1/8 Procedimiento Nº: PS/00503/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00503/2020, instruido por la Agencia Española de Protección de Datos a D. A.A.A., (***URL.1), con NIF: ***NIF.1, titular de la página web ***URL.1, (en adelante, “la persona reclamada”) y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 29/07/20, el reclamante remitió a esta Agencia escrito presentado por D. B.B.B., (en adelante, “la persona reclamante”), indicando, entre otras, lo siguiente: “En la web ***URL.1 sin hacer ninguna acción se descargan automáticamente Además, en la web no existe política de cookies”. SEGUNDO: Con fecha 05/10/20, por parte de esta Agencia se dirigió requerimiento informativo a la persona reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (LOPDGDD). TERCERO: Con fecha 13/11/20, la persona reclamada presentó escrito de contestación al requerimiento, en el cual indicaba, entre otras, los siguiente: “Que la página web utiliza solo cookies exceptuadas según el Grupo de Trabajo de la AEPD del Artículo 29 en su Dictamen 4/2012, puede entenderse que estas cookies quedan excluidas del ámbito de aplicación del artículo 22.2 de la LSSI y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Que, aun así, se ha instalado el sistema de información de cookies que recomienda la AEPD como medida de transparencia y responsabilidad proactiva. Que dicha página no recaba ningún dato personal, no dispone de parte privada con acceso a usuarios, está totalmente abierta al público en general para su uso particular. Que, en el apartado de contacto, la web no dispone de formulario alguno, simplemente se informa de los correos electrónicos disponibles para contactar. Que no se ha producido ningún perjuicio a los usuarios de la página web antes de la notificación porque como anteriormente se ha dicho solo se utilizan cookies de sesión en la que no se recaban datos personales” CUARTO: Por parte de esta Agencia, con fecha 28/02/21, se realizan comprobaciones sobre la política de privacidad, el aviso legal y la política de cookies en la página web, ***URL.1, comprobándose lo siguiente: - Sobre el tratamiento de datos personales: En los enlaces a las diferentes noticas que se publican en la página web, ***URL.2, existe la opción de poder reenviar el enlace de la notica a cualquier otra persona. A través del logo, <<correo>>, se despliega un formulario con el título “envíe por correo electrónico este enlace a un amigo”. En dicho formulario se debe proporcionar los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 datos personales, como el nombre y dirección de correo electrónico, así como la dirección de correo electrónico de la persona a la que se desea reenviar el enlace de la noticia. - Sobre la “Política de Privacidad”: A través del enlace, <<Política de Privacidad>>, existente en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.3, que proporciona información sobre: quién es el responsable del tratamiento de datos; con qué finalidad tratan los datos personales; por cuánto tiempo los conservan; cuál es la legitimación para el tratamiento de los datos personales; a qué destinatarios se comunicarán y cuáles son los derechos de los usuarios. - Sobre la Política de Cookies de la página web: 1.- Al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprueba que se utilizan las siguientes VISITOR_INFO1_LIVE; YSC; GPS y CONSENT. 2.- En la misma página inicial, (primera capa), se despliega un banner con la siguiente información sobre cookies: “Utilizamos cookies propias. Algunas son esenciales para hacer que el sitio web funcione mejor y poder analizar nuestros servicios. Otras nos ayudan a mostrarle publicidad relacionada con sus preferencias a través del análisis de sus hábitos de navegación. Puede cambiar su configuración u obtener más información aquí –“ <<ACEPTAR>>. 3.- Si se opta por obtener más información, a través del enlace, <<aquí>>, la web redirige a la página de la “Política de Cookies”, comprobándose que, la web utiliza nuevas cookies no necesarias del dominio “youtube.com”: 1P_JAR; NID y IDE, 4.- En la página de la “Política de Cookies”, accesible a través del enlace indicado en el banner, ***URL.4, o a través del enlace existente en la parte inferior de la página principal, la web proporciona información sobre, qué son las cookies y para qué se usan; qué información guarda una cookie; qué tipo de cookies existen e identifica las no existe ninguna información sobre la utilización de cookies de terceros y sobre cómo gestionar la utilización de cookies, la página web remite al usuario a configurar el navegador instalado en su equipo terminal, no existiendo ningún mecanismo que posibilite rechazar las cookies no necesarias. QUINTO: Con fecha 10/03/21, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la persona reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en los artículos 7 del RGPD y 22.2 de la LSSI, imponiendo una sanción inicial de “apercibimiento” en cada una de las dos infracciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 SEXTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 22/03/21, formuló, en síntesis, las siguientes alegaciones: “Que se ha procedido a tomar las medidas siguientes: - Eliminar la opción de enviar el enlace de la noticia a cualquier otra persona, desde cualquier artículo, especialmente tanto desde el apartado ventana de opinión como del fisgón indiscreto; Eliminación de la cookie no necesaria de tercero cuyo dominio pertenece a “youtube.com” de toda la web. Se desconocía la existencia de esta cookie cuando se contestó el anterior requerimiento, una vez que hemos detectado el error hemos deshabilitado la incrustación de videos de YouTube para su reproducción inmediata en la zona de publicidad; -Que en todo momento desde que se inició el procedimiento hemos demostrado nuestra voluntad de colaborar tomando cada una de las medidas específicas para solucionar los problemas detectados y comunicados. Que no se recaban datos personales de los que visitan la página web y que las cookies detectadas han sido por la publicidad de la página y que nunca se ha querido ser desleal con los usuarios. Que las medidas que hemos tomado con respecto al estado de la técnica y el coste de su aplicación son adecuadas al pequeño tamaño que tiene la empresa y al riesgo de los datos personales”. SÉPTIMO: Con fecha 27/03/21, por parte de esta Agencia, se comprueba que, en la web ***URL.1, respecto de su “política de cookies”, tiene las siguientes características: 1.- Sobre el tratamiento de los datos personales, se comprueba que en la web reclamada ya no es posible la recogida de datos personales de los usuarios. 2.- Al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprueba que se no se utilizan cookies “no necesarias”. 3.- En la misma página inicial, (primera capa), se despliega un banner con la siguiente información sobre cookies: “Utilizamos cookies propias. Algunas son esenciales para hacer que el sitio web funcione mejor y poder analizar nuestros servicios. Otras nos ayudan a mostrarle publicidad relacionada con sus preferencias a través del análisis de sus hábitos de navegación. Puede cambiar su configuración u obtener más información” “aquí -- <<ACEPTAR>>”. 4.- En la página de la “Política de Cookies”, accesible a través del enlace, <<aquí>>, indicado en el banner, la web redirige a una nueva página, ***URL.5, donde se proporciona a información sobre, qué son las cookies y para qué se usan; qué información guarda una cookie; qué tipo de cookies existen e identifica las cookies propias que utiliza la página, su finalidad y el tiempo que estarán activas Sobre cómo gestionar la utilización de cookies, la página web remite al usuario a configurar el navegador instalado en su equipo terminal, no existiendo ningún mecanismo que posibilite rechazar las cookies no necesarias que se utilizan. OCTAVO: Con fecha 29/03/21, se notifica la propuesta de resolución, en la cual, se propone que, por la Directora de la Agencia Española de Protección de Datos se sanC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 cione a la persona reclamada, por la infracción que sigue cometiendo del artículo 22.2 respecto de la política de cookies de su página web. NOVENO: Tras la notificación de la propuesta de resolución, con fecha 06/04/21, se recibió, en esta Agencia, escrito de alegaciones, en el cual, entre otras, se indicaba: “Que se ha procedido a tomar cambiar el texto inicial de la primera capa y la opción de eliminar las cookies”. DÉCIMO: Con fecha 18/04/21, por parte de esta Agencia, se comprueba que, en la web ***URL.1, respecto de su “política de cookies”, tiene las siguientes características: 1.- Se sigue comprobando que, en la web reclamada ya no es posible la recogida de datos personales de los usuarios. 2.- Al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprueba que ya no se utilizan cookies “no necesarias”. 2.- En la misma página inicial, (primera capa), se despliega un banner con la siguiente información sobre cookies: “Utilizamos cookies propias. Algunas son esenciales para hacer que el sitio web funcione. Otras nos ayudan a no volver a mostrarle este mensaje mientras continúa visitando nuestra web. Puede cambiar su configuración u obtener más información” “aquí -- <<ACEPTAR>>”. 3.- En la página de la “Política de Cookies”, accesible a través del enlace <<aquí>>, indicado en el banner, o a través del enlace existente en la parte inferior de la página, la web redirige a una nueva página, ***URL.5, donde se proporciona a información sobre, qué son las cookies y para qué se usan; qué información guarda una cookie; qué tipo de cookies existen e identifica las cookies propias que utiliza la página, su finalidad y el tiempo que estarán activas. Sobre cómo gestionar la utilización de cookies, en la página de la “política de cookies” existe un mecanismo que posibilita que las cookies no necesarias no se utilicen, a través de la opción “Puede eliminar todas las cookies insertadas por este sitio web haciendo <<click aquí>>”. HECHOS PROBADOS 1.- Según el escrito de reclamación, en el sitio web ***URL.
- se utilizan cookies no necesarias sin el consentimiento expreso del usuario. Además, en la web no existe política de cookies ni forma de rechazarlas. 2.- Según pudo comprobar esta Agencia, en los enlaces a las diferentes noticas que se publican en la página web, ***URL.2, existía la opción de poder reenviar el enlace de la notica a cualquier otra persona. A través del logo, <<correo>>, se desplegaba un formulario con el título “envíe por correo electrónico este enlace a un amigo”. En dicho formulario se debía proporcionar los datos personales, como el nombre y dirección de correo electrónico, así como la dirección de correo electrónico de la persona a la que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 se deseaba reenviar el enlace de la noticia. No obstante, en la “Política de Privacidad” de la página web ***URL.3, se indicaba que los datos personales recopilados por este medio serían utilizados para, además de realizar la solicitud de reenvío de la noticia, para ofrecer productos y servicios de acuerdo con los intereses de los usuarios, así como, elaboraremos de perfiles comerciales en base a la información obtenida. 3.- Se comprobó, respecto de la “Política de Cookies” que, al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprobó que se utilizaban cookies de terceros no necesarias , sin el consentimiento expreso de los usuarios. Además, en la página de la “Política de usan; qué información guarda una cookie; qué tipo de cookies existen e identifica las obstante, sobre cómo gestionar la utilización de cookies, la página web remitía al usuario a configurar el navegador instalado en su equipo terminal, no existiendo ningún mecanismo que posibilitase “rechazar” todas las cookies no necesarias que se utilizan. 4.- Iniciado el procedimiento sancionador por infracción de los artículos 7 del RGPD y 22.
- de la LSSI, la persona titular de la web envió escrito de alegaciones, a esta Agencia, en el cual indicaba que había procedido a eliminar la opción de recopilar datos personales de los usuarios y había modificado la política de cookies eliminando las esta Agencia. 5.- Tras la notificación de la propuesta de resolución, la persona reclama envió a esta Agencia, escrito de alegaciones a la misma, en la cual indicaba que se habían producido las modificaciones necesarias en la página web, para adaptar la política de cookies a la legislación vigente. 6.- En la última comprobación realizada desde esta Agencia, se ha podido constatar las siguientes características en la web: En la web ya no existe ningún mecanismo que permita recopilar datos personales de los usuarios. Al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprueba que ya no se utilizan cookies “no necesarias”. En la misma página inicial, (primera capa), se despliega un banner con la siguiente información sobre cookies: “Utilizamos cookies propias. Algunas son esenciales para hacer que el sitio web funcione. Otras nos ayudan a no volver a mostrarle este mensaje mientras continúa visitando nuestra web. Puede cambiar su configuración u obtener más información” “aquí -- <<ACEPTAR>>”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 En la página de la “Política de Cookies”, accesible a través del enlace <<aquí>>, indicado en el banner, o a través del enlace existente en la parte inferior de la página, la web redirige a una nueva página, donde se proporciona a información sobre, qué son las cookies y para qué se usan; qué información guarda una cookie; qué tipo de tiempo que estarán activas. Sobre cómo gestionar la utilización de cookies, se ha comprobado que, en la página de la “política de cookies” existe un mecanismo que posibilita rechazar todas las cookies. FUNDAMENTOS DE DERECHO I.- Competencia: Respecto del tratamiento de datos personales es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD y en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Respecto de la política de cookies de la página web es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II Respecto del tratamiento de los datos personales de los usuarios de la página web, se pudo constatar, en un principio que, en los enlaces a las diferentes noticas que se publican en la página web, existía la opción de poder reenviar el enlace de la notica a cualquier persona, a través del logo, <<correo>>, y donde se debía introducir el nombre y dirección de correo electrónico, así como la dirección de correo electrónico de la persona a la que se deseaba reenviar el enlace de la noticia. No obstante, en la “Política de Privacidad” de la web se indicaba que los datos recogidos para realizar el reenvío de la noticia a otra persona podrían ser utilizados, además, para enviarles comunicaciones en base a la realización de perfiles comerciales. Iniciado el procedimiento sancionador por la infracción del artículo 7 del RGPD, la persona titular de la web indicó a esta Agencia que había procedido a eliminar la opción de reenviar el link de las noticias a otros usuarios y que por tanto la página web ya no recogía datos personales. Hechos fueron corroborados por parte de esta Agencia. En este sentido hay que recordar que, el art 6.1.b) del RGPD, establece que el tratamiento de los datos personales será lícito si fuera necesario para la ejecución de un contrato en el que el interesado es parte. En el presente caso, el tratamiento de los datos personales por parte del responsable será lícito siempre y cuando el fin para el que se utilizan, esté relacionado con la gestión indicada en el formulario, “para enviar por correo electrónico el enlace de la noticia a otro destinatario”, y para el cual, el usuario ha proporcionado sus datos personales y los de la persona a la que hay que enviar el enlace. Para cualquier otro tratamiento de datos que no esté relacionado con este fin, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 el responsable deberá realizarlo de forma lícita, acorde con lo estipulado en el artículo 6.1 del RGPD. Por su parte, el artículo 7 del RGPD, indica, sobre el consentimiento, que: “
- Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
- Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento.
- El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
- Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Por tanto, los hechos conocidos son constitutivos de una infracción por vulneración del art. 7 del RGPD, por el tiempo que estuvo activada la opción del reenvío del enlace de la noticia, posibilitando con ello un tratamiento ilícito de los datos personales. El artículo 72.1.c) de la LOPDGDD, considera muy grave, a efectos de prescripción, “El incumplimiento de los requisitos exigidos por el artículo 7 del RGPD”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…); i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular(…)”. Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción de “apercibimiento”, por la infracción del artículo 7 del RGPD, por el tiempo que posibilitó la realización de un tratamiento ilícito de los datos personales de los usuarios de la web. III Con respecto a la política de cookies, en consideración a las alegaciones presentadas por la persona reclamada y en base a las nuevas comprobaciones realizadas por esta Agencia en la página web en cuestión, se corrobora que la misma ha sido modificada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 eliminando las cookies no necesarias hasta que el usuario “acepta” su utilización, e incluyendo un mecanismo que posibilita rechazar todas las cookies. Por tanto, con arreglo a las evidencias que se disponen en este momento, se considera que la política de cookies de la página web denunciada no se contradice con lo estipulado en el artículo 22.2 de la LSSI. A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: APERCIBIR: a D. A.A.A., (***URL.1), con NIF: ***NIF.1, titular de la página web ***URL.1 por infracción del artículo 7 del RGPD, respecto de la utilización ilícita de los datos personales de los usuarios, durante el tiempo que estuvo activa la opción de su recogida y tratamiento. ARCHIVAR: el presente procedimiento por la infracción del 22.2 de la LSSI, al comprobar que la política de cookies ha sido modificada y adaptada a la legislación vigente. NOTIFICAR: la presente resolución a D. B.B.B. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es