← España

PS-00471-2021

1/15 Procedimiento Nº: PS/00471/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, OPEN BANK, S.A., con CIF.: A28021079 titular de la página web, ***URL.1 (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la parte reclamante”), por presunta infracción de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES: PRIMERO: Con fecha 06/01/21, tuvo entrada en esta Agencia, un escrito de reclamación, en el que, entre otras, se indicaba que el sitio web ***URL.1, no se estaría obteniendo el consentimiento informado para la instalación de cookies no estrictamente necesarias. Denuncia que Google está informado en todo momento de las páginas del banco a las que accede. SEGUNDO: Con fecha 13/05/21, por parte de esta Agencia se envió escrito de solicitud de información a la entidad reclamada, con respecto a la reclamación recibida, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 09/06/21, se recibió en esta Agencia escrito de contestación al requerimiento hecho a la parte reclamada, en el cual, se informa de: “Que la Página web informa a los usuarios sobre el uso de las cookies que se tratan cuando éstos acceden por primera vez a la misma, tal y como puede observarse a continuación en “Modal de cookies” que ha sido traducido al español en el recuadro por el equipo de traductores de Openbank. Asimismo. se puede comprobar que dicho Modal de Cookies da la opción al usuario de aceptar, rechazar y/o configurar las mismas. Que en caso de que el interesado quisiera acceder a la sección de "Configuración de diferentes cookies que recaba la página web: (

  1. i)técnicas. (
  2. ii)personalizadas, (iii) analíticas y (
  3. iv)publicidad comportamental, así como, el acceso a la Política de Anexo I Política de Cookies en español y en alemán. Se expone a continuación captura de la pantalla “Configuración de Cookies“ que ha sido traducido en el recuadro al español por el equipo de traductores de Openbank. III. Que Openbank realiza controles periódicos para comprobar el comportamiento de las cookies de la página web lo que permite validar si la aceptación, configuración o rechazo de las mismas funcionan correctamente. Se adjunta como Anexo II: Evidencia del control de cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 Teniendo en cuenta lo anterior, consideramos que los usuarios de la Página web son informados debidamente y que Openbank está obteniendo su consentimiento para la instalación de cookies conforme a lo exigido por la normativa, teniendo en cuenta las siguientes consideraciones: Transparencia de la Información: La Guía sobre el Uso de Cookies de la Agencia Española de Protección de Datos, (en adelante "Guía de Cookies“), detalla los requisitos aplicables a la provisión a los usuarios de información relativa al uso de utilizar un lenguaje claro y sencillo. evitando el uso de frases que induzcan a confusión o desvirtúen la claridad del mensaje; y (
  4. o)La información debe ser de fácil acceso. En este aspecto, como se ha podido ver con anterioridad en el flujo de aceptación, se puede comprobar que Openbank utiliza información clara y precisa. detallando las diferentes finalidades en cada uno de los casos y proporcionando información concreta a los interesados en cada caso. habiendo utilizado para su redacción los ejemplos proporcionados en la Guía de Cookies. . Consentimiento informado: Siguiendo lo establecido por la Guía de Cookies se ponen de manifiesto las siguientes indicaciones: exceptuadas de recabar el consentimiento, si bien Openbank informa a los usuarios sobre su uso y titularidad. Obtención de consentimiento para Cookies necesarias: La Guía de Cookies establece que “para la utilización de las cookies no exceptuadas será necesario en todo caso obtener el consentimiento del usuario”. De igual forma el Reglamento General de Protección de Datos se define como: “Toda manifestación de voluntad libre, específica, informada e inequívoca por te que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Teniendo en cuenta lo anterior Openbank ha definido las siguientes modalidades para la obtención del consentimiento que, considera cumplen con lo exigido por la normativa, así como, con la Guía de Cookies: Modalidad “Aceptar y navegar o Rechazar todas": Los usuarios podrán prestar su consentimiento después de que se les haya facilitado la primera capa informativa, donde se detalla la finalidad de cada cookie, tal y como se puede observar en el "Moda! de Cookies”. Dicha aceptación o rechazo requiere una clara acción afirmativa por parte del usuario que debe seleccionar el botón correspondiente de “acepta” o "rechazar". La decisión del usuario se almacenará en la cookie ConsentM6R, como se puede ver en la información proporcionada en la Política de cookies. Modalidad “Configuración de cookies': Así como los usuarios podrán aceptar o rechazar las cookies en una primera capa también podrán manifestar su conformidad de forma separada y granular para cada una de las finalidades: personalizadas. analíticas y/o publicidad comportamental tal y como se detalla en las pantallas anteriores. El usuario tras haber seleccionado la configuración deseada presionará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 los botones "Guardar“ 0 'Aceptar Todas" y. su decisión se almacenará en la cookie ConsentM6R, como se puede ver en la Política de cookies. Configuración de los consentimientos: Los usuarios podrán modificar el consentimiento en cualquier momento de forma fácil accediendo a un link que les redirige directamente al “Moda! de cookies“ para su configuración tal y como se informa en el apartado 7 de la Política de cookies Por todo lo previamente expuesto desde Openbank consideramos si se está informado y obteniendo el consentimiento correcto dela Página Web y, quedamos a su disposición para cualquier aclaración que consideren conveniente. CUARTO: Con fecha 20/07/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por la parte reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: Con fecha 16/08/21, por parte de esta Agencia se realizaron las siguientes comprobaciones en la página web, ***URL.1, respecto de su política de cookies: 1. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, y habiendo limpiado la memoria CACHE del equipo terminal, se ha detectado que se utilizan cookies de terceras partes, en este caso, pertenecientes al dominio de Google.com que no son técnicas o necesarias: Secure-3PSIDCC .google.com / __Secure-3PAPISID .google.com / __Secure-1PAPISID .google.com / __Secure-3PSID .google.com / __Secure-1PSID .google.com / SID .google.com / SAPISID .google.com / APISID .google.com / NID .google.com / SEARCH_SAMESITE .google.com / CONSENT .google.com / DV .google.com / OGPC 1151720448-1:google.com / __Secure-3PSIDCC .google.com / SIDCC .google.com / __Secure-3PAPISID .google.com / SSID .google.com / __Secure-1PAPISID .google.com / HSID .google.com / __Secure-3PSID .google.com / __Secure-1PSID .google.com / SID .google.com / SAPISID .google.com / APISID .google.com / NID .google.com / SEARCH_SAMESITE .google.com / CONSENT .google.com / DV .google.com / OGPC 1151720448-1:google.com / 1P_JAR .google.com / 2. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “En Openbank, utilizamos cookies o tecnologías similares de nosotros o de terceros para garantizar el funcionamiento del sitio web y para que su inicio de sesión se guarde cuando se registra. Con su consentimiento, también podemos mejorar y personalizar su experiencia de navegación y mostrarle publicidad que se adapte a su perfil en función de sus hábitos de uso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 Para aceptar todas las cookies, haga clic en "Aceptar y navegar", para rechazar las información, haga clic en "Configurar permisos". <<Configurar permisos>>- <<Rechazar las cookies>>-<<Aceptar y navegar>> a).- Si se opta por “rechazar todas las cookies” a través de la opción correspondiente, <<Rechazar las cookies>>, se comprueba como la web sigue utilizando las mismas b).- Si se accede al panel de control de cookies, a través del enlace correspondiente, <<configuración de permisos>>, la web despliega el siguiente panel de control, donde se pueden gestionar los grupos de cookies de forma granular, estando éstos inicialmente premarcados en la opción de <<desactivado>>, excepto las cookies necesarias: “Estas son las cookies que podemos utilizar en nuestro sitio web. Puede configurarlo según sus deseos, teniendo en cuenta que las cookies técnicas son necesarias para que pueda tener lugar una interacción con Openbank. Por supuesto, también puede consultar la <<política de cookies>> para obtener más información.”. De Publicidad Comportamental “Siempre activas” OFFON OFFON OFFON <<Guardar en la computadora>>-- <<Aceptar todo>> Si se opta por no activar ningún grupo de cookies, cliqueando en la opción de <<guardar en la computadora>>, la configuración y salir del panel de control, con la intención de que no se utilicen cookies de terceras partes, se comprueba que la web sigue utilizando las mismas cookies del Google.com, indicadas anteriormente. 3.- Si se accede a la “Política de Cookies”, a través del enlace existente en el panel de control y en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.2, donde se proporciona información sobre, qué son las cookies, qué tipos de dominio, su finalidad y el tiempo que permanecerán activas), así como, la gestión de las cookies a través de los navegadores instalados en los equipos terminales. En el apartado nº4 de la “Política de Cookies” que hace referencia a las cookies utilizadas en la página web. En este apartado se puede observar, entre otras, cómo se indica la utilización de las cookies técnicas, de personalización y de publicidad o comportamental. Dentro de este grupo la web utiliza un grupo de cookies, sobre todo de Google.com para controlar el comportamiento del usuario en la navegación que realiza en la web de la entidad. Las cookies detectadas en la visita a la web el 16/08/21, que coinciden con las que la entidad afirma utilizar son las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 (…) 4.4. Cookies de “publicidad comportamental”: Las cookies de publicidad comportamental recaban información sobre tu comportamiento según tus hábitos de navegación y nos permiten gestionar de forma más eficaz los espacios publicitarios adecuando el contenido a tu perfil específico: SAPISID SID SSID CONSENT OGPC 1P_JAR .google.com .google.com .google.com .google.com .google.com .google.com / / / / / / comportamental comportamental comportamental comportamental comportamental comportamental SEXTO: Con fecha 26/10/21, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por la presunta infracción del artículo 22.2 de la LSSI, con una sanción inicial de 5.000 euros (cinco mil euros), por la utilización de cookies de terceros, en este caso del dominio de Google.com, que no eran necesarias o técnicas sin el previo consentimiento de los usuarios y la imposibilidad que existía para eliminarlas del equipo cuando se rechazaba su utilización. SÉPTIMO: Notificado el acuerdo de inicio a la entidad reclamada, ésta mediante escrito de fecha 12/11/21, formuló, en síntesis, las siguientes alegaciones: Conforme su escrito de fecha 26 de octubre de 2021, por el que se comunica el acuerdo de inicio del procedimiento sancionador de referencia PS/OO471/2021 en relación con la reclamación presentada por un ciudadano alemán frente a OPEN BANK, S.A. (en adelante, “Openbank"), titular de la página web ***URL.1 , procedemos a entregarles de forma presencial la documentación correspondiente al Anexo I que es complementaria a la contestación remitida el día 11 de noviembre de 2021 de forma telemática a través de su Registro electrónico. La información se facilita mediante un USB que contiene las evidencias en formato video para que sea reproducible, así como la información que ya les hemos remitido a través del Registro electrónico que consiste en la contestación a su requerimiento junto con los Anexos 2 y 3. De este modo, hemos facilitado la totalidad de la documentación relativa al procedimiento arriba indicado. Quedamos a su disposición para cualquier información o aclaración adicional que precisen”. OCTAVO: Con fecha 12/12/21, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/00096/2021 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00471/2021, presentadas por la entidad. NOVENO: Con fecha 22/01/22, por parte de esta Agencia se realizaron las siguientes comprobaciones en la página web, ***URL.1, respecto a la presunta infracción cometida en relación con su política de cookies: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 1.- Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha detectado que ya no se utilizan cookies que no sean técnicas o necesarias, que sean de terceras partes. 2. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “En Openbank, utilizamos cookies o tecnologías similares de nosotros o de terceros para garantizar el funcionamiento del sitio web y para que su inicio de sesión se guarde cuando se registra. Con su consentimiento, también podemos mejorar y personalizar su experiencia de navegación y mostrarle publicidad que se adapte a su perfil en función de sus hábitos de uso. Para aceptar todas las cookies, haga clic en "Aceptar y navegar", para rechazar las información, haga clic en "Configurar permisos". <<Configurar permisos>>- <<Rechazar las cookies>>-<<Aceptar y navegar>> a).- Si se opta por “rechazar todas las cookies” a través de la opción correspondiente, <<Rechazar las cookies>>, se comprueba como la web sigue sin utilizar cookies de terceros, que no sean técnica o necesarias. DÉCIMO: Con fecha 27/01/21, se da traslado a la entidad reclamada de la propuesta de resolución, en la cual, se propone que, por parte de la Directora de la Agencia Española de Protección de Datos se la sancionase por la infracción del artículo 22.2 de la LSSI. No obstante, al constatar que la entidad reclamada ya no utilizaba cookies de terceros sin el previo consentimiento del usuario, se proponía una reducción de la sanción a imponer, en este caso, del 50%, que se quedaría en 2.500 euros (dos mil quinientos), UNDÉCIMO: Notificado la propuesta de resolución a la parte reclamada, ésta, con fecha 09/02/22, presenta escrito de alegaciones, indicado, entre otras, lo siguiente: En respuesta a su escrito de fecha 27 de febrero de 2022 con número de procedimiento PS/OO471/2021 en relación con admisión a trámite de la reclamación presentada por un ciudadano alemán (en adelante el “lnteresado”) frente a OPEN BANK, S.A. ( “'Openbank") en la que manifiesta que en nuestra página web ***URL.1 no se estaría obteniendo el consentimiento informado para la instalación de cookies no estrictamente necesarias y sobre las cuales Uds. manifiestan haber realizado diferentes comprobaciones con fecha 16 de agosto de 2021, procedemos a facilitarles la siguiente información en relación con el listado de cookies que mencionan que se ha cargado en el dominio de la Página web y que se detalla a continuación: Hemos consultado directamente a Google si sería posible que las cookies a las que se hace referencia en el requerimiento se hubieran cargado directamente en la página web de Openbank y nos han confirmado que no. Se muestra a continuación los pantallazos de la respuesta a la consulta planteada a Google, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 “respecto al caso específico de la cookie de consentimiento “CONSENT google.com / DV google.com", en la que confirman la necesidad de que el usuario haya visitado alguno de los dominios de Google”. Basándonos en este ejemplo concreto se confirma nuestra hipótesis de que el navegador utilizado por Uds. en las pruebas realizadas, pudo haber navegado previamente por sitios web propios de Google y, por tanto, que parte o la totalidad de las cookies de la lista facilitada provienen directamente de esos sitios web y no de nuestra Página web. Asimismo, tras analizarla Política de Privacidad de Google, hemos detectado que ciertas cookies de la mencionada lista podrían tener una finalidad funcional y/o de seguridad, tal y como se detalla a continuación: - funcional cuya finalidad es generar un ID único que Google utiliza para recordar preferencias y otra información de los usuarios como el idioma preferido, el número de resultados de búsqueda que quieren que se muestren por página (por ejemplo, 10 o 20) y si quieren que el filtro Búsqueda Segura de Google esté activado o desactivado. La cookie "NID" caduca 6 meses de su último uso. - HSID .google.com I_Secure-3PSID .google.com II): se menciona que las del momento de inicio de sesión más reciente, y del ID de cuenta de Google de un usuario. La combinación de estas cookies les permite bloquear muchos tipos de ataques, como, por ejemplo, intentos de robo del contenido de los formularios que se envían en los servicios de Google. Lo previamente mencionado, también lo hemos podido observar al haber navegado por primera vez en Google, donde hemos comprobado que ciertas cookies de las mencionadas, específicamente: NlD, CONSENT, 1P_JAR y ANID, se precargan incluso al rechazar su modal de consentimientos. Os pasamos el flujo a continuación: En base a lo expuesto, entendemos que Openbank no ha realizado acción alguna relacionada con la carga de las cookies que se citan en el requerimiento si no que las mismas provienen de un tercero (Google.com), que sería quien, en su caso, hubiera instalado las mismas en el dispositivo del usuario sin su consentimiento o información. Por lo anteriormente expuesto, volvemos a requerir a la Agencia Española de Protección de Datos, que resuelva el procedimiento administrativo sin imponer sanción alguna. Por último, en caso de que se considerase que las evidencias aportadas no fueran suficientes para aclarar la situación, les agradeceríamos que por favor tomen nota de que Openbank solicita por medio de la presente carta una prórroga de 10 días hábiles, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 para poder obtener evidencias adicionales por parte del proveedor Google, teniendo en cuenta que a la fecha del presente escrito se encuentra pendiente que se nos proporcione un informe sobre el tema. De este modo, daríamos respuesta adicional en el plazo de prorroga antes del 23 de febrero de 2022. HECHOS PROBADOS 1º.- Según se indicaba en la reclamación presentada en esta Agencia el 06/01/21, en el sitio web: ***URL.1, no se estaría obteniendo el consentimiento informado para la instalación de cookies no estrictamente necesarias. 2º.- Consultada la página reclamada por parte de esta Agencia, con fecha 16/08/21, se comprobó, a través de la opción de “inspeccionar Aplicación” del navegador de Google Chrome que, al entrar, por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, en la web***URL.1, después de haber borrado la memoria la caché y las cookies del equipo terminal, se utilizaban cookies de terceros que no son técnicas o necesarias, cuyo dominio pertenece a Google.com: Secure-3PSIDCC .google.com __Secure-1PAPISID .google.com __Secure-1PSID .google.com SAPISID .google.com NID .google.com CONSENT .google.com OGPC 1151720448-1:google.com __Secure-3PSIDCC .google.com __Secure-3PAPISID .google.com SSID .google.com HSID .google.com __Secure-1PSID .google.com SAPISID .google.com NID .google.com CONSENT .google.com OGPC 1151720448-1:google.com / __Secure-3PAPISID / __Secure-3PSID / SID / APISID / SEARCH_SAMESITE / DV / / SIDCC / / __Secure-1PAPISID / __Secure-3PSID / SID / APISID / SEARCH_SAMESITE / DV / 1P_JAR .google.com .google.com .google.com .google.com .google.com .google.com / / / / / / .google.com / .google.com .google.com .google.com .google.com .google.com .google.com .google.com / / / / / / / 4º.- Iniciado el procedimiento sancionador a la entidad responsable de la página web en cuestión, por la presunta infracción del artículo 22.2 de la LSSI, al utilizar cookies no necesarias o técnicas sin el previo consentimiento de los usuarios y la imposibilidad de eliminarlas, la entidad, con fecha 12/11/21, formuló alegaciones en las que indicaba, entre otras, que: “(…) Openbank quiere señalar que el listado de cookies previamente mencionado no se corresponde, ni se ha correspondido con cookies cargadas en nuestra página web. incluso, en caso de que se aceptaran las cookies de la página web de Openbank, las En este sentido, consideramos que sólo sería posible que dichas cookies aparecieran precargadas en la página web de Openbank, si el usuario hubiera navegado con anterioridad y a través del mismo navegador en otras páginas webs que hubieran cargado dichas cookies y que no se hubieran eliminado antes de hacer la prueba (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 5º.- Tras el traslado a la entidad reclamada de la propuesta de resolución, ésta presenta justificación de la entidad Google afirmando que dicha entidad le ha contestado que, no sería posible que las cookies a las que se hace referencia se carguen directamente en la página web de Openbank sin que el usuario haya visitado previamente otros dominios de Google. No obstante, la consulta que hace la entidad Openbank a Google solamente hace referencia a la cookie “CONSENT” y así se especifica en el correo electrónico enviado desde la entidad reclamada a Google: “(…) Por ir al grano y hacer más concreta la duda ¿ hay alguna forma de que la haber pasado antes por la web de Google como Google.es? Intuimos que no, que la única forma que esta cookie se guarde es habiendo navegado antes por alguna web de Google ya que es la responsable de gestionar los consentimientos de las propias webs de Google. Pero nos gustaría confirmarlo y evidenciarlo claramente (…)” La respuesta de Google a la entidad reclamada es la siguiente: “La cookie que mencionas “CONSENT” representa el estatus de consentimiento del usuar… ( nota: aquí se corta la fotocopia adjuntada por la entidad reclamada y sigue en)… comentas será necesario visitar uno de los dominios de Google (Google.com; youtube.com, etc.). La siguiente fotocopia adjuntada sobre los correos intercambiados entre Openbank y Google esta es ilegible. No obstante, la entidad afirma a continuación que: “después de adjuntar Basándonos en este ejemplo concreto se confirma nuestra hipótesis de que el navegador utilizado por Uds. en las pruebas realizadas, pudo haber navegado previamente por sitios web propios de Google y, por tanto, que parte o la totalidad de las cookies de la lista facilitada provienen directamente de esos sitios web y no de nuestra Página web (…)”. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). II.- sobre las alegaciones presentadas por la entidad reclamada a la propuesta de resolución: La entidad reclamada manifiesta en sus alegaciones que: “(…) después de adjuntar Basándonos en este ejemplo concreto se confirma nuestra hipótesis de que el navegador utilizado por Uds. en las pruebas realizadas, pudo haber navegado previamente por sitios web propios de Google y, por tanto, que parte o la totalidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 las cookies de la lista facilitada provienen directamente de esos sitios web y no de nuestra Página web (…)”. No obstante, lo anterior, la consulta que hace la entidad Openbank a Google solamente hace referencia a la cookie “CONSENT” y así se especifica en el correo electrónico enviado desde la entidad reclamada a Google: “(…) Por ir al grano y hacer más concreta la duda ¿ hay alguna forma de que la haber pasado antes por la web de Google como Google.es? Intuimos que no, que la única forma que esta cookie se guarde es habiendo navegado antes por alguna web de Google ya que es la responsable de gestionar los consentimientos de las propias webs de Google. Pero nos gustaría confirmarlo y evidenciarlo claramente (…)” Siendo la respuesta de Google: “La cookie que mencionas “CONSENT” representa el estatus de consentimiento del usuar.. ( nota: aquí se corta la fotocopia adjuntada por la entidad reclamada y sigue en)… comentas será necesario visitar uno de los dominios de Google (Google.com; youtube.com, etc.). No existiendo, ni siquiera, respuesta sobre las cookies publicitarias o comportamentales, detectadas de google.com, en la visita a la web (SAPISID; SID; SSID; CONSENT; OGPC y 1P_JAR) y que coinciden con las que la entidad afirma utilizar para realizar estudios comportamentales de los usuarios. III.- Sobre la “Política de Cookies” de la web: a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/201210, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
  5. in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En nuestro caso, al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, y habiendo limpiado la memoria CACHE del equipo terminal, se ha detectado que se utilizan cookies de terceras partes, en este caso, pertenecientes al dominio de Google.com que no son técnicas o necesarias: Secure-3PSIDCC .google.com __Secure-1PAPISID .google.com __Secure-1PSID .google.com SAPISID .google.com NID .google.com CONSENT .google.com OGPC 1151720448-1:google.com __Secure-3PSIDCC .google.com __Secure-3PAPISID .google.com SSID .google.com HSID .google.com __Secure-1PSID .google.com SAPISID .google.com NID .google.com CONSENT .google.com OGPC 1151720448-1:google.com / __Secure-3PAPISID / __Secure-3PSID / SID / APISID / SEARCH_SAMESITE / DV / / SIDCC / / __Secure-1PAPISID / __Secure-3PSID / SID / APISID / SEARCH_SAMESITE / DV / 1P_JAR .google.com .google.com .google.com .google.com .google.com .google.com / / / / / / .google.com / .google.com .google.com .google.com .google.com .google.com .google.com .google.com / / / / / / / Por su parte, en el apartado nº4 de la “Política de Cookies” ***URL.2, que hace referencia a las cookies utilizadas en la página web. En este apartado se puede observar, entre otras, cómo se indica la utilización de las cookies técnicas, de personalización y de publicidad o comportamental. Dentro de este último grupo, la web indica que utiliza una serie de cookies, en total 33 cookies, sobre todo de Google.com para controlar el comportamiento del usuario en la navegación que realiza en la web de la entidad. Las cookies detectadas en la visita a la web el 16/08/21, que coinciden con las que la entidad indica que utiliza son las siguientes: (…) 4.4. Cookies de “publicidad comportamental”: Las cookies de publicidad comportamental recaban información sobre tu comportamiento según tus hábitos de navegación y nos permiten gestionar de forma más eficaz los espacios publicitarios adecuando el contenido a tu perfil específico: SAPISID SID SSID C/ Jorge Juan, 6 28001 – Madrid .google.com .google.com .google.com / / / comportamental comportamental comportamental www.aepd.es sedeagpd.gob.es 12/15 CONSENT OGPC 1P_JAR .google.com .google.com .google.com / / / comportamental comportamental comportamental b).- Sobre el consentimiento a la utilización de cookies no necesarias: Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a la segunda capa si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la selección, en el panel podrá implementarse, además de un sistema de gestión granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna cookie, se entenderá que ha rechazo todas las cookies. En relación con esta segunda posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar cookies. Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción podría ser considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular, en su propia página web. Por otra parte, la retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las cookies. Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En nuestro caso, si se opta por “rechazar todas las cookies” a través de la opción correspondiente, <<Rechazar las cookies>>, existente en el banner de la página principal se comprueba como la web sigue utilizando las mismas cookies de terceros (de Google.com), indicadas anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 Si se accede al panel de control de cookies, a través del enlace correspondiente, <<configuración de permisos>>, y se opta por no activar ningún grupo de cookies, cliqueando directamente en la opción de <<guardar en la computadora>>, la configuración y salir del panel de control, con la intención de que no se utilicen cookies de terceras partes, se comprobó que la web seguía utilizando las mismas cookies del Google.com, indicadas anteriormente. IV- Infracción en la “Política de Cookies”: La utilización de cookies que no sean técnicas o necesarias sin el previo consentimiento del usuario podría suponer por parte de la entidad reclamada la comisión de la infracción del artículo 22.2 de la LSSI, pues establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Tras las evidencias obtenidas, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: “La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI”. Con arreglo a dichos criterios, se estima adecuado imponer una sanción de 2.500 euros (dos mil quinientos euros), por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: IMPONER a la entidad, OPEN BANK, S.A., con CIF.: A28021079 titular de la página web, ***URL.1 una sanción de 2.500 euros (dos mil quinientos) por la infracción del artículo 22.2 de la LSSI, respecto a las deficiencias detectadas en la “Política de Cookies”, de la página web. SEGUNDO: NOTIFICAR la presente resolución a la entidad OPEN BANK S.A. TERCEO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  6. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  7. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.