1/9 Procedimiento Nº: PS/00498/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00498/2020, instruido por la Agencia Española de Protección de Datos a Dª A.A.A., con NIF.: ***NIF.1, (en adelante, “la parte reclamada”), en virtud de la reclamación presentada D. B.B.B., (en adelante, “la parte reclamante”), por presunta vulneración de la normativa de protección de datos, y atendiendo a los siguientes: ANTECEDENTES PRIMERO: Con fecha 05/08/20, tuvo entrada en esta Agencia, escrito de reclamación, en el que se indicaba, entre otras, que: “El sitio web: www.tutiendastore.es almacena automáticamente en el navegador una serie de cookies, sin que el usuario haya realizado ningún tipo de acción; no cuenta con el preceptivo banner que debe aparecer al acceder al sitio web y, carece de un enlace que permita rechazar la instalación de las cookies o que redirija a una segunda capa para su configuración. En la parte inferior del sitio web, no existe un enlace que redirija al usuario a la política de cookies”. SEGUNDO: Con fecha 05/10/20, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 14/11/20, la parte reclamada envía a esta Agencia, escrito de contestación al requerimiento, en el que indicaba, respecto a los hechos denunciados, entre otras, lo siguiente: “Quisiera empezar por comentar brevemente que los hechos que se relatan en la reclamación por parte del demandante, solo podemos entenderlos como erróneos, pues la web respeta en todo momento el cumplimiento del artículo 22,2 de la ley 34/2002 al que se hace alusión, el mensaje de información y solicitud de consentimiento salta automáticamente al abrir por primera vez la página web, además existe como es lógico en la web un apartado específico que habla de este apartado y que se encuentra en todo momento a disposición del usuario: https://www.tutiendastore.es/content/l7-politica—de—cookies. Adicionalmente a lo dicho con anterioridad, nos llama la atención y no acabamos de entender respecto a la versión del reclamante que nunca se pusiera en contacto con nosotros de manera directa por medio del teléfono o email de atención al cliente, de hecho, si así, hubiera actuado seguro que habríamos podido resolver sus dudas y demostrar que había algo que no estaba teniendo en cuenta en su visita a nuestra web, algo ligado más a su propia navegación web o al software/hardware utilizado, bien por el tipo de navegador o alguna otra circunstancia que en ese concreto momento podría estar sucediendo y que trataremos de explicar lo mejor posible nosotros a continuación. Sin más procedo a detallar y tratar de dar opciones que entendemos puede responder a lo que se nos demanda: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9
- El reclamante utilizaba en el momento que entró en nuestra web un navegador de los considerados "alternativos" y que incorporan en ocasiones características propias de seguridad que genera disfunciones no solo con nuestra web sino con la de las webs estándar de la red, esto en ocasiones puede generar que no se lean por estos software independientes ciertos elementos creados con código oficial, en nuestro caso utilizamos para la creación de la web un software oficial y actualizado de Prestashop 1.7 ( actualización 5.2).
- El reclamante no contaba con un navegador web actualizado para la última versión de Prestashop en la que se basa la página web mencionada anteriormente o el sistema operativo utilizado para dicha ocasión por el reclamante no había sido actualizado debidamente obviando la ventana emergente o los datos detallados en el footer en el área correspondiente. En estos casos nuestra web y cualquiera, pueda dar fallos, pero no solo lo recogido en reclamación seguramente en ese caso le habrá dado varios errores de página que dificultaría su navegación y denotan que se trata de un error de actualización que el usuario debe activar.
- El reclamante puede haber utilizado en esa ocasión o habitualmente, herramientas en su navegador de internet que bloquean pantallas emergentes, por consiguiente, dicho navegador omite la ventana pop up donde informa y solicita la aceptación o no, de cookies y donde redirecciona a una ventana externa con todos los términos y condiciones en el caso de que el visitante quiera más información.
- También existe la posibilidad que el reclamante sin darse cuenta aceptó los términos de uso en un primer momento o en otro momento en el que con anterioridad hubiera visitado la página quedando grabado en su navegador como autorizado y, por consiguiente, su navegador web no le volvió a notificar si aceptaba el uso de cookies. En definitiva, por la presente consideramos que hemos podido presentar diferentes razones y opciones que explican lo que nosotros sólo podemos considerar como un error del demandante al entender de manera equivocada que https://wvm.tutiendastore.es no estaba facilitando a los usuarios información clara y completa sobre la utilización de cookies como se recoge en el artículo 22.2 de la Ley 34/
- Sin más y después de responder a la solicitud antes de la finalización del mes de plazo otorgado por ustedes les agradecemos tengan en consideración nuestras explicaciones”. CUARTO: Con fecha 21/12/20 por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la LPDGDD, al considerar que la respuesta dada por la reclamada a esta Agencia, en relación con los hechos reclamados no acredita su sometimiento a la legislación vigente. QUINTO: por parte de esta Agencia, se realizan comprobaciones sobre la “Política de siguiente: 1.- En la página inicial de la web indicada (primera capa), el banner sobre cookies contiene la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 “Tutiendastore únicamente utiliza cookies propias con finalidad técnica, no recaba ni cede datos de carácter personal de los usuarios sin su conocimiento. Sin embargo, contiene enlaces a sitios web de terceros con políticas de privacidad ajenas a la de la Tutiendastore que usted podrá decidir si acepta o no cuando acceda a ellos. <<OK>> <<Ver la política de cookies>>. 2.- Al entrar en esta página inicial se comprueba que, sin realizar ninguna actuación, la página se utilizan cookies propias, cuyo dominio es “tutiendastore.es”, de finalidad técnica pero también se utilizan cookies de finalidad no necesaria, como: _ga; _gat; _gid o prestaShop. 3.- A través del enlace, <<Ver la política de cookies>>, situado en el banner, la web redirige a una nueva página https://www.tutiendastore.es/content/17-politica-decookies que proporciona información sobre: qué son las Cookies o qué tipos de - Sobre las cookies que utiliza la web, se indica: “Utilizamos cookies técnicas, de análisis y de seguridad para hacer posible la comunicación, así como para mejorar y personalizar su experiencia de navegación por nuestra web. Entre los complementos de los cuales se debe informar y recabar el consentimiento del usuario sobre la instalación de cookies se encuentran A continuación, le mostramos una tabla con la información técnica de referencia de cada una de las cookies utilizadas (…)”. - Sobre cómo se puede configurar o deshabilitar el uso de las cookies, la página remite a la configuración del navegador instalado en el equipo terminal. 4.- No existe, en ningún sitio de la página principal de la web, enlace alguno que permita al usuario acceder a la política de cookies, cuando lo desee, solamente se puede acceder a la segunda capa desde el banner desplegado al inicio de la sesión. SEXTO: Notificado el acuerdo de inicio, la parte reclamada, mediante escrito de fecha 26/02/21, formuló, en síntesis, las siguientes alegaciones: “En primer lugar creo que resulta justo empezar por disculparme por no haber interpretado correctamente el primer requerimiento de información que se me hizo al respecto, lo cierto es que mi falta de conocimiento en muchos aspectos técnicos limito claramente la interpretación de lo que se me pedía corregir en la web, ahora que he leído con detenimiento el procedimiento nuevo recibido y toda la explicación que lo acompaña me queda claro que no interpreté correctamente lo que se me demandaba en aquel primer escrito y así quiero empezar por reconocerlo en este escrito. Dicho lo anterior, ahora me centro en relatarles como he gestionado la situación desde que he recibido su nueva notificación para mostrarles mi buena fe y mi firme intención de arreglar el error inicial que tuve al no interpretar correctamente el problema que me demandaban: Para empezar es importante que sepan que la web https://www.tutiendastore.es ya no es de mi propiedad, fue traspasada a la empresa NIUCOM JACAVIR S.L con CIF: B01662576 que son los actuales dueños de la web, sin embargo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 entendiendo que es de mi responsabilidad este tema me he puesto en contacto con el propietario para informarle de la situación y de las carencias que ustedes me demandan respecto al cumplimiento del artículo 22,2 de la ley 34/2002, mi intención además como así les dije era la de asumir cualquier gasto necesario para adecuar la web a lo que se me reclama en su escrito. La persona responsable de la empresa propietaria fue muy amable conmigo y me explico que ya se habían tomado las medidas necesarias y no era necesario que les abonara nada, me permitió compartir con ustedes en este escrito las medidas que ya ellos habían tomado para asegurar cumplir con lo demandado en el artículo de la siguiente manera: Contrataron un módulo adicional para la web que ofrece la herramienta prestashop que es el sistema en el que se desarrolla la web, este módulo instala la herramienta para poder incorporarlos elementos necesarios en una web para cumplir con los requisitos de la ley de Cookies RGPD. Procedo a enseñarles imagen del módulo que incorporaron y que permite que salgan los avisos correctamente”. SÉPTIMO: Con fecha 27/03/21, por parte de esta Agencia, se comprueba que, en la web en cuestión, respecto de su “Política de Cookies”, posee las siguientes características: 1.- En la página inicial de la web indicada (primera capa), el banner sobre cookies contiene la siguiente información: “Tutiendastore únicamente utiliza cookies propias con finalidad técnica, no recaba ni cede datos de carácter personal de los usuarios sin su conocimiento. Sin embargo, contiene enlaces a sitios web de terceros con políticas de privacidad ajenas a la de la Tutiendastore que usted podrá decidir si acepta o no cuando acceda a ellos”. <<Más información>> <<Gestionar cookies>> <<ACEPTO>> 2.- A través del enlace, <<Más información>>, situado en el banner, y en la parte inferior de la página principal, la web redirige a una nueva página https://www.tutiendastore.es/content/17-politica-de-cookies que proporciona información sobre: qué son las Cookies o qué tipos de cookies existen. Además, identifica las cookies que utiliza la web, cuyo listado ya se ha indicado más arriba. 3.- A través del enlace, <<Gestionar las cookies>>, situado en el banner, la web despliega un panel de control, donde se puede gestionar, de forma granular, “las cursor, premarcado en la casilla de “OFF”, a la casilla de “ON”. 4.- Consultada la “Política de Privacidad”, a través del enlace <<aviso legal>>, la web redirige a una nueva página https://www.tutiendastore.es/content/2-aviso-legal, donde se identifica al nuevo responsable de la página web Niucom Jacavir S.L Domicilio social: Calle Tifón 6A 28042 Madrid/Madrid; Correo electrónico: admin@tutiensatore.es; Teléfono de contacto: +34 91 2318227; Número de identificación fiscal: BO1662576; Administradores: Javier Moreno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 OCTAVO: Con fecha 14/04/21, se notifica la Propuesta de Resolución a la parte reclamada, en la cual se propone que, por parte de la Directoria de la Agencia Española de Protección de Datos se proceda a archivar a Dª A.A.A., el presente procedimiento por la presunta infracción del artículo 22.2 de la LSSI, en lo que respecta a la política de comprobar cómo la página web ha cambiado de responsable siendo ahora, la entidad: Niucom Jacavir S.L DÉCIMO: Notificada la propuesta de resolución a la parte reclamada, no se ha presentado ningún escrito de alegaciones en esta Agencia, en el periodo concedido al efecto. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes hechos: HECHOS PROBADOS 1.- Según el escrito de reclamación, el sitio web www.tutiendastore.es, almacena automáticamente en el navegador una serie de cookies, sin que el usuario haya realizado ningún tipo de acción; no cuenta con el preceptivo banner que debe aparecer al acceder al sitio web y, carece de un enlace que permita rechazar la instalación de las cookies o que redirija a una segunda capa. 2.- Según pudo comprobar esta Agencia, en la página inicial de la web indicada (primera capa), el banner sobre cookies, además de informar sobre la utilización de dirigirse a la política de cookies, donde se proporcionaba la identificación de las Sobre cómo se podía configurar o deshabilitar el uso de las cookies, la página remitía a la configuración del navegador instalado en el equipo terminal, no existiendo ningún mecanismo que posibilitara rechazar todas las cookies. 3.- Iniciado el procedimiento sancionador por infracción del artículo 22.
- de la LSSI, la persona titular de la web envió escrito de alegaciones a esta Agencia en el cual, se indicaba que, la web https://www.tutiendastore.es ya no era de su propiedad, que fue traspasada a la empresa NIUCOM JACAVIR S.L con CIF: B01662576, que son los actuales dueños de la web pero que se ha puesto en contacto con ellos para comentarle la situación y han procedido a la modificación de la web adaptándola a la normativa vigente. 4.- Según ha podido comprobar esta Agencia, después de haber recibido las alegaciones de la persona reclamada, en la página inicial de la web, el banner sobre cookies, además de informar sobre la utilización de cookies propias, con finalidades técnicas, posibilitaba aceptar todas las cookies, dirigirse a la política de cookies o dirigirse al panel de control de las cookies, <<Más información>> <<Gestionar cookies>> <<ACEPTO>> A través del enlace , <<Ver la política de cookies>>, situado en el banner, la web redirige a una nueva página https://www.tutiendastore.es/content/17-politica-deC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 A través del enlace , <<Gestionar las cookies>>, situado en el banner, la web despliega un panel de control, donde se puede gestionar, de forma granular, “las encuentra premarcado en la casilla de “OFF”. Consultada la “Política de Privacidad”, a través del enlace <<aviso legal>>, la web redirige a una nueva página https://www.tutiendastore.es/content/2-aviso-legal, donde se identifica al nuevo responsable de la página web: Niucom Jacavir S.L Número de identificación fiscal: BO1662576 Administradores: Javier Moreno FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. En consideración a las alegaciones presentadas por la parte reclamada y en base a las nuevas comprobaciones realizadas por esta Agencia en la página web en cuestión, se debe indicar que la misma ha sido modificada, incluyendo un mecanismo que posibilita la gestión de las cookies de forma granular, a través del panel de control estando los grupos de cookies no necesarias premarcados en la opción “OFF”. También se ha comprobado como en la “política de privacidad” (aviso legal) se ha modificado la identificación del responsable de la página, cambiando de la anterior responsable, Dª A.A.A., con NIF.: ***NIF.1, al actual responsable de la página web, la entidad: Niucom Jacavir S.L CIF: BO
- No obstante, en las alegaciones presentadas por la reclamada a la incoación del presente expediente sancionador indicaba que, una vez leída toda la explicación contenida en el escrito de incoación reconoce no haber interpretado correctamente el primer requerimiento de información que se hizo desde la AEPD en lo se refería a las medidas adoptadas para evitar que se produjeran incidencias similares y no es hasta que recibe la notificación de la incoación del expediente cuando la reclamante, se pone en contacto ahora, con los nuevos titulares de la página web, para que modifiquen la “política de cookies” de la misma, para que se adapte a la normativa vigente. Los hechos expuestos suponen, por parte de la persona reclamada, la comisión de la infracción del artículo 22.2 de la LSSI, durante el tiempo que estuvo, la página web bajo su titularidad sin ser adaptada a la normativa vigente. Este artículo establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Con arreglo a dichos criterios, y al considerar que el responsable de la página web es una persona física, se estima adecuado imponer una sanción de “apercibimiento”, por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web reclamada, durante el tiempo que estuvo bajo su titularidad. No obstante, se debe tener presente en este caso, la sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, donde se analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento de derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD. Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir” a la entidad PYB ENTERPRISES S.L., aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.c) de la misma Ley.” Esta sentencia interpreta o liga apercibimiento con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haberse cumplido las medidas esperadas relacionadas con la infracción, en este caso, la modificación de la política de cookies adaptándola a la legislación vigente, no sería apercibimiento, sino archivo como se deduce del fundamento SEXTO de la Sentencia citada. A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 ARCHIVAR: El presente procedimiento a Dª A.A.A., con NIF.: ***NIF.1, titular de la página web www.tutiendastore.es por infracción de artículo 22.2 de la LSSI, en lo que respecta a la política de cookies. NOTIFICAR: la presente resolución a Dª A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es