PS-00524-2021

1/12  Procedimiento Nº: PS/00524/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA, con CIF.: A85850394 titular de la página web, ***URL.1 (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la parte reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 12/07/21, tuvo entrada en esta Agencia, un escrito de reclamación, indicando que, al visitar la versión alemana de la página web de IBERIA, se guardaban en su navegador y sin su consentimiento varios tipos de "cookies" publicitarias y analíticas, así como diversos mecanismos de rastreo de su actividad, procedentes de terceros como Google, Facebook, Microsoft, Twitter y Salesforce. SEGUNDO: Con fecha 16/08/21, por parte de esta Agencia se envió a la parte reclamada escrito solicitando información referente a la reclamación presentada, de conformidad con lo estipulado en el artículo 65.4 de la LO 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 02/11/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por la parte reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. CUARTO: Con fecha 15/11/21, se recibió en esta Agencia escrito de contestación al requerimiento hecho a la parte reclamada, en el cual, se informa de: “La reclamación que motiva el presente procedimiento de información se fundamenta principalmente en que el denunciante, en fecha 2 de mayo de 2021, a través de su correo electrónico solicitaba a mi representada que procediese a eliminar las cookies que se hubieran instalado en su dispositivo. Extracto de la solicitud del ahora denunciante: “Posteriormente, en fecha 30 de mayo de 2021, el denunciante, al amparo de lo dispuesto en el artículo 77 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, “RGPD”) interpuso reclamación ante la autoridad de control alemana, alegando que hacía más de cuatro semanas que había solicitado a mi representada, a través de email, la eliminación de los trackers, sin que hasta la fecha de interposición de la citada reclamación se hubiese hecho efectiva tal petición” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Del mismo modo, se hacía referencia a que dichas cookies continuaban activas a fecha 30 de mayo del corriente, así como para la instalación de estas no se había contado con el consentimiento del reclamante. II. Información sobre las medidas adoptadas para adecuar la Política de Privacidad al artículo 13 del RGPD. Esta parte viene a manifestar que no se han adoptado medidas para adecuar la Política de Privacidad contenida en la web, a la vista de que la misma cumple rigurosamente con las consideraciones contempladas en el art 13 RGPD. III. Información sobre las medidas adoptadas para adecuar la utilización de servicios de sociedad de la información y comercio electrónico (LSSI) en 2 Información contemplada en el Anexo 1 adjunto con la reclamación. 3 https://***URL.4informacion-sobre-privacidad/ particular, en lo relativo a la utilización de cookies y los fines del tratamiento de los datos, así como la forma de recabar, rechazar o retirar el consentimiento. Esta parte viene a manifestar que no se han adoptado medidas adicionales para adecuar la utilización de cookies en la web, debido a que dicha página cumple con lo dispuesto en lo establecido por el artículo

1. 2 de la LSSI. En este sentido, cabe manifestar que mi representada ha tenido en cuenta los criterios interpretativos ofrecidos por esta Agencia, así como los criterios del European Data Protection Board (EDPB). IV. La adopción adoptada a propósito de esta reclamación Es evidente que mi representada no ha podido adoptar ninguna decisión a propósito de esta reclamación y esto se debe a que la eliminación de las depende de un acto que el usuario debe llevar a cabo en su propio navegador. Así las cosas, el denunciante tendría que haber tenido en cuenta la siguiente información contenida en la web: Pantallazo extraído de la web de Iberia (https://***URL.4politica-decookies/) A mayor abundamiento, esta parte quiere destacar que en ningún momento son instaladas cookies sin el consentimiento del usuario. En consecuencia, procedemos a extractar el banner empleado en nuestra web que corrobora la plena observancia por parte de mi representada del RGPD y de la LLSI. En este sentido, conviene llamar la atención sobre la existencia de determinadas cookies (Tag Managers) de terceros (tales como metabuscadores, redes de afiliación, etc.) que se cargan al acceder a la web de IBERIA porque estas son necesarias para poder gestionar la relación existente entre IBERIA y los metabuscadores de viajes y billetes de avión. Gracias a estas cookies, las cuales recalcamos que no guardan información de la IP desde la que se navega, sino que determinan solamente si el origen de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 sesión está en alguna de las webs de dichos meta- buscadores, se obtiene la referencia (“referal”) que permite saber si una sesión que finalmente acabe en compra tuvo su origen en un metabuscador, de forma que ello permita tanto al metabuscador como a IBERIA realizar la facturación correcta entre las partes y relativa a la generación de negocio/venta online. Los Tag Managers funcionan de forma similar para las que se denominan redes de afiliación, que asimismo se encargan de traer tráfico cualificado a la web de IBERIA y tienen el mismo modo de Coste Por Adquisición (CPA) que los metabuscadores. Si desde el primer momento estas cookies estuvieran inactivas, se perdería la información relacional y no sería posible gestionar y mantener la relación entre IBERIA y los metabuscadores/redes de afiliación. No obstante, aunque estén activas desde el primer momento no envían información de ningún tipo hasta que el usuario dé su consentimiento. La existencia de este tipo de cookies y del intercambio de este tipo de información está recogida en nuestra política de los usuarios. En definitiva, para cumplir con nuestro cometido es necesario que las cookies mencionadas se encuentren activas desde que se accede a la web para el correcto tratamiento e identificación de la sesión (que no del equipo desde donde se navega); no conteniendo dichas cookies datos de carácter personal. Cabe decir que para que esto ocurra el usuario ha de ser, necesariamente, usuario de la página de origen (gestionada por terceros) y que ya ha debido ser previamente informado de que las compañías aéreas abonan una cantidad de dinero por cada compra en la que estos terceros han participado. Lo que conlleva necesariamente que su utilización implica la instalación de este tipo de dispositivos por parte de aquellos terceros que han originado el tráfico de origen. En todo caso, cabe resaltar que las cookies pueden rechazarse, y solo envían información en el momento en que se consienten. Del mismo modo, a través del configurador de cookies se ofrece al usuario la opción de revocar el consentimiento que en su momento pudo otorgar. Por lo expuesto, A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS SOLICITO que se sirva admitir el presente escrito, junto con los documentos que se acompañan, a tener por hechas las manifestaciones que se contienen en el cuerpo de este y, en sus méritos, a tener por cumplimentado el requerimiento de información. QUINTO: Con fecha 03/01/22, se corrobora la información obtenida en la diligencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12
2. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha detectado que se utilizan cookies que no son técnicas o necesarias de terceras partes, cuyo dominio pertenece a: Dominio Dominio MUID .clarity.ms MUID .bing.com _kuid_ .krxd.net E .doubleclick.net NID .google.com 1P_JAR .google.com CONSENT .google.com uid .criteo.com TDID .adsrvr.org rlas3 .rlcdn.com IDE .doubleclick.net pxrc .rlcdn.com TDCPM .adsrvr.org _kuid .krxd.net
3. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje traducido del idioma alemán al español: “Iberia LAE le informa que las cookies se almacenan en su dispositivo para garantizar el correcto funcionamiento y la seguridad de nuestros sitios web y para ofrecerle la mejor experiencia de navegación posible. Haga clic en Aceptar cookies si acepta el uso de estas cookies, o cambie su configuración en cualquier momento en Configuración de cookies. Lea la política de cookies para más información. Configuración de cookies Aceptar todas las cookies <<Configurar Cookies>>- -<<Aceptar>> Si se accede al panel de control de cookies, a través del enlace correspondiente, <<configuración de permisos>>, la web despliega el siguiente panel de control, donde se pueden gestionar los grupos de cookies de forma granular, estando éstos inicialmente premarcados en la opción de <<desactivado>>, excepto las cookies necesarias: b).- Si se accede a la “Configuración de Cookies” a través del enlace existente en la primera capa, se proporciona información en apartados: - Apartado de “Privacidad del Usuario”.: “Como respetamos su privacidad, puede aceptar o rechazar nuestra utilización de cookies para cada categoría de de abajo. Cada vez que se te ofrezca aceptar o rechazar la utilización de determinadas categorías de cookies, te proporcionaremos la información esencial que necesites saber para efectuar tu elección. Sin embargo, si bloquea algunos tipos de cookies, puede que su experiencia de uso de la web se vea afectada y también los servicios que podemos ofrecerle. Para obtener más información sobre la gestión de cookies que realiza Iberia acceda a nuestra política. - Apartado “Cookies Técnicas”. Se informa que son necesarias para que el sitio web funcione y no se pueden desactivar (no son configurables). - C/ Jorge Juan, 6 28001 – Madrid OFF  ON (premarcada en la opción aceptada) OFF  ON (premarcada en la opción aceptada) www.aepd.es sedeagpd.gob.es 5/12 - Si se opta por desactivar los grupos de cookies, desplazando todos los cursores de los grupos de cookies, se comprueba que la web sigue utilizando las mismas cookies que no son técnicas o necesarias indicadas anteriormente. 3.- Si se accede a la “Política de Cookies”, a través del enlace existente en el panel de control y en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.2 , donde se proporciona información sobre, qué son las cookies, qué tipos de dominio, su finalidad y el tiempo que permanecerán activas), así como, la gestión de las cookies a través de los navegadores instalados en los equipos terminales. SEXTO: Con fecha 07/02/22, por la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la parte reclamada, por infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies” de la página web de su titularidad, con una sanción inicial de 30.000 euros (treinta mil euros), por la utilización de cookies que no son técnicas o necesaria sin el previo consentimiento de los usuarios de la página web. SÉPTIMO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 23/02/22 formuló, en síntesis, las siguientes alegaciones Esta parte viene a solicitar, al amparo de lo establecido en el artículo 22.g) de la LPAC la suspensión del presente procedimiento habida cuenta el recurso contencioso-administrativo planteado por IBERIA, en fecha 13 de abril de 2021, y que ha dado lugar a la apertura del Procedimiento Ordinario 533/2021 seguido ante la Audiencia Nacional, Sección 1ª, Sala de lo ContenciosoAdministrativo 2 (en adelante, el “PO 533/2021”). Como muestra de ello, se adjunta como DOCUMENTO NÚMERO 1 Decreto dictado el 19 de enero de 2022 en el PO 533/2021 por el que se acuerda admitir a trámite el recurso contencioso administrativo presentado frente a la resolución dictada por la AEPD en fecha 3 de febrero de 2021, por la cual se desestimaba el recurso de reposición formulado por IBERIA en el Procedimiento Sancionador PS/00032/2020 (en adelante, el “PS/00032/2020”). En relación con lo anterior, procede traer a colación lo establecido por el ex artículo 22 de la LPAC ya que este recoge: “Artículo
4. Suspensión del plazo máximo para resolver.
5. El transcurso del plazo máximo legal para resolver un procedimiento y notificar la resolución se podrá suspender en los siguientes casos: (…) g) Cuando para la resolución del procedimiento sea indispensable la obtención de un previo pronunciamiento por parte de un órgano jurisdiccional, desde el momento en que se solicita, lo que habrá de comunicarse a los interesados, hasta que la Administración tenga constancia del mismo, lo que también deberá serles comunicado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 En este punto, resulta notoriamente indispensable exponer los motivos que dieron lugar a la interposición del recurso contencioso-administrativo y, por tanto, a la iniciación de la vía judicial y que motivan, dicho sea, con el debido respeto y en términos de estricta defensa, que este organismo acuerde la suspensión del presente procedimiento administrativo hasta que no recaiga sentencia firme, puesto que nos encontramos ante dos procedimientos de la misma naturaleza y cuya fundamentación para la procedencia de su apertura, recae en la vulneración de lo establecido por el artículo 22.2 de la LSSI. Entendemos que hay un principio de prudencia que aconseja esperar a que se cuente con esa sentencia judicial que debe recaer en el PO 533/2021, la cual determinará si ha existido infracción del artículo 22.2 de la LSSI en el Procedimiento Administrativa y si, por tanto, los métodos adoptados por IBERIA son procedentes en Derecho. Por otro lado, se entiende que también entraría en juego la aplicación de lo establecido por el artículo
6. 3 de la LPAC, el cual señala: 4 “Artículo
7. Especialidades en el inicio de los procedimientos de naturaleza sancionadora. (…)
8. No se podrán iniciar nuevos procedimientos de carácter sancionador por hechos o conductas tipificadas como infracciones en cuya comisión el infractor persista de forma continuada, en tanto no haya recaído una primera resolución sancionadora, con carácter ejecutivo.” A fecha de presentación del presente escrito, no existe un pronunciamiento respecto de la solicitud de suspensión de la ejecutoriedad de la sanción impuesta instada por IBERIA, tal y como queda acreditado por medio de la Diligencia de Ordenación dictada, en fecha 19 de enero de 2022, por la Audiencia Nacional, Sección 1ª en la Pieza Separada de Medidas Cautelares 533/2021 0001 y que se adjunta con este escrito como DOC 2, a través de la cual se daba traslado a la AEPD para formular alegaciones en el plazo de diez