← España

PS-00477-2021

1/15  Procedimiento Nº: PS/00477/2021 RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, TARIFER SERVICIOS, S.L., con CIF.: B82731027, titular de la página web: ***URL.1, (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la parte reclamante”), por presunta infracción de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 25/05/21, tuvo entrada en esta Agencia, un escrito de reclamación, en el que, entre otras, se indicaba: “He realizado un pedido en la web "***URL.1" y se han tratado mis datos personales (tales como nombre y apellidos, DNI, dirección, teléfono, email, etc.) sin informarme de ninguno de mis derechos reconocidos por el RGPD. En las condiciones generales de compra se hace referencia, bajo el apartado "Confidencialidad y protección de datos" a la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal, ya derogada, En las condiciones de privacidad y cookies, se omite información esencial respecto de las cookies utilizadas en el sitio web.” SEGUNDO: Con fecha 29/06/21 y 12/07/21, por parte de esta Agencia se dirigieron escritos solicitando información sobre la reclamación presentadas, a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento enviado a la entidad reclamada, el día 29/06/21, a través del servicio de notificaciones NOTIFIC@, fue rechazado en destino el día 10/07/21. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada, el día 12/07/21, a través del servicio de SICER, fue entregado en destino el 20/07/21, firmando la notificación de entrega: TARIFER SERVICIOS, S.L. Documento: ***NIF.1. TERCERO: Con fecha 24/09/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LPDGDD), al apreciar indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 CUARTO: Con fecha 02/10/21, la Subdirección General de Inspección de Datos, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del RGPD, realizó las siguientes comprobaciones en la página web, ***URL.1 : a).- Sobre el tratamiento de datos personales: Se constata que la web reclamada puede obtener datos personales de los usuarios a través de las siguientes opciones: 1. Existe un formulario de registro <<iniciar sesión con su cuenta>> donde se solicita el correo electrónico del usuario; ***URL.2. 2. Existe la posibilidad de contactar con el responsable de la web, a través del enlace <<contacte con nosotros>>, donde se solicita el correo electrónico del usuario; ***URL.3. 3. Existe la posibilidad de suscribirse al boletín de noticias de la web, a través del enlace <<boletín>>, donde se solicita el correo electrónico del usuario. b).- Sobre la Política de Privacidad: A través del enlace existente en la parte inferior de la página principal, <<privacidad y siguiente información: - Leyes que incorpora esta política de privacidad Esta política de privacidad está adaptada a la normativa española y europea vigente en materia de protección de datos personales en internet. En concreto, la misma respeta las siguientes normas: El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD). El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (RDLOPD). La Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE). - Identidad del responsable del tratamiento de los datos personales TARIFER SERVICIOS SL, provista de CIF: B82731027 e inscrita en: Registro Mercantil de Madrid con los siguientes datos registrales: Libro: 0, Tomo 15729, Folio 166, Hoja: M-265154, cuyo representante es: B.B.B. (en adelante, Responsable del tratamiento). Sus datos de contacto son los siguientes: Calle ***DIRECCIÓN.1; Teléfono de contacto: ***TELÉFONO.1; Email de contacto: ***EMAIL.1. Además, se proporciona información sobre: el Registro de Datos de Carácter Personal; los principios aplicables al tratamiento de los datos personales; las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 categorías de datos que se tratan en Tarifer ; la base legal para el tratamiento de los datos personales; los fines del tratamiento a que se destinan los datos personales; el períodos de retención de los datos personales; los destinatarios de los datos personales; sobre el tratamiento de los datos personales de menores de edad; sobre el secreto y seguridad de los datos personales; sobre los derechos derivados del tratamiento de los datos personales y sobre la posibilidad de reclamaciones ante la autoridad de control. c).- Sobre la Política de Cookies: 1.- Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se utiliza cookies no necesarias de terceros, cuyos dominios pertenecen a Google.com; Google.es y doubleclick.net: DV 1P_JAR test_cookie _ga .google.es / .google.es / .doubleclick.net/ .google.com / NID CONSENT _gid .google.es .google.com .google.com / / / 2.- El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “Nos preocupa tu privacidad por ello queremos informarte de que este sitio web utiliza relacionada con sus preferencias mediante el análisis de sus hábitos de navegación. Para dar su consentimiento sobre su uso pulse el botón <<Acepto>>”. <<Más información>> <<Personalizar las cookies>> a).- Si se accede al panel de control de cookies, a través del enlace existente en el banner <<personalizar las cookies>>, la web despliega el siguiente panel de control: Gestión de cookies: <<cancelar>> No Sí  Sí <<aceptar selección>> <<aceptar todo>> En el panel de control se comprueba como las cookies no técnicas o necesarias (cookies de personalización) se encuentran premarcadas en la opción de aceptadas (SÍ). b).- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner <<Más información>>, la web redirige a una nueva página, ***URL.2, donde se proporciona información, en el apartado correspondiente a las cookies, sobre: qué son las cookies y qué tipos de cookies existen, pero falta información sobre la identificación de las cookies que utiliza la web, tanto las propias como las de terceros (el identificador, su dominio, su finalidad y el tiempo que permanecerán activas) y sobre cómo gestionar la utilización de cookies, la web emplaza al usuario a configurar el navegar instalado en su equipo terminal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 QUINTO: Con fecha 29/10/21, por la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la parte reclamada, por infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies” de la página web de su titularidad, con una sanción inicial de 2.000 euros (dos mil euros), por la utilización de cookies de terceros que no eran técnicas o necesaria sin el previo consentimiento de los usuarios de la página web y por la existencia, en el panel de control de cookies, de grupo de Por otra parte, y con arreglo a las evidencias que se disponían en ese momento, se consideró que la “Política de Privacidad”, de la página web reclamada, no se contradecía con lo estipulado en el artículo 13 del RGPD, por lo que no se tuvo en consideración los aspectos indicados en la reclamación sobre este particular. SEXTO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 16/11/21 formuló, en síntesis, las siguientes alegaciones “Según se desprende del escrito remitido por la Agencia Española de Protección de Datos, la reclamación se interpuso en fecha 25/05/2021, por lo que el reclamante accedió a la web URL.1 con anterioridad a la misma. Durante el acceso a la referida web, el reclamante alega no haber encontrado la información requerida por el art. 13 RGPD, esto es, afirma que la página web no contaba con una Política de Privacidad adecuada a lo establecido en la normativa vigente en materia de protección de datos. Así mismo, el reclamante alega la omisión de información esencial respecto de las Con fecha 02/10/21, la Subdirección General de Inspección de Datos realizó las siguientes comprobaciones en la página web ***URL.1:

  1. a)Sobre la Política de privacidad: Se concluye que la Política de privacidad, con arreglo a las evidencias que se disponen, no se contradice con lo estipulado en el artículo 13 del Reglamento (UE) 2016/679. Como consecuencia directa de esta conclusión desde TARIFER SERVICIOS, S.L. consideramos que no hemos vulnerado la normativa vigente en materia de protección de datos personales. Así mismo, resulta necesario subrayar que queda acreditado que somos una entidad que ha asumido la máxima responsabilidad y compromiso con el establecimiento, implementación y mantenimiento de una Política de Protección de Datos, con el objetivo de alcanzar la excelencia en relación con el cumplimiento del Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), y de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (Ley Orgánica 3/2018) (adjunta como ANEXO N. º 1).
  2. b)Sobre la Política de cookies: En relación con la Política de cookies que contaba nuestra página web se realizan las siguientes valoraciones: i. Sobre la instalación de en la página web por la Subdirección General de Inspección de Datos, se concluye que al entrar en la página principal y sin realizar ninguna acción sobre la misma y sin aceptar las cookies, se utilizaban cookies no necesarias de terceros, cuyos dominios pertenecen a Google.com; Google.es y doubleclik.net En el mismo instante en que tuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 vimos conocimiento de la posibilidad de que nuestra ventana y cuadro de configuración de cookies no funcionaba de acuerdo a lo establecido en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, así como a lo publicado por la propia AEPD a través de su “Guía sobre el uso de cookies”, contratamos los servicios de un nuevo profesional informático para que realizara una valoración sobre la situación descrita, y adoptara las medidas correctoras oportunas que detallamos a continuación en el presente escrito. El objetivo de acudir a un nuevo profesional informático no es otro que obtener una opinión de un tercero imparcial y profesional, ya que, con motivo de nuestro nulo conocimiento de la materia, únicamente contábamos con la opinión del profesional informático que configuró nuestra política de cookies. En este sentido conviene precisar que en el mismo momento en que se nos dio traslado del resultado de la valoración realizada por el nuevo profesional informático se han corregido todos los defectos técnicos para que únicamente se utilicen cookies técnicas sin mediar acción alguna por el usuario. Así mismo, se ha establecido como norma interna para el responsable de nuestra página web la obligación de revisar semanalmente que no se utilicen cookies no técnicas al acceder a la misma. II. Sobre el consentimiento a la utilización de cookies no necesarias: Como punto de partida debemos informales que en un primer momento, por recomendación del profesional informático que desarrolló nuestra web, optamos por seguir un modelo de primera capa (ventana y cuadro de configuración de cookies) en los mismos términos que en el ejemplo número 3 incluido en la página 21 de la “Guía sobre el uso de “Configurar”. Sin embargo, recibido el Acuerdo de inicio de procedimiento el nuevo profesional informático, con ánimo de cumplir con el espíritu de la normativa que regula el uso de nuestra Política de cookies (tanto la primera como la segunda capa). Quiere ello decir que hemos decidido realizar las siguientes medidas correctoras: I. Incluir un tercer botón específico en la ventana y cuadro de configuración de cookies (primera capa) mediante el cual el usuario puede rechazar todas las cookies que precisen de su consentimiento, tal y como se puede comprobar en la siguiente imagen: II. Así mismo, hemos eliminado otro defecto técnico modificando las casillas premarcadas para autorizar el uso de cookies no técnicas en los términos previstos en el considerando 32 del Reglamento (UE) 2016/679: III. Por último, tal y como pueden comprobar accediendo a nuestra página web, hemos incluido un sistema de fácil acceso para que los usuarios puedan retirar el consentimiento en cualquier momento. III. Sobre la información suministrada en la segunda capa (Política de cookies): Otro de los motivos que han dado lugar al Acuerdo de inicio de procedimiento sancionador ha sido detectar que no se proporcionaba la identificación de las cookies que se utilizaban, si son propias o de terceros, ni el tiempo que estaban activas en el equipo terminal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 Se realizó un análisis en profundidad sobre las cookies que realmente eran necesarias usar en nuestra página web. Como resultado del mismo, tal y como se puede comprobar accediendo a nuestra página web, se decidió eliminar la mayoría de las cookies que se utilizaban con anterioridad. Tras realizar las oportunas investigaciones hemos podido concluir que, en un momento determinado, a causa de las modificaciones que estábamos realizando con motivo de actualizar el contenido de nuestra Política de cookies, no se incluía toda la información relativa a la identificación de las cookies que se utilizaban. En este contexto, una vez que definimos las cookies que realmente necesitamos o pretendíamos usar en nuestra web, y en colaboración directa con el nuevo profesional informático, inmediatamente se volvió a incluir toda la información relativa a las Como podrán comprobar a través del enlace ***URL.4 se informa permanentemente de todas las cookies que utilizamos en la actualidad, así como la información indicada en el aparatado 3.1.1 de la “Guía sobre el uso de cookies”. IV. Presunta infracción en la Política de cookies: En el Acuerdo de inicio de procedimiento sancionador se considera que procede graduar la sanción e imponerla de acuerdo con uno de los criterios agravantes que establece el artículo 40 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: la intencionalidad. En este sentido, debemos subrayar que no existe intencionalidad alguna por parte de la entidad en el desarrollo de las actuaciones objeto de estudio. Y ello porque la Sentencia de la Audiencia Nacional de 12/11/2007 recaída en Recurso núm. 351/2006, que se menciona en el propio “Acuerdo de inicio de procedimiento sancionador” de la Agencia Española de Protección de Datos, establece lo siguiente: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador”. Para considerar que existe intencionalidad en el desarrollo de la conducta objeto de estudio, por consiguiente, debería acreditarse que la entidad no ha sido diligente en lo atinente al cumplimiento de las exigencias sobre Teniendo en cuenta que el adjetivo “diligente” es definido por el Diccionario de la lengua española de la Real Academia Española como “Cuidadoso, exacto y activo”, irremediablemente debemos concluir que cualquier entidad que no adopte una actitud proactiva de cumplimiento en los términos del art. 5.2 RGPD estaría desarrollando una actuación que infringe lo dispuesto en la normativa de manera grave. Esa falta de diligencia o proactividad no se ha materializado en el caso objeto de estudio, ya que TARIFER SERVICIOS, S.L.: 1. Ha colocado a la protección de datos personales en un lugar preeminente de su negocio, a través del establecimiento en la organización de una cultura de cumplimiento cuyo objetivo es el máximo respeto a los derechos y libertades fundamentales de los interesados con los que se relaciona, para lo cual se ha adquirido un compromiso de exquisito respeto a lo dispuesto en el ordenamiento jurídico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 La propia Agencia Española de Protección de Datos se ha percatado de esta circunstancia en el curso de las labores inspectoras que tiene legalmente atribuidas, pues ha considerado que los textos legales dispuesto en la web son respetuosos con las exigencias legales y respetan las interpretaciones realizadas por parte de las autoridades competentes. 2. Ha adoptado las medidas pertinentes para reparar de manera urgente todas las imperfecciones que han sido detectadas en el curso del presente procedimiento, habiéndose obtenido como resultado una absoluta reparación de todos los errores pertinentes. Ello ha quedado acreditado en el presente Escrito a través de las pruebas aportadas. Entendemos que del análisis conjunto de estos elementos se deriva en que la actuación de TARIFER SERVICIOS, S.L. no reviste de la falta de diligencia necesaria para que la supuesta infracción cometida sea considerada como intencionada y, por ende, se aplique el correspondiente agravante. Continuando con el razonamiento expuesto, consideramos que ni siquiera debería sancionarse esta actuación, pues la sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013 realizó una afirmación de sobresaliente importancia para la resolución del caso objeto de estudio: “No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD. Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII”. Reconoce esta Sentencia que la falta de vinculación entre la supuesta infracción y la actividad desarrollada por la entidad o el beneficio obtenido por ésta son criterios que sirven para disminuir la culpabilidad. Así lo ha interpretado la Agencia Española de Protección de Datos en multitud de Procedimientos Sancionadores que han finalizado en ARCHIVO, pues la autoridad de control ha concluido lo siguiente en relación a la Sentencia expuesta: “Esta sentencia, se interpreta el apercibimiento con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haberse cumplido las medidas esperadas relacionadas con la infracción, en este caso, la modificación de la política de cookies adaptándola a la legislación vigente, no sería entonces “apercibimiento”, sino archivo, tal y como se deduce del fundamento SEXTO de la Sentencia arriba citada”. Como corolario a todo lo hasta aquí expuesto, debemos concluir que la proactividad que ha demostrado TARIFER SERVICIOS, S.L. en materia de cumplimiento normativo mediante la inserción de los correspondientes textos legales, su diligencia para resolver los errores detectados en un periodo de tiempo reducido a través de la realización de las inversiones económicas y de personal pertinentes, la carencia absoluta de relaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 ción entre la supuesta infracción y su actividad económica y el nulo beneficio obtenido por estos hechos, son circunstancias que deberían ser tenidas en cuenta para analizar la responsabilidad de la entidad. Como corolario a todo lo hasta aquí expuesto, y con carácter complementario, consideramos oportuno realizar las siguientes observaciones, a fin de informar debidamente a la Agencia Española de Protección de Datos sobre la realidad de los hechos objeto de reclamación por parte del interesado: 1. No se ha producido daño o perjuicio cuantificable alguno, atendiendo a la naturaleza, gravedad y duración de la situación. 2. No ha existido intencionalidad alguna por parte de la entidad, derivándose toda la situación de unas circunstancias extraordinarias y excepcionales. 3. Se han adoptado, con carácter urgente, todas las medidas tendentes a la corrección de la concreta incidencia objeto de reclamación, así como todas las medidas complementarias necesarias para evitar que la misma se reproduzca en un futuro, aun cuando concurran circunstancias tan singulares y extraordinarias como las que eventualmente se han producido en el caso presente. 4. La entidad no ha cometido con anterioridad infracción alguna relacionada con la normativa de protección de datos personales. 5. Desde el primer momento en que la entidad ha tenido conocimiento del procedimiento, se han destinado una gran cantidad de recursos y esfuerzos para colaborar con la Agencia Española de Protección de Datos y así garantizar la defensa de los derechos y libertades del interesado. 6. No se han visto afectadas categorías especiales de datos personales. 7. No se trata de una actuación con la que se pretendan obtener beneficios y, efectivamente, no se han obtenido. DOCUMENTACIÓN QUE SE ACOMPAÑA ANEXO N.º 1.- Política de protección de datos aprobada por nuestra entidad que sirve a todo nuestro personal como guía y marco de referencia en el tratamiento de datos personales”. SÉPTIMO: Con fecha 10/12/21, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/07274/2021 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00477/2021, presentadas. OCTAVO: Con fecha 22/01/22, por parte de esta Agencia se realizaron las siguientes comprobaciones en la página web, ***URL.1, respecto a la presunta infracción cometida en relación con su política de cookies: 1.- Respecto a la utilización de cookies que no sean necesarias o técnicas antes de que el usuario haya dado su consentimiento, se comprueba que, al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, ya no se utilizan cookies que no sean técnicas o necesarias. 2. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “Nos preocupa tu privacidad por ello queremos informarte de que este sitio web utiliza relacionada con sus preferencias mediante el análisis de sus hábitos de navegación. Para dar su consentimiento sobre su uso pulse el botón <<Acepto>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 <<RECHAZAR TODAS>> <<ACEPTAR TODAS>> <<Más información>> <<Personalizar las cookies>> a).- Si se opta por “rechazar todas las cookies” a través de la opción correspondiente, <<RECHAZAR TODAS>>, se comprueba como la web sigue sin utilizar cookies que no sean técnica o necesarias. 3º.- Si se accede al panel de control de cookies, a través del enlace <<Personalizar Siempre activas No Sí No Sí No Sí No Sí <<Rechazar todos>> <<Aceptar selección>> a).- Si se opta por no deslizar ningún cursor hacia la posición de “aceptar cookies (SI)” y se cliquea en la opción <<aceptar la selección>> se comprueba como se sigue utilizando únicamente cookies técnicas o necesarias. 4º.- Si se accede a la “Política de Cookies” a través del enlace existente en la parte inferior de la página, la web redirige a una nueva página: ***URL.2 donde, entre otras, se proporciona información e identifica las cookies que se utilizan, si estás son propias o de terceros, y el tiempo que estarán activas en el equipo terminal. NOVENO: Con fecha 02/02/22, se da traslado a la entidad reclamada de la propuesta de resolución, en la cual, se propone que, por parte de la Directora de la Agencia Española de Protección de Datos se la sancionase por la infracción del artículo 22.2 de la LSSI. No obstante, al constatar que la entidad reclamada había regularizado adecuadamente su política de cookies, se proponía una reducción de la sanción a imponer, en este caso del 50% respecto de la inicial y que se quedaría, por tanto, en 1.000 euros (mil euros), DÉCIMO: Notificado la propuesta de resolución a la parte reclamada, a fecha de hoy no se ha recibido en esta Agencia ningún tipo de alegaciones a la misma. HECHOS PROBADOS PRIMERO: Según se indicaba en la reclamación presentada en esta Agencia el 25/05/21, la web "***URL.1" y se tratan datos personales sin informar de ninguno de los derechos reconocidos por el RGPD y se omite información esencial respecto de las SEGUNDO: Consultada la página reclamada por parte de esta Agencia, el 02/10/21, se comprobó que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 Respecto a la “Política de Privacidad”, ***URL.3, se proporcionaba la siguiente información: las Leyes que incorpora esta política de privacidad; la identidad del responsable del tratamiento de los datos personales; los principios aplicables al tratamiento de los datos personales; las categorías de datos que se tratan; la base legal para el tratamiento de los datos personales; los fines del tratamiento a que se destinan los datos personales; el períodos de retención de los datos personales; los destinatarios de los datos personales; sobre el tratamiento de los datos personales de menores de edad; sobre el secreto y seguridad de los datos personales; sobre los derechos derivados del tratamiento de los datos personales y sobre la posibilidad de reclamaciones ante la autoridad de control. Por tanto, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD. Respecto a la “Política de Cookies”, se comprobó que, al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se utilizaban pertenecía a Google.com. Además, si se optaba por rechazar todas las cookies no necesarias o técnicas cliqueando en la opción, <<Rechazar las cookies>>, existente en el banner informativo sobre cookies de la página principal, se comprobó que no realizaba ningún efecto sobre estas cookies pues se seguían utilizando. TERCERO: Iniciado el procedimiento sancionador a la entidad responsable de la página web en cuestión, por la presunta infracción del artículo 22.2 de la LSSI, al utilizar cookies no necesarias o técnicas sin el previo consentimiento de los usuarios y la imposibilidad de eliminarlas, la entidad, con fecha 16/11/21, formuló alegaciones y prueban con evidencias las modificaciones realizadas en la página web. CUARTO: Consultada de nuevo, la página reclamada por parte de esta Agencia, el 22/01/22, se comprobó que, al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se comprueba que ya no utilizaban cookies que no sean técnicas o necesarias. Además, si se optaba por rechazar todas las comprueba que se sigue utilizando solamente cookies técnicas o necesarias. Si se accede al panel de control de cookies, a través del enlace <<Personalizar están premarcados en la opción de “no aceptados” y si se opta por no deslizar ningún cursor hacia la posición de “aceptar cookies (SI)” y se cliquea en la opción <<aceptar la selección>> se sigue utilizando solamente cookies técnicas o necesarias. Si se accede a la “Política de Cookies” a través del enlace existente en la parte inferior de la página, la web redirige a una nueva página: ***URL.4 donde, entre otras, se proporciona información e identifica las cookies que se utilizan, si estás son propias o de terceros, y el tiempo que estarán activas en el equipo terminal. FUNDAMENTOS DE DERECHO I.- Competencia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 Es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). II.- Sobre las alegaciones presentadas por la entidad reclamada a la incoación del expediente. En sus alegaciones el reclamado hizo referencia a que no debería ser sancionado, sino que cabría “apercibimiento”, en virtud de la previsión del art. 39.bis.2 de la LSSI citando la sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013. En este sentido, indicar que el apercibimiento sólo cabe si se dan los requisitos del art. 39.2.bis de la LSSI, esto es, entre otras cuestiones, si el órgano competente ha decidido abrir un procedimiento de apercibimiento en lugar de un procedimiento sancionador. El procedimiento de apercibimiento es potestativo si se cumplen además los requisitos del art. 39.2.bis de la LSSI. Una vez iniciado un procedimiento sancionador como el actual, la sanción nunca puede ser el “apercibimiento”, por lo que la sentencia que se cita (recurso 455/2011, de 29/11/2013), no es aplicable al presente procedimiento sancionador. III.- Sobre la “Política de Cookies” de la web: a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/201210, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
  3. in)para intercambiar contenidos sociales. Estas cookies quedarían C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En la comprobación realizada en la página web reclamada, el 02/10/21, se pudo constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la misma y sin aceptar las cookies, se utilizaban cookies de terceros que no son técnicas o necesarias. En la nueva comprobación realizada en la página web reclamada, el 22/01/22, se pudo constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la misma y sin aceptar las cookies, ya no se utilizaban cookies que no sean técnicas o necesarias. b).- Sobre el consentimiento a la utilización de cookies no necesarias: Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a la segunda capa si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a aceptar el uso de las cookies para poder acceder a la página y seguir navegando sin ofrecer al usuario ningún tipo de alternativa que le permita gestionar libremente sus preferencias sobre la utilización de las cookies. Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la selección, en el panel podrá implementarse, además de un sistema de gestión granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna cookie, se entenderá que ha rechazo todas las cookies. En relación con esta segunda posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar cookies. Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción podría ser considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 permita rechazar el uso de las cookies y/o hacerlo de forma granular, en su propia página web. Por otra parte, la retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las cookies. Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En el caso que nos ocupa, en la comprobación realizada de la página web en cuestión el 02/10/21, en el banner de la primera capa no existía la opción de rechazar todas las grupo de cookies no necesarias (cookies de personalización) se encontraba premarcado en la opción de “aceptadas”, debiendo desmarcarlas si el usuario desea que no se utilizasen. No obstante, si se optaba por rechazar las cookies de personalización desmarcando la opción, se comprobaba que se seguían utilizando las cookies de terceros que no eran técnicas o necesarias. En la nueva comprobación realizada en la página web reclamada, el 22/01/22, se pudo constatar que existe, en el banner de la primera capa, la opción de rechazar todas las navegando por la web, no se utilizan cookies de terceros. IV- Sobre la infracción en la “Política de Cookies”: La utilización de cookies que no sean técnicas o necesarias sin el previo consentimiento del usuario podría suponer por parte de la entidad reclamada la comisión de la infracción del artículo 22.2 de la LSSI, pues establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Tras las evidencias obtenidas, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: “La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI”. Con arreglo a dichos criterios, se estima adecuado imponer una sanción de 1.000 euros (mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web en cuestión. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: IMPONER a la entidad, TARIFER SERVICIOS, S.L., con CIF.: B82731027, titular de la página web: ***URL.1 una sanción de 1.000 euros (mil euros) por la infracción del artículo 22.2 de la LSSI, respecto a las deficiencias detectadas en la “Política de Cookies”, de la página web. SEGUNDO: NOTIFICAR la presente resolución a la entidad TARIFER SERVICIOS, S.L. TERCEO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  4. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  5. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.