1/26 Expediente Nº: EXP202315772 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a NH HOTEL GROUP S.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 1 de marzo de 2024 se emitió la propuesta de resolución que a continuación se transcribe: << Procedimiento Nº: EXP202315772 (PS/00490/2023) PROPUESTA DE RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad, NH HOTEL GROUP S.A. con CIF.: A28027944, titular de la página web: https://www.nh-hotels.com/es por la presunta vulneración de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y atendiendo a los siguientes: ANTECEDENTES PRIMERO: Con fecha 11/12/23, La Subdirección de Inspección de la Agencia Española de Protección de Datos realizó la siguiente diligencia, respecto de la “Política de Cookies” de la página web citada anteriormente, obtenida a través de la herramienta “inspeccionar aplicación” del navegador de Google Chrome y después de haber limpiado la caché del navegador web y sus cookies, y tras haber forzado al navegador a descargar la última versión de la página web alojada en el servidor remoto: a).- Sobre las cookies utilizadas antes de que el usuario preste el consentimiento: Al entrar en la web https://www.nh-hotels.com/es, por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la misma, se observa como la web en cuestión utiliza las siguientes cookies: - o C/ Jorge Juan, 6 28001 – Madrid _abck www.aepd.es sedeagpd.gob.es 2/26 - visitas y fuentes de tráfico para poder evaluar el rendimiento del sitio y mejorarlo. Ayudan a saber qué páginas son las más o las menos visitadas y de qué manera los visitantes navegan por el sitio web: o - que hace (como su nombre de usuario, su idioma o la zona en la que se encuentra), y ofrecen funciones mejores y más personalizadas: o - SOCS; NID; CONSENT y AEC o - bm_sz; rxVisitor y NHJSESSIONID o - utag_main; AKA_A2; dtPC; dtCookie y ak_bmsc prevPágina2; USER_CT_CONTINENT; RT; qb_permanent; bm_sv; qb_session; USER_CT_COUNTRYCODE; _qubitTracker y qb_generic o TAPID (proveedor: .tealiumiq.com) b).- Sobre el banner de información de cookies existente en la primera capa (página principal): Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin realizar ninguna acción sobre la página web, aparece un banner de información sobre cookies con el siguiente mensaje: Consentimiento sobre cookies Este sitio web usa cookies propias y de terceros para soportar la navegación, mejorar la experiencia de usuario, personalizar el contenido, mostrar publicidad relacionada con sus preferencias y realizar análisis estadísticos sobre los hábitos de navegación. Puede cambiar la <<configuración>> u obtener más información en nuestra <<política de cookies>>. ¿Acepta estas cookies y el procesamiento de los datos personales que implica? <<Si, acepto>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 Si se aceptan las cookies que no sean técnicas o necesarias cliqueando en la opción <<Si, acepto>>, se comprueba como la web sigue utilizando las mismas cookies detectadas al comienzo así como otras propias y de terceros. Si no se desea prestar el consentimiento para la utilización de cookies que no sean técnicas o necesarias, se debe cliquear en la opción <<configuración>>, a través del cual, la web despliega el panel de control donde los grupos de cookies aparecen premarcados en la opción “OFF” (desactivados), excepto el grupo de cookies estrictamente necesarias. También se comprueba que solamente existe un botón <<Si, acepto>>. Si se desea no prestar el consentimiento para la utilización de cookies que no sean técnicas o necesarias, sin desplazar ninguno de los cursores de los grupos de cookies a la posición “ON”, y cliqueando en la opción <<Si, acepto>>, se comprueba como la web sigue utilizando las mismas cookies detectadas al principio. c).- Sobre la información suministrada en la segunda capa (Política de Cookies): Si se accede a la “Política de Cookies” a través del enlace existente en el banner de información sobre cookies <<Política de Cookies>> o a través de enlace existente en la parte inferior de la página que se esté visitando, la web redirige al usuario a una nueva página https://www.nh-hotels.com/es/cookie-policy donde se proporciona información sobre: qué son las cookies; para qué sirve la información recogida mediante las cookies; qué tipo de cookies existen y cuáles son las cookies que utiliza el sitio web y como gestionar las cookies a través de los mecanismos existentes en el navegador instalado en el equipo terminal. d).- Sobre la posibilidad de modificar el consentimiento prestado sobre cookies, en cualquier momento de la navegación web. Si el usuario desea modificar el consentimiento prestado, existe la posibilidad de acceder al panel de control a través de enlace existente en la página de la “Política de Si se accede de nuevo al panel de control, una vez prestado el consentimiento para la utilización de cookies, se comprueba como el cursor de los grupos de cookies está en la posición “ON” (activado). No obstante, si se sitúan los cursores del panel de control en la posición “OFF” (desactivados) con la intención de no permitir la utilización de ninguna cookie que no sea técnica o necesaria y se cliquean en la única opción existente <<Si, acepto>> se comprueba como la web sigue utilizando cookies que no son técnicas o necesarias. SEGUNDO: Con fecha 25/01/24, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad, NH HOTEL GROUP S.A. con CIF.: A28027944, titular de la página web: https://www.nh-hotels.com/es, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por la presunta infracción del artículo 22.2 de la LSSI, tipificada como “leve” en el artículo 38.4
- g)de la misma norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 10.000 euros (diez mil euros). TERCERO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la entidad NH HOTEL GROUP S.A. presenta, con fecha 14/02/24, escrito de alegaciones a la incoación del expediente, en el que manifiesta lo siguiente: “PRIMERA. – SOBRE LA INSTALACIÓN DE COOKIES EN EL EQUIPO TERMINAL PREVIO AL CONSENTIMIENTO DEL USUARIO. La AEPD informa a la Compañía que, al acceder a la Página web por primera vez y una vez limpiado el equipo terminal de historial de navegación de acción sobre la misma, se hace uso de una serie de cookies, tanto propias como de terceros cuya naturaleza no es técnica. A continuación, se indica el listado de las cookies indicadas por la AEPD. Por cada una de ellas, NH HOTEL GROUP va a indicar la explicación de la finalidad de cada una de ellas: 1. Cookies de Google Analytics: 1) SOCS; 2) NID; 3) CONSENT; 4) AEC En primer lugar, en cuanto a la finalidad de las cuatro cookies señaladas, las mismas están directamente relacionadas con la función reCAPTCHA de la Página web, esto es, para detectar el tráfico procedente de programas automatizados o bots. Por lo tanto, de acuerdo con el Dictamen 4/2021 del Grupo de Trabajo del Artículo 29 (en adelante, “GT 29”), las mismas estarían excluidas de la solicitud del consentimiento por parte de los usuarios y, por ende, podrían ser instaladas sin necesidad de otorgar el consentimiento. No solo eso, sino que, se encontrarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI y, por ello, no sería necesario del mismo modo informar al interesado sobre su uso. A este respecto, esta parte se ha percatado de que la información facilitada por la Compañía en la política de cookies de la Página web se encuentra desactualizada, por lo que, esta parte se encuentra en proceso de actualizar el texto, de tal forma que el mismo muestre la categorización de las cookies así como la descripción de las finalidades de cada una de ellas de manera que se ajuste a la realidad actual. 2. Cookies propias y de terceros cuya finalidad no ha podido ser identificada: 1) prevPágina2: se trata de una cookie propia legacy cuya finalidad es obtener estadísticas de tráfico o de rendimiento, concretamente, detectar el tráfico referral, esto es, la lista de páginas desde las que se ha seguido un enlace para llegar a la Página web de NH HOTEL GROUP. Así, en principio, las consentimiento del usuario salvo que cumpla con las siguientes condiciones: • deben tener una finalidad estrictamente limitada a la medición exclusiva de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 audiencia del sitio o de la aplicación: a este respecto, de acuerdo con la finalidad indicada, la cookie analizada se utiliza única y exclusivamente con este fin; • ha de ser realizado en nombre exclusivo del editor, en este caso, es una cookie propia que utiliza NH HOTEL GROUP, en su propio nombre, siendo este el titular de la Página web; y • ser utilizadas para producir datos estadísticos anónimos únicamente, circunstancia que en este supuesto, cumple este dispositivo ya que los datos que se obtienen no permiten la identificación del usuario ya que no recoge datos identificativos. En este sentido, en el escrito de notificación del Inicio del Procedimiento Sancionador, la AEPD, en la página 8 ha indicado lo siguiente: “… Por ello, y en general, la AEPD considera que para la correcta administración de un sitio de Internet únicamente son estrictamente necesarias las siguientes mediciones: • Medición de audiencia, página por página; • La lista de páginas desde las que se ha seguido un enlace para solicitar la página actual (a veces llamada "referente"); … ”. Siendo esto así, esta cookie estaría exenta de la obtención del correspondiente consentimiento. En cualquier caso, esta parte ha procedido a la eliminación de la misma en el proceso de actualización y revisión de cookies de la Página web, proceso que se está llevando a cabo actualmente por NH HOTEL GROUP. 2) USER_CT_CONTINENT y USER_CT_COUNTRYCODE: en este supuesto, nos encontramos ante cookies propias de la Compañía, funcionales, para ayudar a la navegación en función de la geolocalización y, concretamente, permite identificar el lugar desde el que usuario accede con la finalidad de mostrar la información acorde al continente desde el que se conecta, como puede ser la información del número de teléfono del país desde el que se conecta. Siendo esto así, al ser una cookie que es necesaria para mostrar información en función de la localización desde la que se conecte el usuario y así, mostrar la información adecuada por localización. Estas cookies, por lo tanto, no son cookies sujetas al consentimiento del usuario. 3) (…): esta parte no conoce la cookie mencionada, si bien considera que puede haberse dado un error de transcripción y, en su caso, corresponder con la cookie Tealium. En ese caso, nos encontraríamos ante una cookie funcional cuya finalidad es el lanzamiento y visualización del banner de cookies dentro de la Página web y, por lo tanto, necesario para el cumplimiento de las obligaciones aplicables en esta materia. A este respecto, se encontraría exenta de la obtención del consentimiento del usuario para su instalación ya que, en cualquier caso, la cookie tiene que ser instalada previo consentimiento del usuario para, precisamente, mostrar a los usuarios el banner en el que se les permite otorgar este consentimiento o, en su caso, no otorgarlo. 4) RT: se trata de una cookie de Akamai, la cual se trata únicamente en nombre de NH HOTEL GROUP, tal y como se recoge en el contrato de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 prestación de servicios firmado entre las partes, y entraría dentro de la categoría de cookies analíticas ya que su finalidad es medir el rendimiento de las peticiones web y mejorar la experiencia del usuario. A este respecto, tal y como hemos mencionado anteriormente, para que las cookies analíticas se encuentren exentas de obtener el consentimiento del usuario para su instalación, es necesario que se den las siguientes circunstancias: • deben tener una finalidad estrictamente limitada a la medición exclusiva de la audiencia del sitio o de la aplicación: a este respecto, de acuerdo con la finalidad indicada, la ser realizado en nombre exclusivo del editor, en este caso, es una siendo este el titular de la Página web; y • ser utilizadas para producir datos estadísticos anónimos únicamente. Del mismo modo, como ya hemos mencionado, la propia AEPD ha indicado en el escrito de notificación del Inicio del Procedimiento Sancionador, página 8 lo siguiente: “…Por ello, y en general, la AEPD considera que para la correcta administración de un sitio de Internet únicamente son estrictamente necesarias las siguientes mediciones: • Medición de audiencia, página por página; …”. Siendo esto así, esta cookie estaría exenta de la obtención del correspondiente consentimiento. En cualquier caso, esta parte ha procedido a la eliminación de la misma en el proceso de actualización y revisión de cookies de la Página web, proceso que se está llevando a cabo actualmente por NH HOTEL GROUP. 5) bm_sv: cookie de Akamai necesaria para mitigar ataques de bots que podrían degradar el rendimiento de la web o incluso dejarla sin servicio. Esta cookie, por lo tanto, de acuerdo con el Dictamen 4/2012 del GT29, quedaría exceptuada por ser una cookie de seguridad del usuario, es decir, que es utilizada para detectar intentos erróneos y reiterados de conexión a la Página web. Por lo tanto, la misma estaría excluida de la solicitud del consentimiento por parte de los usuarios y, por ende, podría ser instaladas sin necesidad de otorgar el consentimiento y, al mismo tiempo, se encontraría excluida del ámbito de aplicación del artículo 22.2 de la LSSI y, por ello, no sería necesario del mismo modo informar al interesado sobre su uso. 6) qb_permanent, qb_session, _qubitTracker, qb_generic: en este caso, estamos ante cuatro cookies de Qubit, el cual actúa en nombre de NH HOTEL GROUP, esto es, en calidad de encargado del tratamiento y así está debidamente recogido en el contrato de prestación de servicios firmado entre las partes. Qubit es un tercero cuya herramienta permite modificar el código de la página en el front de la Página web. Este tercero, que actúa en calidad de encargado del tratamiento, utiliza estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 soluciones en los supuestos en los que la parte visual de la Página web no funciona correctamente para evitar que los tiempos de solución de incidencias sean altos. Por lo tanto, si bien estas cookies pueden ser utilizadas con finalidades diferentes, en este caso, únicamente se utilizan con finalidades funcionales, para que la Página web pueda funcionar correctamente. Siendo esto así, no sería preciso el consentimiento del usuario para su utilización. Siendo esto así y de acuerdo con la explicación facilitada por esta parte, las cookies mencionadas son necesarias para la utilización, visualización y protección de la Página web o, en el caso de las analíticas, las mismas cumplen con las características necesarias para encontrarse exentas de supeditar su instalación a la obtención del consentimiento del usuario. En cualquier caso, con el fin de dar cumplimiento a las obligaciones aplicables a NH HOTEL GROUP en lo que al uso de estos dispositivos se refiere, NH HOTEL GROUP ha comenzado un proceso de revisión exhaustivo con el fin de dar cumplimiento a los requerimientos aplicables, así como garantizar la transparencia con los usuarios. SEGUNDA. – SOBRE EL BANNER DE INFORMACIÓN DE COOKIES EXISTENTE EN LA PRIMERA CAPA (PÁGINA PRINCIPAL). En relación con el banner informativo en materia de cookies, al acceder a la página principal de la Página web por primera vez, aparece el siguiente banner informativo: En el mismo, se permite al usuario ser conocedor de los siguientes aspectos: 1. La identificación del editor responsable del sitio web: en la parte superior derecha del banner indicado, se identifica inequívocamente al responsable de la Página web, siendo este identificado a través del logo de la Compañía. Adicionalmente, esta información es indicada y ampliada igualmente en otras secciones del Sitio web. Estas secciones son, entre otras: a. En primer lugar, la política de cookies completa. En el supuesto de que el usuario desee ampliar la información facilitada en el banner de cookies, dispone de un enlace en el mismo, por el cual se le redirige directamente a la política de cookies, donde se detalla la información facilitada en esa primera capa informativa. Al acceder a la política de cookies, la información que se muestra al inicio de la misma es la identidad concreta de NH HOTEL GROUP, indicando el CIF y el domicilio social del titular del Sitio web: b. Aviso legal: se indica la identidad del titular de la Página web, así como el domicilio social, CIF y registro mercantil de la misma. c. Política de privacidad: al igual que lo que ocurre en el aviso legal, en la política de privacidad se encuentra detallada la identidad, así como los datos de contacto. 2. Información genérica sobre las finalidades que se utilizarán: tal y como se puede observar, en el mismo se indican las diferentes finalidades, de manera genérica, desarrollando cada una de las finalidades concretas por cookies en la segunda capa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 3. Utilización de cookies propias y de terceros: esta indicación se encuentra recogida en el banner de cookies, con la finalidad de que los usuarios tengan conocimiento de la utilización de terceras partes en la Página web. Del mismo modo, el desarrollo de los terceros se encuentra en la política de cookies. 4. Aceptación, rechazo y configuración de cookies: del mismo modo, en el banner de la Página web se da la posibilidad de aceptar y configurar las modificación del mismo con la finalidad de adecuar a los nuevos requerimientos de la AEPD a este respecto. Por otra parte, tal y como se ha informado en el presente escrito, NH HOTEL GROUP se encuentra en un proceso de revisión para garantizar que el banner y la política de cookies se encuentran actualizados y facilitan a los interesados la información cumpliendo con el principio de transparencia, así como con las directrices aplicables en esta materia. TERCERA. – SOBRE EL CONSENTIMIENTO A LA INSTALACIÓN DE De acuerdo con lo expuesto en la alegación primera del presente escrito, las remitido a esta parte, las cookies que se instalan en el dispositivo de los usuarios, con independencia de que el mismo de su consentimiento, son trata de cookies técnicas y/o funcionales cuyas finalidades están directamente relacionadas con la visualización y correcto funcionamiento de la web o la seguridad de la misma. Tal y como se ya se ha expuesto, en relación con las cookies indicadas por la AEPD, se encuentran ciertas cookies analíticas, si bien es cierto que se cumplen con los requisitos necesarios para que las mismas no se encuentren sujetas al consentimiento del usuario, como se ha expuesto con anterioridad. Así, las cookies que precisan el consentimiento del usuario no se instalan si no es una vez prestado el consentimiento por parte del usuario ya que las mismas se encuentran sujetas a este. Siendo esto así, En virtud de lo anteriormente expuesto, cabe recalcar el riguroso respeto de esta parte con los derechos y libertades de las personas, y en concreto con la protección de sus datos, lo que refuerza la diligencia mostrada por la Compañía, así como los esfuerzos y proactividad de ésta en asegurar y proteger la privacidad de los interesados. No obstante, lo anterior, y con motivo del escrupuloso respeto de esta parte a la normativa de protección de datos y de su disposición a colaborar con esta Agencia, cabe hacer hincapié en que mi representada acepta cualquier tipo de propuesta de mejora o recomendación por parte de la AEPD en lo relativo al cumplimiento de la normativa, así como su buena disposición a llevar a cabo las acciones o mejoras que, desde la propia AEPD se consideren necesarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 Por lo expuesto, SOLICITO: A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS que se sirva admitirlo el presente escrito, a tener por hechas las manifestaciones que se contienen en el cuerpo de este y, en sus méritos, a tener por contestado el escrito de alegaciones en respuesta al Inicio de Procedimiento Sancionador del expediente con número de referencia EXP202315772. PRIMER OTROSÍ DIGO: que esta parte solicita no se imponga la sanción propuesta dado que esta parte manifiesta su voluntad de cumplir con la normativa aplicable y, por ello, se encuentra en un proceso de actualización para subsanar los posibles incumplimientos existentes y, al mismo tiempo, se archive el Procedimiento Sancionador. SOLICITO: que se tengan por hechas las anteriores manifestaciones a los efectos oportunos. CUARTO: Con fecha 15/02/23, esta Agencia realizó la siguiente diligencia, respecto de la “Política de Cookies” de la página web citada anteriormente, obtenida a través de la herramienta “inspeccionar aplicación” del navegador de Google Chrome y después de haber limpiado la caché del navegador web y sus cookies, y tras haber forzado al navegador a descargar la última versión de la página web alojada en el servidor remoto: a).- Sobre las cookies utilizadas antes de que el usuario preste el consentimiento: Al entrar en la web https://www.nh-hotels.com/es, por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la misma, se observa como la web en cuestión utiliza las siguientes cookies: - Dominio Descripción _abck .nhhoteles.com Esta cookie se utiliza para determinar si el tráfico en la web se trata de tráfico automatizado generado por sistemas de TI o por un usuario humano. _GRECAPTCH A .google.com Google reCAPTCHA establece una necesaria (_GRECAPTCHA) cuando se ejecuta con el fin de proporcionar su análisis de riesgos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 - de tráfico para poder evaluar el rendimiento del sitio y mejorarlo. Ayudan a saber qué páginas son las más o las menos visitadas y de qué manera los visitantes navegan por el sitio web: Dominio Descripción utag_main .nhhoteles.com Esta cookie está asociada con la plataforma de datos Tealium y se utiliza para análisis de tráfico web. AKA_A2 .nhhoteles.com Esta cookie la establece Akamai y ayuda a mejorar el rendimiento de la web. _abck .nhhoteles.com Esta cookie se utiliza para analizar el tráfico para determinar si se trata de tráfico automatizado generado por sistemas de TI o por un usuario humano. RT .nhhoteles.com Akamai Boomerang establece esta visitante con los tiempos de carga de la página. - que hace (como su nombre de usuario, su idioma o la zona en la que se encuentra), y ofrecen funciones más personalizadas. Dominio Descripción bm_sz .nhhoteles.com Esta cookie la establece el proveedor Akamai Bot Manager y se utiliza para gestionar la interacción con los bots en línea. También ayuda en la prevención del fraude. NHJSESSIONID .nhhoteles.com Esta cookie almacena el ID de la sesión, que agrupa las solicitudes relacionadas al servidor y las asigna a una sesión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 Dominio Descripción qb_permanent .nhhoteles.com Esta cookie la establece el proveedor Qubit. Esta cookie se utiliza para almacenar todos los datos permanentes y también ayuda a reemplazar todas las demás cookies permanentes. qb_generic .nhhoteles.com Esta cookie la establece el proveedor Qubit. Esta cookie se utiliza para mejorar la experiencia del usuario. qb_session .nhhoteles.com Esta cookie la establece el proveedor Qubit. Esta cookie se utiliza para almacenar todos los datos de la sesión. _qubitTracker .nhhoteles.com Esta cookie la establece el proveedor Qubit. Esta cookie se utiliza para proporcionar una ID de Qubit única para cada visitante. - Dominio Descripción SOCS .google.com Su misión no ha podido ser detectada NID .google.com Google rastrea a los usuarios y utiliza los datos recopilados de la mayoría de estos servicios para perfilar los intereses de los usuarios de la web y vender espacios publicitarios a organizaciones en función de dichos perfiles de interés, así como para alinear los anuncios con el contenido de las páginas donde aparecen los anuncios de sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 Dominio Descripción CONSENT .google.com Esta cookie realiza información sobre cómo el usuario utiliza el sitio web y cualquier publicidad que haya visto antes de visitar dicho sitio web. AEC .google.com Su misión no ha podido ser detectada - TAPIDO - Dominio Observaciones .tealiumiq.com Tealium configura esta cookie para instalar una identificación única cuando un visitante accede por primera vez y así realizar un seguimiento de los visitantes entre dominios. Dominio Observaciones bm_mi .nhhoteles.com Tampoco existe información sobre esta web USER_CT_CON TINENT .nhhoteles.com Según se informa en la página de la “Política de Cookies” de la web, “esta continente de un usuario” y está clasificada como “obligatoria” bm_sv .nhhoteles.com Tampoco existe información sobre esta web USER_CT_COU NTRYCODE .nhhoteles.com Tampoco existe información sobre esta web C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 b).- Sobre el banner de información de cookies existente en la primera capa (página principal): Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin realizar ninguna acción sobre la página web, aparece un banner de información sobre cookies con el siguiente mensaje: Consentimiento sobre cookies Este sitio web usa cookies propias y de terceros para soportar la navegación, mejorar la experiencia de usuario, personalizar el contenido, mostrar publicidad relacionada con sus preferencias y realizar análisis estadísticos sobre los hábitos de navegación. Puede cambiar la <<configuración>> u obtener más información en nuestra política de cookies. ¿Acepta estas cookies y el procesamiento de los datos personales que implica? <<Si, acepto>> Si se aceptan las cookies que no sean técnicas o necesarias cliqueando en la opción <<Si, acepto>>, se comprueba como la web sigue utilizando las mismas cookies detectadas al comienzo, así como otras propias y de terceros. Si no se desea prestar el consentimiento para la utilización de cookies que no sean técnicas o necesarias, se debe cliquear en la opción <<configuración>>, a través del cual, la web despliega el panel de control donde los grupos de cookies aparecen premarcados en la opción “OFF” (desactivados), excepto el grupo de cookies estrictamente necesarias. También se comprueba que solamente existe un botón <<Si, acepto>>. Si se desea no prestar el consentimiento para la utilización de cookies que no sean técnicas o necesarias, sin desplazar ninguno de los cursores de los grupos de cookies a la posición “ON”, y cliqueando en la opción <<Si, acepto>>, se comprueba como la web sigue utilizando las mismas cookies detectadas al principio. c).- Sobre la información suministrada en la segunda capa (Política de Cookies): Si se accede a la “Política de Cookies” a través del enlace existente en el banner de información sobre cookies <<Política de Cookies>> o a través de enlace existente en la parte inferior de la página que se esté visitando, la web redirige al usuario a una nueva página https://www.nh-hotels.com/es/cookie-policy donde se proporciona información sobre: qué son las cookies; para qué sirve la información recogida mediante las cookies; qué tipo de cookies existen y cuáles son las cookies que utiliza el sitio web y como gestionar las cookies a través de los mecanismos existentes en el navegador instalado en el equipo terminal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 d).- Sobre la posibilidad de modificar el consentimiento prestado sobre cookies, en cualquier momento de la navegación web. Si el usuario desea modificar el consentimiento prestado, existe la posibilidad de acceder al panel de control a través de enlace existente en la página de la “Política de Si se accede de nuevo al panel de control, una vez prestado el consentimiento para la utilización de cookies, se comprueba como el cursor de los grupos de cookies está en la posición “ON” (activado). No obstante, si se sitúan los cursores del panel de control en la posición “OFF” (desactivados) con la intención de no permitir la utilización de ninguna cookie que no sea técnica o necesaria y se cliquean en opción <<Si, acepto>> se comprueba como la web sigue utilizando cookies que no son técnicas o necesarias. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero: En la comprobación realizada por esta Agencia el día 11/12/23, de la web https://www.nh-hotels.com/es, se diligenciaron las siguientes características en su “Política de Cookies”: a).- Sobre las cookies utilizadas antes de que el usuario prestase el consentimiento, se pudo comprobar que la web utilizaba las siguientes cookies: - o - o - SOCS; NID; CONSENT y AEC o - bm_sz; rxVisitor y NHJSESSIONID o - utag_main; AKA_A2; dtPC; dtCookie y ak_bmsc o - _abck prevPágina2; USER_CT_CONTINENT; RT; qb_permanent; bm_sv; qb_session; USER_CT_COUNTRYCODE; _qubitTracker y qb_generic o C/ Jorge Juan, 6 28001 – Madrid TAPIDMás (proveedor: .tealiumiq.com) www.aepd.es sedeagpd.gob.es 15/26 b).- Sobre el banner de información de cookies existente en la primera capa (página principal): Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin realizar ninguna acción sobre la página web, aparecía un banner de información sobre cookies donde, además de proporcionar información sobre la política de cookies, posibilitaba realizar dos acciones sobre las cookies: - Aceptar todas las cookies.- Si se cliqueaba la opción <<Si, acepto>>, con la intención de aceptar todas las cookies, se comprobaba como la web seguía utilizando las mismas cookies detectadas al acceder a la web, así como otras - Gestionar las cookies o rechazarlas.- Si no se deseaba prestar el consentimiento para la utilización de cookies que no fueran técnicas o necesarias o se deseaba gestionar la utilización de cookies, se debía cliquear en la opción <<configuración>>, a través del cual, la web despliega el panel de control donde los grupos de cookies aparecen premarcados en la opción “OFF” (desactivados), excepto el grupo de cookies estrictamente necesarias. Se comprobó que solamente existe un botón <<Si, acepto>>. Si se deseaba no prestar el consentimiento para la utilización de cookies que no fueran técnicas o necesarias, sin desplazar ninguno de los cursores de los grupos de cookies a la posición “ON”, y se cliqueaba en la opción <<Si, acepto>>, se comprobaba como la web seguía utilizando las mismas cookies detectadas al comienzo de la navegación, tanto propias como de terceros. c).- Sobre la información suministrada en la segunda capa (Política de Cookies): La información existente en la “Política de Cookies” versaba sobre: qué son las terminal. d).- Sobre la posibilidad de modificar el consentimiento prestado sobre cookies, en cualquier momento de la navegación web. Si el usuario deseaba modificar el consentimiento prestado accediendo al panel de control a través del enlace existente en la “Política de Cookies” se comprobaba como el cursor de los grupos de cookies estaba en la posición “ON” (activado). Si se desplazaban los cursores, de los grupos de cookies a la posición “OFF” (desactivados), con la intención de no permitir la utilización de ninguna cookie que no fuera técnica o necesaria y se cliqueaba en la única opción existente <<Si, acepto>> se comprobaba como la web seguía utilizando cookies que no son técnicas o necesarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 Segundo: Tras la recepción de las alegaciones a la incoación del expediente, esta Agencia, con fecha 15/02/24, ha vuelto a realizar una comprobación de la “Política de características en su “Política de Cookies”: a).- Sobre las cookies utilizadas antes de que el usuario prestase el consentimiento, se pudo comprobar que la web utilizaba las siguientes cookies: - o - o - SOCS; NID; CONSENT; AEC o - bm_sz; NHJSESSIONID; qb_permanent; qb_generic; qb_session; _qubitTracker o - utag_main; AKA_A2; _abck y RT o - _abck y _GRECAPTCHA bm_mi; USER_CT_CONTINENT; bm_sv y USER_CT_COUNTRYCODE o TAPID (proveedor: .tealium.com) b).- Sobre el banner de información de cookies existente en la primera capa (página principal): Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin realizar ninguna acción sobre la página web, aparecía un banner de información sobre cookies donde, además de proporcionar información sobre la política de cookies, posibilitaba realizar dos acciones sobre las cookies: - Aceptar todas las cookies.- Si se cliqueaba la opción <<Si, acepto>>, con la intención de aceptar todas las cookies, se comprobaba como la web seguía utilizando las mismas cookies detectadas al acceder a la web, así como otras - Gestionar las cookies o rechazarlas.- Si no se deseaba prestar el consentimiento para la utilización de cookies que no fueran técnicas o necesarias o se deseaba gestionar la utilización de cookies, se debía cliquear en la opción <<configuración>>, a través del cual, la web despliega el panel de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 control donde los grupos de cookies aparecen premarcados en la opción “OFF” (desactivados), excepto el grupo de cookies estrictamente necesarias. Se comprobó que solamente existe un botón <<Si, acepto>>. Si se deseaba no prestar el consentimiento para la utilización de cookies que no fueran técnicas o necesarias, sin desplazar ninguno de los cursores de los grupos de cookies a la posición “ON”, y se cliqueaba en la opción <<Si, acepto>>, se comprobaba como la web seguía utilizando las mismas cookies detectadas al comienzo de la navegación, tanto propias como de terceros. c).- Sobre la información suministrada en la segunda capa (Política de Cookies): La información existente en la “Política de Cookies” versaba sobre: qué son las terminal. d).- Sobre la posibilidad de modificar el consentimiento prestado sobre cookies, en cualquier momento de la navegación web. Si el usuario deseaba modificar el consentimiento prestado accediendo al panel de control a través del enlace existente en la “Política de Cookies” se comprobaba como el cursor de los grupos de cookies estaba en la posición “ON” (activado). Si se desplazaban los cursores, de los grupos de cookies a la posición “OFF” (desactivados), con la intención de no permitir la utilización de ninguna cookie que no fuera técnica o necesaria y se cliqueaba en la única opción existente <<Si, acepto>> se comprobaba como la web seguía utilizando cookies que no son técnicas o necesarias. FUNDAMENTOS DE DERECHO I Competencia. De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Contestación a las alegaciones presentadas a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento del usuario: En su escrito de alegaciones, la entidad manifiesta que, las Cookies de Google Analytics detectadas ( SOCS; NID; CONSENT y AEC), están directamente relacionadas con la función reCAPTCHA de la Página web, esto es, para detectar el tráfico procedente de programas automatizados o bots y por lo tanto, de acuerdo con el Dictamen 4/2021 del Grupo de Trabajo del Artículo 29 (en adelante, “GT 29”), las mismas estarían excluidas de la solicitud del consentimiento por parte de los usuarios y, por ende, podrían ser instaladas sin necesidad de otorgar el consentimiento. En cuanto a las Cookies de Google Analytics destacar que en los “Términos del Servicio de Google Analytics”, que se establecen entre Google Ireland Limited y la entidad que formaliza el Contrato para la utilización de las cookies analíticas, se recoge en el apartado “Privacidad” que el contratante “debe revelar el uso de Google Analytics y la manera en que este Servicio recoge y trata los datos. Esto se puede hacer mostrando un enlace destacado a la página "Cómo utiliza Google la información de sitios web o aplicaciones que utilizan nuestros servicios", que encontrará en www.google.com/policies/privacy/partners o en cualquier otra URL que Google proporcione en su momento. “7. Privacidad Usted no debe enviar información cifrada con hash ni de otro modo a Google que Google pueda considerar información personal identificable o utilizarla como tal, ni debe permitir que un tercero lo haga ni ayudarlo a hacerlo, excepto cuando lo permitan las políticas o los términos de las funciones de Google Analytics que se hayan puesto a Su disposición y de acuerdo con ellos, y solo si la información enviada a Google en relación con esa función de Google Analytics se ha cifrado con hash según los estándares del sector. Usted debe tener una Política de Privacidad adecuada y cumplirla. Asimismo, debe cumplir todas las leyes, políticas y normativas aplicables relacionadas con la recogida de información de los Usuarios. También debe publicar una Política de Privacidad que avise del uso de cookies, identificadores de dispositivos móviles (por ejemplo, el Identificador de publicidad para Android o el Identificador de Publicidad para iOS) o tecnología similar que Usted use para recoger datos. Además, debe revelar el uso de Google Analytics y la manera en que este Servicio recoge y trata los datos. Puede hacerlo mostrando un enlace destacado a la página "Cómo utiliza Google la información de sitios web o aplicaciones que utilizan nuestros servicios", que encontrará en www.google.com/policies/privacy/partners/ o en cualquier otra URL que Google proporcione en su momento. Usted debe adoptar medidas comercialmente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 razonables para asegurarse de que los Usuarios reciban información completa y clara sobre el almacenamiento de las cookies y el acceso a ellas o a cualquier otra información en los dispositivos de los Usuarios, y de que estos den su consentimiento al respecto cuando tal actividad se produzca en relación con el Servicio y cuando la ley exija proporcionar tal información y obtener tal consentimiento” A través del referido enlace se accede a la siguiente información: Los servicios publicitarios de Google están probando nuevas formas de publicar y medir la publicidad digital que protejan mejor la privacidad de los usuarios online a través de la iniciativa Privacy Sandbox en Chrome y Android. Los usuarios que tengan habilitados los ajustes pertinentes de Privacy Sandbox en Chrome o Android podrán ver anuncios relevantes de los servicios publicitarios de Google basados en datos de Topics o de Protected Audience almacenados en su navegador o dispositivo móvil. Es posible que los servicios publicitarios de Google también midan el rendimiento de los anuncios con datos de informes de atribución almacenados en su navegador o dispositivo móvil. Más información sobre Privacy Sandbox CÓMO UTILIZA GOOGLE LA INFORMACIÓN DE SITIOS APLICACIONES QUE UTILIZAN NUESTROS SERVICIOS WEB O Un gran número de sitios web y aplicaciones utilizan servicios de Google para mejorar su contenido y ofrecerlo de forma gratuita. Al integrar nuestros servicios, estos sitios web y estas aplicaciones comparten información con Google. Por ejemplo, cuando accedes a un sitio web que utiliza servicios publicitarios como AdSense, que incluye herramientas de análisis como Google Analytics o que inserta contenido de vídeo de YouTube, el navegador web envía automáticamente determinada información a Google. Los datos que recibimos son la URL de la página a la que has accedido y su dirección IP, entre otros. También podemos incluir cookies en tu navegador o leer las que ya estén almacenadas en él. Las aplicaciones que utilizan servicios publicitarios de Google también comparten información con nosotros como, por ejemplo, el nombre de la aplicación y un identificador único para publicidad. Google utiliza la información que comparten los sitios web y las aplicaciones para prestar sus servicios, mantenerlos y mejorarlos, desarrollar nuevos servicios, medir la efectividad de la publicidad, proteger a los usuarios frente a fraudes y abusos y personalizar el contenido y los anuncios que aparecen en Google o en los sitios web y las aplicaciones de nuestros partners. Consulte la política de privacidad para obtener más información sobre cómo tratamos los datos para cada uno de estas finalidades y la página sobre publicidad para obtener más información acerca de los anuncios de Google, cómo se utiliza tu información en el contexto de la publicidad y por cuánto tiempo almacena Google esta información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 En nuestra Política de Privacidad se explican los fundamentos jurídicos en los que nos basamos en Google para tratar la información de nuestros usuarios. Por ejemplo, podemos tratarla con su consentimiento o para perseguir intereses legítimos como ofrecer, mantener y mejorar nuestros servicios con el objetivo de satisfacer las necesidades de los usuarios. A veces, cuando tratamos información que un sitio web o aplicación ha compartido con nosotros, dicho sitio o aplicación primero pregunta a los usuarios si dan su consentimiento para que tratemos su información. Por ejemplo, puede mostrarse un banner en un sitio web en el que se pregunte a los usuarios si dan su consentimiento para que Google trate los datos que ese sitio web recoja. En casos como ese, respetaremos las finalidades descritas en el consentimiento que den al sitio web o aplicación que corresponda, en lugar de guiarnos por los fundamentos jurídicos estipulados en nuestra Política de Privacidad. Si algún usuario quiere modificar o retirar su consentimiento, debe hacerlo desde el sitio web o aplicación en cuestión. (…) Por tanto, Google utiliza la información que comparten los sitios web y las aplicaciones para prestar sus servicios, mantenerlos y mejorarlos, desarrollar nuevos servicios, medir la efectividad de la publicidad, proteger a los usuarios frente a fraudes y abusos y personalizar el contenido y los anuncios que aparecen en Google o en los sitios web y las aplicaciones de nuestros partners. Por tanto, las cookies detectadas de Google Analytics no están exentas al ser utilizada la información que recogen para otros fines que no son los que se alegan. Sobre las cookies propias cuya finalidad no se ha podido identificar, la entidad manifiesta que, la cookie “prevPágina2”, es una cookie propia cuya finalidad es obtener estadísticas de tráfico o de rendimiento, las cookies “USER_CT_CONTINENT y USER_CT_COUNTRYCODE”, son cookies propias funcionales, para ayudar a la navegación en función de la geolocalización y la cookie “bm_sv” es una cookie de Akamai necesaria para mitigar ataques de bots. Sobre la cookie “RT”, loa entidad manifiestas que es una cookie de Akamai, la cual se trata únicamente en nombre de NH HOTEL GROUP, tal y como se recoge en el contrato de prestación de servicios firmado entre las partes, y entraría dentro de la categoría de cookies analíticas ya que su finalidad es medir el rendimiento de las peticiones web y mejorar la experiencia del usuario. No obstante lo anterior, la entidad no presenta el contrato de prestación de servicios que alega mantener con “Akamai”, tampoco se informa de esta circunstancia en la web. Sobre las cookies “qb_permanent, qb_session, _qubitTracker, qb_generic” manifiesta que son cookies de Qubit, el cual actúa en nombre de NH HOTEL GROUP, esto es, en calidad de encargado del tratamiento y así está debidamente recogido en el contrato de prestación de servicios firmado entre las partes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26 Pero, al igual que ocurre con “Akamai” la entidad no presenta contrato o prueba que corrobore las alegaciones presentadas ni tampoco informa de esta posible situación en su web. Sobre la cookie “Tapid”, la entidad manifiesta que es una cookie funcional cuya finalidad es el lanzamiento y visualización del banner de cookies dentro de la Página web. No obstante, se ha podido comprobar que, además de ser una cookie de terceros, la finalidad de dicha cookie es la de instalar una identificación única cuando el visitante accede por primera vez y así realizar un seguimiento de los visitantes entre dominios. Así las cosas, debemos volver a recordar que, el artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos (el correspondiente consentimiento previo del usuario), salvo que sean necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario: aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra; cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
- in)para intercambiar contenidos sociales. Respecto de las cookies utilizadas con el fin de obtener estadísticas de tráfico o de rendimiento podrían estar exentas de consentimiento bajo ciertas condiciones. Para limitarse a lo estrictamente necesario para la prestación del servicio y, por tanto, estar exentos del consentimiento de conformidad con el artículo 22.2 de la LSSI estas medición exclusiva de la audiencia del sitio o de la aplicación. Este tratamiento ha de ser realizado en nombre exclusivo del editor y ser utilizadas para producir datos estadísticos anónimos únicamente, no deben dar lugar a que los datos se cotejen con otras operaciones de tratamiento o a que los datos se transmitan a terceros. Además, no deben permitir el seguimiento agregado de la navegación de la persona que utiliza diferentes aplicaciones o navega por diferentes sitios web. En el presente caso, en la comprobación realizada el 15/02/24 en la web en cuestión, se volvió a detectar la utilización de cookies propias y de terceros que no eran de naturaleza técnica o necesaria sin el previo consentimiento del usuario; - - - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 o “Tapid” cuyo dominio pertenece a Tealium y su finalidad es la de realizar un seguimiento de los visitantes entre dominios. o “RT y bm_sv” cuyo dominio pertenece a Akamai o “qb_permanent, qb_session, _qubitTracker y qb_generic” cuyo dominio pertenece a Qubit, b).- Sobre el banner de información de cookies existente en la primera capa (página principal): Respecto del banner de información sobre cookies que aparece al comienzo de la navegación web, se ha constatado que en el mismo se identifica de forma genérica las finalidades para las que se utilizarán las cookies y si éstas son propias o también de terceros; informa sobre el tipo de datos que se van a recopilar e incluye información y el modo en que el usuario puede aceptar, configurar y rechazar la utilización de c).- Sobre el consentimiento a la instalación de cookies en el equipo terminal: En este punto, la entidad manifiesta en sus alegaciones que las cookies que se instalan en el dispositivo de los usuarios, con independencia de que el mismo de su consentimiento, son cookies que son necesarias para el funcionamiento del Sitio web. Esto es, se trata de cookies técnicas y/o funcionales cuyas finalidades están directamente relacionadas con la visualización y correcto funcionamiento de la Página web o la seguridad de la misma. No obstante, según se ha expuesto en el apartado a), las cookies detectadas de Google analytics no están exentas y deben ser previamente consentidas por el usuario, al ser utilizada la información que recogen para otros fines que no son los que se alegan y por otro lado, se detectan cookies de terceros (de Tealium; Akamai y de Qubit) que se están utilizando sin el previo consentimiento del usuario.
- d)sobre la retirada del consentimiento prestado. En el caso que nos ocupa, se comprobó que, si se accede de nuevo al panel de control, con la intención de modificar el consentimiento prestado para la utilización de (activado) a la posición “OFF” (desactivados), la web sigue utilizando cookies que no son técnicas o necesarias. III Infracción cometida De las deficiencias detectadas, respecto de la política de cookies, en la página web https://www.nh-hotels.com/es, esto es, la utilización de cookies que no son técnicas o necesarias sin el previo consentimiento del usuario; la imposibilidad de rechazar o poder gestionar las cookies de forma granular y la imposibilidad de retirar el consentimiento una vez prestado sobre el uso de cookies que no sean técnicas o necesarias suponen la comisión de la infracción del artículo 22.2 de la LSSI, pues establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Primero: Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad NH HOTEL GROUP S.A. con CIF.: A28027944, titular de la página web: https://www.nh-hotels.com/es , por la presunta infracción del artículo 22.2 de la LSSI, tipificada en el artículo 38.4
- g)de la misma norma, con una sanción de 10.000 euros (diez mil euros). Segundo: Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros (cuatro mil euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26 De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el importe de la sanción impuesta es superior a un millón de euros, será objeto de publicación en el Boletín Oficial del Estado la información que identifique al infractor, la infracción cometida y el importe de la sanción. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. A.A.A. EL INSTRUCTOR DEL PROCEDIMIENTO ANEXO Relación de documentos obrantes en el Procedimiento PS/0490/2023, 1 Documentación 3. Acuerdo de inicio del procedimiento sancionador. 4. Alegaciones al acuerdo de inicio y documentos adjuntos. >> SEGUNDO: En fecha 22 de marzo de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 8000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202315772, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a NH HOTEL GROUP S.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es