PS-00381-2020

1/7  Procedimiento Nº: PS/00381/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00381/2020, instruido por la Agencia Española de Protección de Datos ante la entidad, INDUSTRIAS METÁLICAS ANRO, S.L., con CIF.: B13319892, titular de la página web, www.anro.es, (en adelante, “la entidad reclamada”), en virtud de la reclamación presentada D. A.A.A.. (en adelante, “el reclamante), por presunta vulneración de la normativa de protección de datos, y atendiendo a los siguientes: ANTECEDENTES PRIMERO: Con fecha 22/06/20, tiene entrada en esta Agencia, denuncia presentada por D. A.A.A.. (en adelante, “el reclamante”), en la que indicaba, entre otras, lo siguiente: “Pongo en conocimiento de esta Agencia, para que realicen las actuaciones y gestiones que crean correspondientes y oportunas, que la web www.anro.es estimo que no cumple la normativa vigente en cuanto a Protección de Datos ni en su Política de Privacidad ni en las cookies que se utilizan en la citada web” SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 31/07/20 se dirige requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 04/08/20, la entidad reclama envía a esta Agencia, escrito de contestación al requerimiento, en el que indicaba, entre otras, lo siguiente: “Tras revisar nuestra página Web considerábamos que las Políticas de privacidad y Políticas de Cookies eran correctas. Pero al ser revisada hemos visto que faltaba información específica del uso de los datos al utilizar nuestra página Web. Por lo tanto, se establecen las medidas siguientes: - En la primera quincena de Agosto de 2020, dichas Políticas han sido actualizadas y publicadas en la Web de la empresa y de manera semestral se realizará un control de la Web”. CUARTO: Con fecha 11/11/20, por parte de esta Agencia, se realizó la comprobación de la Política de Privacidad y de la Política de Cookies de la página web en cuestión comprobando los siguientes aspectos: - Respecto del tratamiento de datos personales: a.1).- En la página inicial, a través de la pestaña: “contacto  solicitud de presupuesto” o a través de la pestaña: “contacto  bolsa de empleo”, la web redirige a un formulario donde se recogen datos personales de los usuarios como, el nombre, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 número de teléfono, la dirección de email. Además, existe la opción de subir a la plataforma documentos como, el currículum vitae. a.2).- Antes de enviar el formulario con los datos personales, el usuario debe marcar la casilla: “ _ He leído y aceptado la política de privacidad”. - Sobre la “Política de Privacidad”: A través del link <<Política de Privacidad>>, existente en la parte inferior del formulario indicado en el punto A), existente también en la parte inferior de la página principal, la web redirige a una nueva página, https://anro.es/politica-de-privacidad, que proporciona información sobre, quién es el responsable del tratamiento de los datos, la finalidad y legitimación del tratamiento de los datos personales; por cuánto tiempo se conservan los datos; la indicación de que los datos no se cederán a terceros salvo en los casos en que exista una obligación legal y sobre los derechos que tienen los usuarios sobre sus datos personales y como hacer uso de dicho ejercicio, así como el derecho presentar una reclamación ante la AEPD. - Sobre la “Política de Cookies”: Al entrar en la página inicial de la web indicada (primera capa), se despliega un banner en la parte superior de la misma con la siguiente información: “ESTE SITIO USA COOKIES Y TECNOLOGÍAS SIMILARES. Si no cambia la configuración de su navegador, usted acepta su uso. <<Saber más>> -- <<acepto>> Si se accede a la política de cookies, a través del enlace, <<saber más>>, la web redirige a una nueva página, https:// www.anro.es/politica-de-cookies, que proporciona información sobre, qué son las cookies y para qué se usan; qué información guarda una (propias y de terceros) y que misión tienen. No obstante, sobre cómo gestionar la utilización de cookies, la página remite al usuario a configurar el navegador de su equipo QUINTO: A la vista de los hechos denunciados y de las evidencias observadas en la página web, la Directora de la Agencia Española de Protección de Datos, con fecha 18/01/21, acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplimiento a lo estipulado en el artículo 22.2) de la LSSI, con una sanción de 2.000 euros (dos mil euros), respecto de la “Política de SEXTO: Notificado el acuerdo de inicio, la persona reclamada, mediante escrito de fecha 21/01/21, ésta formuló, en síntesis, las siguientes alegaciones: “Tras revisar nuestra página Web considerábamos que Política de Cookies estaba incompleta por lo que se decide tomar las siguientes medidas para subsanar dicho procedimiento. La página Web a fecha 20/01/2021 queda corregida y actualizada según los siguientes incidentes detectados en este procedimiento: Ya no se utilizan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 informativa se identifican las finalidades para las que se utilizarán las cookies y si éstas son propias y/o de terceros, en el icono de CONFIGURACION; - en la segunda capa de la web se identifican las cookies que se utilizan y el tiempo que estarán activas en la tabla establecida; en la primera capa existe un mecanismo que permite rechazar todas las cookies en el icono de CONFIGURACIÓN; - existe un mecanismo que permita rechazar todas las cookies y/o gestionarlas de forma granular en el icono de CONFIGURACION y en la parte izquierda de la Web aparece un ícono de estrellas con un sobre en medio, donde da opción para entrar en la configuración del as SÉPTIMO: Con fecha 21/02/21, por parte de esta Agencia, se consultan la página web, comprobándose los siguientes aspectos de su política de cookies: Al entrar en la página inicial de la web indicada (primera capa), se despliega un banner en la parte superior de la misma, con la siguiente información: “Nuestra web utiliza cookies que permitirán mejorar tu experiencia como usuario mediante el análisis de tus hábitos de navegación y en cumplimiento de la Ley puedes informarte desde "más información" sobre que son, cuales utilizamos en nuestra web, como eliminarlas y te pediremos el consentimiento para su uso. Puedes aceptar, rechazar o configurar el uso de cookies para esta web en el botón correspondiente” <<Aceptar>> <<Rechazar>> <<Configuración>> <<Más información>> Sin realizar ninguna acción sobre la página, se comprueba que la misma utiliza Google.com. Si se opta por rechazar todas las cookies en esta primera capa, se despliega un mensaje que indica: “Al realizar esta acción, se eliminarán todas las cookies establecidas por este sitio web. ¿Está seguro de que desea desactivar y eliminar todas las cookies de su navegador?” <<aceptar>> <<cancelar>>. Si la intención es seguir rechazando todas las cookies mediante la opción de <<aceptar>>, se comprueba que, después de haber utilizado esta opción, la web utiliza nuevas cookies no necesarias, tanto propias como de terceros y cuyos dominios pertenecen a anro.es, a Google.es y a Google.com. Si se accede a la página de “configuración”, a través del enlace correspondiente <<configuración>>, se despliega una nueva página donde la web proporciona la posibilidad de gestionar las cookies de forma granular: “cookies de análisis”; “Social Media” y “Cookies de Publicidad”. Además, existe la opción de, <<permitir todas las cookies>> , <<rechazar todas las cookies>> y <<guardar configuración>> Si la intención es rechazar todas las cookies mediante la opción pertinente, se comprueba que, después de haber utilizado esta opción, la web utiliza nuevas cookies no necesarias, tanto propias como de terceros y cuyos dominios pertenecen a anro.es, a Google.es y a Google.com. e).- Si se accede a la política de cookies, a través del enlace <<Más Información>>, la web redirige a una nueva página donde se proporciona información sobre, qué es una gestión de las cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 OCTAVO: Con fecha 25/02/21, se notifica la Propuesta de Resolución a la entidad reclamada en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad reclamada, por infracción de artículo 22.2 de la LSSI, en lo que respecta a la política de cookies de la página web, al haberla adaptado convenientemente a la legislación vigente. NOVENO: Con fecha 03/03/21, la entidad reclamada remite escrito de alegaciones a la propuesta de resolución, en la cual, se indica: “En relación a este número de referencia, tras revisar nuestra página Web considerábamos que la Política de Cookies estaba incompleta por lo que se decide tomar las siguientes medidas para subsanar dicho procedimiento: La página Web a fecha 02/03/2021 queda corregida y actualizada habiendo cambiado y traducido el módulo de cookies de anro.es y habiendo incluido la coletilla de inicio “Nuestra web utiliza DÉCIMO: Con fecha 22/03/21, por parte de esta Agencia se consulta la página web en cuestión, comprobando, respecto de la política de cookies los siguiente: Al entrar en la página inicial de la web indicada (primera capa), se despliega un banner en la parte superior de la misma, con la siguiente información: “Nuestra web utiliza cookies propias y de terceros que permitirán mejorar tu experiencia como usuario mediante el análisis de tus hábitos de navegación y en cumplimiento de la Ley puedes informarte desde "más información" sobre que son, cuales utilizamos en nuestra web, como eliminarlas y te pediremos el consentimiento para su uso. Puedes aceptar, rechazar o configurar el uso de cookies para esta web en el botón correspondiente” <<Rechazar todas las cookies>> -- <<aceptar todas las cookies>> Junto al banner existe un panel de control de cookies donde se puede aceptar las preferencia”; “cookies estadísticas” y “cookies de marketing”, estando premarcadas en la opción de “no aceptar”. Sin realizar ninguna acción sobre la página, se comprueba que la misma utiliza Si se opta por rechazar todas las cookies en esta primera capa, se comprueba que la web sigue utilizando únicamente las cookies técnicas iniciales. Si se accede a la política de cookies, a través del enlace correspondiente, la web redirige a una nueva página, https://anro.es/politica-de-cookies donde se proporciona información sobre, qué es una cookie; qué información guarda una cookie; qué tipos de tiempo de actividad de las mimas, ofreciendo además la opción de rechazar todas las HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 1.- En el presente caso, se reclama que la página web www.anro.es no cumple la normativa vigente en cuanto a protección de datos ni en su “Política de Privacidad” ni en las cookies que se utilizan. 2.- Por parte de esta Agencia, se comprobó en un principio que la página web tenía la posibilidad de obtener datos personales de los usuarios, a través del formulario existente en la misma. En su “Política de Privacidad” se informaba sobre, quién es el responsable del tratamiento de los datos, la finalidad y legitimación del tratamiento de los datos personales; por cuánto tiempo se conservan los datos y sobre los derechos que tienen los usuarios sobre sus datos personales y como hacer uso de dicho ejercicio, así como el derecho presentar una reclamación ante la AEPD. Respecto de la “Política de Cookies” se comprobó que, al entrar en la página inicial de la web (primera capa), se desplegaba un banner con la siguiente información: “este sitio usa cookies y tecnologías similares. Si no cambia la configuración de su navegador, usted acepta su uso. <<Saber más>> -- <<acepto>>. Si se accedía a la política de cookies, a través del enlace, <<saber más>>, la web redirigía a una nueva página, donde se proporcionaba información sobre, qué son las existen y se identificaba las cookies que utilizaba la página web. No obstante, sobre cómo gestionar la instalación de cookies en el equipo terminal, la página remitía al usuario a configurar el navegador instalado en su equipo terminal. 3.- Tras la incoación de expediente sancionador, por parte de esta Agencia, al considerar que la política de cookies no se ajustaba a la normativa vigente, la entidad a notifico a esta Agencia que había procedido a la subsanación de las deficiencias observadas. No obstante, después de ello, esta Agencia comprobó que, al entrar en la página, sin realizar ninguna acción sobre la misma, se utilizaban cookies propias y de terceros no necesarias, cuyos dominios eran, anro.es; Google.es y Google.com. El mensaje que proporciona el banner de la página principal no avisa de la utilización de cookies “de terceros”. Si se opta por rechazar todas las cookies se comprobó que se seguían utilizando cookies no necesarias. 4.- Tras la notificación de la propuesta de resolución, la entidad envió escrito de alegaciones a la misma indicando a esta Agencia que había subsanado definitivamente las anomalías detectadas en su política de cookies. 5.- Por parte de esta Agencia se ha comprobado que, al entrar en la página inicial de la web indicada (primera capa), se despliega un banner informando convenientemente de la utilización de cookies, tanto propias como de terceros. Además, dentro de banner existe las opciones de “aceptar todas las cookies” y de “rechazar todas las cookies”. Junto al banner existe un panel de control de cookies donde se puede aceptar las preferencia”; “cookies estadísticas” y “cookies de marketing”, estando premarcadas en la opción de “no aceptar”. Sin realizar ninguna acción sobre la página, se comprueba que la misma solamente utiliza cookies propias necesarias, cuyo dominio pertenece a “anro.es”. Si se accede a la política de cookies, a través del enlace correspondiente, la web redirige a una nueva página, https://anro.es/politica-de-cookies, donde se proporciona información sobre, qué es una cookie; qué información guarda una cookie; qué tipos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 tiempo de actividad de las mimas, ofreciendo además la opción de rechazar todas las FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II Sobre la política de cookies en la página web denunciada, se ha comprobado que la entidad ha modificado su política, introduciendo nueva información en el banner en la página inicial y posibilitando en esta primera capa que usuario pueda, “aceptar”, “rechazar todas las cookies” o “configuración de las cookies de forma granular”. En la segunda capa (Política de Cookies), accesible a través del enlace existente en la parte inferior de la página principal, se proporciona información sobre, qué son las El artículo 22.2 de la LSSI, establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Con arreglo a las evidencias que se disponen en este momento, se considera que la Política de Cookies, de la página web reclamada no se contradice con lo estipulado en el artículo 22.2 del RGPD. Por tanto, a la vista de los hechos expuesto, la Directoria de la Agencia Española de Protección de Datos, RESUELVE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 ARCHIVAR: a la entidad INDUSTRIAS METÁLICAS ANRO, S.L., con CIF.: B13319892, titular de la página web: www.anro.es, el presente procedimiento por la presunta infracción del artículo 22.2 de la LSSI, en lo que respecta a la política de NOTIFICAR: la presente resolución a la entidad, INDUSTRIAS METÁLICAS ANRO, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es