← España

PS-00349-2022

1/92 Expediente N.º: PS/00349/2022 IMI Reference: A56ID 438120 – A60DD 448732 – Case Register - 448157 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante), representado por NOYB (European Centre for Digital Rights, Goldschlagstraße 172/4/3/2, 1140 Vienna, ZVR: 1354838270), con fecha 20 de agosto de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VACACIONES EDREAMS, S.L. (en adelante, EDREAMS) con NIF B61965778 (en adelante, EDREAMS). Los motivos en que basa la reclamación son los siguientes: Que el 14/08/2020 a las 4:44:00 hs, visitó el sitio web ***URL.1 mientras estaba conectado a la cuenta de Google asociada a la dirección ***EMAIL.1 perteneciente a la parte reclamante. La parte reclamante había iniciado sesión en su cuenta de Google asociada a su buzón de correo electrónico. A través de código HTML incrustado en la página web “www.edreams.es”, se han recogido datos personales (al menos, la dirección IP y "cookies") de la parte reclamante y se han transferido a Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, EE. UU., a través de los servicios de Google Analytics y Google Ads contratados por el responsable del portal, EDREAMS. La parte reclamante sostiene que la transferencia de datos personales a EEUU por parte del responsable a través de su encargado de tratamiento no tiene base jurídica, toda vez que el TJUE ha invalidado la decisión sobre el "EU-US Privacy Shield" en el fallo C-311/18 ("Schrems II"), y el responsable ya no puede basar la transferencia de datos a Google en los EEUU en una decisión de adecuación en virtud del art. 45 del RGPD. Afirma también que el responsable tampoco puede basar la transferencia de datos en las cláusulas contractuales tipo previstas en los arts. 46.2.c y 46.2.d del RGPD, si el tercer país de destino no garantiza una protección adecuada de los datos personales transferidos con arreglo a esas cláusulas, con arreglo a la legislación de la UE. Además, indica que el TJUE ha fallado explícitamente que las transferencias ulteriores a empresas comprendidas en el artículo 50 del Código de los Estados Unidos (USC), como es el caso de Google, violan los artículos pertinentes del Capítulo 5 del RGPD, ya que, en virtud de esta normativa (50 USC Par. 1881, o "FISA 702"), están sujetas a la vigilancia de la inteligencia de EEUU. Y entiende que, como se desprende de las "Snowden Slides" y del propio Transparency Report del Google, esta entidad está proporcionando activamente datos personales al gobierno de los EEUU bajo ese precepto. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 2/92 Afirma la parte reclamante que el responsable y Google han seguido confiando en el "EU-US Privacy Shield" y en las cláusulas estándares de protección de datos para las mencionadas transferencias de datos. Y solicita que se investigue plenamente la reclamación y se establezca: 1. Qué datos personales fueron transferidos del responsable a Google LLC en los EEUU o a cualquier otro país tercero y organización internacional. 2. En qué mecanismo de transferencia en virtud del artículo 44 y siguientes del RGPD el responsable basó esta transferencia de datos. 3. Si las disposiciones de las Condiciones del Servicio de Google Analytics y las nuevas Condiciones para el tratamiento de datos de Google Ads en su versión actual y con efecto a partir del 31/08/2020 cumplen con los requisitos del artículo 28 RGPD con respecto a la transferencia de datos personales a terceros países. 4. Que se imponga inmediatamente una prohibición o suspensión de cualquiera flujo de datos a Google LLC en los EE. UU. y ordene la devolución de esos datos a la UE/EEE o a otro país que ofrezca la protección adecuada en virtud de los artículos 58

(2)(d), (
  1. f)y (
  2. j)RGPD. 5. Que se impongan multa administrativa contra el Responsable y Google. Junto a la reclamación se aporta un fichero con la extensión .HAR donde consta, entre otra información: 1. Una petición GET a la URL ***URL.2, donde se incluyen cookies y campos de la petición con, entre otros, los siguientes valores: Campo User-Agent Valor (…) _ga __gads _gid (…) (…) (…) 2. Una petición GET a la URL ***URL.3 donde se incluyen cookies y campos de la petición con, entre otros, los siguientes valores: Campo UserAgent NID acceptlanguage u1 C/ Jorge Juan 6 28001 - Madrid Valor (…) (…) (…) (…) www.aepd.es sedeagpd.gob.es 3/92 3. Una petición POST a la URL ***URL.4 con la siguiente cabecera y parámetros codificados en el payload, entre otros: Cabecera (…) Campo UserAgent gjid cid tid _gid acceptlanguage Valor (…) (…) (…) (…) (…) (…) SEGUNDO: Con fecha 05/10/2020, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) Con fecha 10 de diciembre de 2020, EDREAMS remite, en respuesta al requerimiento de esta Agencia la siguiente información y manifestaciones:  En relación con cuestiones generales, manifiesta: 1. Que la compañía introdujo el código de la herramienta en su sitio web www.edreams.es (en adelante el sitio web). 2. Que actualmente siguen incrustando la herramienta en su código. 3. Que la decisión de incorporar la herramienta en su sitio web fue una decisión corporativa para todos los sitios web de esta a nivel europeo con la finalidad de medir y mejorar el rendimiento de su sitio web y detectar posibles problemas y mejoras. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 4/92 4. Que eligieron Google Analytics por su facilidad de implementación y prestaciones versus la competencia. Que no hay muchas alternativas de elección. 5. Que las estadísticas fueron recogidas de interesados en los Estados Miembros donde concentran su actividad; Alemania, Austria, Chequia, Dinamarca, España, Francia, Finlandia, Grecia, Hungría, Italia, Países Bajos, Polonia, Portugal, Rumania, Suecia. 6. Que los datos de la herramienta se acceden principalmente desde las oficinas de España liderada por la responsable del equipo de Analytics, pero también desde Francia y Alemania por el equipo director de cada país. 7. Que, debido a la herramienta, solo se comunican datos a GOOGLE; a nadie más. Que en el caso de que el usuario proporcione su consentimiento para cookies de publicidad y no bloquee las cookies en su navegador, serán también destinatarias las herramientas Google Ad Manager y Google Ads. En todo caso, solo se comunican datos a GOOGLE.  En relación con la legitimación para el uso de la herramienta, manifiesta: 8. “La base legal de la incorporación de la Herramienta es el doble legítimo interés de entender cómo se usa nuestro sitio web y proporcionar un mejor servicio a los usuarios de acuerdo con el artículo 6.1.f del Reglamento General de Protección de Datos (RGPD), en interpretación del artículo 22.2, último párrafo, de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE). Art. 22.2, último párrafo, LSSICE: "Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario. para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario". Así lo ha interpretado la Agencia de Protección de Datos francesa (la CNIL), bajo ciertos parámetros a los que eDreams se ha acogido, que pueden ser consultados en la copia de su documento adjuntado como Anexo 1. Resulta relevante la referencia a la decisión de la CNIL respecto a la argumentación jurídica que sostiene esta parte ya que no solo la normativa francesa, al igual que la española emana de la normativa europea, sino que la interpretación que la CNIL realiza sobre su el artículo 82, último párrafo, de la Ley de Protección de Datos francesa (…) es completamente aplicable ya que dicho artículo francés tiene el mismo contenido que el artículo 22, último párrafo, LSSICE: Versión traducida al español del Art. 82, último párrafo, de la Ley de Protección de Datos francesa: "Estas disposiciones no aplican si el acceso a la información almacenada en el equipo terminal del usuario o el registro de información en el equipo terminal del usuario: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 5/92 1º O, con el único propósito de habilitar o facilitar la comunicación electrónica; 2º O, sea estrictamente necesario para la prestación de un servicio de comunicación online a petición expresa del usuario". Por ello, consideramos aplicable las conclusiones de la CNIL. En su artículo "Cookies: soluciones para herramientas de medición de audiencia" la CNIL confirma Io siguiente en el apartado titulado "Benefíciese de la exención de consentimiento" (Anexo I ): "La gestión de un sitio web o una aplicación requiere casi sistemáticamente el uso de estadísticas de tráfico y/o rendimiento. Algunos trazadores de medición de audiencia pueden estar exentos de consentimiento. La condición para poder utilizar los rastreadores de medición de audiencia sin consentimiento es garantizar que son estrictamente necesarios para la prestación de un servicio de comunicación en línea a petición expresa del usuario, de conformidad con el artículo 82 de la Ley de protección de datos de Francia. Con el fin de limitarse a Io estrictamente necesario para la prestación del servicio la CNIL subraya que estos trazadores deben: Tener una finalidad estrictamente limitada a la medición exclusiva de la audiencia del sitio o de la aplicación (medición del rendimiento, detección de problemas de navegación, optimización de las prestaciones técnicas o de la ergonomía, estimación de la potencia de los servidores necesarios, análisis del contenido consultado), por cuenta exclusiva del editor ; no permitir la vigilancia global de la navegación de la persona utilizando diferentes aplicaciones o navegando en diferentes sitios web; - servir únicamente para producir datos estadísticos anónimos; que no dé lugar a un cotejo de los datos con otras operaciones de procesamiento ni a que los datos se transmitan a terceros. La CNIL también recomienda lo siguiente: Se informará a los usuarios de la aplicación de esos rastreadores, por ejemplo, mediante la política de privacidad del sitio o la aplicación móvil ; la vida útil de los rastreadores debe limitarse a un período que permita una comparación pertinente de las audiencias a lo largo del tiempo, como ocurre con un período de trece meses, y que no debe prorrogarse automáticamente para nuevas visitas; la información recogida mediante estos trazadores debe conservarse durante un período máximo de 25 meses; los períodos de vida y de retención mencionados se revisarán periódicamente a fin de limitarlos al mínimo estrictamente necesario". C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 6/92 Asimismo, la CNIL establece el caso en el que podría estar el servicio de la Herramienta Google Analytics: "(...) es posible que un subcontratista preste un servicio de medición comparativa de la audiencia a múltiples editoriales, siempre que los datos se reúnan. procesen y almacenen de forma independiente para cada editorial y que los trazadores sean independientes entre sí". "Algunas ofertas de medición de la audiencia no entran en el ámbito de aplicación de la exención, en particular cuando sus proveedores indican que reutilizan los datos por cuenta propia. Este es el caso en particular de varias ofertas de medición de grandes audiencias disponibles en el mercado. En algunos casos puede ser posible configurar estas herramientas para desactivar la reutilización de los datos. compruebe con el proveedor de su herramienta que se compromete contractualmente a no reutilizar los datos recogidos". eDreams cumple con las condiciones establecidas por la CNIL en los términos descritos en el presente documento (con especial referencia en nuestras respuestas a las preguntas 6 a 9). Finalmente, en relación a la transferencia internacional de datos, la base legal inicial de la misma recaía en el Certificado del Escudo de Privacidad hasta su nulidad y las cláusulas tipo de protección de datos adoptadas por la Comisión ("Cláusulas Contractuales Tipo", o "CCT"), desde agosto de 2020, junto con las medidas complementarias adecuadas proporcionadas por Google (este punto será desarrollado más adelante).”  En relación con el uso de la herramienta, así como su configuración, manifiesta: 9. Que no tuvo la opción de transferir o no datos fuera del EEE. Que la configuración de la herramienta no lo permite. 10. Manifiesta que “Tratamos los datos de navegación y comportamiento de los clientes en nuestros sitios web están seudonimizados mediante un identificador cookie “Cookie ID” que nos permite analizar cómo el usuario a través de su dispositivo accede e interactúa con nuestro sitio web y nuestro identificador interno para analizar los resultados a nivel estadístico en los términos a continuación. El “Booking ID” (identificador interno de reservas) lo utilizamos para identificar la ratio de conversión de ventas. Así como el “Checked Booking ID” que nos permite saber cuántas personas han entrado en la sección de “Gestionar mi reserva” y han seleccionado cancelar o modificar la misma. Los "Session, Session or eDOuser ID" nos permiten limitar al máximo la cantidad de datos que tenemos en Google Analytics y lo utilizamos para resolver problemas técnicos. Si detectamos que algo no está funcionando bien en nuestro sitio web, necesitamos entender por qué y dónde se está produciendo el error para resolverlo (determinar qué búsquedas han dado error, mediante qué navegador o dispositivo se ha realizado la búsqueda, en qué momento se ha producido dicho error, etc.). C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 7/92 Por todo ello, los datos se circunscriben a cómo nuestros usuarios, mediante sus dispositivos, interactúan con nuestro sitio web (datos de navegación internos al sitio web). En ningún caso se tratan categorías especiales de datos definidas en el artículo 9.1 del RGPD, ni se puede decir que se procesen datos de personas particularmente vulnerables. Tampoco se procesan datos no seudonimizados (no se envía ningún dato personal como nombres, apellidos, etc.).” 11. “El destinatario (esto es, Google) puede tener conocimiento de los datos personales de los usuarios de forma automática, al guardarse la información en su propia plataforma. El código de la Herramienta se integra directamente cuando el usuario accede a nuestro sitio web. Esto es aplicable a la estricta finalidad de analizar el uso de nuestro sitio web. Cualquier finalidad que se aleje de la referida, como por ejemplo, la publicitaria, no se activará hasta que no haya el previo consentimiento del usuario. Esto es, en el caso en el que el usuario no proporcione consentimiento, Google Analytics no se conectará con Google Ad Manager y Google Ads de ninguna forma.” 12. Que los datos se almacenan por el plazo de 26 meses que es el plazo que les permite hacer comparativas versus el año anterior. Que este plazo ha sido definido teniendo en cuenta recomendaciones de agencias europeas de protección de datos sobre el tratamiento de datos de analytics (entre otros, la CNIL, en su documento de 1 de octubre de 2020: "Cookies: soluciones para herramientas de medición de audiencia"). 13. Que los datos se almacenan según cláusula 10.3 del documento “Condiciones para el tratamiento de datos de Google Ads”. Que dichos términos o configuración no permiten el cambio por su parte. 14. Respecto a la configuración de la herramienta y qué servicios utilizan manifiestan que: a. De los cinco fines para compartir datos con GOOGLE exclusivamente tienen activado el de servicio técnico de GOOGLE para que puedan resolver cualquier incidencia, sin que GOOGLE lo pueda usar para otros fines. b. Plazo de retención de 26 meses c. Las cookies no se refrescan pese a que el usuario vuelva a visitar el sitio web por lo que la duración de 13 meses es estática. d. Que aparte del propio servicio de la herramienta, conectan los datos con otros servicios cuando medie previo consentimiento con: “Google Ads Linking: Este servicio vincula nuestra cuenta de Google Ads a la de Analytics permitiendo ver el ciclo completo del cliente, desde cómo los usuarios interactúan con nuestro marketing (por ejemplo, viendo las impresiones de los anuncios, haciendo clic en los anuncios) hasta cómo finalmente conseguimos los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 8/92 objetivos que nos hemos establecido en nuestro sitio (por ejemplo, realizando compras, consumiendo contenido). Adsense Linking: Este servicio permite ver nuestros datos de AdSense en Analytics, así como las métricas clave de Analytics (usuarios, porcentaje de rebote, nuevo visitante, visitante recurrente, % de visitas a la página y canales de tráfico) en las tarjetas de la página de inicio de AdSense. Google Ad Manager Linking: Una vez que nuestras cuentas de Ad Manager y Analytics están enlazadas, las métricas de Ad Manager como impresiones, clics e ingresos estarán disponibles en Analytics. Una sección de informes del editor nos permite analizar estas métricas en el contexto de nuestras páginas. Optimize and Tag Manager linking: Google Optimize permite probar y personalizar nuestro sitio web utilizando los datos de Google Analytics para la medición y targeting. Ad Exchange Linking: Este servicio permite recibir datos del Ad Exchange dentro de su cuenta de Analytics respecto a datos estadísticos de publicidad. Campaign Manager 360 Linking: Este servicio permite habilitar la importación a Analytics 360 de datos estadísticos de campañas de Campaign Manager 360 (impresiones y clics) y datos de costes.” Aporta captura de pantalla de los servicios enlazados con la herramienta donde consta (traducción no oficial, en inglés en el original): a. “AdSense. Vinculado activamente. Recibiendo información. AdSense te ayuda a ganar dinero al mostrar anuncios en tu sitio web que son relevantes para tu audiencia.[…]” b. “Google Adds. Vinculado activamente. Enviando y recibiendo información. Google Ads es un programa de publicidad online que te ayuda a alcanzar a tus clientes y hacer crecer tu negocio, mejora tus campañas de anuncios y analiza el viaje completo del cliente- desde que pincha en el anuncio a la conversión.” c. “Ad Exchange. Vinculado activamente. Recibiendo información. Ad Exchange te ayuda a ganar dinero al mostrar anuncios en tu sitio web que son relevantes para tu audiencia. Correlaciona las métricas clave de AdExchange, como eCPM e impresiones unitarias, con más datos de Analytics”. d. “Campaign Manager 360. Vinculado activamente. Recibiendo información. Campaign Manager 360 es una solución de gestión y publicación de anuncios que ayuda a las agencias y anunciantes a gestionar el alcance total de los programas de publicidad digital. Esta integración permite a los clientes de Google Analytics 360 ver y analizar los datos de Campaign Manager 360 en Analytics.” e. “Google Optimize and Tag Manager for website and app optimization. Vinculado activamente. Recibiendo información. Google Optimize te permite probar y personalizar tu sitio web usando Google analytics para medir y personalizar. […]” C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 9/92 f. “Search Console. Vinculado activamente. Recibiendo información. Search Console te puede ayudar a entender cómo los usuarios encuentran tu sitio web a través de Google búsquedas, identificar formas de atraer más atención a tu sitio web y priorizar los esfuerzos de desarrollo.” Aporta captura de pantalla donde constan configuración de la cuenta en el apartado de “Data Sharing Settings” donde consta: a. “Google product&services”. No seleccionado. b. “Benchmarking”. No seleccionado. c. “Technical Support”. Seleccionado. d. “Account specialists”. No seleccionado. e. “Give all Google sales experts Access to your data and account so you can get more in Depth analysis, insights and recommendations across Google products”. No seleccionado. Consta 26 meses como periodo de retención siendo el periodo mínimo seleccionable de 14 meses y el máximo de 50 meses. Consta asimismo la opción seleccionable de no borrar automáticamente tras un periodo concreto, pero no está seleccionada.  En relación con su relación con GOOGLE manifiesta: 15. Que GOOGLE IRELAND LTD. actúa como encargado del tratamiento, de acuerdo con el Contrato de encargo del tratamiento. Aporta enlace ***URL.5 al Contrato de adhesión propuesto por GOOGLE “Condiciones para el tratamiento de datos de Google Ads”, en el que consta que: “[…] 2.5 En caso de que estas Condiciones del tratamiento de datos fuesen traducidas a cualquier otro idioma y se diese alguna discrepancia entre la versión en inglés y el texto traducido, la versión en inglés será la aplicable. […]”  En relación con las transferencias internacionales manifiesta: 16. Que “[…] es importante mencionar que el caso C-311/18 se refiere a un litigio entre Facebook y uno de sus usuarios con sede en la Unión Europea, en el que los hechos, los datos personales procesados, los términos y condiciones, la base jurídica y las partes relacionadas con este caso difieren del uso que hace eDreams de la Herramienta.” 17. Que desde el mismo día en que se publicó la STJUE C-311/18 se consideró que debían actualizar su contratación eliminado la base legal del Escudo de Privacidad e incluyendo las Cláusulas Contractuales Tipo, que debían analizar los riesgos para los interesados teniendo en cuenta el tipo de datos personales tratados, que debían C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 10/92 revisar las medidas adicionales a las ya contenidas en las Cláusulas Contractuales Tipo. a. Que respecto al Escudo de Privacidad, GOOGLE propuso en un mes (16 de agosto de 2020) su nueva versión con los cambios en las “Condiciones para el tratamiento de datos de Google Ads”. b. Que respecto a los riesgos, eliminaron la transferencia de la IP. c. Que respecto a las medidas adicionales, en un email enviado entre EDREAMS y GOOGLE en fecha 24 de septiembre, GOOGLE declaró haber implementado las siguientes salvaguardas adicionales para garantizar la protección de datos de Google Analytics: i. Google Analytics garantiza la transmisión segura de sus bibliotecas de Javascript y de los datos de medición a través del protocolo HTTP Strict Transport Security (HSTS). https://support.google.com/analytics/answer/6385009 ii. Anonimización de IP. GOOGLE ofreció la posibilidad de anonimizar las IP. Si se activa esta opción, las IP se borran inmediatamente después de la recolección y nunca se almacenan en disco. Que esta medida fue implementada desde eDreams. https://support.google.com/analytics/answer/2763052?hl=en&ref_topic=2919631 iii. Google ha obtenido la certificación ISO 27001 en relación a Google Analytics. iv. Según GOOGLE, tienen un equipo que revisa cuidadosamente cada solicitud de datos de los usuarios que reciben de las autoridades gubernamentales. Informe de transparencia en ***URL.6 y sus políticas en ***URL.7. v. Encriptación para proteger los datos personales contra la interceptación en tránsito. 18. Manifiesta EDREAMS: “[…]no se puede interpretar que toda transferencia a Estados Unidos resulte inválida sino que se requiere un correcto análisis comparativo casuístico y que tenga en cuenta la probabilidad de impacto y los posibles daños a personas sobre sus datos personales y demás derechos y libertades. En primer lugar, el caso judicial al que se refiere la STJUE C-311/18 versa sobre el uso de la red social de Facebook por parte de residentes europeos. Las características de dicho caso, no se asemejan al uso que hacemos de Google Analytics (y que describimos en el presente escrito, en respuesta a sus preguntas), por varias razones. Y es que en una red social como Facebook las características de una red social afectan incontestablemente y de forma severa a la privacidad de los interesados. Dichas características son, entre otras, la naturaleza expansiva de los datos personales (incluyendo datos sensibles, como salud, preferencias políticas, creencias religiosas o posiciones filosóficas, etc., la posibilidad de que Facebook tenga un número razonable de personas vulnerables (especialmente menores, pero no solamente), la cantidad ingente de datos personales que se comparten en dicha C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 11/92 plataforma, con una compleja aplicación del principio de minimización de datos (que pueden representar la vida de una persona), incluso con riesgo de compartir datos (como fotografías) de personas que no forman parte de dicha red social y la directa identificación de los interesados, etc. Por ello, y por el uso que hacemos de la Herramienta referida en este escrito esta parte entiende que las conclusiones del fallo judicial no pueden ser directamente aplicables al uso de la Herramienta por parte de eDreams. Pese a haber sido mencionadas las características esenciales de uso de la Herramienta en otras respuestas, resulta oportuno recalcar algunas de ellas que alejan ambos casos de un posible válido análisis análogo: eDreams usa la Herramienta mediante datos seudonimizados, no pudiendo ser directamente atribuibles dichos datos a una persona física, eDreams aplicado un periodo de retención adecuado para la finalidad descrita de realizar análisis anuales respecto al año anterior, para entender las tendencias, y una minimización de los datos circunscritos al uso de nuestro sitio web por el usuario, etc. De los datos recabados en la Herramienta solo se puede deducir que ciertos identificadores han usado nuestro sitio web y cómo lo han utilizado, lo cual no tiene impacto dentro de las competencias de las agencias estadounidenses, en los términos descritos en nuestra respuesta a la pregunta 23. Asimismo, en relación al uso de cookies, todo usuario tiene la opción de bloquear las única, es una solución práctica y disponible fácilmente. […]” 19. Que la base legal para la transferencia internacional de datos tiene como base legal el Escudo de Privacidad hasta su nulidad y las cláusulas contractuales tipo adoptadas por la Comisión desde agosto de 2020, junto con las medidas complementarias adecuadas proporcionadas por GOOGLE. 20. Que las cláusulas contractuales tipo se localizan en ***URL.8. 21. Que EDREAMS considera por el momento suficientes las medidas complementarias a las Cláusulas Contractuales Tipo proporcionadas por GOOGLE. 22. Y que “Por ello, esta parte no ha considerado realizar una adaptación de la información proporcionada de conformidad con el artículo 13, apartado 1, letra f), del RGPD, o, en su caso, de conformidad con el artículo 14, apartado 1, letra f), del RGPD, puesto que la información facilitada hasta el momento continúa estando en vigor según lo recogido en nuestra Política de Privacidad, en el subapartado "III. Transferencias internacionales de Datos", apartado "7. ¿Cómo protegemos tus datos?"”. 23. Que en contestación a si han comprobado que no exista nada en la legislación del tercer país que prohíba a los destinatarios cumplir sus obligaciones contractuales establecidas en las cláusulas contractuales tipo (SCCs) con el fin de garantizar que no C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 12/92 se menoscabe el nivel de protección de datos de las personas físicas garantizado en el EEE manifiestan que: “En coordinación con Google hemos realizado el análisis en los términos aquí descritos. Teniendo en cuenta las medidas técnicas y organizativas complementarias a las Cláusulas Contractuales Tipo (como por ejemplo la seudonimización), así como a la naturaleza de los datos (a las que nos referimos en este escrito, en especial en las respuestas a las preguntas 7, 17 y 23) confirmamos que no hay nada en la legislación del tercer país que prohíba a los destinatarios cumplir con sus obligaciones contractuales establecidas en las Cláusulas Contractuales Tipo con el fin de garantizar que no se menoscabe el nivel de protección de datos de las personas físicas garantizado en el EEE. Como comentado, solicitamos a Google su postura al respecto ya que a la hora de interpretar la normativa estadounidense tenía sentido apoyarse en una multinacional estadounidense que hacer una valoración firme por nuestra parte, que somos una empresa europea, sobre una normativa extranjera. En base a la información facilitada por Google, así como por la lectura de la propia normativa estadounidense referida en la STJUE referida en este escrito, contestamos afirmativamente a la presente pregunta. En las próximas semanas y meses, eDreams continuará siguiendo muy de cerca las futuras Guías del Comité Europeo de Protección de Datos y las nuevas Cláusulas Contractuales Tipo de la Comisión Europea. Google nos ha confirmado que trabajarán en la misma dirección. En su caso, valoraremos la necesidad de implementar nuevas medidas adicionales a las ya comentadas en nuestra respuesta a las preguntas 17 y 23.” 24. Que en contestación a las razones por las que llegó a la conclusión de que los destinatarios pueden garantizar el cumplimiento de las obligaciones contractuales de las SCCs, manifiestan que: a. El tipo de datos personales recogido en la herramienta versan estrictamente en el uso de su sitio web. b. Que no son directamente identificables, que están seudonimizados con los identificadores internos referidos. c. Que no existe un riesgo contra la privacidad de los usuarios de su sitio web que conduzca a la adopción de medidas más radicales de las medidas complementarias referidas. d. “En caso de que cualquier agencia estadounidense de seguridad quisiera obtener acceso a los datos recogidos por eDreams en la Herramienta, en primer lugar, no podría hacerlo de forma directa, sin enviar solicitud a Google, ya que dichos datos están encriptados. Asimismo, Google tiene procesos internos para cuestionar cualquier requerimiento de la administración norteamericana que considere desproporcional o incompatible con la normativa de protección de datos europea o con las Cláusulas C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 13/92 Contractuales Tipo y esta parte considera que resultaría incomprensible que una petición de acceso a datos de la Herramienta fuese relevante o adecuada, por parte de la normativa estadounidense. […] A mayor abundamiento, en el hipotético caso de que la agencia estadounidense correspondiente terminase accediendo a los datos, no podrá saber qué persona se encuentra detrás de los datos recogidos en la Herramienta a través de nuestros identificadores, ya que solo los datos personales que permitirían una identificación directa están protegidos por eDreams y almacenados dentro del Espacio Económico Europeo.” 25. Que respecto a la legislación americana GOOGLE les ha facilitado la siguiente información: “La OE 123331 (...) organiza y asigna funciones y responsabilidades a la comunidad de inteligencia de los Estados Unidos y articula principios de alto nivel que toda actividad de inteligencia debe cumplir. Las actividades específicas de inteligencia realizadas en virtud de la OE NO 12333 están sujetas a procedimientos de aplicación más específicos (que pueden ser clasificados) que incluyen salvaguardias y protecciones apropiadas para ese tipo de actividad de inteligencia. La OE 12333 rige principalmente las actividades de inteligencia que se realizan fuera de los Estados Unidos. Se entiende que la OE 12333 permite a los Estados Unidos llevar a cabo una vigilancia electrónica fuera de los Estados Unidos de conformidad con los requisitos legales de los Estados Unidos; no autoriza la vigilancia electrónica dentro de los Estados Unidos ni impone requisitos a los proveedores de servicios dentro o fuera de los Estados Unidos. El artículo 702 de la Ley de enmiendas de la FISA, que también exige al Gobierno de los Estados Unidos que reduzca al mínimo el uso y la difusión de datos, tiene dos componentes: El artículo 702 "Upstream" autoriza a las autoridades de los Estados Unidos a recopilar datos que viajan a través de la infraestructura "troncal" de Internet controlada por los proveedores de servicios de comunicación electrónica de los Estados Unidos (por ejemplo, los proveedores de telecomunicaciones de los Estados Unidos). En la medida en que los datos de cualquier usuario o cliente atraviesen las redes sujetas a la recopilación de la sección 702 de Upstream, esos datos se cifran en tránsito como se ha descrito anteriormente. La sección 702 "Downstream" autoriza a las autoridades de los Estados Unidos a obtener datos específicos directamente de los proveedores de servicios de comunicación electrónica. En la medida en que Google LLC pueda estar sujeto a solicitudes específicas relacionadas con los datos de los clientes de Google en virtud de la sección 702 Downstream, revisamos detenidamente cada solicitud que recibimos en virtud de la normativa FISA de acuerdo con las directrices descritas a continuación para asegurarnos de que cumple todos los requisitos legales aplicables y las políticas de Google". 1 Orden Ejecutiva 12333 de los Estados Unidos (en adelante, OE 12333 o EO 123333) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 14/92 26. En relación con la aplicación de medidas complementarias GOOGLE les ha comunicado lo siguiente: “En relación a las medidas técnicas y organizativas, Google declara que si cualquier gobierno solicitara acceder a datos personales almacenados en los sistemas de Google en el curso de una investigación, un equipo dedicado de abogados de Google y personal especialmente capacitado revisará cuidadosamente la solicitud para verificar que sea legal, proporcionada y que cumpla con las políticas de Google. Para obtener más información sobre cómo gestiona Google las solicitudes de datos del gobierno, Google ofrece acceso al Informe de Transparencia, y para obtener una explicación más detallada sobre sus políticas y procedimientos, se pueden acceder aguí. También Google ha publicado las preguntas frecuentes sobre las solicitudes de seguridad nacional de los Estados Unidos. Respecto a las medidas técnicas, Google declara que: "La infraestructura de Google no está diseñada para, y no da al gobierno de los Estados Unidos ni a ningún otro gobierno "puerta trasera" acceso a los datos de los clientes o a sus servidores que almacenan datos de los clientes. Además, Google utiliza sólidas medidas técnicas (como la encriptación, que se describe a continuación) para protegerse contra la interceptación en tránsito, incluidos los intentos de vigilancia de las autoridades gubernamentales de todo el mundo. La encriptación es un proceso que toma datos legibles como entrada (a menudo llamados texto plano) y los transforma en una salida (a menudo llamada texto cifrado) que impide la lectura del texto plano. Si los datos están cifrados, serán ilegibles para un tercero sin la clave de cifrado, y no podrán ser accedidos de forma significativa por un organismo gubernamental de los Estados Unidos o de otro país a menos que pasen por canales de acceso formales para obtener el texto sin cifrar. La encriptación es, por lo tanto, un medio eficaz para evitar cualquier acceso "encubierto" o no autorizado a los datos de los clientes. Google utiliza sólidas medidas técnicas para salvaguardar los datos personales y para protegerlos contra la interceptación durante el tránsito. Google Analytics utiliza por defecto el protocolo HTTP Strict Transport Security (HSTS), que indica a los navegadores que soportan HTTP sobre SSL (HTTPS) que utilicen ese protocolo de encriptación para todas las comunicaciones entre los usuarios finales, los sitios web y los servidores de Google Analytics. Dicha encriptación evita que los intrusos puedan escuchar pasivamente las comunicaciones entre los sitios web y los usuarios. Más información sobre el uso de HTTPS por parte de Google está disponible. Google protege las comunicaciones de servicio a servicio en la capa de aplicaciones mediante un sistema de autenticación mutua y de encriptación de transporte desarrollado por Google llamado Application Layer Transport Security (ALTS). El concepto de AL TS es similar al de TLS de autenticación mutua, pero ha sido diseñado y optimizado para satisfacer las necesidades de los entornos de los centros de datos de Google. AL TS auténtica la comunicación entre los servicios de Google y ayuda a C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 15/92 proteger los datos en tránsito. AL TS es un sistema altamente fiable y de confianza que proporciona autenticación y seguridad para las comunicaciones de la Llamada de Procedimiento Remoto (RPC) de Google. AL TS requiere una participación mínima de los propios servicios de Google. Cuando los servicios de Google se comunican entre sí no necesitan configurar explícitamente nada para asegurar la protección de la transmisión de datos; se trata de la protección de los datos del usuario por diseño y por defecto. ALTS asegura que la integridad del tráfico de Google está protegida, y encriptada según sea necesario. Después de que un protocolo de handshake entre el cliente y el servidor se completa y el cliente y el servidor negocian los secretos criptográficos compartidos necesarios para encriptar y autenticar el tráfico de la red, AL TS asegura el tráfico RPC (Remote Procedure Call) forzando la integridad, y la encriptación opcional, usando los secretos compartidos negociados. Google soporta múltiples protocolos para garantizar la integridad, por ejemplo, AES-GMAC (Advanced Encryption Standard) con claves de 128 bits. Siempre que el tráfico sale de una frontera física controlada por o en nombre de Google, por ejemplo, en tránsito a través de WAN (Wide Area Network) entre centros de datos, todos los protocolos se actualizan automáticamente para proporcionar cifrado así como garantías de integridad. La encriptación HTTPS ayuda a mantener segura la navegación de los usuarios conectando de forma segura su navegador o aplicación con los sitios web que visitan. HTTPS se basa en la tecnología de encriptación -SL o TLS- para asegurar estas conexiones. Dicha encriptación evita que los intrusos puedan escuchar pasivamente las comunicaciones entre los sitios web y los usuarios. Desde 2008, Google ha estado trabajando para asegurarse de que los servicios de Google utilicen un cifrado HTTPS potente de forma predeterminada. En 2015 Google anunció un conjunto de iniciativas para llevar esta misión de "HTTPS Everywhere" también a sus productos publicitarios, para apoyar a sus clientes y socios anunciantes y editores. Google ha estado publicando un informe que proporciona datos sobre el estado de la adopción y el uso de HTTPS en Google y en toda la web, incluso para sus productos publicitarios, así como información adicional sobre el uso del cifrado por parte de Google. … Google cifra los datos de Google Analytics que se almacenan en reposo en sus centros de datos mediante el estándar de cifrado avanzado. Cada centro de datos está protegido con seis capas de seguridad física diseñadas para impedir el acceso no autorizado. Para más información: La encriptación "en reposo" en esta sección significa la encriptación utilizada para proteger los datos del usuario que se almacenan en un disco (incluidas las unidades de estado sólido) o en un medio de copia de seguridad. Todos los datos del usuario se cifran a nivel de almacenamiento, generalmente utilizando el estándar de cifrado avanzado (AES256). Los datos suelen estar cifrados en varios niveles en la pila de almacenamiento de producción de Google en los centros de datos, incluso a nivel de hardware, sin que sea necesaria ninguna acción por parte de los clientes de Google. El uso de múltiples capas de cifrado añade una protección de datos redundante y permite a Google seleccionar el enfoque óptimo en función de los requisitos de la aplicación. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 16/92 Google utiliza bibliotecas criptográficas comunes que incorporan el módulo validado FIPS 140-2 de Google, para implementar la encriptación de manera consistente en todos los productos. El uso consistente de bibliotecas comunes significa que sólo un pequeño equipo de criptógrafos necesita implementar y mantener este código estrechamente controlado y revisado. Google proporciona información de cara al público sobre nuestras medidas de protección y seguridad de datos aquí. Google construye servidores exclusivos para sus centros de datos y mantiene un equipo de seguridad líder en el sector para garantizar que los centros de datos de Google se encuentren entre los más seguros del mundo. Los centros de datos de producción de Google están protegidos por varias capas de seguridad para evitar cualquier acceso no autorizado a los datos (…) Limitamos el acceso a los datos personales de publicidad y análisis de Google al personal de Google que los necesita para realizar su trabajo: (…) Los clientes que utilizan Google Analytics pueden activar la anonimización de IP para indicar a Google que anonimice todas las direcciones IP inmediatamente después de que se recojan. Si se activa, en ningún momento se escribe la dirección IP completa en el disco, ya que toda la anonimización se produce en la memoria casi instantáneamente después de recibir la solicitud. Más detalles sobre la anonimización de IPS pueden ser encontrados aquí. En la medida en que los datos de Google Analytics para la medición transferidos por los clientes son datos personales, tendrían que ser considerados como seudónimos. Las condiciones de servicio de Google Analytics ordenan que no se transfieran a Google datos que Google pueda utilizar o reconocer como información personal identificable (PII). Más información sobre Io que Google considera PII. La decisión de Schrems ll ha generado incertidumbre sobre el impacto de la legislación de los Estados Unidos en las transferencias de datos y sobre el papel de Google LLC, una empresa estadounidense, como importador de datos en virtud de los MCC introducidos con los clientes de los productos de publicidad y medición de Google. La Orden Ejecutiva 12333 de los Estados Unidos (EO 12333) (...) permite a los Estados Unidos llevar a cabo una vigilancia electrónica fuera de los Estados Unidos de conformidad con los requisitos legales de los Estados Unidos; no autoriza la vigilancia electrónica dentro de los Estados Unidos ni impone requisitos a los proveedores de servicios dentro o fuera de los Estados Unidos. Certificaciones de terceros y ofertas de cumplimiento. Google ha obtenido la certificación ISO 27001 que proporciona una acreditación independiente de los sistemas, aplicaciones, personas, tecnología, procesos y centros de datos que sirven a varios productos de Google. Google permitirá a los clientes o a un auditor de terceros designado por un cliente realizar auditorías (incluidas inspecciones) para verificar el cumplimiento de las obligaciones de Google"”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 17/92 27. Manifiestan que “La aplicación de estas medidas complementarias, junto con el seguimiento por parte de eDreams de las indicaciones de Google, así como la naturaleza de los datos, la impertinencia de los datos recogidos en la Herramienta ante cualquier solicitud de cualquier agencia... nos lleva a concluir que entendemos que no hay riesgo para la privacidad de nuestros usuarios.” 2) Mediante diligencia realizada por esta Agencia el día 03 de febrero de 2021, se comprueba que en el enlace ***URL.9 en la política de privacidad de EDREAMS consta que: “[…] V. Actividades de marketing. Utilizamos tu información con fines de marketing, entre otros: […] II. Información que recopilamos automáticamente cuando utilizas nuestros servicios. a. Información de tu dispositivo (por ejemplo, tu dirección de IP, el tipo de navegador, los proveedores de servicios de Internet, la ubicación geográfica, la información técnica del dispositivo, la hora y la duración de la solicitud y la visita y el método utilizado para enviar tu solicitud al servidor). Cuando visitas nuestros sitios web o nuestra app, recopilamos automáticamente determinada información de tu dispositivo. Ten en cuenta que es posible que asociemos dicha información con tu cuenta. b. Otra información técnica, por ejemplo, cómo ha interactuado tu dispositivo con nuestro sitio web o nuestra app (por ejemplo, las páginas a las que has accedido, los enlaces en los que has hecho clic, etc.) u otros medios. […] Si te registras en nuestro sitio web con la cuenta de una red social, vinculas la cuenta que usas en nuestro sitio web con tu cuenta de la red social o utilizas alguna otra de nuestras funciones de redes sociales, podemos acceder a información sobre ti a través de dicho proveedor de redes sociales, de acuerdo con las políticas de dicho proveedor. La información puede incluir tu nombre, dirección de e-mail, foto de perfil, género, lista de amigos y cualquier otra información que nos autorices a recibir. Parte de esta información puede recopilarse mediante cookies o con tecnología de seguimiento similar. El tratamiento de la información recopilada a través de cookies se basa en distintos fundamentos legales (por ejemplo, puede ser necesario para proporcionar nuestros servicios en base a tu consentimiento). Para obtener más información, consulta nuestra Política de cookies. […] III. Transferencias internacionales de datos. Nuestros servidores están ubicados en la Unión Europea. Sin embargo, para facilitar nuestras operaciones mundiales (realizadas por proveedores de servicios externos) la transmisión de datos personales a los destinatarios anteriormente descritos puede incluir transferencias internacionales C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 18/92 de datos personales a países cuya normativa de protección de datos no es tan completa como la de los países dentro de la Unión Europea. En estas situaciones, según se requiera, realizamos acuerdos contractuales para garantizar que tus datos personales siguen protegidos de acuerdo con los estándares europeos. […]” 3) Con fecha 03 de febrero 2021, se comprueba mediante diligencia de esta Agencia el contenido de la url ***URL.10 donde consta (traducción no oficial, en inglés en el original): “Términos del Tratamiento de Datos de Google Ads: Cláusulas Modelo del Contrato Cláusulas Contractuales Estándar (Encargados) Para la transferencia de datos personales a encargados establecidos en terceros países que no aseguran un nivel adecuado de protección de datos Nombre de la organización que exporta los datos: la entidad identificada como el “Cliente” en los Términos del Tratamiento de Datos (el exportador de datos) y Nombre de la organización que importa los datos: Google LLC, 1600 Amphitheatre Parkway, Mountain View, California 94043 USA (el importador de datos) […] Cláusula 4 Obligaciones del exportador de datos El exportador de datos acuerda y garantiza: (
  3. a)que el tratamiento, incluida la transferencia en sí, de los datos personales ha sido y será llevada a cabo de acuerdo con las disposiciones relevantes de la legislación de protección de datos aplicable (y, en su caso, haya sido notificado a las autoridades relevantes del Estado Miembro donde esté establecido el exportador de datos) y no viola las disposiciones relevantes de ese Estado; (
  4. b)que ha instruido y durante la duración de los servicios de tratamiento de los datos personales instruirá al importador de datos para que trate los datos personales transferidos solo por cuenta del exportador de datos y de acuerdo con la legislación de protección de datos aplicable y las Cláusulas; (
  5. c)que el importador de datos dará garantías suficientes respecto de las medidas de seguridad técnicas y organizativas especificadas en el Apéndice 2 de este contrato; (
  6. d)que luego de analizar los requerimientos de la legislación de protección de datos aplicable, las medidas de seguridad son adecuadas para proteger los datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 19/92 personales contra destrucción accidental o ilícita o pérdida accidental, alteración, revelación no autorizada o acceso, en particular si el tratamiento implica la transmisión de datos por una red, y contra toda otra forma de tratamiento ilícito, y que estas medidas aseguran un nivel de seguridad apropiado a los riesgos que presenta el tratamiento y la naturaleza de los datos a proteger teniendo en cuenta el estado del arte y el coste de su implementación; […] Cláusula 5 Obligaciones del importador de datos El importador de datos acuerda y garantiza: (
  7. a)tratar los datos personales solo por cuenta del exportador de datos y en cumplimiento de sus instrucciones y las Cláusulas; si no pudiera cumplir por cualquier razón, acuerda informar debidamente al exportador de datos de su imposibilidad de cumplir, en cuyo caso el exportador de datos puede suspender la transferencia de los datos y/o finalizar el contrato; (
  8. b)que no tiene razones para creer que la legislación aplicable le impide cumplir con las instrucciones recibidas del exportador de datos y sus obligaciones bajo el contrato y que en el supuesto de un cambio en esta legislación que es probable que tenga un efecto adverso sustancial sobre las garantías y obligaciones establecidas por la Cláusulas, notificará inmediatamente el cambio al exportador de datos tan pronto como tenga conocimiento, en cuyo caso el exportador de datos puede suspender la transferencia de los datos y/o finalizar el contrato; (
  9. c)que ha implementado las medidas de seguridad técnicas y organizativas especificadas en el Apéndice 2 antes de tratar los datos personales transferidos; (
  10. d)que notificará inmediatamente al exportador de datos sobre: (
  11. i)cualquier solicitud legalmente vinculante de divulgación de los datos personales por parte de una autoridad encargada de hacer cumplir la ley a menos que esté prohibido, como una prohibición bajo […] […] Cláusula 8 Cooperación con las autoridades de supervisión 1. El exportador de datos acuerda depositar una copia de este contrato en la autoridad de supervisión si esta solicitud o depósito fuera obligatorio bajo la legislación de protección de datos aplicable. 2. Las partes acuerdas que la autoridad de supervisión tiene el derecho a llevar a cabo una auditoría del importador de datos, y de cualquier sub-encargado, que tiene el C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 20/92 mismo alcance y está sujeto a las mismas condiciones que aplicaría a una auditoría del exportador de datos bajo la legislación de protección de datos aplicable. […] Apéndice 2 a las Cláusulas Contractuales Estándar Este Apéndice forma parte de las Cláusulas. Descripción de las medidas de seguridad técnicas y organizativas implementadas por el importador de datos de acuerdo con las Cláusulas 4(
  12. c)y 5(
  13. c)(o documento/legislación adjunto): El importador de datos actualmente cumple con las Medidas de Seguridad establecidas en el Apéndice 2 de los Términos del Tratamiento de Datos en ***URL.11. […]” 4) Mediante diligencia de esta Agencia de fecha 03 de febrero 2021 se comprueba el contenido de la ***URL.12 donde consta: “Condiciones para el tratamiento de datos de Google Ads Google y la contraparte que acepta las presentes Condiciones (el "Cliente"), han celebrado un contrato para la prestación de los Servicios del encargado del tratamiento (con sus enmiendas puntuales, el "Contrato”) Las presentes Condiciones del tratamiento de datos de los anuncios de Google, (las "Condiciones del tratamiento de datos") se suscriben por Google y el Cliente y complementan al Contrato. […] Introducción Las presentes Condiciones del tratamiento de datos reflejan el acuerdo de las partes sobre las condiciones que rigen el tratamiento de determinados datos personales en relación con la Legislación europea de protección de datos y con determinada Legislación no europea de protección de datos. Definiciones e interpretación […] "Leyes Europeas o Nacionales": según corresponda: (
  14. a)las leyes de la UE o sus Estados Miembros (si el RGPD UE aplica al tratamiento de Datos Personales del Cliente); y/o (
  15. b)la ley de Reino Unido o una parte de Reino Unido (si el RGPD de Reino Unido aplica al tratamiento de Datos Personales del Cliente). […] C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 21/92 "Google": la Entidad de Google que sea parte del Contrato. "Subencargados del tratamiento de datos de filiales de Google" tiene el significado dado en la Sección 11.1 (Consentimiento para la contratación del Subencargado del tratamiento de datos). "Entidad de Google": Google LLC (anteriormente conocido como Google Inc.), Google Ireland Limited o cualquier otra Filial de Google LLC. […] 5. Tratamiento de datos 5.1 Roles y cumplimiento normativo; autorización. 5.1.1 Responsabilidades del encargado del tratamiento y del responsable del tratamiento. Las partes reconocen y aceptan que: (
  16. a)El Apéndice 1 describe el objeto y los detalles del tratamiento de los Datos personales del cliente; (
  17. b)Google es un encargado del tratamiento de Datos personales del cliente con arreglo a la Legislación europea de protección de datos; (
  18. c)El Cliente es un responsable del tratamiento o encargado del tratamiento, según corresponda, de Datos personales del cliente con arreglo a la Legislación europea de protección de datos; y (
  19. d)cada parte cumplirá las obligaciones que le correspondan en virtud de la Legislación europea de protección de datos con respecto al tratamiento de Datos personales del cliente. […] 5.2. Instrucciones del cliente. Al celebrar las presentes Condiciones del tratamiento de datos, el Cliente instruye a Google para que efectúe el tratamiento de los Datos personales del cliente solo de acuerdo con la legislación aplicable: (a)para proporcionar los Servicios del encargado del tratamiento y cualquier soporte técnico relacionado; (
  20. b)tal y como se especifica más a través del uso por parte del Cliente de los Servicios del encargado del tratamiento (incluida la configuración y otras funcionalidades de los Servicios del encargado del tratamiento) y cualquier soporte técnico relacionado; (
  21. c)según se documenta por medio del Contrato, incluidas las presentes Condiciones del tratamiento de datos; y (
  22. d)tal y como se documenta en otras instrucciones proporcionadas por escrito por el Cliente y reconocidas por Google como instrucciones constitutivas para los propósitos de las presentes Condiciones del tratamiento de datos. 5.3. Cumplimiento de las instrucciones por parte de Google. Google cumplirá las instrucciones descritas en la Sección 5.2 (Instrucciones del cliente) (incluidas las relativas a transferencias de datos), a menos que las Leyes Europeas o Nacionales a C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 22/92 las que está sujeta Google requiera otro tratamiento de datos personales por parte de Google, en cuyo caso Google informará al Cliente (a menos que alguna de dichas leyes prohíba a Google hacerlo por motivos importantes de interés público). […] 10. Transferencias de datos 10.1 Almacenamiento de datos e instalaciones de tratamiento. El Cliente acepta que Google, sin perjuicio de la Sección 10.2 (Transferencias de Datos), almacene y efectúe el tratamiento de Datos personales del cliente en cualquier país en el que Google o cualquiera de sus Subencargados del tratamiento de datos mantenga instalaciones. 10.2 Transferencias de Datos. Si el almacenamiento y/o tratamiento de los Datos personales del cliente implica transferencias de Datos Personales del Cliente desde el EEE, Suiza o el Reino Unido a cualquier país tercero que no esté sujeto a una decisión de adecuación bajo la Legislación europea de protección de datos: (
  23. a)Se considerará que el cliente (como exportador de datos) ha suscrito las Cláusulas Contractuales Tipo con Google LLC (como importador de datos); (
  24. b)las transferencias estarán sujetas a las Cláusulas Contractuales Tipo; y (
  25. c)Google se asegurará de que Google LLC cumpla con sus obligaciones en virtud de dichas Cláusulas Contractuales Tipo con respecto a dichas transferencias. […] 11. Subencargados del tratamiento de datos. 11.1 Consentimiento para la contratación del Subencargado del tratamiento de datos. El Cliente autoriza específicamente la contratación de las filiales de Google como Subencargados del tratamiento de datos ("Subencargados del tratamiento de datos de filiales de Google"). Además, el Cliente generalmente autoriza la contratación de otros terceros como Subencargados del tratamiento de datos ("Subencargados del tratamiento de datos terceros"). Si se aplican las Cláusulas Contractuales Tipo en virtud de la Sección 10.2 (Transferencias de datos), las autorizaciones anteriores constituyen el consentimiento previo por escrito del Cliente para la subcontratación por parte de Google LLC del tratamiento de los Datos personales del Cliente. […] 5) Mediante diligencia de esta Agencia de fecha 03 de febrero de 2021 se comprueba el contenido de la url ***URL.13 donde consta: “[…] Solicitudes de agencias gubernamentales de EE. UU. en casos que involucran seguridad nacional C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 23/92 En investigaciones relacionadas con la seguridad nacional, el gobierno de los EE. UU. puede utilizar una Carta de Seguridad Nacional (NSL) o una de las autorizaciones otorgadas en virtud de la Ley de Vigilancia de Inteligencia Extranjera (FISA) para obligar a Google a proporcionar información del usuario. Una NSL no requiere autorización judicial y solo puede usarse para obligarnos a proporcionar información limitada del suscriptor. Las órdenes y autorizaciones de FISA se pueden usar para obligar a la vigilancia electrónica y la divulgación de datos almacenados, incluido el contenido de servicios como Gmail, Drive y Photos.” […]” (traducción no oficial, en inglés en el original) 6) Mediante diligencia de esta Agencia de fecha 03 de febrero de 2021 se comprueba el contenido de la url ***URL.14 donde consta: “[…] Conceptos básicos sobre la información personal identificable en los contratos y las políticas de Google. En muchos contratos, términos del servicio y políticas de los productos de publicidad y medición de Google se hace referencia a la "información personal identificable" (IPI). Se trata de una categorización de datos diferente a lo que el Reglamento General de Protección de Datos (RGPD) considera "datos personales". Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD sí lo haga o que esos datos se consideren información personal de conformidad con la Ley de Privacidad del Consumidor de California (CCPA), y pueden estar sujetos a esas leyes. […] Google considera "información personal identificable" la información que se pueda usar por sí sola para identificar o ubicar con precisión a una persona, o para ponerse en contacto con ella de forma directa. Entre otros datos, incluye lo siguiente: • Direcciones de correo electrónico • Direcciones de correo postal • Números de teléfono • Ubicaciones precisas (por ejemplo, coordenadas GPS, salvo en los casos que se mencionan más abajo) • Nombres completos (nombre y apellidos) o nombres de usuario. […] Entre otros, Google no considera información personal identificable los siguientes datos: • ID de cookie seudónimos • ID de publicidad seudónimos • Direcciones IP • Otros identificadores de usuario final seudónimos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 24/92 Por ejemplo, si se envía una dirección IP con una solicitud de anuncio (algo que sucede con casi todas las solicitudes de anuncios como consecuencia de los protocolos de Internet), ese envío no incumplirá ninguna prohibición relacionada con el envío de información personal identificable a Google. Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD, la CCPA u otras leyes de privacidad los consideren datos personales o información personal. […]” 7) Mediante diligencia de esta Agencia de fecha 01 de febrero de 2021 se comprueba que tras visitar la web ***URL.15 estando logado en una cuenta de prueba de Google, consta reflejado dentro del apartado “Actividad en la Web y Aplicaciones” la visita realizada a dicha web. 8) Mediante diligencia de fecha 17 de febrero de 2021 se comprueba, tras borrar 1. Tras realizar login en una cuenta de Google, se encuentran instaladas en el navegador cookies como NID, LSID, SID, __Secure-3PSID, __Secure-3PAPISID todas ellas de más de 30 caracteres alfanuméricos donde se permiten mayúsculas y minúsculas y un periodo de caducidad desde 6 meses a varios años. No constan 2. Que estando logado en la cuenta de Google y tras visitar ***URL.15, rechazando todas sus cookies y realizar una navegación correspondiente a una búsqueda de un coche de alquiler desde Madrid-Aeropuerto a Málaga-Aeropuerto con fecha de inicio del alquiler el 25/02/2021 y fecha de fin el 28/02/2021 se comprueba que se instalan las cookies _ga, _gid entre otras. También se comprueba que consta una petición HTTP GET al dominio google-analytics.com en cuyos parámetros dentro de la url de la petición constan, entre otros, datos como: a. la cookie _ga dentro del parámetro cid y la cookie _gid. b. la url visitada (***URL.16) y, entre otros datos, la operación realizada dentro de la misma, codificada como: “pickupDateTime”: “2021-02-25” “returnDateTime”: “2021-02-28” “pickupName”: “%3DMadrid%2520-%2520Aeropuerto” “returnName”: “%3DM%25C3%25A1laga%2520-%2520Aeropuerto” c. el parámetro “sr”. 3. Que en las cabeceras del HTTP GET constan asimismo datos como “useragent” y “accept-language”. 9) Mediante diligencia de fecha 04 de marzo de 2021 se comprueba que, tras hacer login en una cuenta de Google, seguido de un logout y seguido a continuación de una navegación en www.edreams.es correspondiente a una búsqueda de vuelo más hotel del 19 al 21 de marzo y seleccionando como origen Madrid y destino Málaga: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 25/92 1. Consta una petición HTTP POST al dominio google-analytics.com donde se envía datos como payload, entre otros: “www.edreams.es” “sr=1920x1080” el parámetro “cid” que coincide con el valor de la cookie _ga el parámetro _gid que coincide con el valor de la cookie _gid la fecha de salida y de vuelta, así como la ciudad de salida y la de llegada. 2. Que en las cabeceras del HTTP POST constan asimismo datos como “useragent” y “accept-language”. 10) Mediante diligencia de fecha 23 de junio de 2021 se comprueba que, tras hacer login en una cuenta de Google, a continuación se realiza una navegación por la web www.edreams.es: 1. Que consta una petición HTTP GET al dominio adservice.google.com donde se envía como parámetro u1 el mismo valor que el contenido en la cookie _ga así como los parámetros “user-agent” y “accept-language”. Que en esta misma petición HTTP GET se envía también la cookie NID. Se comprueba, en distintas fechas, que el dominio 25oogle-analytics.com así como varias direcciones IP correspondientes a ese dominio, constan asignadas a GOOGLE LLC 11) Con fecha 12 de mayo de 2021, EDREAMS remite a esta Agencia la siguiente información y manifestaciones: 1. Que la cifra total de usuarios en el periodo desde el 1 de abril de 2020 al 31 de marzo de 2021 de su página web ***URL.15 así como de otras versiones de su página orientadas a otros países es, por ejemplo, en el mercado alemán de 1.623.842 visitas, en el español 13.344.019 visitas y en el mercado francés de 12.682.624 visitas. Que la cifra de usuarios totales en el periodo descrito es de 72.648.400 visitas. 2. Que la versión que usan es Google Analytics 360, desde julio del año 2012. 12) Con fecha 28 de mayo de 2021 EDREAMS remite a esta Agencia la siguiente información y manifestaciones: 1. Que los establecimientos en los que tratan datos personales en el contexto de la reclamación son Alemania, España, Francia, Italia, Reino Unido. 2. Que en cuanto a medios humanos, (…). CUARTO: Con fecha 05 de octubre de 2021, la Directora de la AEPD declaró la caducidad de las actuaciones al haber transcurrido más de doce meses desde la fecha de admisión a trámite de la reclamación, y al no haber prescrito la infracción se abrieron nuevas actuaciones de investigación con el número E/10531/2021, y se incorporaron a estas nuevas actuaciones la documentación obrante en el E/08699/2020. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 26/92 QUINTO: La Subdirección General de Inspección de Datos continuó con la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) Mediante diligencia realizada por esta Agencia en fecha 27 de octubre de 2021, se comprueba que en el plenario del Comité Europeo de Protección de datos de fecha 2 de septiembre de 2020, se decidió crear un grupo de trabajo para asegurar una aproximación coherente entre las autoridades de datos europeas para gestionar las 101 reclamaciones de NOYB, que versan sobre cuestiones similares (quien reclama ha visitado una página web de un responsable de tratamiento mientras había iniciado sesión en su cuenta de Google o Facebook, vinculada a su dirección de correo electrónico. Y el responsable de tratamiento había embebido código de servicios de Google o Facebook, que habían transferido sus datos personales a Estados Unidos, sin tener base jurídica para ello). 2) Mediante diligencia realizada por esta Agencia en fecha 27 de octubre de 2021, se incorpora un documento de fecha 09 de abril de 2021 que GOOGLE LLC remite a la autoridad austríaca de protección de datos, la cual lo comparte con el resto de autoridades a través del Grupo de trabajo para las 101 reclamaciones de NOYB en el contexto de la sentencia del TJUE Schrems II (“101 taskforce”, en adelante, grupo de trabajo TF101). con el contenido que consta en el HECHO PROBADO CUADRAGÉSIMO. 3) Mediante diligencia realizada por esta Agencia, de fecha 02 de noviembre 2021, se comprueba que en la página web ***URL.1está disponible también para los siguientes países del EEA: República Checa, Francia, Italia, Rumanía, Alemania, Grecia, Holanda, Polonia, Hungría, Portugal 4)Mediante diligencia de esta Agencia de fecha 02 de noviembre de 2021 se comprueba que en la url ***URL.17 consta la existencia de solicitudes de información FISA (Foreign Intelligence Surveillance Act) y NSL (National Security Letters) dirigidas a GOOGLE sobre información de usuarios. 5) Mediante diligencias realizadas por esta Agencia de fecha 24 de marzo de 2022 y 25 de marzo de 2022 se comprueba que en la descripción de Google Analytics localizable en las urls ***URL.18 y ***URL.19 consta, entre más información, que las la resolución de pantalla. Se comprueba también, mediante la ejecución de comandos tracert hacia varias direcciones IP asignadas a GOOGLE LLC en relación al dominio google-analytics.com que los tiempos RTT son demasiado bajos para estar dichas IP de destino geográficamente ubicadas en Estados Unidos. SEXTO: Con fecha 03/10/2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 18/10/2022 se transmitió a través del sistema IMI este C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 27/92 proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD entonces vigente. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el día 04/10/2022, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 25 de noviembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 44 del RGPD, tipificada en el Artículo 83.5 del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones que se ha incorporado al expediente. NOVENO: Con fecha 29 de noviembre de 2022 EDREAMS presenta escrito solicitando ampliación del plazo para presentar alegaciones y de copia del expediente. Con fecha 9 de diciembre de 2022 se dictó acuerdo concediendo a EDREAMS una ampliación de presentar alegaciones de cinco días hábiles, y se procedió a realizar una copia del expediente, la cual, debido al tamaño del documento, no pudo enviarse de forma electrónica como es práctica habitual en esta Agencia. Debido a esta imposibilidad técnica, se decidió remitir la copia del expediente en soporte electrónico mediante mensajería, para lo cual el personal de esta Agencia encargado de tales funciones confirmó telefónicamente el domicilio con personal de EDREAMS que, en ese momento, constaba en la base de datos de esta Agencia, al cual se remitió el envío el día 12 de diciembre de 2022. Pese a la citada comprobación, tal y como consta en el justificante expedido por la empresa de mensajería obrante en el expediente, el 13 de diciembre de 2022, cuando aún restaban 6 días hábiles para la finalización del plazo para presentar alegaciones, el repartidor de la empresa de mensajería no pudo entregar el envío por la siguiente causa: “Destinatario desconocido en el domicilio de entrega”. Tras este primer intento de entrega, se volvió a contactar de nuevo con EDREAMS para confirmar el domicilio. Por lo tanto, el retraso en la entrega de la copia del expediente se debe a que EDREAMS, no había notificado a esta Agencia el cambio de domicilio. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 28/92 El día 15 de diciembre de 2022, cuando restaban cuatro días hábiles para el último día de presentación de alegaciones, personal de esta Agencia facilitó la copia del expediente de forma presencial a un ciudadano que actuaba en representación de EDREAMS, a quien no pudo facilitarse la copia dos días antes, cuando compareció ante esta Agencia sin acreditar dicha representación. DÉCIMO: Con fecha 28 de junio de 2023, el órgano instructor del procedimiento dictó propuesta de resolución en la que se propone que se ordene a EDREAMS adaptar su actividad de tratamiento al RGPD, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del Artículo 44 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Esta propuesta de resolución, que se notificó a EDREAMS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 28 de junio de 2023, como consta en el acuse de recibo que obra en el expediente. UNDÉCIMO: Con fecha 14 de julio de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de EDREAMS en el que aduce alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: A.A.A. (la parte reclamante) el 14/08/2020 a las 4:44:00 hs, visitó el sitio web ***URL.1 mientras estaba conectado a la cuenta de Google asociada a la dirección ***EMAIL.1perteneciente a la parte reclamante. A través de código HTML incrustado en la página web “www.edreams.es”, se han recogido datos personales (al menos, la dirección IP y "cookies") de la parte reclamante y se han transferido a Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, EE. UU., a través de los servicios de Google Analytics y Google Ads contratados por el responsable del portal, EDREAMeS. Al visitar la parte reclamante la citada página web se han realizado las siguientes peticiones: 1. Una petición GET a la URL ***URL.2, donde se incluyen cookies y campos de la petición con, entre otros, los siguientes valores: Campo User-Agent Valor (…) _ga __gads (…) (…) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 29/92 _gid (…) 2. Una petición GET a la URL ***URL.3donde se incluyen cookies y campos de la petición con, entre otros, los siguientes valores: Campo UserAgent NID acceptlanguage u1 Valor (…) (…) (…) (…) 3. Una petición POST a la URL ***URL.20 con la siguiente cabecera y parámetros codificados en el payload, entre otros: Cabecera (…) (…) Campo UserAgent gjid cid tid _gid acceptlanguage Valor (…) (…) (…) (…) (…) (…) SEGUNDO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, EDREAMS ha introducido el código de la herramienta Google Analytics en su sitio web ***URL.15 y en la actualidad lo sigue incrustando. TERCERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, las estadísticas de Google Analytics fueron recogidas de interesados en los Estados Miembros donde EDREAMS concentra su actividad; Alemania, Austria, Chequia, Dinamarca, España, Francia, Finlandia, Grecia, Hungría, Italia, Países Bajos, Polonia, Portugal, Rumania, Suecia. CUARTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, los datos de la herramienta Google Analytics se acceden principalmente desde las oficinas de EDREAMS de España liderada por la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 30/92 responsable del equipo de Analytics, pero también desde Francia y Alemania por el equipo director de cada país. QUINTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, EDREAMS solo comunican los datos recopilados a través de Google Analytics a GOOGLE. Y en el caso de que el usuario proporcione su consentimiento para cookies de publicidad y no bloquee las cookies en su navegador, serán también destinatarias las herramientas Google Ad Manager y Google Ads. SEXTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, la base legal de la incorporación de la Herramienta es el doble legítimo interés de entender cómo se usa el sitio web de EDREAMS y proporcionar un mejor servicio a los usuarios. SÉPTIMO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, la base legal inicial de la transferencia internacional de datos por parte de EDREAMS recaía en el Certificado del Escudo de Privacidad hasta su nulidad y las cláusulas tipo de protección de datos adoptadas por la Comisión ("Cláusulas Contractuales Tipo", o "CCT"), desde agosto de 2020, junto con las medidas complementarias adecuadas proporcionadas por Google. OCTAVO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, EDREAMS no tuvo la opción de transferir o no datos fuera del EEE al utilizar Google Analytics, dado que la configuración de la herramienta no lo permite. NOVENO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, EDREAMS trata los datos de navegación y comportamiento de los clientes en sus sitios web seudonimizados mediante un identificador cookie “Cookie ID” que le permite analizar cómo el usuario a través de su dispositivo accede e interactúa con su sitio web y su identificador interno para analizar los resultados a nivel estadístico. El “Booking ID” (identificador interno de reservas) es utilizado por EDREAMS para identificar la ratio de conversión de ventas. Así como el “Checked Booking ID” les permite saber cuántas personas han entrado en la sección de “Gestionar mi reserva” y han seleccionado cancelar o modificar la misma. Los "Session, Session or eDOuser ID" permiten limitar al máximo la cantidad de datos que EDREAMS tiene en Google Analytics y los utilizan para resolver problemas técnicos. Por todo ello, los datos se circunscriben a cómo los usuarios, mediante sus dispositivos, interactúan con el sitio web de EDREAMS (datos de navegación internos al sitio web). En ningún caso se tratan categorías especiales de datos definidas en el artículo 9.1 del RGPD, ni se procesan datos de personas particularmente vulnerables. Tampoco se procesan datos no seudonimizados. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 31/92 DÉCIMO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, GOOGLE puede tener conocimiento de los datos personales de los usuarios de forma automática, al guardarse la información en su propia plataforma. El código de la herramienta Google Analytics se integra directamente cuando el usuario accede al sitio web de EDREAMS. Cualquier finalidad que se aleje de analizar el uso del citado sitio web, como por ejemplo, la publicitaria, no se activará hasta que no haya el previo consentimiento del usuario. Esto es, en el caso en el que el usuario no proporcione consentimiento, Google Analytics no se conectará con Google Ad Manager y Google Ads de ninguna forma. DÉCIMO PRIMERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, los datos se almacenan por el plazo de 26 meses, que es el plazo que les permite hacer comparativas versus el año anterior. DÉCIMO SEGUNDO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, los datos se almacenaban según cláusula 10.3 del vigente documento “Condiciones para el tratamiento de datos de Google Ads”, cuyos términos o configuración no permitían el cambio por parte de EDREAMS. DÉCIMO TERCERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, de los cinco fines para compartir datos con GOOGLE exclusivamente EDREAMS tenía activado el de servicio técnico de GOOGLE para que puedan resolver cualquier incidencia, sin que GOOGLE lo pueda usar para otros fines. DÉCIMO CUARTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, las cookies no se refrescan pese a que el usuario vuelva a visitar el sitio web por lo que la duración de 13 meses es estática. DÉCIMO QUINTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, aparte del propio servicio de la herramienta Google Analytics, se conectan los datos con otros servicios cuando medie previo consentimiento con: Google Ads Linking: que vincula la cuenta Google Ads a la de Analytics permitiendo ver el ciclo completo del cliente, desde cómo los usuarios interactúan con el marketing hasta cómo finalmente se consiguen los objetivos que se han establecido en el sitio web. Adsense Linking: que permite ver los datos de AdSense en Analytics, así como las métricas clave de Analytics en las tarjetas de la página de inicio de AdSense. Google Ad Manager Linking: una vez que se enlazan las cuentas de Ad Manager y Analytics, las métricas de Ad Manager estarán disponibles en Analytics. Optimize and Tag Manager linking: Google Optimize permite probar y personalizar el sitio web utilizando los datos de Google Analytics para la medición y targeting. Ad Exchange Linking: que permite recibir datos del Ad Exchange dentro de la cuenta de Analytics respecto a datos estadísticos de publicidad. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 32/92 Campaign Manager 360 Linking: que permite habilitar la importación a Analytics 360 de datos estadísticos de campañas de Campaign Manager 360 y datos de costes. DÉCIMO SEXTO: A 10/12/2020, EDREAMS tenía los siguientes servicios enlazados con la herramienta Google Analytics: a. “AdSense. Vinculado activamente. Recibiendo información. AdSense te ayuda a ganar dinero al mostrar anuncios en tu sitio web que son relevantes para tu audiencia.[…]” b. “Google Adds. Vinculado activamente. Enviando y recibiendo información. Google Ads es un programa de publicidad online que te ayuda a alcanzar a tus clientes y hacer crecer tu negocio, mejora tus campañas de anuncios y analiza el viaje completo del cliente- desde que pincha en el anuncio a la conversión.” c. “Ad Exchange. Vinculado activamente. Recibiendo información. Ad Exchange te ayuda a ganar dinero al mostrar anuncios en tu sitio web que son relevantes para tu audiencia. Correlaciona las métricas clave de AdExchange, como eCPM e impresiones unitarias, con más datos de Analytics”. d. “Campaign Manager 360. Vinculado activamente. Recibiendo información. Campaign Manager 360 es una solución de gestión y publicación de anuncios que ayuda a las agencias y anunciantes a gestionar el alcance total de los programas de publicidad digital. Esta integración permite a los clientes de Google Analytics 360 ver y analizar los datos de Campaign Manager 360 en Analytics.” e. “Google Optimize and Tag Manager for website and app optimization. Vinculado activamente. Recibiendo información. Google Optimize te permite probar y personalizar tu sitio web usando Google analytics para medir y personalizar. […]” f. “Search Console. Vinculado activamente. Recibiendo información. Search Console te puede ayudar a entender cómo los usuarios encuentran tu sitio web a través de Google búsquedas, identificar formas de atraer más atención a tu sitio web y priorizar los esfuerzos de desarrollo.” DÉCIMO SÉPTIMO: A 10/12/2020, EDREAMS tenía la siguiente configuración de la cuenta de Google Analytics en el apartado de “Data Sharing Settings”: a. “Google product&services”. No seleccionado. b. “Benchmarking”. No seleccionado. c. “Technical Support”. Seleccionado. d. “Account specialists”. No seleccionado. e. “Give all Google sales experts Access to your data and account so you can get more in Depth analysis, insights and recommendations across Google products”. No seleccionado. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 33/92 26 meses era el periodo de retención siendo el periodo mínimo seleccionable de 14 meses y el máximo de 50 meses. Y existía la opción seleccionable de no borrar automáticamente los datos tras un periodo concreto, pero no estaba seleccionada. DÉCIMO OCTAVO: A 10/12/2020, GOOGLE IRELAND LTD. actuaba como encargado del tratamiento. DÉCIMO NOVENO: A 10/12/2020, en el Contrato de adhesión propuesto por GOOGLE “Condiciones para el tratamiento de datos de Google Ads”, ***URL.21 constaba que: “[…] 2.5 En caso de que estas Condiciones del tratamiento de datos fuesen traducidas a cualquier otro idioma y se diese alguna discrepancia entre la versión en inglés y el texto traducido, la versión en inglés será la aplicable. […]” VIGÉSIMO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, desde el mismo día en que se publicó la STJUE C311/18, EDREAMS consideró que debían actualizar su contratación eliminado la base legal del Escudo de Privacidad e incluyendo las Cláusulas Contractuales Tipo, que debían analizar los riesgos para los interesados teniendo en cuenta el tipo de datos personales tratados, que debían revisar las medidas adicionales a las ya contenidas en las Cláusulas Contractuales Tipo. Y, respecto al Escudo de Privacidad, GOOGLE propuso en un mes (16 de agosto de 2020) su nueva versión con los cambios en las “Condiciones para el tratamiento de datos de Google Ads”. Y se eliminó la transferencia de la IP de quien visita la web. VIGÉSIMO PRIMERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, en un email enviado entre EDREAMS y GOOGLE en fecha 24 de septiembre, GOOGLE declaró haber implementado las siguientes salvaguardas adicionales para garantizar la protección de datos de Google Analytics: i. Google Analytics garantiza la transmisión segura de sus bibliotecas de Javascript y de los datos de medición a través del protocolo HTTP Strict Transport Security (HSTS). ***URL.22. ii. Anonimización de IP. GOOGLE ofreció la posibilidad de anonimizar las IP. Si se activa esta opción, las IP se borran inmediatamente después de la recolección y nunca se almacenan en disco. Que esta medida fue implementada desde eDreams ***URL.23. iii. Google ha obtenido la certificación ISO 27001 en relación a Google Analytics. iv. Según GOOGLE, tienen un equipo que revisa cuidadosamente cada solicitud de datos de los usuarios que reciben de las autoridades gubernamentales. Informe de transparencia en URL.24 y sus políticas en URL.25. v. Encriptación para proteger los datos personales contra la interceptación en tránsito. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 34/92 VIGÉSIMO SEGUNDO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, la base legal para la transferencia internacional de datos tiene como base legal el Escudo de Privacidad hasta su nulidad y las cláusulas contractuales tipo adoptadas por la Comisión desde agosto de 2020, junto con las medidas complementarias adecuadas proporcionadas por GOOGLE. Las cláusulas contractuales tipo se localizan en VIGÉSIMO TERCERO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, en caso de que cualquier agencia estadounidense de seguridad quisiera obtener acceso a los datos recogidos por EDREAMS en la Herramienta Google Analytics, en primer lugar, no podría hacerlo de forma directa, sin enviar solicitud a Google, ya que dichos datos están encriptados. Asimismo, Google tiene procesos internos para cuestionar cualquier requerimiento de la administración norteamericana que considere desproporcional o incompatible con la normativa de protección de datos europea o con las Cláusulas Contractuales Tipo. Pero en el hipotético caso de que la agencia estadounidense correspondiente terminase accediendo a los datos, no podrá saber qué persona concreta se encuentra detrás de los datos recogidos en la Herramienta a través de los identificadores, ya que solo los datos personales que permitirían una identificación directa están protegidos por EDREAMS y almacenados dentro del Espacio Económico Europeo. VIGÉSIMO CUARTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, “La OE 123332 (...) organiza y asigna funciones y responsabilidades a la comunidad de inteligencia de los Estados Unidos y articula principios de alto nivel que toda actividad de inteligencia debe cumplir. Las actividades específicas de inteligencia realizadas en virtud de la OE NO 12333 están sujetas a procedimientos de aplicación más específicos (que pueden ser clasificados) que incluyen salvaguardias y protecciones apropiadas para ese tipo de actividad de inteligencia. La OE 12333 rige principalmente las actividades de inteligencia que se realizan fuera de los Estados Unidos. Se entiende que la OE 12333 permite a los Estados Unidos llevar a cabo una vigilancia electrónica fuera de los Estados Unidos de conformidad con los requisitos legales de los Estados Unidos; no autoriza la vigilancia electrónica dentro de los Estados Unidos ni impone requisitos a los proveedores de servicios dentro o fuera de los Estados Unidos. El artículo 702 de la Ley de enmiendas de la FISA, que también exige al Gobierno de los Estados Unidos que reduzca al mínimo el uso y la difusión de datos, tiene dos componentes: El artículo 702 "Upstream" autoriza a las autoridades de los Estados Unidos a recopilar datos que viajan a través de la infraestructura "troncal" de Internet controlada por los proveedores de servicios de comunicación electrónica de los Estados Unidos (por ejemplo, los proveedores de telecomunicaciones de los Estados Unidos). En la medida en que los datos de cualquier usuario o cliente atraviesen las redes sujetas a la recopilación de la sección 702 de Upstream, esos datos se cifran en tránsito como se ha descrito anteriormente. 2 Orden Ejecutiva 12333 de los Estados Unidos (en adelante, OE 12333 o EO 123333) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 35/92 La sección 702 "Downstream" autoriza a las autoridades de los Estados Unidos a obtener datos específicos directamente de los proveedores de servicios de comunicación electrónica. En la medida en que Google LLC pueda estar sujeto a solicitudes específicas relacionadas con los datos de los clientes de Google en virtud de la sección 702 Downstream, revisamos detenidamente cada solicitud que recibimos en virtud de la normativa FISA de acuerdo con las directrices descritas a continuación para asegurarnos de que cumple todos los requisitos legales aplicables y las políticas de Google". VIGÉSIMO QUINTO: Según consta en su respuesta de 10/12/2020, en respuesta a requerimiento de esta Agencia, Google declara que si cualquier gobierno solicitara acceder a datos personales almacenados en los sistemas de Google en el curso de una investigación, un equipo dedicado de abogados de Google y personal especialmente capacitado revisará cuidadosamente la solicitud para verificar que sea legal, proporcionada y que cumpla con las políticas de Google. Google declara que la infraestructura de Google no está diseñada para, y no da al gobierno de los Estados Unidos ni a ningún otro gobierno "puerta trasera" acceso a los datos de los clientes o a sus servidores que almacenan datos de los clientes. Además, Google declara que utiliza sólidas medidas técnicas (como la encriptación) para protegerse contra la interceptación en tránsito, incluidos los intentos de vigilancia de las autoridades gubernamentales de todo el mundo. Google declara que Google Analytics utiliza por defecto el protocolo HTTP Strict Transport Security (HSTS), que indica a los navegadores que soportan HTTP sobre SSL (HTTPS) que utilicen ese protocolo de encriptación para todas las comunicaciones entre los usuarios finales, los sitios web y los servidores de Google Analytics. Google declara que protege las comunicaciones de servicio a servicio en la capa de aplicaciones mediante un sistema de autenticación mutua y de encriptación de Google declara que después de que un protocolo de handshake entre el cliente y el servidor se completa y el cliente y el servidor negocian los secretos criptográficos compartidos necesarios para encriptar y autenticar el tráfico de la red, AL TS asegura el tráfico RPC (Remote Procedure Call) forzando la integridad, y la encriptación opcional, usando los secretos compartidos negociados. Google soporta múltiples protocolos para garantizar la integridad, por ejemplo, AES-GMAC (Advanced Encryption Standard) con claves de 128 bits. Siempre que el tráfico sale de una frontera física controlada por o en nombre de Google, por ejemplo, en tránsito a través de WAN (Wide Area Network) entre centros de datos, todos los protocolos se actualizan automáticamente para proporcionar cifrado así como garantías de integridad. Google declara que cifra los datos de Google Analytics que se almacenan en reposo en sus centros de datos mediante el estándar de cifrado avanzado. Cada centro de datos está protegido con seis capas de seguridad física diseñadas para impedir el acceso no autorizado. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 36/92 La encriptación "en reposo" en esta sección significa la encriptación utilizada para proteger los datos del usuario que se almacenan en un disco (incluidas las unidades de estado sólido) o en un medio de copia de seguridad. Todos los datos del usuario se cifran a nivel de almacenamiento, generalmente utilizando el estándar de cifrado avanzado (AES256). Los datos suelen estar cifrados en varios niveles en la pila de almacenamiento de producción de Google en los centros de datos, incluso a nivel de hardware, sin que sea necesaria ninguna acción por parte de los clientes de Google. Google declara que utiliza bibliotecas criptográficas comunes que incorporan el módulo validado FIPS 140-2 de Google, para implementar la encriptación de manera consistente en todos los productos. El uso consistente de bibliotecas comunes significa que sólo un pequeño equipo de criptógrafos necesita implementar y mantener este código estrechamente controlado y revisado. Google declara que construye servidores exclusivos para sus centros de datos y mantiene un equipo de seguridad líder en el sector para garantizar que los centros de datos de Google se encuentren entre los más seguros del mundo. Los centros de datos de producción de Google están protegidos por varias capas de seguridad para evitar cualquier acceso no autorizado a los datos. Google declara que limita el acceso a los datos personales de publicidad y análisis de Google al personal de Google que los necesita para realizar su trabajo. Google declara que los clientes que utilizan Google Analytics pueden activar la anonimización de IP para indicar a Google que anonimice todas las direcciones IP inmediatamente después de que se recojan. Si se activa, en ningún momento se escribe la dirección IP completa en el disco, ya que toda la anonimización se produce en la memoria casi instantáneamente después de recibir la solicitud. Google declara que en la medida en que los datos de Google Analytics para la medición transferidos por los clientes son datos personales, tendrían que ser considerados como seudónimos. Las condiciones de servicio de Google Analytics ordenan que no se transfieran a Google datos que Google pueda utilizar o reconocer como información personal identificable (PII). Google ha obtenido la certificación ISO 27001 y permitirá a los clientes o a un auditor de terceros designado por un cliente realizar auditorías (incluidas inspecciones) para verificar el cumplimiento de las obligaciones de Google. VIGÉSIMO SEXTO: A 3 de febrero de 2021, en el enlace ***URL.26 en la política de privacidad de EDREAMS constaba que: “[…] V. Actividades de marketing. Utilizamos tu información con fines de marketing, entre otros: […] II. Información que recopilamos automáticamente cuando utilizas nuestros servicios. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 37/92 a. Información de tu dispositivo (por ejemplo, tu dirección de IP, el tipo de navegador, los proveedores de servicios de Internet, la ubicación geográfica, la información técnica del dispositivo, la hora y la duración de la solicitud y la visita y el método utilizado para enviar tu solicitud al servidor). Cuando visitas nuestros sitios web o nuestra app, recopilamos automáticamente determinada información de tu dispositivo. Ten en cuenta que es posible que asociemos dicha información con tu cuenta. b. Otra información técnica, por ejemplo, cómo ha interactuado tu dispositivo con nuestro sitio web o nuestra app (por ejemplo, las páginas a las que has accedido, los enlaces en los que has hecho clic, etc.) u otros medios. […] Si te registras en nuestro sitio web con la cuenta de una red social, vinculas la cuenta que usas en nuestro sitio web con tu cuenta de la red social o utilizas alguna otra de nuestras funciones de redes sociales, podemos acceder a información sobre ti a través de dicho proveedor de redes sociales, de acuerdo con las políticas de dicho proveedor. La información puede incluir tu nombre, dirección de e-mail, foto de perfil, género, lista de amigos y cualquier otra información que nos autorices a recibir. Parte de esta información puede recopilarse mediante cookies o con tecnología de seguimiento similar. El tratamiento de la información recopilada a través de cookies se basa en distintos fundamentos legales (por ejemplo, puede ser necesario para proporcionar nuestros servicios en base a tu consentimiento). Para obtener más información, consulta nuestra Política de cookies. […] III. Transferencias internacionales de datos. Nuestros servidores están ubicados en la Unión Europea. Sin embargo, para facilitar nuestras operaciones mundiales (realizadas por proveedores de servicios externos) la transmisión de datos personales a los destinatarios anteriormente descritos puede incluir transferencias internacionales de datos personales a países cuya normativa de protección de datos no es tan completa como la de los países dentro de la Unión Europea. En estas situaciones, según se requiera, realizamos acuerdos contractuales para garantizar que tus datos personales siguen protegidos de acuerdo con los estándares europeos. […]” VIGÉSIMO SÉPTIMO: A 3 de febrero de 2021, en la url ***URL.27 constaba que (traducción no oficial, en inglés en el original): “Términos del Tratamiento de Datos de Google Ads: Cláusulas Modelo del Contrato Cláusulas Contractuales Estándar (Encargados) Para la transferencia de datos personales a encargados establecidos en terceros países que no aseguran un nivel adecuado de protección de datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 38/92 Nombre de la organización que exporta los datos: la entidad identificada como el “Cliente” en los Términos del Tratamiento de Datos (el exportador de datos) y Nombre de la organización que importa los datos: Google LLC, 1600 Amphitheatre Parkway, Mountain View, California 94043 USA (el importador de datos) […] Cláusula 4 Obligaciones del exportador de datos El exportador de datos acuerda y garantiza: (
  26. a)que el tratamiento, incluida la transferencia en sí, de los datos personales ha sido y será llevada a cabo de acuerdo con las disposiciones relevantes de la legislación de protección de datos aplicable (y, en su caso, haya sido notificado a las autoridades relevantes del Estado Miembro donde esté establecido el exportador de datos) y no viola las disposiciones relevantes de ese Estado; (
  27. b)que ha instruido y durante la duración de los servicios de tratamiento de los datos personales instruirá al importador de datos para que trate los datos personales transferidos solo por cuenta del exportador de datos y de acuerdo con la legislación de protección de datos aplicable y las Cláusulas; (
  28. c)que el importador de datos dará garantías suficientes respecto de las medidas de seguridad técnicas y organizativas especificadas en el Apéndice 2 de este contrato; (
  29. d)que luego de analizar los requerimientos de la legislación de protección de datos aplicable, las medidas de seguridad son adecuadas para proteger los datos personales contra destrucción accidental o ilícita o pérdida accidental, alteración, revelación no autorizada o acceso, en particular si el tratamiento implica la transmisión de datos por una red, y contra toda otra forma de tratamiento ilícito, y que estas medidas aseguran un nivel de seguridad apropiado a los riesgos que presenta el tratamiento y la naturaleza de los datos a proteger teniendo en cuenta el estado del arte y el coste de su implementación; […] Cláusula 5 Obligaciones del importador de datos El importador de datos acuerda y garantiza: (
  30. a)tratar los datos personales solo por cuenta del exportador de datos y en cumplimiento de sus instrucciones y las Cláusulas; si no pudiera cumplir por cualquier razón, acuerda informar debidamente al exportador de datos de su imposibilidad de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 39/92 cumplir, en cuyo caso el exportador de datos puede suspender la transferencia de los datos y/o finalizar el contrato; (
  31. b)que no tiene razones para creer que la legislación aplicable le impide cumplir con las instrucciones recibidas del exportador de datos y sus obligaciones bajo el contrato y que en el supuesto de un cambio en esta legislación que es probable que tenga un efecto adverso sustancial sobre las garantías y obligaciones establecidas por la Cláusulas, notificará inmediatamente el cambio al exportador de datos tan pronto como tenga conocimiento, en cuyo caso el exportador de datos puede suspender la transferencia de los datos y/o finalizar el contrato; (
  32. c)que ha implementado las medidas de seguridad técnicas y organizativas especificadas en el Apéndice 2 antes de tratar los datos personales transferidos; (
  33. d)que notificará inmediatamente al exportador de datos sobre: (
  34. i)cualquier solicitud legalmente vinculante de divulgación de los datos personales por parte de una autoridad encargada de hacer cumplir la ley a menos que esté prohibido, como una prohibición bajo […] […] Cláusula 8 Cooperación con las autoridades de supervisión 1. El exportador de datos acuerda depositar una copia de este contrato en la autoridad de supervisión si esta solicitud o depósito fuera obligatorio bajo la legislación de protección de datos aplicable. 2. Las partes acuerdas que la autoridad de supervisión tiene el derecho a llevar a cabo una auditoría del importador de datos, y de cualquier sub-encargado, que tiene el mismo alcance y está sujeto a las mismas condiciones que aplicaría a una auditoría del exportador de datos bajo la legislación de protección de datos aplicable. […] Apéndice 2 a las Cláusulas Contractuales Estándar Este Apéndice forma parte de las Cláusulas. Descripción de las medidas de seguridad técnicas y organizativas implementadas por el importador de datos de acuerdo con las Cláusulas 4(
  35. c)y 5(
  36. c)(o documento/legislación adjunto): El importador de datos actualmente cumple con las Medidas de Seguridad establecidas en el Apéndice 2 de los Términos del Tratamiento de Datos en ***URL.28. […]” VIGÉSIMO OCTAVO: A 3 de febrero de 2021 en la url ***URL.29 constaba: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 40/92 “Condiciones para el tratamiento de datos de Google Ads Google y la contraparte que acepta las presentes Condiciones (el "Cliente"), han celebrado un contrato para la prestación de los Servicios del encargado del tratamiento (con sus enmiendas puntuales, el "Contrato”) Las presentes Condiciones del tratamiento de datos de los anuncios de Google, (las "Condiciones del tratamiento de datos") se suscriben por Google y el Cliente y complementan al Contrato. […] Introducción Las presentes Condiciones del tratamiento de datos reflejan el acuerdo de las partes sobre las condiciones que rigen el tratamiento de determinados datos personales en relación con la Legislación europea de protección de datos y con determinada Legislación no europea de protección de datos. Definiciones e interpretación […] "Leyes Europeas o Nacionales": según corresponda: (
  37. a)las leyes de la UE o sus Estados Miembros (si el RGPD UE aplica al tratamiento de Datos Personales del Cliente); y/o (
  38. b)la ley de Reino Unido o una parte de Reino Unido (si el RGPD de Reino Unido aplica al tratamiento de Datos Personales del Cliente). […] "Google": la Entidad de Google que sea parte del Contrato. "Subencargados del tratamiento de datos de filiales de Google" tiene el significado dado en la Sección 11.1 (Consentimiento para la contratación del Subencargado del tratamiento de datos). "Entidad de Google": Google LLC (anteriormente conocido como Google Inc.), Google Ireland Limited o cualquier otra Filial de Google LLC. […] 5. Tratamiento de datos 5.1 Roles y cumplimiento normativo; autorización. 5.1.1 Responsabilidades del encargado del tratamiento y del responsable del tratamiento. Las partes reconocen y aceptan que: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 41/92 (
  39. a)El Apéndice 1 describe el objeto y los detalles del tratamiento de los Datos personales del cliente; (
  40. b)Google es un encargado del tratamiento de Datos personales del cliente con arreglo a la Legislación europea de protección de datos; (
  41. c)El Cliente es un responsable del tratamiento o encargado del tratamiento, según corresponda, de Datos personales del cliente con arreglo a la Legislación europea de protección de datos; y (
  42. d)cada parte cumplirá las obligaciones que le correspondan en virtud de la Legislación europea de protección de datos con respecto al tratamiento de Datos personales del cliente. […] 5.2. Instrucciones del cliente. Al celebrar las presentes Condiciones del tratamiento de datos, el Cliente instruye a Google para que efectúe el tratamiento de los Datos personales del cliente solo de acuerdo con la legislación aplicable: (a)para proporcionar los Servicios del encargado del tratamiento y cualquier soporte técnico relacionado; (
  43. b)tal y como se especifica más a través del uso por parte del Cliente de los Servicios del encargado del tratamiento (incluida la configuración y otras funcionalidades de los Servicios del encargado del tratamiento) y cualquier soporte técnico relacionado; (
  44. c)según se documenta por medio del Contrato, incluidas las presentes Condiciones del tratamiento de datos; y (
  45. d)tal y como se documenta en otras instrucciones proporcionadas por escrito por el Cliente y reconocidas por Google como instrucciones constitutivas para los propósitos de las presentes Condiciones del tratamiento de datos. 5.3. Cumplimiento de las instrucciones por parte de Google. Google cumplirá las instrucciones descritas en la Sección 5.2 (Instrucciones del cliente) (incluidas las relativas a transferencias de datos), a menos que las Leyes Europeas o Nacionales a las que está sujeta Google requiera otro tratamiento de datos personales por parte de Google, en cuyo caso Google informará al Cliente (a menos que alguna de dichas leyes prohíba a Google hacerlo por motivos importantes de interés público). […] 10. Transferencias de datos 10.1 Almacenamiento de datos e instalaciones de tratamiento. El Cliente acepta que Google, sin perjuicio de la Sección 10.2 (Transferencias de Datos), almacene y efectúe el tratamiento de Datos personales del cliente en cualquier país en el que Google o cualquiera de sus Subencargados del tratamiento de datos mantenga instalaciones. 10.2 Transferencias de Datos. Si el almacenamiento y/o tratamiento de los Datos personales del cliente implica transferencias de Datos Personales del Cliente desde el EEE, Suiza o el Reino Unido a cualquier país tercero que no esté sujeto a una decisión de adecuación bajo la Legislación europea de protección de datos: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 42/92 (
  46. a)Se considerará que el cliente (como exportador de datos) ha suscrito las Cláusulas Contractuales Tipo con Google LLC (como importador de datos); (
  47. b)las transferencias estarán sujetas a las Cláusulas Contractuales Tipo; y (
  48. c)Google se asegurará de que Google LLC cumpla con sus obligaciones en virtud de dichas Cláusulas Contractuales Tipo con respecto a dichas transferencias. […] 11. Subencargados del tratamiento de datos. 11.1 Consentimiento para la contratación del Subencargado del tratamiento de datos. El Cliente autoriza específicamente la contratación de las filiales de Google como Subencargados del tratamiento de datos ("Subencargados del tratamiento de datos de filiales de Google"). Además, el Cliente generalmente autoriza la contratación de otros terceros como Subencargados del tratamiento de datos ("Subencargados del tratamiento de datos terceros"). Si se aplican las Cláusulas Contractuales Tipo en virtud de la Sección 10.2 (Transferencias de datos), las autorizaciones anteriores constituyen el consentimiento previo por escrito del Cliente para la subcontratación por parte de Google LLC del tratamiento de los Datos personales del Cliente. […] VIGÉSIMO NOVENO: A 3 de febrero de 2021 en la url ***URL.30 constaba: “[…] Solicitudes de agencias gubernamentales de EE. UU. en casos que involucran seguridad nacional En investigaciones relacionadas con la seguridad nacional, el gobierno de los EE. UU. puede utilizar una Carta de Seguridad Nacional (NSL) o una de las autorizaciones otorgadas en virtud de la Ley de Vigilancia de Inteligencia Extranjera (FISA) para obligar a Google a proporcionar información del usuario. Una NSL no requiere autorización judicial y solo puede usarse para obligarnos a proporcionar información limitada del suscriptor. Las órdenes y autorizaciones de FISA se pueden usar para obligar a la vigilancia electrónica y la divulgación de datos almacenados, incluido el contenido de servicios como Gmail, Drive y Photos.” […]” (traducción no oficial, en inglés en el original) TRIGÉSIMO: A 3 de febrero de 2021 en la url ***URL.31 constaba: “[…] C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 43/92 Conceptos básicos sobre la información personal identificable en los contratos y las políticas de Google. En muchos contratos, términos del servicio y políticas de los productos de publicidad y medición de Google se hace referencia a la "información personal identificable" (IPI). Se trata de una categorización de datos diferente a lo que el Reglamento General de Protección de Datos (RGPD) considera "datos personales". Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD sí lo haga o que esos datos se consideren información personal de conformidad con la Ley de Privacidad del Consumidor de California (CCPA), y pueden estar sujetos a esas leyes. […] Google considera "información personal identificable" la información que se pueda usar por sí sola para identificar o ubicar con precisión a una persona, o para ponerse en contacto con ella de forma directa. Entre otros datos, incluye lo siguiente: • Direcciones de correo electrónico • Direcciones de correo postal • Números de teléfono • Ubicaciones precisas (por ejemplo, coordenadas GPS, salvo en los casos que se mencionan más abajo) • Nombres completos (nombre y apellidos) o nombres de usuario. […] Entre otros, Google no considera información personal identificable los siguientes datos: • ID de cookie seudónimos • ID de publicidad seudónimos • Direcciones IP • Otros identificadores de usuario final seudónimos Por ejemplo, si se envía una dirección IP con una solicitud de anuncio (algo que sucede con casi todas las solicitudes de anuncios como consecuencia de los protocolos de Internet), ese envío no incumplirá ninguna prohibición relacionada con el envío de información personal identificable a Google. Tenga en cuenta que, aunque Google no identifique ciertos datos como información personal identificable, es posible que el RGPD, la CCPA u otras leyes de privacidad los consideren datos personales o información personal. […]” TRIGÉSIMO PRIMERO: A 1 de febrero de 2021, tras visitar la web www.edreams.es estando logado en una cuenta de prueba de Google, constaba reflejado dentro del apartado “Actividad en la Web y Aplicaciones” la visita realizada a dicha web. TRIGÉSIMO SEGUNDO: El 17 de febrero de 2021 se comprueba, tras borrar cookies, que: 1. Tras realizar login en una cuenta de Google, se encuentran instaladas en el navegador cookies como NID, LSID, SID, __Secure-3PSID, __Secure-3PAPISID todas ellas de más de 30 caracteres alfanuméricos donde se permiten mayúsculas y minúsculas y un periodo de caducidad desde 6 meses a varios años. No constan C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 44/92 2. Que estando logado en la cuenta de Google y tras visitar ***URL.15, rechazando todas sus cookies y realizar una navegación correspondiente a una búsqueda de un coche de alquiler desde Madrid-Aeropuerto a Málaga-Aeropuerto con fecha de inicio del alquiler el 25/02/2021 y fecha de fin el 28/02/2021 se comprueba que se instalan las cookies _ga, _gid entre otras. También se comprueba que consta una petición HTTP GET al dominio google-analytics.com en cuyos parámetros dentro de la url de la petición constan, entre otros, datos como: a. la cookie _ga dentro del parámetro cid y la cookie _gid. b. la url visitada (***URL.32) y, entre otros datos, la operación realizada dentro de la misma, codificada como: “pickupDateTime”: “2021-02-25” “returnDateTime”: “2021-02-28” “pickupName”: “%3DMadrid%2520-%2520Aeropuerto” “returnName”: “%3DM%25C3%25A1laga%2520-%2520Aeropuerto” c. el parámetro “sr”. 3. Que en las cabeceras del HTTP GET constan asimismo datos como “useragent” y “accept-language”. TRIGÉSIMO TERCERO: El 04 de marzo de 2021 se comprueba que, tras hacer login en una cuenta de Google, seguido de un logout y seguido a continuación de una navegación en ***URL.15 correspondiente a una búsqueda de vuelo más hotel del 19 al 21 de marzo y seleccionando como origen Madrid y destino Málaga: 1. Consta una petición HTTP POST al dominio google-analytics.com donde se envía datos como payload, entre otros: “***URL.15” “sr=1920x1080” el parámetro “cid” que coincide con el valor de la cookie _ga el parámetro _gid que coincide con el valor de la cookie _gid la fecha de salida y de vuelta, así como la ciudad de salida y la de llegada. 2. Que en las cabeceras del HTTP POST constan asimismo datos como “useragent” y “accept-language”. TRIGÉSIMO CUARTO: El 23 de junio de 2021 se comprueba que, tras hacer login en una cuenta de Google, a continuación se realiza una navegación por la web***URL.15: 1. Que consta una petición HTTP GET al dominio adservice.google.com donde se envía como parámetro u1 el mismo valor que el contenido en la cookie _ga así como los parámetros “user-agent” y “accept-language”. Que en esta misma petición HTTP GET se envía también la cookie NID. Se comprueba, en distintas fechas, que el dominio 44oogle-analytics.com así como varias direcciones IP correspondientes a ese dominio, constan asignadas a GOOGLE LLC C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 45/92 TRIGÉSIMO QUINTO: Según consta en su escrito de 12 de mayo de 2021, la cifra total de usuarios en el periodo desde el 1 de abril de 2020 al 31 de marzo de 2021 de la página web ***URL.15 así como de otras versiones de la página orientadas a otros países es, por ejemplo, en el mercado alemán de 1.623.842 visitas, en el español 13.344.019 visitas y en el mercado francés de 12.682.624 visitas. Y la cifra de usuarios totales en el periodo descrito es de 72.648.400 visitas. TRIGÉSIMO SEXTO: Según consta en su escrito de 12 de mayo de 20212, la versión que usaba EDREAMS era Google Analytics 360, desde julio del año 2012. TRIGÉSIMO SÉPTIMO: Según consta en su escrito de 28 de mayo de 2021, los establecimientos de EDREAMS en los que tratan datos personales en el contexto de la presente reclamación son Alemania, España, Francia, Italia, Reino Unido. TRIGÉSIMO OCTAVO: Según consta en su escrito de 28 de mayo de 2021, (…). TRIGÉSIMO NOVENO: El 27 de octubre de 2021 se comprueba que en el plenario del Comité Europeo de Protección de datos de fecha 2 de septiembre de 2020, se decidió crear un grupo de trabajo para asegurar una aproximación coherente entre las autoridades de datos europeas para gestionar las 101 reclamaciones de NOYB, que versan sobre cuestiones similares (quien reclama ha visitado una página web de un responsable de tratamiento mientras había iniciado sesión en su cuenta de Google o Facebook, vinculada a su dirección de correo electrónico. Y el responsable de tratamiento había embebido código de servicios de Google o Facebook, que habían transferido sus datos personales a Estados Unidos, sin tener base jurídica para ello). CUADRAGÉSIMO: Según diligencia del 27 de octubre de 2021, GOOGLE LLC remitió a la autoridad austríaca de protección de datos un documento de fecha 09 de abril de 2021, la cual lo comparte con el resto de autoridades a través del Grupo de trabajo para las 101 reclamaciones de NOYB en el contexto de la sentencia del TJUE Schrems II (“101 taskforce”, en adelante, grupo de trabajo TF101). En el documento en cuestión consta la siguiente información y manifestaciones (de su traducción no oficial del inglés): (…) CUADRAGÉSIMO PRIMERO: A 2 de noviembre 2021, la página web ***URL.1está disponible también para los siguientes países del EEA: República Checa, Francia, Italia, Rumanía, Alemania, Grecia, Holanda, Polonia, Hungría, Portugal. CUADRAGÉSIMO SEGUNDO: A 2 de noviembre de 2021, en la url ***URL.33 constaba la existencia de solicitudes de información FISA (Foreign Intelligence Surveillance Act) y NSL (National Security Letters) dirigidas a GOOGLE sobre información de usuarios. CUADRAGÉSIMO TERCERO: A 24 y 25 de marzo de 2022, en la descripción de Google Analytics localizable en las urls ***URL.34 y ***URL.35 constaba, entre más información, que las cookies _ga y _gid se usaban para distinguir usuarios y que el parámetro “sr” se refería a la resolución de pantalla. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 46/92 Y que, mediante la ejecución de comandos tracert hacia varias direcciones IP asignadas a GOOGLE LLC en relación al dominio google-analytics.com, los tiempos RTT son demasiado bajos para estar dichas IP de destino geográficamente ubicadas en Estados Unidos. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EDREAMS realiza la recogida y tratamiento a través del servicio Google Analytics de, entre otros, los siguientes datos personales de personas físicas: identificadores únicos de usuarios (_ga y _gid), la dirección IP, así como otros datos asociados al navegador y a la propia navegación, entre otros tratamientos. EDREAMS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina lo

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.