1/8 Procedimiento Nº: PS/00378/2021 RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR. Mediante acuerdo de fecha 26/08/21, se inició el procedimiento sancionador, PS/0378/2021, instruido por la Agencia Española de Protección de Datos a D. A.A.A. con NIF.: ***NIF.1, titular de la página web: ***URL.1, (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. B.B.B. (en adelante, “la parte reclamante”), por presunta infracción de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES: PRIMERO: Con fecha 13/04/21, tuvo entrada en esta Agencia, un escrito de reclamación, en el que, entre otras, se indicaba: “En el sitio web ***URL.1 no se muestra ni política de cookies ni banner de consentimiento de cookies”. SEGUNDO: Con fecha 21/05/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 27/05/21, se recibió en esta Agencia escrito de contestación al requerimiento hecho a la parte reclamada, en el cual, se informaba de los siguiente: “Según se me indica en el escrito, no se estaba mostrando la información de que se están utilizando cookies en la página jorgevila.com. En ocasiones me dedico a realizar páginas web a bastantes clientes y resulta habitual utilizar los textos de Política de Privacidad, instalar un plugin para el tema de las Cookies, etc. Me gusta estar informado de estas cosas, porque es importante que mis clientes tengan las espaldas cubiertas en cuanto a la legalidad de las páginas que yo les desarrollo y me gusta darles esa confianza. La página indicada, jorgevila.com es, de hecho, una página que construí para mí mismo, para promocionar un poco todos mis servicios y en su día puse el tema de las cookies como suelo hacer habitualmente. Lo suelo comprobar en cuanto lo instalo, acepto las cookies y claro, ya no vuelve a salir hasta pasado el tiempo preestablecido, por lo que es laborioso comprobar si el plugin sigue funcionando como corresponde. Sin embargo, tras recibir algunos ataques a mi servidor ubicado en Interdominios y a tenor de alguna incompatibilidad de algún que otro plugin de ese dominio, parece que el tema de la política de Cookies aparecía de forma intermitente, y no siempre para cada usuario, como debe de aparecer, claro. El mismo viernes cuando recibí la notificación, me dispuse a instalar un plugin que a priori parece más fiable para mostrar el tema de las cookies y me he encargado de comprobar que funciona correctamente en todos los navegadores. Se que es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 responsabilidad mía comprobar esto cada poco tiempo y lamento enormemente la confusión causada. Siempre he actuado de buena fe y procurando atender la normativa de la LOPD, por esa razón me dispuse a resolverlo el mismo día de recibir la notificación. 2 Medidas adoptadas Todos los textos legales están actualizados y en el servidor donde se hospeda la página, se guarda copias de seguridad de los últimos 7 días. Se ha comprobado que las páginas de Cookies, Política de Privacidad y Aviso Legal se ven correctamente en todos los navegadores. Plugin Actualizado de las Cookies. 3 Medidas adoptadas para adecuar la utilización de cookies Para evitar posibles fallos con otro plugin, he instalado el mismo día de la recepción de la notificación, un plugin que parece que funciona correctamente en todos los casos, permite la aceptación o no de cookies no exceptuadas también y es el que tienen muchas otras páginas web. Se han revisado todos los textos legales en referencia a estos puntos y me he marcado una vez al mes, revisar por si hay cambios o actualizaciones. 4 La decisión adoptada a propósito de esta reclamación. Cambiar el plugin que se encargaba de mostrar la política de cookies y permite seleccionar qué cookies se aceptan. Este plugin parece mucho más fiable y tiene buenos comentarios. 5 Cualquier otra que considere relevante. Una vez más reitero mi solicitud de disculpas porque al no recibir por mi parte el aviso para cookies, más que cuando lo instalé, no había sido consciente de que esta notificación no se estaba mostrando en todos los casos. En la página tan solo se usan las cookies propias de un sistema Wordpress que no permite comentarios, y las referenciadas a Google Analytics y el de Adwords. De la misma manera se recogen los datos del formulario y se muestra dónde y cómo se almacenan esos datos, así como la posibilidad de darse de baja de estos. Quiero reiterar mi buena fe en el desarrollo de mi actividad profesional y mi firme propósito de estar en lo sucesivo al día de los cambios y actualizaciones de plugins con el fin de que se no pueda producir un error igual o similar en lo sucesivo”. CUARTO: Con fecha 12/07/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por la parte reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: Con fecha 16/08/20, por parte de esta Agencia se realizaron las siguientes comprobaciones en la página web respecto de su política de cookies:
- Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha detectado que se utilizan las siguientes cookies propias no necesarias: IDE; _uetsid; _uetvid. Se comprueba que se utilizan las siguientes cookies no necesarias de terceros, cuyo dominio pertenece a Youtube.com y Google.com: (XXXXXXXXXXXXXXXXXXXXXXXX…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8
- El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “Usamos cookies. Si te parece bien, simplemente haz clic en «Aceptar todo». También puedes elegir qué tipo de cookies quieres haciendo clic en «Ajustes». <<Lee nuestra política de cookies>> <<ajustes>>--<<aceptar todo>> 3.- Si se accede al panel de control de cookies, a través del enlace correspondiente, <<ajustes>>, la web despliega el siguiente panel de control, donde se pueden gestionar los grupos de cookies de forma granular, estando éstos inicialmente premarcados en la opción de <<desactivado>>, excepto las cookies necesarias: “Elige qué tipo de cookies aceptar. Tu elección será guardada durante un año. Lee nuestra política de cookies”. Necesarias Estadísticas Experiencia Marketing ON OFFON OFFON OFFON <<Guardar>>-- <<acepto>> Si se opta por no activar ningún grupo de cookies, guardar la configuración y salir del panel de control, se comprueba que la web sigue utilizando las mismas cookies no necesarias indicadas anteriormente. 4.- Si se accede a la “Política de Cookies”, a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.2 , donde se proporciona información sobre, qué son las cookies, qué tipos de cookies existen, identifica las cookies que utiliza la página web, (el identificador, su dominio, su finalidad y el tiempo que permanecerán activas), así como, la gestión de las cookies a través de los navegadores instalados en los equipos. SEXTO: Con fecha 26/08/21, por parte de la Directora de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador por infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies” de la página web en cuestión, dirigiendo a la parte reclamada un “apercibimiento” y ordenándola que, tomase las medidas necesarias sobre la página web de su titularidad para que incluyese un mecanismo que imposibilite la utilización de cookies no necesarias antes de que el usuario dé su consentimiento para ello y ampliase la información suministrada en el banner sobre cookies. SÉPTIMO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 30/08/21 indicó, entre otras, lo siguiente: “Se ha corregido y aumentado y detallado el texto que se muestra al visitante para proporcionar información más detallada acerca de la información genérica de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Usamos cookies propias y de terceros cuya finalidad es mejorar la experiencia de tu navegación, personalizar los contenidos, proporcionar funciones de redes sociales y analizar nuestro tráfico. Si te parece bien, simplemente haz clic en «Aceptar todo». También puedes elegir qué tipo de cookies quieres haciendo clic en «Ajustes». En la parte de abajo de la web puedes acceder al enlace "Gestionar Cookies" para cambiar tus preferencias. De la misma manera contiene enlaces a sitios web de terceros con políticas de privacidad ajenas a la de la AEPD que usted podrá decidir si acepta o no cuando acceda a ellos. Lee nuestra política de cookies. Para que el usuario pueda gestionar en todo momento el uso de las cookies de la web, se ha colocado en el pie de página, un enlace directo a Gestionar Cookies, de forma que se puede editar el uso de estas. Este enlace está en todas las páginas de la web al formar parte del pie de página común. Con todos los cambios y ajustes realizados, entendemos que no se está guardando nada en referencia a alguna cookie que posibilite la identificación del usuario. Las 2 cookies indicadas son imprescindibles para conocer el estatus del propio plugin de Cookies de la web y no guardan ninguna información que pudiera identificar al usuario. Tal y como se ha indicado anteriormente, ya no hay registro de cookies utilizadas no necesarias. Con las acciones tomadas en la configuración del plugin, entendemos que ya no hay nada más que hacer en lo referente al tema de las OCTAVO: Con fecha 02/11/21, por parte de esta Agencia se realizaron las siguientes comprobaciones en la página web, ***URL.1, respecto de su “Política de Cookies”:
- Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se comprueba que ya no se utilizan cookies que no sean técnicas o necesarias.
- El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “Usamos cookies propias y de terceros cuya finalidad es mejorar la experiencia de tu navegación, personalizar los contenidos, proporcionar funciones de redes sociales y analizar nuestro tráfico. Si te parece bien, simplemente haz clic en «Aceptar todo». También puedes elegir qué tipo de cookies quieres haciendo clic en «Ajustes». En la parte de abajo de la web puedes acceder al link "Gestionar Cookies" para cambiar tus preferencias. De la misma manera contiene enlaces a sitios web de terceros con políticas de privacidad ajenas a la de la AEPD que usted podrá decidir si acepta o no cuando acceda a ellos. <<Lee nuestra política de cookies>> <<ajustes>>--<<aceptar todo>> 3.- Si se accede al panel de control de cookies, a través del enlace correspondiente, <<ajustes>>, la web despliega el siguiente panel de control, donde se pueden gestionar los grupos de cookies de forma granular, estando éstos inicialmente premarcados en la opción de <<desactivado>>, excepto las cookies necesarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Si se opta por no activar ningún grupo de cookies, guardar la configuración y salir del panel de control, se comprueba que la web sigue sin utilizar cookies que no sean técnicas o necesarias. 4.- Si se accede a la “Política de Cookies”, a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.2 , donde se proporciona información sobre, qué son las cookies, qué tipos de cookies existen, identifica las cookies que utiliza la página web, (el identificador, su dominio, su finalidad y el tiempo que permanecerán activas), así como, la gestión de las cookies a través de los diferentes navegadores. HECHOS PROBADOS 1º.- Según el reclamante, la página web, ***URL.1 no muestra ni política de cookies ni banner de consentimiento de cookies. 2º.- Consultada la página web, por parte de esta Agencia, el 16/08/21, se pudo constatar que, al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se utilizaban cookies que no eran técnicas o necesarias. Además, el banner sobre cookies que aparecía en la página principal de la web con el mensaje: “Usamos cookies. Si te parece bien, simplemente haz clic en «Aceptar todo». También puedes elegir qué tipo de cookies quieres haciendo clic en «Ajustes», no se identificaba, de forma genérica, las finalidades para las que se utilizarán las 3º.- Iniciado el presente procedimiento sancionador, respecto de la “Política de ordenándole que, tomase las medidas necesarias para incluir un mecanismo que imposibilitase la utilización de cookies no necesarias antes de que el usuario dé su consentimiento y modificase el mensaje existente en el banner de la página inicial, la entidad reclamada manifestó a esta Agencia haber solucionado los errores detectados en la página web. 4º.- Por parte de esta Agencia se comprobó, con fecha 02/11/21 que, al entrar en la página inicial de la web, ya no se utilizan cookies que no sean técnicas o necesarias para el correcto funcionamiento de la web, habiéndose modificado, convenientemente, el banner sobre cookies, existente en la página principal. FUNDAMENTOS DE DERECHO I.- Competencia Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II.- Sobre la posible infracción en la Política de Cookies de la web: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Esta Agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), al entrar en la página inicial de la web, (primera capa), se utilizan En este sentido, el artículo 22.2 de la LSSI, donde se establecen los Derechos de los destinatarios de servicios de la sociedad de la información, se indica que: “
- Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el artículo 22.2 de la LSSI. -En este sentido, el artículo 89.1.a) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPCAP) establece, sobre la Propuesta de resolución en los procedimientos de carácter sancionador, lo siguiente:
- El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias: a) La inexistencia de los hechos que pudieran constituir la infracción (…)”. --Se debe tener presente en este caso, la sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, donde se analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento su derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 parar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD. Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la parte reclamada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir”, aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.c) de la Ley.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Esta sentencia interpreta o liga apercibimiento con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haberse cumplido las medidas esperadas relacionadas con la infracción, en este caso, la adaptación de la política de cookies a la legislación vigente se debería archivar el procedimiento, tal y como se deduce del fundamento SEXTO de la Sentencia citada. Por tanto, en el presente caso, después del análisis realizado en la página web objeto de la reclamación, de los documentos aportados y las circunstancias concurrentes, no se evidencia vulneración de la legislación vigente sobre la política de cookies de la página web reclamada, al haber modificado correctamente su política en este aspecto. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE: ARCHIVAR: el presente procedimiento sancionador a D. A.A.A. con NIF.: ***NIF.1, titular de la página web: ***URL.1, por presunta infracción del artículo 22.2 de la LSSI, una vez adaptada la página web a la normativa vigente, en lo que respecta a la política de cookies. NOTIFICAR: la presente resolución a D. A.A.A. con NIF.: ***NIF.1, titular de la página web: ***URL.1, e informar a la reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es