PS-00332-2025

(24h). c. Persistentes: quedan permanentemente instaladas en tu navegador y son activadas cada vez que visitas el site, siempre y cuando no se desactive su uso. búsqueda desde el que se ha visitado la web y qué términos de búsqueda se utilizaron para encontrarlo. La lista de cookies utilizadas puede modificarse en función de la incorporación o exclusión de servicios en nuestras webs y aplicaciones. Aceptación de cookies Si usted continúa su navegación una vez informado sobre la Política de web y aplicaciones. Sin embargo, si usted quiere, puede cambiar la configuración de cookies en cualquier momento, configurando su navegador para aceptar, o no, las cookies que recibe o para que el navegador le avise cuando un servidor quiera guardar una cookie. Le informamos que en el caso de bloquear o no aceptar la instalación de cookies, es posible que ciertos servicios no estén disponibles sin la utilización de éstas o que no pueda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 acceder a determinados servicios ni tampoco aprovechar por completo todo lo que nuestras webs y aplicaciones le ofrecen. Además del uso de cookies propias de (...), permitimos a terceros establecer cookies y acceder a ellas en su ordenador. El consentimiento del uso de las cookies de estas empresas está ligado a la navegación por este sitio. (...) le agradece que consienta la aceptación de cookies, esto nos ayuda a obtener datos más precisos que nos permiten mejorar el contenido y el diseño de nuestras páginas webs y aplicaciones para adaptarlas a sus preferencias. En caso de que (...) prestara algún tipo de servicio especial en el que determine unas previsiones específicas diferentes a éstas en lo relativo a la protección de datos personales y la utilización de cookies, prevalecerán las normas particulares indicadas para ese servicio en particular sobre las presentes. Al acceder a este sitio web o aplicación por primera vez, verá una ventana donde se le informa de la utilización de las cookies y donde puede consultar esta “Política de cookies”. Si usted consiente la utilización de cookies, continúa navegando o hace clic en algún link se entenderá que usted ha consentido nuestra política de cookies y por tanto la instalación de las mismas en su equipo o dispositivo.” Esta información, sin embargo, es contradictoria con el resultado de la navegación por la página descrito anteriormente y del que se ha recogido evidencia. Así, a pesar de lo que se indica en ese texto sobre cookies, al acceder a la página web no aparecía una ventana informativa sobre la utilización de cookies. Por otro lado, el enlace “Aviso Legal” de la página web no incluye información sobre la identidad del responsable de la página ni los tratamientos de datos personales que se realizan. En relación con la titularidad de la página web se obtuvo la siguiente información: Se consulta a través de ***PROTOCOLO.1 la titularidad del dominio web ***WEB.1. Como ASN (Autonomous System Number) del dominio aparece Hostinger International Limited, a la que se envió requerimiento de información, sin que conste respuesta. Como registrador del dominio aparece name.com, página web en la que se menciona ser responsabilidad de Identity Digital Inc (en adelante, ID). El 01/03/2024 se requirió a ID información sobre la titularidad del dominio. ID proporciona la siguiente información sobre el titular del dominio: Nombre de contacto: (…) Dirección: (…) (en adelante, dirección_1) Teléfono: (…) (en adelante, numeración_1) Correo electrónico: ***EMAIL.1 Con fecha 06/09/2024 se envió un requerimiento de información a “(…)”, a la dirección_1, que fue devuelto el 26/09/2024 por dirección incorrecta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10 Con fecha 20/03/2024 se requirió a XFERA MÓVILES S.A.U., compañía responsable de la numeración_1, información sobre la titularidad de la línea. Con fecha 08/04/2024, aportó la siguiente información: Fecha de activación: ***FECHA.1 Nombre y apellidos: A.A.A. N.º de pasaporte: ***NIF.1 Consultados los datos disponibles correspondientes a ese nombre y pasaporte en el Padrón, con fecha 06/09/2024 se realizó un requerimiento a A.A.A. a la dirección obtenida, que fue devuelto por “Ausente”. Solicitada a la Agencia Tributaria información sobre el domicilio fiscal de A.A.A., ésta indica que no ha podido obtener datos. CUARTO: Con fecha 18 de julio de 2025 la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A., por la presunta infracción del artículo 22.2 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSI), tipificada en el artículo 38.4.

1. g)de la LSSI. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), constando dicha notificación como rechazada por el reclamado en fecha 25/07/2025. Transcurrido el plazo otorgado para la formulación de alegaciones, no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
2. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
3. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 23/02/2024, el sitio web ***WEB.1 contaba con dispositivos de almacenamiento y recuperación de datos (cookies), sin que en la web constaran datos del responsable de la página, ni aviso de primera capa ni de segunda capa ni un enlace que hiciera referencia a política de cookies en el sitio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 SEGUNDO: Con fecha 23/02/2024, en el sitio web ***WEB.1 constaba la utilización de formularios para recogida de datos de carácter personal, en concreto para el registro de una cuenta de usuario. Los datos personales recogidos en ese registro eran: nombre, apellido, teléfono y dirección de correo electrónico. No constaba, sin embargo, información sobre el tratamiento de datos personales. TERCERO: Con fecha 06/03/2025, en el sitio web ***WEB.1 se almacenaban cuatro CUARTO: Con fecha 06/03/2025, en el sitio web ***WEB.1, en el enlace “Aviso Legal” de la página web no incluye información sobre la identidad del responsable de la página ni los tratamientos de datos personales que se realizan. QUINTO: Con fecha 01/03/2024, como titularidad del dominio web ***WEB.1, constaban los siguientes datos: Nombre de contacto: (…) Dirección: (…) (en adelante, dirección_1) Teléfono: (…) (en adelante, numeración_1) Correo electrónico: ***EMAIL.1 SEXTO: Desde fecha 16/01/2023 y, al menos, hasta fecha 08/04/2024, la titularidad del número de teléfono (…), correspondía a A.A.A., con pasaporte número ***NIF.1. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 II Instalación de cookies en el equipo terminal previo al consentimiento En el artículo 22.2 de la LSSI establece que, se debe obtener el consentimiento de los usuarios después de que se les haya facilitado información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, los prestadores de servicio que utilicen cookies deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/2012, interpretó que entre las cookies exceptuadas estarían las cookies de entrada del usuario (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
4. in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento debe cumplir los requisitos previstos en el artículo 4.11 del RGPD y se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción afirmativa realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. III Obligación incumplida. Artículo 22.2 de la LSSI El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/10 En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación.” La definición de prestador del servicio se contiene en el apartado
5. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. En el presente caso, de acuerdo con los hechos probados, A.A.A., como responsable de la página web ***WEB.1, que proporciona un servicio de la sociedad de la información, habría incumplido lo dispuesto artículo 22.2 de la LSSI. Como se ha dicho, el artículo 22.2 de la LSSI exige que se facilite a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos (cookies) y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con carácter previo a la obtención del consentimiento y debe realizarse con arreglo a lo dispuesto el RGPD. Por tanto, los prestadores de servicio deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos (con la excepción de las cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario). En el presente caso, consta evidencia (recogida en distintas fechas: 13/02/2024, 23/02/2024 y 06/03/2025) de que la página web ***WEB.1 almacenaba cookies para las que, de acuerdo con lo previsto por el artículo 22.2 de la LSSI, era necesario el consentimiento previo. Consta asimismo evidencia de que en el acceso a la página y durante la navegación, no se mostraba aviso de cookies ni se solicitaba consentimiento al respecto. Sí figuraba, con fecha 06/03/2025, una referencia a las cookies en un enlace de la página web. Sin embargo, la información que ofrece ese enlace no se corresponde con el funcionamiento real de la página web. En concreto, en la web se indica lo siguiente: “Al acceder a este sitio web o aplicación por primera vez, verá una ventana donde se le informa de la utilización de las cookies y donde puede consultar esta “Política de cookies”. Si usted consiente la utilización de cookies, continúa navegando o hace clic en algún link se entenderá que usted ha consentido nuestra política de cookies y por tanto la instalación de las mismas en su equipo o dispositivo” Sin embargo, según las evidencias que constan en el expediente, en el acceso a la página no aparecería tal ventana informativa. Además, el texto informativo no cumpliría las exigencias necesarias para la obtención de un consentimiento valido. Así pues, el consentimiento de cookies, de acuerdo con el artículo 22.2 de la LSSI condiciona la utilización de cookies a que los usuarios; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/10 “(…) hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal”. En el presente caso, sin embargo, no cabe entender que haya habido un consentimiento válidamente otorgado de acuerdo con la normativa de protección de datos, en particular según los artículos 4.11 y 13 del RGPD, dado que dicho consentimiento no se recogía, ni se facilitaba información sobre los fines del tratamiento de los datos, como exige el art. 22.2 de la LSSI, dado que dicha información no coincidía con el funcionamiento real de la página. IV Tipificación de la infracción por incumplimiento del artículo 22.2 de la LSSI De conformidad con los hechos probados, se considera que A.A.A. como responsable de la página web ***WEB.1, habría utilizado dispositivos de almacenamiento y recuperación de datos no exceptuados en equipos terminales de los destinatarios, sin consentimiento previo y sin haberles facilitado información clara y completa sobre su utilización. Los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 22.2 de la LSSI, que señala lo siguiente: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” V Calificación de la infracción por incumplimiento del artículo 22.2 de la LSSI De conformidad con lo establecido en el artículo 38, en su apartado 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “4. Son infracciones leves: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/10
6. g)Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” Esta infracción puede ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1
7. c)de la LSSI, que estipula lo siguiente: “1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán las siguientes sanciones: (…)
8. c)Por la comisión de infracciones leves, multa de hasta 30.000 euros.” VI Sanción por incumplimiento del artículo 22.2 de la LSSI De acuerdo con las circunstancias del caso, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 40 de la LSSI: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
9. a)La existencia de intencionalidad.
10. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
11. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
12. d)La naturaleza y cuantía de los perjuicios causados.
13. e)Los beneficios obtenidos por la infracción.
14. f)Volumen de facturación a que afecte la infracción cometida.
15. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados, se considera que permiten fijar inicialmente una sanción de multa administrativa de 1.000,00 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con pasaporte número ***NIF.1, por una infracción del Artículo 22.2 de la LSSI, tipificada en el Artículo 38.4.
16. g)de la LSSI, una multa de MIL EUROS (1.000,00 euros). SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/10 Se advierte al sancionado que deberá hacePr efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
17. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez la resolución sea notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
18. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es