y oficinas consulares, así como a aquellos que, tramitándose en el interior, exijan cumplimentar algún trámite en el extranjero o en los que intervengan interesados residentes fuera de España. 3. Tanto la petición de los interesados como la decisión sobre la ampliación deberán producirse, en todo caso, antes del vencimiento del plazo de que se trate. En ningún caso podrá ser objeto de ampliación un plazo ya vencido. Los acuerdos sobre ampliación de plazos o sobre su denegación no serán susceptibles de recursos.” A su vez, los apartados
18. a)y
19. b)del artículo 62 de la LRJPAC, establecen sobre la “Nulidad de pleno derecho” que: “1. Los actos de las Administraciones públicas son nulos de pleno derecho en los casos siguientes:
20. a)Los que lesionen los derechos y libertades susceptibles de amparo constitucional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/55
21. b)Los dictados por órgano manifiestamente incompetente por razón de la materia o del territorio.” El artículo 63.1 de la LRJPAC, relativo a la “anulabilidad”, dispone que: “1. Son anulables los actos de la Administración que incurran en cualquier infracción del ordenamiento jurídico, incluso la desviación de poder.” 2. No obstante, el defecto de forma sólo determinará la anulabilidad cuando el acto carezca de los requisitos formales indispensables para alcanzar su fin o dé lugar a la indefensión de los interesados. 3. La realización de actuaciones administrativas fuera del tiempo establecido para ellas sólo implicará la anulabilidad del acto cuando así lo imponga la naturaleza del término o plazo.” Los artículos 134 y 135 de la LRJPA establecen en cuanto a los principios del procedimiento sancionador que a continuación se citan lo siguiente: “Artículo 134. Garantía de procedimiento. 1. El ejercicio de la potestad sancionadora requerirá procedimiento legal o reglamentariamente establecido. 2. Los procedimientos que regulen el ejercicio de la potestad sancionadora deberán establecer la debida separación entre la fase instructora y la sancionadora, encomendándolas a órganos distintos. 3. En ningún caso se podrá imponer una sanción sin que se haya tramitado el necesario procedimiento. Artículo 135. Derechos del presunto responsable. Los procedimientos sancionadores garantizarán al presunto responsable los siguientes derechos: A ser notificado de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudieran imponer, así como de la identidad del instructor, de la autoridad competente para imponer la sanción y de la norma que atribuya tal competencia. A formular alegaciones y utilizar los medios de defensa admitidos por el Ordenamiento Jurídico que resulten procedentes. Los demás derechos reconocidos por el artículo 35 de esta Ley.” En primer lugar, para analizar la posible vulneración a lo previsto en el artículo 24.1 de la Constitución Española derivada del acuerdo de desestimación de ampliación de plazo acordado el 24 de abril de 2014 conviene recordar que, en materia sancionadora, el Tribunal Constitucional ha establecido, como uno de los pilares básicos para la interpretación del Derecho administrativo sancionador, que los principios y prácticas básicas en el ámbito del Derecho Penal sean aplicables, con ciertos matices, en el ejercicio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/55 cualquier potestad sancionadora de la Administración Pública (entre otras, la Sentencia 76/1990, de 26 de abril). En este sentido la Sentencia del Tribunal Constitucional 18/1981 (fundamento jurídico segundo “in fine”), ha señalado “los principios esenciales reflejados en el artículo 24 de la Constitución en materia de procedimiento, han de ser aplicables a la actividad sancionadora de la Administración ... porque la garantía del orden constitucional exige que el acuerdo se adopte a través de un procedimiento en el que el presunto inculpado tenga oportunidad de aportar y proponer pruebas y alegar lo que a su derecho convenga”. En segundo lugar, la ampliación de dicho plazo fue desestimada al no concurrir las circunstancias establecidas en el artículo 49 de la LRJPAC, considerando que durante la instrucción del procedimiento no se ha incorporado al mismo ningún nuevo elemento de convicción distinto de los que constaban en el momento en que fueron formuladas las alegaciones al acuerdo de apertura, cuyo plazo de alegaciones fue ampliado por acuerdo del 28 de noviembre de 2013, y valorando que no se ha practicó prueba adicional alguna distinta de la incorporación de documentación procedente de los sitios web www.google.com y www.google.es . Asimismo, se consideró, que no resultaba de aplicación lo establecido en el artículo 49.2 de la Ley 30/1992, en virtud de la representación conferida mediante el poder aportado a las actuaciones en el escrito de fecha 21 de noviembre de 2013. Respecto de la posible indefensión derivada de la negativa a dicha solicitud se recuerda que, entre otras, en las Sentencias del Tribunal Constitucional 155/1988, de 22/07, 212/1994 de 13/07, 137/1996, de 16/09, se señala que “se debe tener en cuenta que para que la indefensión tenga eficacia invalidante, es preciso que no se trate de meras irregularidades procedimentales, sino que los defectos causen una situación de indefensión de carácter material, esto es, que la misma haya originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo”. En este mismo sentido, de conformidad con la doctrina mantenida por el Tribunal Supremo, para que un acto pueda considerarse nulo por haberse dictado prescindiendo total y absolutamente del procedimiento legalmente establecido, “...han de concurrir los requisitos, como sostiene la sentencia de 15 de octubre de 1997 de esta Sala y jurisprudencia precedente, (desde la sentencia de 21 de marzo de 1988) que dicha infracción ha de ser clara, manifiesta y ostensible, lo que supone que dentro del supuesto legal de nulidad, se comprendan los casos de ausencia total del trámite o de seguir un procedimiento distinto, lo que no ha sucedido en la cuestión examinada, como en un asunto precedente también hemos reconocido: STS de 10 de octubre de 2000, 3ª, 7ª, núm. 219/1999” (Sentencia de 17/10/2000). La aceptación, o no, de las ampliaciones de plazo constituye un acto de trámite que no decide por sí mismo directa o indirectamente sobre el fondo del asunto, ni determina la imposibilidad de continuar el procedimiento ni ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/55 causado en este caso, a la vista de que los elementos fácticos que han resultado probados en la propuesta de resolución son los mismos que motivaron la apertura del procedimiento sancionador, un perjuicio irreparable a sus derechos e intereses legítimos. Así, dicha entidad conoció en detalle los hechos que se le imputaban y su alcance desde el punto de vista de la LSSI, fue informada a lo largo del procedimiento de su derecho tanto a formular alegaciones al acuerdo de inicio y a la propuesta de resolución, como a proponer pruebas, por lo que ha podido defenderse en vía administrativa mediante la presentación de cuantas alegaciones ha considerado convenientes a su defensa, motivos todos ellos por los que se considera que no se han vulnerado las garantías constitucionales previstas en el artículo 24 de la Constitución Española ni se ha impedido la aplicación efectiva del principio de contradicción. Sobre la cuestión de la representación ostentada por la persona que ha venido actuando a lo largo del procedimiento en nombre y representación de Google Inc., y con quien se ha seguido el expediente, conviene resaltar que en el mencionado poder figura que dicha a persona tiene conferidas, entre otras facultades, las siguientes: “Representar a la Sociedad frente a la Agencia Española de Protección de Datos en relación con todos sus derechos y obligaciones y comparecer ante ella para cualquier trámite y presentación de cualquier escrito, entre otros, la notificación de ficheros o actualizaciones o cancelaciones de ficheros, la solicitud de autorizaciones de transferencia internacional, la presentación de documentación solicitada por la Agencia Española de Protección de Datos, la suscripción de actas de inspección, la presentación de respuestas ante solicitudes de información, presentación de cualesquiera alegaciones en el contexto de procedimientos de la Agencia Española de Protección de Datos y presentación de cualesquiera recursos administrativos ante resoluciones de la Agencia Española de Protección de Datos. Llevar a cabo cualesquiera actos y otorgar, firmar y entregar cualesquiera documentos públicos o privados, enviar, y recibir notificaciones y documentos necesarios o convenientes para formalizar, otorgar y perfeccionar los documentos necesarios y, en general, para dar efectividad a las notificaciones, modificaciones, solicitudes y escritos que se realicen ante la Agencia Española de Protección de Datos”. En consecuencia no se ha producido un efectivo y real menoscabo del derecho de defensa, por lo que no cabe entender que se haya producido la nulidad de la propuesta de resolución ni del propio procedimiento administrativo por vulneración de lo contemplado en el artículo 62.1.
22. a)de la LRJPAC. En tercer lugar, la presente resolución se ha dictado por el Director de la AEPD de conformidad con lo previsto en el segundo párrafo del artículo 43.1 de la vigente LSSI, en la redacción introducida por Ley 9/2014 ( segundo párrafo del artículo 43.2 en la redacción anterior), el cual establece lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/55 siguiente: “1. La imposición de sanciones por el incumplimiento de lo previsto en esta Ley corresponderá, en el caso de infracciones graves y leves, al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información. No obstante lo anterior, la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en función de la materia o entidad de que se trate a que se refieren los párrafos
23. a)y
24. b)del artículo 38.2 de esta Ley corresponderá al órgano que dictó la resolución incumplida. Igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c),
25. d)e
26. i)y 38.4 d),
27. g)y
28. h)de esta Ley.” Por su parte, el hecho de que Google Inc. sea una empresa estadounidense no impide que la conducta objeto de reproche en el presente expediente se encuentre bajo el ámbito de aplicación de la LSSI en virtud de lo dispuesto en el artículo 4 de la misma. Este precepto fija sobre los “Prestadores establecidos en un Estado no perteneciente a la Unión Europea o al Espacio Económico Europeo” que cuando “dirijan sus servicios específicamente al territorio español quedarán sujetos, además, a las obligaciones previstas en esta Ley, siempre que ello no contravenga lo establecido en tratados o convenios internacionales que sean aplicables.” De lo que se concluye, que tampoco concurre la circunstancia contemplada en el artículo 62.1.
29. b)de la LRJPAC respecto de la propuesta de resolución ni del propio procedimiento administrativo. En cuarto lugar, el procedimiento se ha tramitado conforme a lo establecido en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, y, supletoriamente, en lo no establecido en el capítulo III del título IX del RDLOPD, conforme al Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto (en adelante REPEPOS), en virtud de la Disposición Final Única del propio RDLOPD. Los apartados 1 y 2 del artículo 122 “Iniciación” del RDLOPD señalan que: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/55 órgano”. Así, finalizadas las actuaciones previas de inspección a las que se refiere el artículo 122 del RDLOPD, y a la vista del resultado de las mismas, el Director de la AEPD apreció la existencia de indicios susceptibles de motivar la imputación a Google Inc. de una infracción a lo previsto en el artículo 22.2 de la LSSI, por lo que dictó, tal y como se ha señalado en el Antecedente de Hecho Cuarto, acuerdo de inicio de procedimiento conforme a lo dispuesto en el artículo 127 de dicho Reglamento, el cual dispone: “Artículo 127. Iniciación del procedimiento. Con carácter específico el acuerdo de inicio del procedimiento sancionador deberá contener:
30. a)Identificación de la persona o personas presuntamente responsables.
31. b)Descripción sucinta de los hechos imputados, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
32. c)Indicación de que el órgano competente para resolver el procedimiento es el Director de la Agencia Española de Protección de Datos.
33. d)Indicación al presunto responsable de que puede reconocer voluntariamente su responsabilidad, en cuyo caso se dictará directamente resolución.
34. e)Designación de instructor y, en su caso, secretario, con expresa indicación del régimen de recusación de los mismos.
35. f)Indicación expresa del derecho del responsable a formular alegaciones, a la audiencia en el procedimiento y a proponer las pruebas que estime procedentes.
36. g)Medidas de carácter provisional que pudieran acordarse, en su caso, conforme a lo establecido en la sección primera del presente capítulo.” En relación con dicho inicio conviene recordar que el artículo 11.1 del REPEPOS dispone que: “1. Los procedimientos sancionadores se iniciarán siempre de oficio, por acuerdo del órgano competente, bien por propia iniciativa o como consecuencia de orden superior, petición razonada de otros órganos o denuncia.”, motivo por el cual resulta indiferente que la denuncia de la UNAE fuera dirigida contra una entidad distinta de la ahora imputada, ya que es competencia exclusiva de la AEPD valorar si existen responsabilidades administrativas que han de ser depuradas e identificar al posible infractor. Con posterioridad a la formulación por parte del representante legal de Google de alegaciones a dicho acuerdo, las cuales se registraron en esta Agencia con fecha 19 de diciembre de 2013 mediando acuerdo de ampliación de plazo para ello de fecha 28 de noviembre de 2013, se acordó por la Instructora la apertura de un período de pruebas el 20 de enero de 2014 que fue notificado a dicha empresa con fecha 22 de enero de 2014, para, una vez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/55 concluido dicho período, formularse el 9 de abril de 2014 por la Instructora propuesta de resolución en la que se fijaban los hechos cuya comisión se consideraba probada por parte de Google Inc., su exacta calificación jurídica y la sanción propuesta, todo ello conforme a lo previsto en los artículos 17.1, 18 y 19.1 del REPEPOS que establecen: “Artículo 17 Prueba 1. Recibidas las alegaciones o transcurrido el plazo señalado en el artículo 16, el órgano instructor podrá acordar la apertura de un período de prueba, de conformidad con lo previsto en los artículos 80 y 137.4 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, por un plazo no superior a treinta días ni inferior a diez días. (…) Artículo 18 Propuesta de resolución Concluida, en su caso, la prueba, el órgano instructor del procedimiento formulará propuesta de resolución en la que se fijará de forma motivada los hechos, especificándose los que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan y la persona o personas que resulten responsables, especificándose la sanción que propone que se imponga y las medidas provisionales que se hubieran adoptado, en su caso, por el órgano competente para iniciar el procedimiento o por el instructor del mismo; o bien se propondrá la declaración de no existencia de infracción o responsabilidad Artículo 19 Audiencia 1. La propuesta de resolución se notificará a los interesados, indicándoles la puesta de manifiesto del procedimiento. A la notificación se acompañará una relación de los documentos obrantes en el procedimiento a fin de que los interesados puedan obtener las copias de los que estimen convenientes, concediéndoseles un plazo de quince días para formular alegaciones y presentar los documentos e informaciones que estimen pertinentes ante el instructor del procedimiento”. Sobre la propuesta de resolución, la Sala Tercera del Tribunal Supremo (en Sentencias, entre otras, de 21/04/1997, 16/03/1998, 24/04/1999 y 16/11/2001) y teniendo en cuenta la Sentencia del Tribunal Constitucional 29/1989, de 6 de febrero, ha ido construyendo una jurisprudencia consolidada en virtud de la cual “el derecho a ser informado de la acusación, que con la categoría de fundamental se garantiza en el artículo 24.2 de la Constitución, se satisface normalmente en el procedimiento administrativo sancionador a través de la notificación de la propuesta de resolución.... Excepcionalmente aquel trámite podrá dejar de ser imprescindible, desde la óptica de la plena satisfacción del derecho fundamental citado, si en un trámite anterior se notificó aquel pronunciamiento preciso”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/55 Una vez notificada la mencionada propuesta de resolución, y tras denegarse la segunda ampliación de plazo para formular alegaciones por los motivos comunicados, Google presentó con fecha 3 de mayo de 2014 escrito de alegaciones a dicha propuesta alegando todo aquello que consideró conveniente a su defensa. De acuerdo con cuanto antecede, se evidencia que la tramitación del presente procedimiento se ha desarrollado con absoluto respeto a todas las garantías previstas en el ordenamiento jurídico para la defensa de sus derechos. En este supuesto, el procedimiento sancionador se inició por acuerdo del Director de la Agencia Española de Protección de Datos, 19 de noviembre de 2013. En dicho Acuerdo se designó Instructora y Secretario con indicación de la posibilidad de recusar, en su caso, a los mismos, conforme a lo establecido en el artículo 29 de la LRJPAC. Asimismo se identificó a la persona jurídica presuntamente responsable, que fue informada de los hechos imputados, de la calificación jurídica de estos hechos, de la posible sanción que pudiera imponerse, de la autoridad competente para imponerla y de su derecho a formular alegaciones y proponer prueba. Google únicamente propuso la prueba documental que fue admitida junto con su primer escrito de alegaciones. Además, Google accedió a copia de las actuaciones practicadas antes de formular alegaciones al acuerdo del procedimiento, derecho a la defensa que también ejerció al presentar alegaciones frente a la propuesta de resolución. De modo que dicha entidad, ha conocido los hechos imputados en todo momento a través del representante legal nombrado a tales efectos y ha tenido oportunidad de desvirtuarlos, según ha quedado expuesto, debiendo, por ello denegarse la anulabilidad invocada bajo el artículo 63.1 de la LRJPAC. III En el presente procedimiento sancionador se imputa a Google la comisión de una infracción del artículo 22.2 de la LSSI, recogido dentro del Título III de dicha norma, sobre las comunicaciones comerciales por vía electrónica, y cuya rúbrica es “Derechos de los destinatarios de los servicios”. El tenor literal del citado precepto, en la redacción dada por la Ley 9/2014, de 9 de mayo, de Telecomunicaciones, establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/55 destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. “ El artículo 22.2 de la LSSI se refiere a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados en cualesquiera equipos terminales de los destinatarios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar que utilizada para almacenar información o acceder a información almacenada en el equipo terminal. La LSSI define en el apartado
37. a)de su Anexo como "Servicios de la sociedad de la información" o "servicios": todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) A su vez, el apartado
38. c)del citado Anexo define como “Prestador de Servicios” o “prestador” a la “persona física o jurídica que proporciona un servicio de la sociedad de la información“, mientras que el apartado
39. d)del mismo Anexo define como “Destinatario del servicio” o “destinatario”: a la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/55 podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las cookies estén individualmente exentas del deber de informar y obtener el consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies sirva únicamente para permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. El artículo 22.2 de la LSSI traspone al ordenamiento jurídico español la modificación introducida por la Directiva 2009/136/CE, del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009, en el apartado 3 del artículo 5 de la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas). Así, la Directiva 2009/136/CE modifica el tenor del artículo 5.3 de la Directiva 2002/58/CE en los siguientes términos: “3. Los Estados miembros velarán por que únicamente se permita el almacenamiento de información o la obtención de acceso a la información ya almacenada en el equipo terminal de un abonado o usuario a condición de que se facilite a dicho abonado o usuario información clara y completa y este haya dado su consentimiento, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46/CE. La presente disposición no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación a través de una red de comunicaciones electrónicas, o en la medida de lo estrictamente necesario a fin de que el proveedor de una empresa de información proporcione el servicio expresamente solicitado por el usuario o el abonado”. Ya en esta línea, en la parte expositiva de la citada Directiva 2009/136/CE el Considerando 66 de la misma señalaba: “Puede que haya terceros que deseen almacenar información sobre el equipo de un usuario o acceder a información ya almacenada, con distintos fines, que van desde los fines legítimos (como algunos tipos de cookies) hasta aquellos que suponen una intrusión injustificada en la esfera privada (como los programas espía o los virus). Resulta, por tanto, capital que los usuarios reciban una información clara y completa cuando realicen una acción que pueda dar lugar a dicho almacenamiento u obtención de acceso. El modo en que se facilite la información y se ofrezca el derecho de negativa debe ser el más sencillo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/55 posible para el usuario. Las excepciones a la obligación de facilitar información y proponer el derecho de negativa deben limitarse a aquellas situaciones en las que el almacenamiento técnico o el acceso sean estrictamente necesarios con el fin legítimo de permitir el uso de un servicio específico solicitado específicamente por el abonado o usuario. Cuando sea técnicamente posible y eficaz, de conformidad con las disposiciones pertinentes de la Directiva 95/46/CE, el consentimiento del usuario para aceptar el tratamiento de los datos puede facilitarse mediante el uso de los parámetros adecuados del navegador o de otra aplicación. La aplicación de estos requisitos debe ganar en eficacia gracias a las competencias reforzadas concedidas a las autoridades nacionales”. En el citado artículo 5.3 de la Directiva 2002/58/CE se manejan una serie de términos cuyo alcance legal conviene precisar. El artículo 2.a ) de la misma define como “usuario” “una persona física que utiliza con fines privados o comerciales un servicio de comunicaciones electrónicas disponible para el público, sin que necesariamente se haya abonado a dicho servicio”, definiéndose como “comunicación” en el artículo 2.
40. d)de dicha norma “cualquier información intercambiada o conducida entre un número finito de interesados por medio de un servicio de comunicaciones electrónicas disponible para el público”, mientras que el artículo 2.
41. f)de esta Directiva define el “consentimiento” de un usuario o abonado” refiriéndose a “el consentimiento del interesado, con arreglo a la definición de la Directiva 95/46/CE”. Por su parte, el artículo 2.
42. k)de la Directiva 2002/21/CE relativa al marco regulador común de las redes y los servicios de las comunicaciones electrónicas, al que se remite el citado artículo 2 de la Directiva 2002/58/CE, define el abonado como “cualquier persona física o jurídica que haya celebrado un contrato con un proveedor de servicios de comunicaciones electrónicas disponibles para el público para la prestación de esos servicios”. IV A su vez, la incorporación al ordenamiento jurídico español de la Directiva 2009/136/CE se introdujo en virtud del artículo 4 del Real Decreto Ley 13/2012, de 30 de marzo por el que se modificó el artículo 22.2 de la LSSI. El Real Decreto Ley 13/2012, en su Exposición de Motivos indicaba que “mediante este real decreto-ley se efectúa la incorporación al ordenamiento jurídico español del nuevo marco regulador europeo en materia de comunicaciones electrónicas, marco que está compuesto por la Directiva 2009/136/CE, del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (Derechos de los Ciudadanos), y la Directiva 2009/140/CE, del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (LCEur 2009, 1993) (Mejor Regulación). La transposición de estas Directivas se efectúa mediante la modificación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/55 de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, así como una modificación puntual de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico”, para más adelante señalar que: “Por último, se modifican varios artículos de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico, a fin de adecuar su régimen a la nueva redacción dada, por la Directiva 2009/136/CE, a la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, debiéndose destacar la nueva redacción que se da a su artículo 22.2, para exigir el consentimiento del usuario sobre los archivos o programas informáticos (como las llamadas «cookies») que almacenan información en el equipo de usuario y permiten que se acceda a ésta; dispositivos que pueden facilitar la navegación por la red pero con cuyo uso pueden desvelarse aspectos de la esfera privada de los usuarios, por lo que es importante que los usuarios estén adecuadamente informados y dispongan de mecanismos que les permitan preservar su privacidad”. En muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. V En el presente supuesto, de la valoración conjunta de las pruebas efectuadas a lo largo de la tramitación del procedimiento, y particularmente de la actuación practicada por el Inspector actuante al crear el blog http://YYYYYY............blogspot.com.es con fecha 4 de marzo de 2013, ha quedado acreditado que Google instala y utiliza, por defecto, en los terminales de los usuarios que acceden a los blogs creados bajo la infraestructura de su servicio on-line Blogger, y configurados sin la opción del campo “ID de propiedad web de Google Analytics”, cuatro cookies C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/55 asociadas a dicha herramienta analítica (“_utma”, “_utmb”, “utmc” y “utmz”), y una cookie publicitaria (NID). La descarga de dichos dispositivos y el acceso a los datos almacenados en los mismos se produce sin que Google proporcione a los editores que emplean la infraestructura de Blogger información sobre la utilización de tales dispositivos propios o de terceros, ni los fines concretos para los que se tratan los datos recogidos, ni indique la forma de desactivar o eliminar dichas cookies o revocar el consentimiento, lo que impide a los mencionados editores de espacios web conocer y trasladar tal información a los visitantes de los blogs creados mediante dicha plataforma a fin de dar cumplimiento a las exigencias de consentimiento informado recogidas en el artículo 22.2 de la LSSI. Además, Google tampoco proporciona directamente a los visitantes que acceden a los espacios web creados bajo la citada configuración la información relativa a los extremos anteriormente reseñados al objeto de obtener el consentimiento informado de los mismos con anterioridad a la instalación y uso de dichos dispositivos de almacenamiento y recuperación de datos en sus equipos terminales. En cuanto al uso de las cookies analíticas “_utma”, “_utmb”, “utmc” y “utmz”, Google indicó en su escrito de alegaciones al acuerdo de inicio que las deducciones realizadas por la Agencia sobre el control que podrían ejercer los propietarios de los blogs sobre el uso de las mismas no son del todo acertadas. Sin embargo, no ha argumentado la causa de tal discrepancia, y ello a pesar de que la afirmación discutida, referente a su uso para facilitar al responsable del sitio web análisis sobre el comportamiento de los usuarios, resulta congruente con la propia información facilitada por Google en las distintas versiones del documento “Tipos de cookies que utiliza Google” obrantes en el procedimiento. Posteriormente, en el escrito de alegaciones a la propuesta de resolución Google ha manifestado que ya no utiliza las mencionadas afirmación constituye una mera alegación de parte que no ha sido justificada aportando medio de prueba acreditativo de la veracidad de tal alegación. La circunstancia señalada, incluso en caso de resultar cierta, sería irrelevante para enervar la responsabilidad de dicha entidad en la comisión de la infracción imputada, puesto que durante la tramitación del expediente la Agencia ha probado la utilización e instalación por parte de Google de los mencionados dispositivos en la forma descrita incumpliendo los requisitos fijados en el primer párrafo del artículo 22.2 de la LSSI. También en estas últimas alegaciones Google ha mantenido que la publicitarias, sino que se utiliza para lanzar actualizaciones y corrección de defectos respecto de partes específicas del código de un blog, de tal modo que su utilización repercute no sólo en los defectos que afectan a la ejecución y usabilidad sino también en los asociados a la seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/55 A juicio de esta Agencia dicha descripción de la finalidad de la cookie NID adolece de falta de claridad y resulta ambigua. El código de una página web es proporcionado junto con la propia página por un servidor web. Dicho código se actualiza o corrige en el servidor que enviará esa versión modificada la siguiente vez que el usuario solicite la página web. La realización de esas modificaciones no depende del navegador del usuario, por lo que no se entiende como necesaria para ese fin la información almacenada en ningún dispositivo de almacenamiento ubicado en el terminal del usuario. Dicho en otras palabras, el código de una página web se descarga junto con ésta. No se entiende por tanto la necesidad de almacenar información en el ordenador del visitante con el fin de actualizar el código contenido en una página web descargada unos momentos antes. Debe tenerse en cuenta, por otra parte, que aún en el caso de que la hiciera estrictamente necesaria, en el documento relativo a “Tipos de cookies que utiliza Google”, dicho dispositivo se cataloga por la propia entidad sancionada como una cookie publicitaria, tal y como resulta del Hecho Probado Undécimo y sin que, por otro lado, que entre las cookies con finalidades de seguridad que aparecen descritas en el mismo documento se haga ningún tipo de mención a la cookie NID. No es posible para un usuario distinguir entre las diferentes finalidades de la cookie NID si en un determinado caso se utilizaran los datos contenidos en ella para un fin u otro. Por tanto, si, como es el caso, alguna de las finalidades no está incluida en la excepción contemplada en el artículo 22.2, la obligación de informar persiste. VI Google ha argumentado que la comisión de la infracción prevista en el artículo 22.2 de la LSSI requiere que los dispositivos de almacenamiento y recuperación de datos instalados en los equipos terminales de los usuarios de los blogs recojan datos de carácter personal, añadiendo que la AEPD no ha acreditado que la información presuntamente recabada por Google sea concerniente a personas físicas identificadas o identificables sin esfuerzos desproporcionados a partir de la información recogida, todo ello conforme a lo establecido en los artículos 2.1 de la LOPD y 5 del RDLOPD. Tal interpretación se justifica, a su juicio, en que tanto el propio artículo 5.3 de la Directiva 2002/58/CE, -teniendo en cuenta su redacción tras la modificación introducida por la Directiva 2009/136/CE-, cuya transposición en la legislación española se ha efectuado a través del artículo 22.2 de la LSSI, como el ámbito de aplicación de dicha norma comunitaria, cuyo objetivo es trasladar los principios de la Directiva 95/46/CE sobre protección de datos al ámbito de las comunicaciones electrónicas, se refieren sustancialmente al tratamiento de datos de carácter personal de personas físicas, bien sean usuarios o abonados, teniendo un carácter excepcional su aplicación respecto de la defensa de los intereses legítimos de los abonados que sean personas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/55 jurídicas. El análisis de esta cuestión requiere, con carácter previo, recordar los ámbitos de aplicación de ambas Directivas. El apartado 1 del artículo 3 de la Directiva 95/46/CE del Parlamento europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece que las disposiciones de dicha Directiva “se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.”. Los apartados 1 y 2 del artículo 1 de la Directiva 2002/58/CE establecen como ámbito de aplicación y objetivo de la misma que: (el subrayado es de la Agencia Española de Protección de Datos, en adelante AEPD) “1. La presente Directiva establece la armonización de las disposiciones nacionales necesaria para garantizar un nivel equivalente de protección de las libertades y los derechos fundamentales y, en particular, del derecho a la intimidad y la confidencialidad, en lo que respecta al tratamiento de los datos personales en el sector de las comunicaciones electrónicas, así como la libre circulación de tales datos y de los equipos y servicios de comunicaciones electrónicas en la Comunidad. 2. Las disposiciones de la presente Directiva especifican y completan la Directiva 95/46/CE a los efectos mencionados en el apartado 1. Además, protegen los intereses legítimos de los abonados que sean personas jurídicas .” Esta Agencia, no comparte, tal y como mantiene Google, que la única lectura coherente de los citados preceptos implica, en relación con la normativa comunitaria, que la información almacenada y recuperada de los terminales de los usuarios y abonados de los servicios de comunicaciones electrónicas, entre los que se encuentran los destinatarios de los servicios de la sociedad de la información, haya de referirse exclusivamente a datos de carácter personal. En primer lugar, el ámbito de aplicación de la Directiva 2002/58/CE no se restringe al ámbito de la protección de datos de carácter personal. Así lo indica expresamente el artículo 1 antes transcrito, cuyo apartado 2 establece que las disposiciones de la Directiva 2002/58/CE “especifican y completan la Directiva 95/46/CE a los efectos mencionados en el apartado 1. Además, protegen los intereses legítimos de los abonados que sean personas juridicas”. Si el ámbito de aplicación de ambas Directivas fuera coincidente, como se pretende por Google, no tendría sentido que la Directiva 2002/58/CE completara la Directiva 95/46/CE; y menos aún que contuviera disposiciones aplicables a personas jurídicas, que como es sabido con carácter general no son titulares de datos de carácter personal, de conformidad con el art. 2.
43. a)en relación con el Considerando 26 de la Directiva 95/46/CE. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/55 Aplicando la interpretación mantenida por Google también carecería de sentido que el artículo 2 de la Directiva 2002/58/CE se remitiera a las definiciones no sólo de la Directiva 95/46/CE, sino también a la Directiva 2002/21/CE relativa al marco regulador común de las redes y los servicios de las comunicaciones electrónicas. Máxime teniendo en cuenta que el artículo 2.
44. k)de esta última Directiva citada define el abonado como “cualquier persona física o jurídica que haya celebrado un contrato con un proveedor de servicios de comunicaciones electrónicas disponibles para el público para la prestación de esos servicios”. Es decir, si la Directiva 2002/58/CE sólo se aplicara, en principio y salvo excepciones al tratamiento de datos de carácter personal, carecería de virtualidad utilizar un concepto que engloba a las personas jurídicas, que no son titulares de tales datos personales. Tampoco tendría sentido que la Directiva 2002/58/CE, y no sólo algunos de sus preceptos como se afirma por Google, fueran aplicables concurran o no datos de carácter personal. Así, a título meramente enunciativo los preceptos relativos a los datos de tráfico, datos de localización distintos o facturación desglosada (arts. 6, 8 y 7 respectivamente) utilizan el concepto de “abonado o usuario”. Y menos sentido tendría aún que la Directiva 2002/58/CE sólo se aplicara a datos personales y que el artículo 15 de la Directiva 2002/58/CE tenga la rúbrica “Aplicación de determinadas disposiciones de la Directiva 95/46/CE”, puesto según la interpretación de Google tendrían que aplicarse todas sus disposiciones, y no sólo algunas de ellas. Y es que, frente a lo mantenido por Google a lo largo del procedimiento sancionador, el Considerando 2 de la Directiva 2002/58/CE indica que la misma regula determinados aspectos que inciden en la protección de datos, pero no por ello el ámbito de aplicación coincide con el de la Directiva 95/46/CE. Tampoco el Considerando 4 ni el Considerando 25 implican la identificación entre los ámbitos de aplicación de ambas Directivas. La redacción literal del mencionado artículo 5.3 de la Directiva 2002/58/CE coincide con lo expuesto, al no mencionar que la información tratada mediante el uso de las cookies tenga que circunscribirse necesariamente a datos de carácter personal. Por un lado, el precepto en cuestión se refiere únicamente a “almacenamiento de información o la obtención de acceso a la información almacenada”; si hubiera querido referirse a “datos de carácter personal” lo hubiera hecho expresamente, puesto que se trata en de un concepto legal y utilizados en la Directiva. Por otro lado, y lo que es más importante, el reiterado artículo 5.3 se refiere indudablemente al “abonado o usuario”. El concepto de abonado o usuario – concepto de nuevo legal, no vulgar, puesto que aparece definido en las normas – se corresponde con el contemplado en el artículo 2.
45. a)de la Directiva 2002/58/CE (“”usuario: una persona física que utiliza con fines privados o comerciales un servicio de comunicaciones electrónicas disponible para el público, sin que necesariamente se haya abonado dicho servicio”) y el transcrito más arriba de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/55 abonado de la Directiva 2002/21/CE. Es decir, el artículo 5.3 no se refiere al “afectado o interesado”, que es el concepto propio de la Directiva 95/46/CE. Podía haber utilizado el concepto de interesado como persona física titular de datos de carácter personal; pero no lo ha hecho, se ha referido al abonado o usuario, concepto que aunque puede solaparse con el de titular de datos personales, no se corresponde con aquél. Por otro lado, conviene traer a colación las consideraciones del llamado Grupo de Protección de Datos del artículo 29, creado por el artículo 29 de la Directiva 95/46/CE, (en adelante también GT29) en el punto 3 de su Dictamen 2/2010 sobre publicidad comportamental en línea, adoptado el 22 de junio de 2010, por resultar especialmente clarificadoras en relación con el ámbito de aplicación material del artículo 5.3 de la Directiva 2002/58/CE y la Directiva 95/46/CE. En cuanto al “Ámbito de aplicación material del artículo 5, apartado 3” se señala lo siguiente (el subrayado es nuestro): “El artículo 5, apartado 3, se aplica a la «información» (que se almacena o a la que se accede). No tipifica dicha información. La aplicación de dicha disposición no requiere que la información sean datos personales a tenor de la Directiva 95/46/CE. El considerando 24 reitera la lógica de este enfoque al estipular que «los equipos terminales de los usuarios… así como toda información almacenada en dichos equipos, forman parte de la esfera privada de los usuarios, que debe ser protegida de conformidad con el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales». El desencadenante de las obligaciones contenidos en el artículo 5, apartado 3, es la protección de un campo que se considera esfera privada del usuario, no el hecho de que la información sean o no datos personales. (…)” En relación con el “Ámbito de aplicación material de la Directiva 95/46/CE: Tratamiento de datos personales” el citado Dictamen 2/2010 especifica lo siguiente: “Si, como resultado de la colocación y recuperación de información mediante un cookie o producto similar, la información recogida pueden considerarse datos personales, además del artículo 5, apartado 3, será también de aplicación la Directiva 95/46.”. Todo ello para acabar señalando sobre la “Interrelación entre ambas Directivas” que “Si se aplican ambas Directivas, una cuestión pertinente es determinar las disposiciones aplicables de cada una de ellas. En este sentido, el considerando 10 de la Directiva sobre privacidad establece que la Directiva 95/46/CE se aplique «para todas las cuestiones relativas a la protección de los derechos y las libertades fundamentales que no están cubiertas de forma específica por las disposiciones de la presente Directiva, incluidas las obligaciones del responsable del tratamiento de los datos y los derechos de las personas». Ello supone una aplicación de la doctrina según la cual una ley que regula una materia específica (lex specialis) prima sobre la ley que solo regula una materia general (lex generalis) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/55 En sintonía con lo que precede, el artículo 5, apartado 3, de la Directiva sobre privacidad en las comunicaciones electrónicas, que se ocupa del consentimiento informado, será directamente aplicable. La Directiva 95/46 será plenamente aplicable menos en lo que refiere a las disposiciones que sean objeto específico de la Directiva sobre privacidad, que corresponden principalmente al artículo 7 de la Directiva 95/46/CE, relativo a la legitimación del tratamiento de datos. El resto de disposiciones de la Directiva 95/46, incluidos los principios tocantes a la calidad de los datos, los derechos de los interesados (acceso, supresión, derecho de oposición, etc), la confidencialidad y la seguridad del tratamiento de las transferencias internacionales de datos será plenamente aplicable.” Adicionalmente, la normativa aplicable sobre cookies y dispositivos similares a que se refiere el artículo 5.3 de la Directiva 2002/58/CE es aplicable no sólo a las personas físicas sino también a las personas jurídicas en defensa de sus intereses legítimos, máxime cuando el propio precepto liga el requisito de obtención del consentimiento informado al abonado o usuario en cuyo terminal se instalan y recuperan las cookies o tecnologías similares. Así se desprende también del contenido del considerando 7 de la Directiva sobre la privacidad y las comunicaciones electrónicas señala que “En el caso de las redes públicas de comunicación, deben elaborarse disposiciones legales, reglamentarias y técnicas específicas con objeto de proteger los derechos y libertades fundamentales de las personas físicas y los intereses legítimos de las personas jurídicas, en particular frente a la creciente capacidad de almacenamiento y tratamiento informático de datos relativos a abonados y usuarios.” Asimismo, en la introducción del Dictamen 4/2012, elaborado por el mismo GT29, sobre la exención del requisito del deber de informar sobre dicho requisito se extiende a todos los tipos de datos cuando indica que: “El artículo 5, apartado 3, de la Directiva 2002/58/CE, modificada por la Directiva 2009/136/CE, ha reforzado la protección de los usuarios de los servicios y redes de comunicaciones electrónicas mediante el requisito del consentimiento informado previo al almacenamiento de la información o a su accesibilidad en el dispositivo terminal del usuario (o del abonado). El requisito se aplica a todos los tipos de datos almacenados o accesibles en el dispositivo terminal, (…). El presente dictamen explica cómo el artículo 5, apartado 3, revisado, repercute en el uso de los cookies, entendiendo que este término no excluye otras tecnologías similares.” (el subrayado es de la AEPD) En definitiva, entiende esta Agencia que el art. 5.3 de la Directiva 2002/58/CE no ciñe su ámbito de aplicación al tratamiento de datos personales realizado a través de dispositivos de almacenamiento y recuperación de datos, sino a todo uso de tales dispositivos instalados en los equipos terminales de los usuarios. Y dicha consideración se plasma con mayor claridad, si cabe, en la legislación española, tomando en consideración tanto el tenor literal del artículo 22.2 LSSI como su posición sistemática en el ordenamiento jurídico español. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 38/55 El artículo 22.2 LSSI aparece recogido dentro del Título III de dicha norma, sobre las comunicaciones comerciales por vía electrónica. La rúbrica del precepto es “Derechos de los destinatarios de servicios”; y literalmente el art. 22.2 se refiere a que los dispositivos de almacenamiento y recuperación de datos serán utilizados en equipos terminales “de los destinatarios”, siendo tales destinatarios los que habrán de ser informados. Se están utilizando, por tanto, conceptos propios de la LSSI, de nuevo conceptos legales y no vulgares por contar con una definición establecida en la propia norma: como hemos indicado, tanto la rúbrica del artículo como el tenor literal del artículo hablan del destinatario, que según el apartado
46. d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información”. De nuevo la norma española - al igual que antes indicábamos de la norma europea – se está refiriendo a destinatarios, que pudieran incluso ser personas jurídicas, concepto que no coincide por tanto con el de afectado o interesado del art. 3.
47. e)LOPD. En este sentido, el citado precepto no contiene ningún mandato legal expreso que limite el cumplimiento de las obligaciones exigidas en el mismo a la existencia de un tratamiento de datos de carácter personal A la luz de las consideraciones anteriormente expuestas, el tipo infractor descrito en el artículo 22.2 de la LSSI no se articula en torno al tratamiento de datos de carácter personal derivado de la información recuperada, sino que gira en torno a la obligación de los prestadores de los servicios de la sociedad de la información que utilizan cookies de obtener el consentimiento informado de los destinatarios de dichos servicios para la instalación de dichos dispositivos y para el tratamiento de la información recuperada conforme a las finalidades indicadas. En este sentido, el citado precepto no contiene ningún mandato legal expreso que limite el cumplimiento de las obligaciones exigidas en el mismo a la existencia de un tratamiento de datos de carácter personal. En particular, la información sobre cookies que ha de ser facilitada por los prestadores de los servicios de la sociedad de la información no se refiere al tratamiento de datos personales, sino que deberá indicar si se trata de descargan, los mecanismos para rechazar total o parcialmente su instalación, así como las acciones concretas que pueden suponer la prestación del consentimiento y la forma de revocar el consentimiento ya prestado. Este aspecto se analiza en los siguientes términos en el Considerando 25 de la Directiva 2002/58/CE del siguiente modo: “