PS-00480-2025

1/24  Expediente N.º: EXP202405210 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 2 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TIGER MEDIA INC. (en adelante, T.M.I.), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202405210 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes, HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a TIGER MEDIA INC. con NIF 830104493 (en adelante, T.M.I.). Esta Agencia ha tenido conocimiento de la existencia de una posible vulneración de la Normativa de protección de datos, en relación con el tratamiento de datos personales derivado de la actividad de la plataforma ***PLATAFORMA.1 (propiedad de T.M.I.), como red publicitaria (Ad Network) para editores y anunciantes de productos y servicios para adultos que, por tanto, no actúa como Ad Network generalista. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 8/04/2024 la Presidencia de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID), a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos:  Con fecha 28/11/2024 y como respuesta al requerimiento de información de esta Agencia, T.M.I remite la siguiente información y manifestaciones: 1. Que T.M.I. es el propietario y operador de la plataforma ***PLATAFORMA.1. Aporta Registro de Actividades del tratamiento donde consta, entre otros aspectos:  Que el responsable del tratamiento es T.M.I.  Que, en relación a los usuarios finales, quienes interactúan con los sitios web donde se muestran anuncios servidos por ***PLATAFORMA.1, manifiesta: 2. Tratan los datos siguientes:  Información técnica: o Detalles de dispositivos: tipo de dispositivo, sistema operativo, información del navegador. o Dirección IP: se usa para deducir país, zona horaria y ajustes de tipo local.  Datos de uso: o URL del sitio web que muestra el anuncio. o URL referral. o Interacciones de usuario como clics, impresiones.  Datos de localización: o Dirección IP.  Datos de identificación electrónica: o Cookies: ***PLATAFORMA.1 depende de los editores para implementar mecanismos de consentimiento (cookies banners y CMPs) para cumplir con las regulaciones locales, incluyendo el RGPD y la Directiva ePrivacy. Las finalidades son las siguientes:  Envío y presentación de publicidad a los usuarios finales en las páginas web de los editores.  Monitorizar clics para evitar mostrar campañas a las que se ha clicado.  Detección y prevención del fraude.  Medir rendimiento de la publicidad, incluyendo el seguimiento de la conversión para evaluar la eficacia de las campañas de publicidad.  Mejora del servicio. Desarrollo y mejora de los servicios, incluyendo corrección de errores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 1. 2. 3. 4. 1. 2. 1. La base legitimadora es el interés legítimo (envío de publicidad) y consentimiento cuando sea necesario. Que no tratan ni recopilan datos sensibles: los datos que tratan son mínimos e incluyen direcciones IP, para detección de fraude y el envío de la publicidad, e identificadores en cookies para analítica básica y limitación de frecuencia. Que no se dedican a la creación de perfiles ni a la publicidad comportamental. Que no recogen el consentimiento directamente ya que no controlan las páginas web de los editores. Que la base legitimadora para el tratamiento de datos personales es el interés legítimo para el tratamiento de datos mínimos estrictamente limitados a las finalidades de:  El envío de publicidad a los usuarios.  Prevenir el fraude y asegurar la integridad de la plataforma.  Medir el rendimiento de la publicidad para editores y anunciantes. Que son los editores, como responsables independientes, los responsables de cumplir con las leyes locales en relación al consentimiento para las Que no están obligados a realizar evaluación de impacto ya que no se dedican a realizar perfilado a gran escala, ni a publicidad comportamental, ni a ningún tratamiento de alto riesgo según art. 35 RGPD. Que no han nombrado un DPD porque no era necesario según RGPD. Que no se dedican a:  Tratamiento de datos sensibles a gran escala.  Monitorización sistemática de sujetos de datos.  Tratan datos personales mínimos como las direcciones IP e identificadores en cookies solo para finalidades limitadas como la prevención del fraude o el envío de publicidad. Que tienen un representante del art. 27 ubicado en Irlanda del Norte, reconocen que han publicado sus datos en la política de privacidad y que están en proceso de cambio de representante, para que esté en un Estado Miembro de la UE y actualizarán entonces su política de privacidad.  Con fecha 23/06/2025 se comprueba el sitio web ***PLATAFORMA.1: 1.    En la política de privacidad consta, entre otros aspectos: T.M.I. es el responsable del tratamiento. Dicha política de privacidad aplica tanto a la propia página web como también a su publicidad en sitios web de terceros si incluyen un enlace a la presente política de privacidad. Y además consta: El texto está en inglés, siendo su traducción, no oficial, al castellano: “[...] Datos de los sitios web de los editores: Cuando un usuario final navega por el sitio web de un editor utilizando nuestras tecnologías, podemos recopilar información como el sistema operativo, la URL del sitio web que muestra nuestros anuncios, la URL de remisión, la información del navegador, el país, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 zona horaria, la configuración local (por ejemplo, la lengua preferida) y la dirección IP, para apoyar la entrega de anuncios y el análisis del rendimiento. Si combinamos o conectamos datos no personales, demográficos o técnicos con datos personales para que identifiquen directa o indirectamente a una persona, tratamos la información combinada como datos personales. [...] Nuestro sitio web y los sitios web editoriales que muestran nuestros anuncios pueden utilizar cookies (las pequeñas piezas colocadas en su dispositivo) y tecnologías similares de recogida automática de datos. Estas tecnologías nos ayudan a distinguir a los usuarios y a ofrecer una experiencia mejor y más personalizada a la hora de navegar por internet. También nos permiten: Estimar el tamaño de la audiencia y los patrones de uso de los anuncios publicados en los sitios web de los editores. Entregar, medir y optimizar la publicidad sobre la base de factores como la ubicación o el tipo de dispositivo. Supervisar y prevenir las actividades fraudulentas relacionadas con impresiones de anuncios o clics. Recopilar estadísticas agregadas, como la popularidad o la eficacia de anuncios específicos. Puede negarse a aceptar cookies de navegador activando la configuración adecuada en su navegador. [...] Cuando visite el sitio web de un editor en el que aparezcan anuncios de ***PLATAFORMA.1, ***PLATAFORMA.1 o nuestros socios publicitarios pueden colocar cookies en su dispositivo. Estas cookies nos permiten: Entregar anuncios pertinentes basados en información contextual, como el contenido del sitio web del editor. Medir el rendimiento de los anuncios (por ejemplo, impresiones, clics) y optimizar las futuras colocaciones de anuncios. Garantizar el cumplimiento de los acuerdos de los editores y detectar el fraude. ***PLATAFORMA.1 no realiza publicidad comportamental y no hace un seguimiento de su comportamiento de navegación a través de múltiples sitios web con fines de segmentación. Gestión de cookies en sitios web editoriales El uso de cookies en los sitios web de los editores se rige por las propias políticas de cookies del editor. Sin embargo, si ***PLATAFORMA.1 establece sus preferencias de cookies a través de los parámetros de navegador o los mecanismos de exclusión voluntaria previstos en nuestra política de cookies. Para los usuarios de regiones como el Espacio Económico Europeo (EEE) o California, puede tener derechos adicionales para controlar las cookies a través de pancartas de consentimiento o herramientas de exclusión voluntaria en los sitios web de los editores. Balizas web y tecnologías similares Nuestro sitio web y los sitios web editoriales que muestran anuncios de ***PLATAFORMA.1 pueden utilizar balizas web (pequeñas imágenes u objetos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/24 transparentes, también conocidos como gifs claros, etiquetas píxeles y gifs de un solo píxel). Estas tecnologías nos ayudan a nosotros y a nuestros socios: Contar a los visitantes en páginas especiales o anuncios publicitarios. Recopilar estadísticas sobre la eficacia de los anuncios publicitarios, como la frecuencia con la que se visualizan o hacen clic en ellos. Verificar la integridad del sistema y del servidor para mejorar la fiabilidad del servicio. Las balizas web suelen utilizarse junto con cookies y no recogen datos personales por sí solos. Sin embargo, cuando se combinan con cookies, pueden contribuir a los datos utilizados para entregar anuncios o analizar el rendimiento. [...] Categoría de datos Finalidad del tratamiento Fundamento jurídico de la personales transformación ... ... ... Datos de interacción del Ofrecer anuncios Intereses legítimos. editor. pertinentes desde el punto Información contextual, de vista contextualmente como el contenido del sitio y supervisar el web, los detalles de la cumplimiento de la colocación de anuncios y colocación de anuncios. la participación de los usuarios en los sitios web de los editores. ... ... ... Para entregar anuncios, Intereses editores: Dirección IP, tipo detectar el fraude, medir legítimos/Consentimiento de navegador, URL de el rendimiento de los (cuando sea necesario). derivación, información anuncios y mejorar la sobre el dispositivo. orientación de los anuncios sobre la base de la información contextual. [...]” 1. En la política de cookies consta: El texto está en inglés, siendo su traducción, no oficial, al castellano: “[...] Tipos de cookies que utilizamos Podemos utilizar los siguientes tipos de cookies: [...] La publicidad, el rastreo o la selección de cookies. Estas cookies permiten la entrega y optimización de anuncios registrando información sobre sus interacciones con anuncios, como clics, impresiones y detalles contextuales. Aunque ***PLATAFORMA.1 no se dedica a la segmentación de comportamientos en todos los sitios web, estas cookies nos permiten mejorar la pertinencia de los anuncios que aparecen en los sitios web de los editores. Se trata normalmente de cookies persistentes que pueden durar hasta un año. [...] Consulte nuestra Tabla de Cookie para consultar una lista de las cookies individuales de origen y de terceros que pueden utilizarse en este sitio web y sus fines específicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 [...]” 2. En la tabla de cookies publicada consta: El texto está en inglés, siendo su traducción no oficial al castellano: “[...] Interca mbio Durac de Categoría Nombre Dominio Finalidad ión datos Los registros consultaron anuncios para la limitación de Segmenta ***PLATAFOR frecuencias y la Ningu ción (…) MA.1 pertinencia. 3 días no Los registros consultaron anuncios para la limitación de Segmenta frecuencias y la Ningu ción (…) (…) pertinencia. 3 días no Identifica a los usuarios anónimos Segmenta para la detección del 1 Ningu ción (…) (…) fraude. años no Identifica a los usuarios anónimos Segmenta ***PLATAFOR para la detección del 1 Ningu ción (…) MA.1 fraude. años no [...]” 3. En la política de consentimiento de usuario final consta: El texto está en inglés, siendo su traducción no oficial al castellano: “[...] Responsabilidades como editor ***PLATAFORMA.1 Como editor que utiliza servicios ***PLATAFORMA.1, es usted responsable de garantizar que se divulguen adecuadamente a los usuarios del EEE y del Reino Unido y que se obtenga el consentimiento legalmente válido, cuando sea necesario. El incumplimiento de esta política puede dar lugar a limitaciones, suspensión o cese de su acceso a los servicios de ***PLATAFORMA.1. Requisitos relativos a las propiedades bajo su control Si utiliza los servicios de ***PLATAFORMA.1 en cualquier sitio web, aplicación u otra propiedad controlada por usted, sus filiales o sus clientes, debe cumplir las siguientes obligaciones para los usuarios del EEE y del Reino Unido: 1. Obtención del consentimiento del usuario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 Obtener un consentimiento legalmente válido antes de: Utilizar cookies u otras tecnologías de almacenamiento local para fines que requieran el consentimiento con arreglo a la legislación aplicable (por ejemplo, cookies no esenciales utilizadas para personalización o seguimiento). Recogida, intercambio o tratamiento de datos personales para personalizar anuncios publicitarios u otros fines que requieran el consentimiento del usuario. El consentimiento debe ser informado, libre, específico e inequívoco. No utilice casillas marcadas previamente, consentimiento implícito ni ningún método que no constituya una acción afirmativa por parte del usuario. [...]” 4. En los términos del servicio consta: El texto está en inglés, siendo su traducción no oficial al castellano: “[...] 1.3 participación como anunciante (

1. a)Es responsable de todos: I) opciones de selección de anuncios («objetivos») y todos los contenidos de anuncios, información sobre anuncios y URL («creativos»), generados por usted o para usted; y [...]”  Con fecha 23/06/2025 se comprueba que: Las siguientes páginas web, entre otras, constan publicadas en internet en listados asociados al uso de ***PLATAFORMA.1. (…) 1. Respecto a la página web ***URL.1/, de las pruebas realizadas con las herramientas de desarrollador de (…), se comprueba que:  Se instalan cookies persistentes sin consentimiento, como la cookie (…), estas dos últimas asociadas al dominio ***PLATAFORMA.1. 1. Respecto a la página web ***URL.2, de las pruebas realizadas con las herramientas de desarrollador de (…), se comprueba que:  Se instalan cookies persistentes sin consentimiento, como la cookie (…). 1. Respecto a la página web ***URL.3: de las pruebas realizadas con las herramientas de desarrollador de (…), se comprueba que: - Se instalan cookies persistentes sin consentimiento. Se desconoce la finalidad de dichas cookies. - En la política de privacidad (…) consta, entre otros aspectos que se utilizan de idioma y país. Que también se utilizan cookies de (...) y cookies de redes sociales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24  Con fecha 26/06/2025 se comprueba que: Las páginas web siguientes, entre otras, constan publicadas en internet en listados asociados al uso de ***PLATAFORMA.1: ***URL.4 Respecto de ***URL.4 consta en las actuaciones, incorporado por los Servicios de Inspección de esta AEPD, el detalle de la llamada o solicitud http request.  Con fecha 27/06/2025 se comprueba que: Según el servicio ***SERVICIO.1, a fecha 15/10/2024 constaba publicado una tabla de cookies utilizadas por ***PLATAFORMA.1 donde consta que la cookie (…), asociada al dominio ***PLATAFORMA.1, está catalogada como “Marketing” y consta, de su traducción no oficial del inglés, que su finalidad es “identificar a usuarios anónimos”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
2. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que T.M.I. realiza, a través de su plataforma ***PLATAFORMA.1, entre otros tratamientos, el procesamiento de datos de personas físicas como características de los dispositivos, navegador, sistema operativo, dirección IP y cookies respecto de los visitantes de los sitios web de los editores, para enviarles publicidad. T.M.I. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
10. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
11. c)y e), deberá ser establecida por:
12. a)el Derecho de la Unión, o
13. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
14. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
15. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
16. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
17. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
18. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." ***PLATAFORMA.1 ofrece un punto de encuentro a editores y anunciantes, conformando una Ad Network cuya actividad es la de SSP (Supply Side Platform) para editores, permitiéndoles vender su inventario (espacios publicitarios en webs, Apps, …), así como la de DSP (Demand Side Platform) para anunciantes, donde estos pueden acceder al inventario de los editores para mostrar sus anuncios. En el presente caso, T.M.I. es propietario de la plataforma ***PLATAFORMA.1, red publicitaria (Ad Network) para editores y anunciantes de productos y servicios para adultos que se encarga de poner en contacto a anunciantes con editores que ofrecen sus espacios publicitarios para que se muestren los anuncios. Los anuncios sólo se ofrecen, por tanto, a usuarios de páginas webs de adultos. Esto se conseguiría mediante la cookie de ***PLATAFORMA.1 con finalidad publicitaria y que instalarían los editores en sus webs, sin que al parecer se realice ningún tipo de perfilado y “únicamente” segmenten por idioma y País. A modo de ejemplo, se ha comprobado por esta Agencia que la cookie de ***PLATAFORMA.1 se utiliza en webs Españolas, realizándose comprobaciones en tres de ellas, a saber: (…) De las actuaciones de investigación, se desprende que la cookie se instala sin que los usuarios consientan. En este sentido el art. 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, requiere el consentimiento expreso de los interesados para el almacenamiento y acceso a la información obtenida a través de cookies: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal”) El art. 22.2 de la LSSI citado se refiere exclusivamente a la utilización de dispositivos de almacenamiento y recuperación, por ello el uso que se realiza de los datos una vez extraída la información de la cookie se rige por el RGPD, es decir, el tratamiento que tiene lugar después de almacenar u obtener acceso a la información almacenada en el equipo terminal de un usuario ha de ser conforme con el RGPD. Por tal motivo, esta Agencia en su “Guía de Cookies” manifiesta: “Hay que tener también en cuenta que los titulares de las cookies, en la medida en que determinen los fines y los medios del tratamiento, son responsables de la información personal que recogen aquéllas y de los tratamientos de datos posteriores que se realizan “. Se ha comprobado por tanto que se envían al dominio ***DOMINIO.1 información sobre el idioma, dirección IP (la cual siempre se envía por requisitos técnicos), información relacionada con el navegador y sistema operativo utilizados, la dirección de la página web visitada y un parámetro “c” del cual no se ha podido comprobar su finalidad. T.M.I. expone que las finalidades de las cookies son las siguientes: - Envío y presentación de publicidad a los usuarios finales en las páginas web de los editores. - Monitorizar clics para evitar mostrar campañas a las que se ha clicado. - Detección y prevención del fraude. - Medir rendimiento de la publicidad. Incluyendo el seguimiento de la conversión para evaluar la eficacia de las campañas de publicidad. - Mejora del servicio. Desarrollo y mejora de los servicios, incluyendo corrección de errores. T.M.I. manifiesta que la base de legitimación de estos tratamientos es el interés legítimo, y que los responsables de recoger los consentimientos para la colocación y lectura de la cookie, cuando estos son necesarios, son los sitios web de los editores, Así las cosas, T.M.I. sostiene que la base de legitimación de los tratamientos que realiza para los fines que persigue es el interés legítimo. No obstante, esta causade legitimación no resulta de aplicación. El artículo 6.1 del RGPD establece de forma tasada las condiciones que legitiman el tratamiento de datos personales, entre ellas el consentimiento del interesado (letra a), así como el interés legítimo perseguido (letra f). En el presente caso, no consta, por un lado, que los usuarios hayan otorgado su consentimiento previo, libre e informado para el uso de sus datos con las finalidades expuestas, pues ni siquiera consienten la instalación de cookies en su equipo terminal, requisito indispensable conforme al artículo 22.2 de la LSSI. El TJUE, en su Sentencia de 1 de octubre de 2019, asunto Planet49 (C-673/17), ha declarado que la instalación de cookies únicamente puede basarse en el consentimiento válido del usuario, y que dicho consentimiento debe ser activo, específico e informado, excluyendo expresamente la suficiencia de un consentimiento tácito o presunto. Pues bien, en este caso no se habría obtenido el consentimiento previo de los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 Por otro lado, no resulta posible sostener que la base de legitimación es el interés legítimo prevalente pues los usuarios de las páginas afectadas no tienen una expectativa razonable de que sus datos de navegación sean utilizados con finalidades publicitarias por terceros pues no se les ofrece una información clara y tampoco un mecanismo de aceptación previa. Al contrario, este tipo de tratamiento se realiza de forma inesperada y contraria a sus derechos y libertades fundamentales, con unos datos obtenidos quebrantando las disposiciones de la LSSI, de modo que no supera el test de ponderación exigido por el artículo 6.1.
19. f)del RGPD. Es más, en el Informe del Comité Europeo de Protección de Datos de la labor realizada por el Grupo de trabajo del banner de cookies, Report of the work undertaken by the Cookie Banner Taskforce, Adopted on 17 January 2023, se recoge la conclusión de los miembros del grupo de trabajo que consideraron que la ausencia de un consentimiento informado para la instalación y recuperación de la información almacenada en la cookie, significa que el tratamiento posterior no puede ser conforme con el RGPD. 24. In this regard, the taskforce members took the view that non-compliance found concerning Art. 5